Como detetar fraudes online: sinais de alerta, tipos de fraude e como se proteger

Uma mensagem inesperada, uma oferta online ou uma chamada podem parecer convincentes e, ainda assim, ser fraudulentas. Pare antes de enviar dinheiro, introduzir uma palavra-passe, partilhar um código de utilização única ou instalar software. Confirme o pedido através de um contacto que já conhece. Um logótipo, um número familiar ou um texto bem escrito não provam a identidade. Nenhuma lista deteta todas as fraudes, mas uma verificação independente ajuda a evitar decisões precipitadas.

Sinais de alerta frequentes

As fraudes recorrem muitas vezes à engenharia social: alguém tenta levá-lo a agir, escondendo o objetivo. A suspeita deve levar à confirmação, não a uma acusação automática. Alguns pedidos legítimos são urgentes; algumas burlas são calmas e bem escritas. Avalie o pedido, o contexto e se o consegue confirmar por outra via.

• Pressão para agir de imediato ou manter o assunto em segredo.
• Pedido de palavra-passe, código de verificação/recuperação ou autorização que não iniciou.
• Ligação, anexo, QR inesperado ou pedido para instalar software de acesso remoto.
• Prémio, emprego, desconto ou retorno garantido excecional que exige primeiro dinheiro ou dados sensíveis.
• Alteração súbita dos dados de pagamento, pedido para pagar fora da plataforma ou para não consultar ninguém.

Phishing, smishing e vishing

• O phishing usa mensagens ou páginas enganosas que imitam uma entidade de confiança para obter dados, dinheiro ou acesso a uma conta, ou induzir a transferência de um ficheiro nocivo. Pode chegar por email, redes sociais ou mensagens; os nomes e endereços apresentados podem ser falsificados. Consulte as orientações da INCIBE sobre phishing.
• O smishing utiliza SMS ou mensagens semelhantes. Falsas taxas de entrega ou avisos podem conduzir a uma página copiada e surgir numa conversa familiar. Confirme na aplicação que abrir por iniciativa própria.
• O vishing utiliza chamadas. Quem liga pode fazer-se passar por um banco, polícia, apoio técnico ou familiar. O identificador pode ser falsificado: a CNMC espanhola alertou para chamadas que mostravam o seu próprio número. Desligue e volte a ligar por um contacto confirmado. Consulte o aviso da CNMC.

Antes de comprar, confirme o domínio exato, a identidade e os contactos do vendedor, as condições de venda e devolução, a entrega e os meios de pagamento. Procure informação independente, mas trate as avaliações como indícios: podem ser incompletas ou manipuladas. Um preço muito baixo justifica cautela, mas não prova fraude. Em negócios entre particulares, use, se possível, o processo documentado pela plataforma; as proteções variam. HTTPS e o cadeado indicam uma ligação encriptada segundo as verificações do navegador, mas não provam que o vendedor seja legítimo. Um QR apenas codifica um destino: veja-o antes de introduzir dados. Consulte a ajuda do Google Chrome.

• Confirme se os dados do vendedor, contactos, condições, entrega e devoluções são coerentes.
• Um resultado destacado, logótipo conhecido, conversa SMS ou cadeado não provam autenticidade.
• Uma taxa de entrega ou alerta inesperado deve ser confirmado na aplicação ou site oficial que abrir por iniciativa própria.

Outras fraudes online frequentes

• Negócios entre particulares: desconfie de pagamentos fora da plataforma, adiantamentos, comprovativos falsos ou ligações alegadamente necessárias para receber dinheiro. Confirme a operação na sua conta.
• Ofertas de emprego: confirme a entidade e a vaga através de contactos encontrados por outra via. Pedidos de pagamento, reenvio de dinheiro recebido ou compra a um vendedor indicado merecem verificação; um indício isolado não prova fraude.
• Investimentos: rendimentos elevados garantidos, pressão para recrutar, depósitos adicionais antes de permitir levantamentos ou contacto inesperado de um “consultor” exigem cautela. Confirme o prestador no registo oficial do supervisor; uma licença copiada não prova legitimidade.
• Relações e perfis sociais: um contacto pode ganhar confiança antes de inventar uma emergência ou investimento. Aparência, videochamada e história pessoal não provam identidade. Confirme por outra via e não envie dinheiro sob pressão emocional. A vítima não tem culpa da manipulação.

