--- id: CP-033 slug: chantagem-webcam-sextorsao lang: pt title: Chantagem por webcam e sextorsão description: "Mensagem de intimidação, palavra-passe citada, ameaça de divulgação: o que dizem as fontes sobre phishing e engenharia social, e os reflexos." canonical_url: https://startbrain.io/cyberpedia/pt/articles/chantagem-webcam-sextorsao/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/chantagem-webcam-sextorsao.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Chantagem por webcam e sextorsão», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/chantagem-webcam-sextorsao/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-066 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/chantagem-webcam-sextorsao/ fr: https://startbrain.io/cyberpedia/fr/articles/chantage-webcam-sextorsion/ en: https://startbrain.io/cyberpedia/en/articles/webcam-blackmail-sextortion/ de: https://startbrain.io/cyberpedia/de/articles/webcam-erpressung-sextortion/ es: https://startbrain.io/cyberpedia/es/articles/chantaje-webcam-sextorsion/ it: https://startbrain.io/cyberpedia/it/articles/ricatto-webcam-sextortion/ nl: https://startbrain.io/cyberpedia/nl/articles/webcam-afpersing-sextortion/ sources: - "n": 1 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 2 title: Gather Victim Identity Information, Technique T1589 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1589/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 5 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" --- # Chantagem por webcam e sextorsão Esta ficha trata da chantagem por webcam e da sextorsão: uma mensagem de intimidação que ameaça divulgar imagens íntimas. Esta descrição é um enquadramento da ficha, não um facto retirado de uma fonte. Um colaborador pode recebê-la tanto no correio eletrónico pessoal como no profissional. Uma nota sobre as fontes. As fontes aqui citadas não contêm nenhuma página dedicada à própria sextorsão: nem campanha datada, nem alerta oficial sobre o tema, nem números. Descrevem, em contrapartida, técnicas de phishing e de engenharia social. A associação com a sextorsão é do autor da ficha: nenhuma das fontes aqui citadas a estabelece. Esta ficha limita-se ao que essas páginas estabelecem. ## Em 30 segundos - Onde acontece: por correio eletrónico, mensagem instantânea ou rede social, canais que as fontes citam a propósito do phishing de informação [1]. - O que quer o atacante: obter informações, muitas vezes credenciais, jogando com a urgência [1]. - O reflexo: não responder a nada, guardar a mensagem e, depois, denunciá-la e apresentar queixa se dados pessoais forem usados para usurpar a sua identidade ou em caso de débitos fraudulentos [5]. - Se já aconteceu: alterar sem demora a palavra-passe em causa, em todos os serviços onde é usada, e fazer oposição junto do banco se tiverem sido comunicados dados de pagamento ou detetados débitos fraudulentos [4][5]. ## Perguntas diretas ### Uma mensagem que cita a minha palavra-passe prova que fui alvo de pirataria? As fontes aqui citadas não tratam este caso concreto. Indicam, no entanto, que informações sobre as vítimas podem ficar expostas aos atacantes através de conjuntos de dados acessíveis em linha [2]. O grupo Scattered Spider, por exemplo, usou informações provenientes de fugas de dados anteriores para identificar nomes de funcionários destinados à engenharia social [2]. ### O que procura uma mensagem que multiplica os lembretes? A MITRE descreve o phishing de informação como uma tentativa de levar o alvo a divulgar informações, muitas vezes credenciais. Passa com frequência pelo envio de várias mensagens de aparência urgente [1]. A urgência tira à vítima o tempo de verificar. ### O remetente apresentado é fiável? Não. A falsificação do endereço de envio pode enganar o destinatário e também as ferramentas de segurança automáticas [1]. A CISA acrescenta que um endereço pode imitar o de uma empresa conhecida, alterando ou omitindo alguns carateres [4]. ### Convém denunciar, mesmo sem ter cedido? Sim. O NCSC britânico explica que denunciar uma tentativa reduz o volume de mensagens recebidas, torna a vítima mais difícil de visar e protege outras pessoas [3]. Em França, a Cybermalveillance.gouv.fr indica que os correios eletrónicos suspeitos devem ser denunciados ao Signal Spam e os SMS ao 33700 [5]. ### O que guardar como prova? A mensagem recebida, em particular. A Cybermalveillance.gouv.fr recomenda conservar as provas e transmitir o máximo possível ao fazer a denúncia [5]. ## Na pele do atacante As fontes descrevem primeiro uma fase de preparação. A MITRE classifica a recolha de informações sobre a identidade das vítimas (nomes, endereços de correio eletrónico, credenciais, respostas a perguntas de segurança) como reconhecimento, anterior a qualquer ataque [2]. Estas informações podem vir de um pedido direto à vítima, mas também de dados em linha ou de redes sociais [2]. O NCSC di-lo para o grande público: os criminosos aproveitam as informações disponíveis em linha, incluindo