Cyberpediapor Brain
PTDEENESFRITNL

Vishing, a burla por telefone

Um falso apoio informático ou um falso banqueiro liga-lhe e o ecrã mostra um número familiar: como reconhecer o vishing e reagir.

Em 30 segundos

Onde acontece
Ao telefone, por vezes com um SMS em simultâneo, junto dos colaboradores e também do apoio informático4.
O que o atacante quer
Uma palavra-passe, um código de autenticação, ou a instalação de uma ferramenta que lhe dê o controlo do computador34.
O reflexo
Verificar a identidade de quem liga junto da organização que diz representar1.
Se já aconteceu
Avisar de imediato os responsáveis da organização, incluindo os administradores de rede, e alterar as palavras-passe reveladas1.

Do que se trata

O vishing (voice phishing) é o phishing feito por voz. O atacante telefona, apresentando-se como uma pessoa de confiança, para obter uma informação ou um gesto da vítima. A CISA descreve-o como a abordagem de engenharia social que assenta na comunicação por voz1.

Para um colaborador, o cenário típico é uma chamada de alguém que se faz passar por pessoal informático legítimo3.

Perguntas diretas

O número que aparece no ecrã prova quem está a ligar?

Não. Os burlões podem falsificar o próprio número e fazer-se passar por uma entidade de confiança, como um parceiro comercial ou o apoio técnico2. A CISA precisa que a telefonia pela Internet (VoIP) permite falsificar facilmente a identidade de quem liga, e que isso explora uma confiança indevida na segurança dos serviços telefónicos1.

Quem é que o atacante imita?

As fontes aqui citadas mencionam um parceiro comercial, um membro do apoio técnico2, pessoal informático legítimo3 e, em certos casos, um colaborador que liga para o apoio no lugar do verdadeiro titular da conta4. A Microsoft descreve também atacantes que se fazem passar por colaboradores recém-contratados6.

O que procura obter?

Segundo a MITRE, pode levar a vítima a abrir um endereço malicioso, a descarregar software malicioso ou a instalar ferramentas de gestão remota que o atacante poderá utilizar3. Pode também tentar obter credenciais de autenticação multifator, ou fazer aceitar pedidos de autenticação3. Um dos grupos descritos pela CISA convenceu colaboradores a dar-lhe a sua palavra-passe de utilização única (OTP), um código de autenticação4.

Devemos desconfiar das chamadas que recebemos depois de uma mensagem?

Sim. Uma mensagem de phishing pode pedir que se ligue para um número: a MITRE fala de «callback phishing» e indica que o atacante tenta então recolher informações confidenciais2.

Que fazer perante uma chamada suspeita?

A CISA aconselha a desconfiar de chamadas não solicitadas de pessoas que fazem perguntas sobre os colaboradores ou sobre informações internas, e a verificar a identidade de quem liga diretamente junto da organização que diz representar1. Acrescenta que não se deve dar informação pessoal ou sobre a organização, a não ser que haja certeza de que a pessoa tem direito a obtê-la1.

1Na pele do atacante1 min

Começa por se informar. No aviso da CISA sobre o grupo Scattered Spider, o atacante procura primeiro, em sites profissionais, a função que a pessoa visada tem na empresa4. Recolhe depois nomes de utilizador, palavras-passe e dados pessoais4. As suas chamadas, muitas vezes várias seguidas, servem primeiro para aprender o procedimento de reposição de palavra-passe e depois para reunir as informações próprias do colaborador visado4. Estas chamadas apoiam-se em dados pessoais provenientes das redes sociais, de fontes abertas, de ferramentas comerciais de informação e de fugas de bases de dados4.

A Microsoft descreve o mesmo método: o ator estuda a organização, imita o tom e o vocabulário da pessoa cuja identidade usurpa, e conhece informações pessoais suficientes para convencer um administrador a repor uma palavra-passe ou um método de autenticação6. Este ator visa habitualmente os administradores técnicos, como o pessoal do apoio e do help desk6.

O atacante não precisa de fazer a chamada pessoalmente. Segundo a MITRE, as chamadas podem ser feitas pelo atacante, por centros de contacto contratados para a ocasião, ou automatizadas através de chamadas pré-gravadas2. Em casos raros, a Microsoft viu atacantes recorrerem à intimidação, com morada pessoal, nomes de familiares e ameaças físicas6.

2O que vê no ecrã1 min

Vê um número que lhe parece conhecido, ou um nome que julga reconhecer. A urgência ou o alarme fazem parte do cenário: a MITRE assinala que o atacante se apresenta como uma fonte de confiança e cria um sentimento de urgência3.

