--- id: CP-008 slug: vishing-burla-telefonica-usurpacao lang: pt title: Vishing, a burla por telefone description: "Um falso apoio informático ou um falso banqueiro liga-lhe e o ecrã mostra um número familiar: como reconhecer o vishing e reagir." canonical_url: https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Vishing, a burla por telefone», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/ fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ it: https://startbrain.io/cyberpedia/it/articles/vishing-truffa-telefonica-spoofing/ nl: https://startbrain.io/cyberpedia/nl/articles/vishing-telefoonfraude-nepnummer-misleiding/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Vishing, a burla por telefone O vishing (voice phishing) é o phishing feito por voz. O atacante telefona, apresentando-se como uma pessoa de confiança, para obter uma informação ou um gesto da vítima. A CISA descreve-o como a abordagem de engenharia social que assenta na comunicação por voz [1]. Para um colaborador, o cenário típico é uma chamada de alguém que se faz passar por pessoal informático legítimo [3]. ## Em 30 segundos - Onde acontece: ao telefone, por vezes com um SMS em simultâneo, junto dos colaboradores e também do apoio informático [4]. - O que o atacante quer: uma palavra-passe, um código de autenticação, ou a instalação de uma ferramenta que lhe dê o controlo do computador [3][4]. - O reflexo: verificar a identidade de quem liga junto da organização que diz representar [1]. - Se já aconteceu: avisar de imediato os responsáveis da organização, incluindo os administradores de rede, e alterar as palavras-passe reveladas [1]. ## Perguntas diretas ### O número que aparece no ecrã prova quem está a ligar? Não. Os burlões podem falsificar o próprio número e fazer-se passar por uma entidade de confiança, como um parceiro comercial ou o apoio técnico [2]. A CISA precisa que a telefonia pela Internet (VoIP) permite falsificar facilmente a identidade de quem liga, e que isso explora uma confiança indevida na segurança dos serviços telefónicos [1]. ### Quem é que o atacante imita? As fontes aqui citadas mencionam um parceiro comercial, um membro do apoio técnico [2], pessoal informático legítimo [3] e, em certos casos, um colaborador que liga para o apoio no lugar do verdadeiro titular da conta [4]. A Microsoft descreve também atacantes que se fazem passar por colaboradores recém-contratados [6]. ### O que procura obter? Segundo a MITRE, pode levar a vítima a abrir um endereço malicioso, a descarregar software malicioso ou a instalar ferramentas de gestão remota que o atacante poderá utilizar [3]. Pode também tentar obter credenciais de autenticação multifator, ou fazer aceitar pedidos de autenticação [3]. Um dos grupos descritos pela CISA convenceu colaboradores a dar-lhe a sua palavra-passe de utilização única (OTP), um código de autenticação [4]. ### Devemos desconfiar das chamadas que recebemos depois de uma mensagem? Sim. Uma mensagem de phishing pode pedir que se ligue para um número: a MITRE fala de «callback phishing» e indica que o atacante tenta então recolher informações confidenciais [2]. ### Que fazer perante uma chamada suspeita? A CISA aconselha a desconfiar de chamadas não solicitadas de pessoas que fazem perguntas sobre os colaboradores ou sobre informações internas, e a verificar a identidade de quem liga diretamente junto da organização que diz representar [1]. Acrescenta que não se deve dar informação pessoal ou sobre a organização, a não ser que haja certeza de que a pessoa tem direito a obtê-la [1]. ## Na pele do atacante Começa por se informar. No aviso da CISA sobre o grupo Scattered Spider, o atacante procura primeiro, em sites profissionais, a função que a pessoa visada tem na empresa [4]. Recolhe depois nomes de utilizador, palavras-passe e dados pessoais [4]. As suas chamadas, muitas vezes várias seguidas, servem primeiro para aprender o procedimento de reposição de palavra-passe e depois para reunir as informações próprias do colaborador visado [4]. Estas chamadas apoiam-se em dados pessoais provenientes das redes sociais, de fontes abertas, de ferramentas comerciais de informação e de fugas de bases de dados [4]. A Microsoft descreve o mesmo método: o ator estuda a organização, imita o tom e o vocabulário da pessoa cuja identidade usurpa, e conhece informações pessoais suficientes para convencer um administrador a repor uma palavra-passe ou um método de autenticação [6]. Este ator visa habitualmente os administradores técnicos, como o pessoal do apoio e do help desk [6]. O atacante não precisa de fazer a chamada pessoalmente. Segundo a MITRE, as chamadas podem ser feitas pelo atacante, por centros de contacto contratados para a ocasião, ou automatizadas através de chamadas pré-gravadas [2]. Em casos raros, a