Falso gestor bancário e número falsificado

O ataque assenta na confiança e na pressa. A CISA refere que as mensagens de phishing se parecem muitas vezes com as de uma pessoa ou organização de confiança, para obter uma resposta¹. Entre os sinais comuns que enumera: linguagem urgente ou emotiva, com consequências graves se não houver resposta imediata, e pedidos de informações pessoais e financeiras¹.

A chamada pode também ser a segunda etapa. O MITRE ATT&CK descreve vítimas que recebem uma mensagem a convidá-las a ligar para um número, onde são depois encaminhadas para um endereço malicioso, para uma descarga de software ou para a instalação de uma ferramenta de gestão remota². Uma variante só visa fazer falar: a vítima liga para um número e o atacante tenta aí recolher informações confidenciais⁵.

As mesmas fontes dão exemplos fora do setor bancário, que mostram o método. Na campanha C0027, o Scattered Spider fez-se passar por pessoal informático ao telefone para levar as vítimas a instalar uma ferramenta de controlo remoto². O Storm-1811 telefonou a vítimas apresentando-se como o suporte informático, para que executassem scripts e outras ferramentas². As fontes não datam estes casos com precisão, pelo que são dados aqui como exemplos de método e não como análises detalhadas de incidentes.

O princípio vem da CISA: se uma mensagem parecer suspeita mas puder ser verdadeira, não clique em nenhuma ligação e não ligue para nenhum número que conste da mensagem¹. Procure outro meio de contactar a organização ou a pessoa¹. No caso de uma empresa, isso significa ir ao seu sítio, procurando-o no navegador ou escrevendo o endereço se o conhecer, e aí obter os contactos¹.

Em concreto, perante uma chamada de falso gestor:

• Desligue, mesmo que quem liga insista ou diga que cada minuto conta. A urgência é um sinal de alerta segundo a CISA¹.
• Volte a ligar ao banco, para o número oficial obtido no seu sítio verificado, nunca para um número dado por quem liga ou por uma mensagem¹.
• Não comunique nenhum código recebido por SMS e não aceite nenhuma validação que não tenha desencadeado você próprio²³.
• Se quem liga lhe pedir para instalar um programa ou para assumir o controlo do seu computador, recuse: é um método descrito pelo MITRE ATT&CK².
• Fale com o seu responsável, sobretudo se a chamada tiver afetado um dispositivo ou uma conta profissional.

O MITRE ATT&CK inclui entre as medidas de proteção a formação dos utilizadores: saber detetar e comunicar a engenharia social, desconfiar de quem liga e verificar a sua identidade².

• Uma aparência credível não prova nada. A CISA precisa que um erro de língua já não é um indício fiável: na era da inteligência artificial, algumas mensagens têm gramática e ortografia perfeitas, e é preciso procurar os outros sinais¹.
• A pressão é um sinal comum: a CISA cita a linguagem urgente¹, e o MITRE ATT&CK menciona o envio de várias mensagens de aparência urgente⁵.
• As informações publicadas na internet alimentam a credibilidade da chamada. O NCSC indica que os criminosos se apoiam no que está disponível em linha, incluindo nas redes sociais, para tornar as mensagens mais convincentes; reduzir o que se publica e rever as definições de privacidade limita o risco⁴.
• A armadilha de uma SMS que se insere numa conversa já existente não é descrita por nenhuma das fontes citadas aqui. Convém, ainda assim, tratar essa mensagem como qualquer outra: não clicar, não voltar a ligar para o número que indica¹.

As fontes citadas aqui não detalham a oposição bancária nem a apresentação de queixa, pelo que a ficha não as descreve. Avise sem demora o seu banco e o seu responsável: é um conselho desta ficha, não uma etapa descrita pelas fontes. A CISA dá, em contrapartida, um exemplo pedagógico, uma história de phishing por e-mail e não por chamada: o utilizador acabou por recuperar o essencial das perdas, ao preço de muitas horas ao telefone com o banco e o comerciante¹. A página da CISA tem também a menção «Archived Content» e pode não refletir a política atual¹.

O NCSC descreve a denúncia de uma burla como gratuita e rápida, e indica que permite reduzir o número de comunicações fraudulentas recebidas e proteger outras pessoas⁴. Mantém uma página para denunciar uma chamada suspeita e saber o que fazer se se pensa ter sido vítima⁴. No momento da consulta, anunciava mais de 59,6 milhões de burlas denunciadas no total, número referente a setembro de 2026⁴.