O que se segue varia. O interlocutor pode pedir-lhe um código de autenticação de utilização única (OTP)4. Pode também pedir-lhe que valide uma notificação de autenticação no telemóvel: a CISA descreve notificações repetidas até o colaborador tocar em «Aceitar» (fadiga de MFA)4. Outras vezes, guia-o até um falso portal de início de sessão ou pede-lhe que execute uma ferramenta de controlo remoto54. O SMS pode conter uma ligação para um falso portal que imita a autenticação da empresa6.

3Por baixo do capôEquipas de TI1 min

As ferramentas de controlo remoto são software legítimo. A Microsoft assinala que as ferramentas de administração remota, desviadas pelo ator que descreve, têm utilizações normais e que o seu uso deve ser vigiado no ambiente6. A MITRE cita exemplos como o AnyDesk8. A MITRE precisa que estas ferramentas podem ser instaladas e depois usadas, após um comprometimento, para estabelecer uma sessão de ambiente de trabalho remoto interativa8.

Outro mecanismo é o desvio do próprio número. A CISA refere que o Scattered Spider convenceu operadores de telecomunicações a transferir o número de um utilizador para um cartão SIM na sua posse (SIM swap), o que dá o controlo do telemóvel e dos pedidos de autenticação4. A Microsoft descreve também a ativação de um reencaminhamento de chamadas no número de um colaborador, seguida de uma reposição da palavra-passe em autosserviço6.

Do lado da defesa, a MITRE propõe vigiar os registos de chamadas dos dispositivos profissionais e cruzá-los com eventos posteriores à chamada, como a instalação de uma ferramenta de gestão remota3. A CISA pede autenticação multifator resistente ao phishing em todos os serviços, na medida do possível, e a continuação da formação contra o vishing4.

4AutópsiasCasos reais2 min

Scattered Spider, de junho a dezembro de 2022

A MITRE associa à campanha C0027, de junho a dezembro de 2022, chamadas e SMS em que o atacante se fazia passar por pessoal informático5. As vítimas eram encaminhadas para um site de recolha de credenciais ou levadas a executar ferramentas comerciais de gestão remota5. Uma vez dentro, o grupo procurou nos espaços documentais das vítimas as instruções do apoio e os guias de inscrição na VPN e na autenticação multifator5.

Octo Tempest, 2022 e 2023

A Microsoft descreve, na sua publicação de 25 de outubro de 2023, um grupo detetado no início de 2022, que visava primeiro operadores de telemóvel e empresas de outsourcing para desencadear transferências de número6. Em 2022, revendia SIM swaps a outros criminosos e tomava o controlo de contas de pessoas abastadas para lhes roubar as criptomoedas6. A Microsoft assinala que ligava também para o apoio de uma organização para conseguir a reposição de uma palavra-passe ou a adição de um fator de autenticação6.

Atualização do aviso da CISA, julho de 2025

O aviso AA23-320A, publicado a 16 de novembro de 2023, foi atualizado a 29 de julho de 2025 com técnicas de engenharia social mais elaboradas4. Uma delas consiste em fazer-se passar por um colaborador para obter do apoio informações sensíveis, uma reposição de palavra-passe e a transferência da autenticação multifator para um dispositivo controlado pelo atacante4.

5O que faz1 min

Verifique a identidade de quem liga diretamente junto da organização que diz representar1. Para um pedido recebido por correio eletrónico, a CISA recomenda não usar os contactos de um site associado ao pedido, mas procurar os de comunicações anteriores1. O NCSC aconselha a verificar um pedido importante recebido por correio eletrónico através de um segundo meio de comunicação, como uma chamada ou uma confirmação presencial7.

A CISA descreve um grupo que obteve palavras-passe de utilização única junto de colaboradores4. Se já cedeu, comunique-o sem demora aos responsáveis da organização: poderão vigiar atividades invulgares1.

Ficha

Identificador
CP-008
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
cr-019
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/004/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado em 3 de novembro de 2026)
  4. CISA, «Scattered Spider | CISA», 16 de novembro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado em 3 de novembro de 2026)
  6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog», 25 de outubro de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado em 3 de novembro de 2026)
  7. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1219/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Vishing, a burla por telefone», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/

BibTeX 
@misc{brain_cp008_pt_2026,
  author = {Brain},
  title = {Vishing, a burla por telefone},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/vishing-burla-telefonica-usurpacao/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0