--- id: CP-564 slug: email-grupo-copia-oculta-bcc lang: pt title: Enviar um email em grupo com Bcc description: "Escrever a vários destinatários externos sem expor os endereços: o reflexo Bcc, as armadilhas habituais e o que fazer depois de um erro." canonical_url: https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Enviar um email em grupo com Bcc», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-041 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc/ fr: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ en: https://startbrain.io/cyberpedia/en/articles/bulk-email-bcc-hidden-recipients/ de: https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/ es: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ it: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ nl: https://startbrain.io/cyberpedia/nl/articles/bulk-mail-bcc-verborgen-ontvangers/ sources: - "n": 1 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 5 title: Notifier une violation de données personnelles publisher: CNIL url: https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles published: "2018-05-24" accessed: "2026-11-03" - "n": 6 title: CHAPITRE IV - Responsable du traitement et sous-traitant publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 accessed: "2026-11-03" --- # Enviar um email em grupo com Bcc Antes de enviar um email a trinta clientes, parceiros ou participantes numa formação, a regra é verificar em que campo cada destinatário está colocado. Depois de a mensagem seguir, os endereços já chegaram aos destinatários. Esta ficha descreve o gesto a fazer antes do envio: colocar os destinatários externos no campo Bcc (cópia oculta). Descreve também as armadilhas habituais, o que os endereços expostos permitem a um burlão e o que fazer depois de um erro. As fontes aqui citadas não descrevem o funcionamento dos campos Para, Cc e Bcc: esta ficha indica, por isso, a conduta a seguir, sem desenvolver a mecânica do programa de email. ## Em 30 segundos - Onde acontece: ao enviar uma mensagem a várias pessoas exteriores à empresa (clientes, candidatos, participantes, parceiros). - O que quer o atacante: usar as informações disponíveis sobre si para tornar as suas mensagens de phishing mais convincentes [3]. - O reflexo: colocar os destinatários externos em Bcc e reler os campos Para, Cc e Bcc antes de clicar em Enviar. - Se já aconteceu: avisar sem demora o encarregado da proteção de dados (DPO) ou, na falta dele, o serviço informático, que avaliará se é preciso notificar a CNIL [1][5]. ## Perguntas diretas ### Porque é que uma lista de endereços visível é um problema? O RGPD define a violação de dados como uma violação da segurança que provoca, de modo acidental ou ilícito, nomeadamente a «divulgação não autorizada de dados pessoais» [1]. A CNIL especifica que se trata de qualquer incidente de segurança, malicioso ou não, intencional ou não [1]. Um envio em que todos os destinatários aparecem à vista dos outros pode, portanto, enquadrar-se nesta definição, mesmo sem qualquer ataque. A CNIL cita um caso próximo: um terceiro informa o responsável pelo tratamento de que recebeu um email com informações sobre outra pessoa e apresenta a prova disso. O responsável deve então ser considerado informado da violação [1]. ### Para que servem os endereços recolhidos? As fontes aqui citadas descrevem o uso que os atacantes fazem de informações deste tipo. O NCSC britânico escreve que os criminosos usam informações disponíveis em linha para tornar as suas mensagens de phishing mais convincentes [3]. A MITRE descreve o «phishing for information»: mensagens enviadas para obter informações que servem depois para visar uma vítima [2]. Segundo a MITRE, o grupo Kimsuky usou emails de phishing dirigido para recolher informações sobre as suas vítimas, incluindo listas de contactos, a fim de identificar outros alvos [2]. O phishing consiste em fazer-se passar por um terceiro de confiança para obter dados pessoais ou bancários [4]. ### Quem é responsável pelo erro? As obrigações do RGPD recaem sobre o responsável pelo tratamento, isto é, a organização, pública ou privada e seja qual for a sua dimensão [1]. Para um colaborador, o ponto útil é outro: assim que detetar o erro, comunica-o internamente, porque é a organização que decide o que se segue. ## Como funciona O texto do RGPD exige que o responsável pelo tratamento notifique uma violação à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento dela, salvo se a violação não for suscetível de implicar risco para os direitos e liberdades das pessoas [6]. A CNIL acrescenta que este prazo começa quando o responsável tem um grau razoável de certeza de que ocorreu um incidente e de que este afetou dados pessoais [1]. O nível de risco determina as obrigações [1]. Sem risco, a organização documenta o incidente internamente, num registo. Com risco, documenta-o e notifica a CNIL. Com risco elevado, documenta-o, notifica a CNIL e informa também as pessoas em causa. O risco avalia-se caso a caso, consoante a natureza e a sensibilidade dos dados, a facilidade de identificar as pessoas e as suas possíveis consequências [1]. Um endereço isolado e um endereço que revela a pertença a um grupo sensível não se julgam da mesma maneira, mas essa avaliação cabe à organização, não a quem enviou a mensagem. ## O que faz Antes de enviar uma mensagem a várias pessoas externas: - Coloque os destinatários externos no campo Bcc, e não em Para ou Cc. - Releia os três campos antes de enviar: nenhum endereço externo deve ficar em Para ou Cc. - Se a mensagem se repete com frequência (boletim informativo, convocatória), peça à equipa informática uma ferramenta de envio concebida para esse fim, em vez de repetir a operação à mão. Depois de um erro: - Avise imediatamente o DPO ou o serviço informático, indicando o assunto da mensagem, a hora de envio e o número de destinatários. - Não tente resolver o assunto sozinho escrevendo aos destinatários: a organização tem primeiro de avaliar o risco. - Guarde a mensagem enviada. No caso do phishing, a Cybermalveillance.gouv.fr recomenda guardar as provas [4]. O mesmo reflexo serve aqui de base à documentação do incidente. Do lado da organização, a CNIL pede que o incidente seja documentado: natureza da violação, categorias e número aproximado de pessoas em causa, consequências prováveis, medidas tomadas ou previstas [5]. Em caso de dúvida sobre a necessidade de informar as pessoas, a CNIL aconselha a notificá-la do incidente, e ela indicará se é preciso informá-las [5]. A notificação faz-se através de um serviço em linha destinado às organizações [5]. Se nem todas as informações estiverem disponíveis dentro do prazo de 72 horas, uma notificação inicial pode ser seguida de uma notificação complementar [5]. ## As armadilhas - Esquecer o Bcc: pôr um único destinatário em Para, escrever os outros em Cc por hábito, ou colar a lista inteira no campo errado. Reler os campos antes de enviar é a defesa. - Reencaminhar ou responder a todos: antes de reencaminhar uma mensagem ou responder a todos, verifique que endereços aparecem nos campos. - Achar que o incidente não tem consequências: os endereços já estão na posse de terceiros, e o NCSC lembra que os burlões exploram as informações disponíveis para tornar as suas mensagens mais credíveis [3]. Os destinatários podem, assim, receber depois mensagens suspeitas: a organização pode aconselhá-los a não responder a mensagens duvidosas e a denunciá-las ao Signal Spam [4]. As fontes aqui citadas não referem nenhum caso datado de envio em grupo com endereços visíveis: esta ficha não apresenta, por isso, nenhum. ## Fontes 1. CNIL, «Violations de données personnelles : les règles à suivre», 19 de junho de 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026) 4. Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?», 10 de janeiro de 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consultado em 3 de novembro de 2026) 5. CNIL, «Notifier une violation de données personnelles», 24 de maio de 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultado em 3 de novembro de 2026) 6. CNIL, «CHAPITRE IV - Responsable du traitement et sous-traitant». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.