nas redes sociais, para tornar as suas mensagens mais convincentes [3]. Segue-se o pretexto. O phishing de informação consiste muitas vezes em fazer-se passar por uma fonte que teria motivos para pedir informações [1]. O atacante pode também procurar obter informações através de uma troca direta de correios eletrónicos ou de mensagens instantâneas [1]. A CISA descreve uma lógica semelhante para a engenharia social: se uma primeira fonte não dá o suficiente, o atacante recorre a outra na mesma organização e apoia-se na primeira para parecer credível [4]. As fontes aqui citadas não documentam nem o desenrolar de uma aproximação por troca de imagens, nem o pedido de pagamento. Estes elementos estão, por isso, ausentes desta ficha. ## O que vê no ecrã As páginas consultadas dão sinais gerais de uma mensagem fraudulenta, que aqui servem de pontos de verificação: - um endereço de remetente que imita o de uma empresa legítima [4]; - uma fórmula de tratamento genérica e a ausência de contactos na assinatura [4]; - ligações cujo endereço real, visível ao passar o rato por cima, não corresponde ao texto apresentado [4]; - erros de gramática, de ortografia ou de formatação [4]; - um anexo não solicitado, por vezes acompanhado de uma falsa sensação de urgência para que seja aberto sem exame [4]; - um endereço de sítio que difere num único caráter do endereço esperado [5]. Uma mensagem pode também convidar a ligar para um número, onde o atacante tenta recolher informações confidenciais [1]. Uma mensagem bem redigida e personalizada não tem necessariamente estes defeitos. A Cybermalveillance.gouv.fr observa que as tentativas são hoje cada vez mais bem feitas, mas apresentam muitas vezes sinais de alerta [5]. ## Por baixo do capô A MITRE inclui o phishing de informação (T1598) na tática de reconhecimento. A diferença em relação ao phishing clássico está no objetivo: recolher dados junto da vítima, e não levá-la a executar código malicioso [1]. Pode ser dirigido, contra uma pessoa, uma empresa ou um setor, ou em massa [1]. São listadas quatro variantes: por serviço, por anexo, por ligação e por voz [1]. O correio eletrónico pode ser falsificado, e os atacantes podem também apagar ou modificar mensagens e cabeçalhos de contas comprometidas para escapar à deteção [1]. Do lado da defesa, a MITRE cita os mecanismos SPF e DKIM, que políticas como a DMARC permitem ativar numa organização, para filtrar as mensagens consoante a validade do domínio do remetente e a integridade da mensagem [1]. A formação dos utilizadores é citada como medida [1]. Quanto à recolha de informações sobre identidades, a MITRE nota que escapa aos controlos preventivos da empresa e que é preciso reduzir a quantidade e a sensibilidade dos dados acessíveis a terceiros [2]. O NCSC tira daqui um conselho para o colaborador: pensar nas informações pessoais publicadas e rever as definições de privacidade das suas contas de redes sociais [3]. ## O que faz As ações que as fontes recomendam: - Não comunique informações sensíveis por mensagem ou por telefone [5]. - Guarde a mensagem recebida como prova [5]. - Altere imediatamente qualquer palavra-passe divulgada, bem como a dos outros serviços onde é usada [4][5]. - Use uma palavra-passe diferente por serviço e ative a autenticação de dois fatores quando o sítio o permitir [5]. - Se comunicou dados de pagamento ou detetou débitos fraudulentos, faça oposição junto do banco [5]. - Se dados pessoais forem usados para usurpar a sua identidade, apresente queixa na esquadra ou na gendarmaria, ou escreva ao procurador da República [5]. - Denuncie a mensagem ao Signal Spam, ou o SMS ao 33700 [5]. - Para obter apoio, a France Victimes atende no 116 006, gratuitamente, todos os dias das 9 h às 19 h [5]. - Em contexto profissional, comunique a divulgação de informações da organização às pessoas competentes, incluindo os administradores de rede [4]. ## Autópsias Nenhuma das fontes aqui citadas documenta uma campanha de sextorsão datada: nem as vagas de mensagens de falsa pirataria de webcam, nem um alerta oficial sobre o tema. Não é, por isso, redigida aqui nenhuma ficha de autópsia. Será acrescentada quando uma fonte a fornecer. As páginas consultadas dão apenas exemplos próximos, sem data do acontecimento. O Scattered Spider combinou phishing de credenciais e engenharia social para captar códigos de utilização única [1]. O LAPSUS$ reuniu informações detalhadas sobre funcionários para reforçar as suas iscas de engenharia social [2]. ## Fontes 1. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Gather Victim Identity Information, Technique T1589 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1589/ (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026) 4. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 5. Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?», 10 de janeiro de 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/chantagem-webcam-sextorsao/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.