Exemplos fictícios: como confirmar

• SMS sobre uma entrega (exemplo fictício): uma mensagem diz que falta pagar uma taxa imediatamente. A urgência e a ligação inesperada são motivos para confirmar. Abra por iniciativa própria a aplicação ou o site oficial da transportadora; não introduza dados a partir da mensagem.
• Chamada do banco (exemplo fictício): quem liga comunica uma operação suspeita e pede um código. O identificador pode ser falsificado e não deve revelar códigos de utilização única. Desligue e ligue para o número indicado na aplicação oficial ou no cartão.
• Oferta de uma loja desconhecida (exemplo fictício): um site desconhecido anuncia um produto caro por um preço inverosímil e pede pagamento fora da plataforma. Confirme o vendedor, as condições e os contactos por outra via; não pague se não conseguir verificá-los.
• Mensagem urgente de um familiar (exemplo fictício): alguém que se apresenta como familiar pede dinheiro através de um número novo. Uma voz ou forma de escrever familiar não prova a identidade. Ligue para o número guardado ou confirme com outra pessoa de confiança antes de transferir.

Imitações com IA e códigos QR

As ferramentas generativas podem criar mensagens convincentes, imagens ou vozes clonadas. Uma voz ou vídeo familiar não confirma identidade. Se alguém conhecido pedir dinheiro com urgência, ligue para um número que já tem ou confirme com outro contacto de confiança. Consulte o guia sobre como identificar deepfakes de IA. Um QR não é sinal de confiança: confirme o destino antes de introduzir dados. Os detetores não são infalíveis. A FTC dos Estados Unidos descreveu burlas de emergência familiar com vozes clonadas; o exemplo não indica a frequência destas burlas. Orientações da FTC.

Cinco passos para confirmar um pedido suspeito

1. Pare. Não responda, clique, pague ou autorize sob pressão.
2. Identifique o pedido. Pede dinheiro, credenciais, um código, acesso remoto, software ou autorização?
3. Confirme por outra via. Abra a aplicação ou site oficial por iniciativa própria, ou ligue para um número conhecido. Para um familiar, use um número guardado ou outro contacto.
4. Analise o contexto. Compare o domínio exato, a operação esperada e os dados de pagamento; procure confirmação independente.
5. Decida com prudência. Se não conseguir confirmar um pedido sensível, não avance. Peça tempo ou ajuda por um canal oficial.

Proteja as contas e os dados de pagamento

• Use uma palavra-passe única por conta; um gestor pode ajudar. Ative a autenticação multifator quando disponível, sabendo que não elimina todos os riscos.
• Nunca partilhe códigos de utilização única ou recuperação com contactos inesperados nem aprove acessos ou pagamentos que não iniciou.
• Mantenha dispositivos e aplicações atualizados. Instale software em lojas oficiais ou no site conhecido do programador, não através de mensagens insistentes.
• Reveja a atividade e os alertas. Contacte rapidamente o serviço por um canal oficial se detetar operações desconhecidas.

Se enviou dinheiro

Contacte imediatamente o banco, emissor do cartão ou serviço de pagamento através da aplicação oficial ou de um número publicado. Explique o que aconteceu, quando, como pagou e se autorizou a operação; pergunte que medidas poderão estar disponíveis. Um pagamento não autorizado é diferente de uma transferência autorizada depois de um engano; as opções variam. Uma transferência pode ser difícil ou impossível de reverter depois de recebida. O contacto rápido não garante recuperação. Consulte as orientações do Banco de España. Em Espanha, o enquadramento jurídico depende, entre outros aspetos, de a operação ter sido realmente autorizada: um pagamento aprovado após um engano não é automaticamente tratado como uma operação não autorizada. Os direitos e meios de reclamação dependem dos factos e das regras aplicáveis; noutros países pode ser diferente.

1. Guarde comprovativos, dados, mensagens, números, emails e endereços web. Não reabra ligações inseguras nem divulgue provas sensíveis.
2. Peça ao banco que registe o incidente e explique como reclamar. Guarde referências e respostas escritas. Em Espanha, se o problema não ficar resolvido, siga o procedimento de reclamação em vigor do Banco de España.
3. Diga claramente se não autorizou a operação. Se autorizou uma transferência depois de ser enganado, contacte o banco de imediato, sem assumir que pode ser revertida.
4. Em Espanha, o 017 da INCIBE presta orientação gratuita e confidencial. A denúncia formal é feita através dos canais da Policía Nacional ou Guardia Civil; reportar à INCIBE não é uma denúncia policial.