Microsoft viu atacantes recorrerem à intimidação, com morada pessoal, nomes de familiares e ameaças físicas [6]. ## O que vê no ecrã Vê um número que lhe parece conhecido, ou um nome que julga reconhecer. A urgência ou o alarme fazem parte do cenário: a MITRE assinala que o atacante se apresenta como uma fonte de confiança e cria um sentimento de urgência [3]. O que se segue varia. O interlocutor pode pedir-lhe um código de autenticação de utilização única (OTP) [4]. Pode também pedir-lhe que valide uma notificação de autenticação no telemóvel: a CISA descreve notificações repetidas até o colaborador tocar em «Aceitar» (fadiga de MFA) [4]. Outras vezes, guia-o até um falso portal de início de sessão ou pede-lhe que execute uma ferramenta de controlo remoto [5][4]. O SMS pode conter uma ligação para um falso portal que imita a autenticação da empresa [6]. ## Por baixo do capô As ferramentas de controlo remoto são software legítimo. A Microsoft assinala que as ferramentas de administração remota, desviadas pelo ator que descreve, têm utilizações normais e que o seu uso deve ser vigiado no ambiente [6]. A MITRE cita exemplos como o AnyDesk [8]. A MITRE precisa que estas ferramentas podem ser instaladas e depois usadas, após um comprometimento, para estabelecer uma sessão de ambiente de trabalho remoto interativa [8]. Outro mecanismo é o desvio do próprio número. A CISA refere que o Scattered Spider convenceu operadores de telecomunicações a transferir o número de um utilizador para um cartão SIM na sua posse (SIM swap), o que dá o controlo do telemóvel e dos pedidos de autenticação [4]. A Microsoft descreve também a ativação de um reencaminhamento de chamadas no número de um colaborador, seguida de uma reposição da palavra-passe em autosserviço [6]. Do lado da defesa, a MITRE propõe vigiar os registos de chamadas dos dispositivos profissionais e cruzá-los com eventos posteriores à chamada, como a instalação de uma ferramenta de gestão remota [3]. A CISA pede autenticação multifator resistente ao phishing em todos os serviços, na medida do possível, e a continuação da formação contra o vishing [4]. ## Autópsias ### Scattered Spider, de junho a dezembro de 2022 A MITRE associa à campanha C0027, de junho a dezembro de 2022, chamadas e SMS em que o atacante se fazia passar por pessoal informático [5]. As vítimas eram encaminhadas para um site de recolha de credenciais ou levadas a executar ferramentas comerciais de gestão remota [5]. Uma vez dentro, o grupo procurou nos espaços documentais das vítimas as instruções do apoio e os guias de inscrição na VPN e na autenticação multifator [5]. ### Octo Tempest, 2022 e 2023 A Microsoft descreve, na sua publicação de 25 de outubro de 2023, um grupo detetado no início de 2022, que visava primeiro operadores de telemóvel e empresas de outsourcing para desencadear transferências de número [6]. Em 2022, revendia SIM swaps a outros criminosos e tomava o controlo de contas de pessoas abastadas para lhes roubar as criptomoedas [6]. A Microsoft assinala que ligava também para o apoio de uma organização para conseguir a reposição de uma palavra-passe ou a adição de um fator de autenticação [6]. ### Atualização do aviso da CISA, julho de 2025 O aviso AA23-320A, publicado a 16 de novembro de 2023, foi atualizado a 29 de julho de 2025 com técnicas de engenharia social mais elaboradas [4]. Uma delas consiste em fazer-se passar por um colaborador para obter do apoio informações sensíveis, uma reposição de palavra-passe e a transferência da autenticação multifator para um dispositivo controlado pelo atacante [4]. ## O que faz Verifique a identidade de quem liga diretamente junto da organização que diz representar [1]. Para um pedido recebido por correio eletrónico, a CISA recomenda não usar os contactos de um site associado ao pedido, mas procurar os de comunicações anteriores [1]. O NCSC aconselha a verificar um pedido importante recebido por correio eletrónico através de um segundo meio de comunicação, como uma chamada ou uma confirmação presencial [7]. A CISA descreve um grupo que obteve palavras-passe de utilização única junto de colaboradores [4]. Se já cedeu, comunique-o sem demora aos responsáveis da organização: poderão vigiar atividades invulgares [1]. ## Fontes 1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/004/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado em 3 de novembro de 2026) 4. CISA, «Scattered Spider | CISA», 16 de novembro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado em 3 de novembro de 2026) 6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog», 25 de outubro de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado em 3 de novembro de 2026) 7. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1219/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.