Se partilhou credenciais ou dados pessoais

• Altere a palavra-passe no serviço legítimo, não através da ligação. Se a reutilizou, altere-a também noutros serviços, sobretudo no email e em contas financeiras.
• Reveja acessos, dados de recuperação e sessões ativas; termine as desconhecidas, se o serviço permitir.
• Se partilhou um código ou autorizou uma operação, contacte imediatamente o banco ou serviço; mudar a palavra-passe pode não anular a ação.
• Se expôs documentos, contacte o serviço afetado, esteja atento a novos pedidos e siga as orientações oficiais. Em Espanha, a AEPD trata da proteção de dados, não recupera transferências.
• Se facultou os dados do cartão, contacte rapidamente o emissor através de um canal oficial, pergunte que medidas estão disponíveis e verifique os movimentos; bloquear ou substituir o cartão pode não resolver todos os riscos dos dados expostos.
• Reporte o perfil falso à plataforma e avise os contactos por um canal conhecido se alguém lhes pedir dinheiro em seu nome.

Se instalou software ou permitiu acesso remoto

Instalar software ou permitir acesso remoto é diferente de apenas abrir uma ligação. Pare de interagir com quem ligou ou com o programa. Se alguém ainda controlar o dispositivo, desligue-o da rede se for seguro e use outro dispositivo fiável para contactar o banco e proteger as contas. Não siga novas instruções nem apague provas sem critério. Peça orientação a um técnico de confiança ou serviço oficial. Clicar, descarregar e executar software são exposições diferentes.

Evite uma segunda burla

Depois de uma fraude, alguém poderá prometer recuperar o dinheiro em troca de pagamento antecipado ou mais dados da conta. Desconfie de garantias. Não pague a desconhecidos que se apresentem como funcionários, advogados, investigadores ou especialistas sem os verificar por outra via. A FTC alerta que estas burlas visam quem já perdeu dinheiro. Preserve as provas e contacte o banco ou serviço oficial. A FTC descreve este padrão. A FTC dos Estados Unidos alerta também para burlões que se fazem passar por autoridades ou advogados e podem exigir pagamentos antecipados ou dados financeiros. Aviso da FTC.

Onde pedir ajuda e reportar uma fraude

• Espanha — [INCIBE 017](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad): orientação gratuita e confidencial em cibersegurança. É um serviço espanhol, não um número internacional de emergência. A INCIBE disponibiliza uma página para reportar fraudes.
• Para denúncia formal em Espanha, contacte a Policía Nacional ou a Guardia Civil e siga as instruções em vigor. Reportar à INCIBE não é uma denúncia policial. Consulte as instruções atuais da Policía Nacional e da Guardia Civil.
• Se os seus dados ou perfil foram usados, reporte à plataforma. Em Espanha, a AEPD informa sobre usurpação e privacidade, não recupera transferências. Noutros países, consulte os canais oficiais locais.

Antes de clicar, pagar ou partilhar dados

• O que me pedem exatamente e porquê agora?
• Consigo confirmar através de uma aplicação, número ou contacto conhecido?
• Pedem palavra-passe, código, pagamento ou acesso remoto?
• Confirmei domínio, vendedor e condições, não apenas o logótipo ou cadeado?
• Posso esperar e perguntar a alguém de confiança sem usar os contactos da mensagem?
• Se aconteceu algo, contactei o banco/serviço e preservei provas?

Perguntas frequentes

• Como sei se um site é fraudulento? Confirme domínio, vendedor, condições e pagamento e procure fontes independentes. Nenhum sinal isolado, incluindo HTTPS, prova legitimidade.
• Como reconheço um email de phishing? Desconfie de pedidos inesperados de acesso, pagamento, códigos ou transferências. Confirme por outra via; remetente e escrita podem enganar.
• Uma chamada que mostra o número do banco pode ser falsa? Sim. O identificador pode ser falsificado. Desligue e use o número da aplicação, do cartão ou de documentação fiável.
• HTTPS basta para confiar numa loja? Não. Protege a ligação, mas não confirma a honestidade nem identidade do vendedor.
• O que faço se cliquei numa ligação suspeita? Feche-a e não introduza dados. O clique, por si só, não revela o alcance; confirme o que aconteceu e aja em conformidade.
• O que faço se partilhei a palavra-passe? Altere-a no serviço legítimo, altere as reutilizadas, reveja sessões e contacte o prestador se partilhou um código ou autorizou algo.
• O que faço se enviei dinheiro a um burlão? Contacte imediatamente o banco ou serviço de pagamento e pergunte pelas opções. A recuperação depende das circunstâncias e não é garantida.
• Onde reportar uma fraude online? Em Espanha, a INCIBE disponibiliza o 017 e um canal de reporte; a denúncia formal é feita à polícia. Noutros países, consulte os serviços locais.
• O que é smishing? É phishing por SMS ou mensagem semelhante, muitas vezes com uma ligação inesperada ou pedido de dados ou pagamento.
• A IA pode imitar uma voz conhecida? A síntese de voz pode ser usada para imitar alguém. Confirme pedidos urgentes através de um número ou contacto conhecido; a voz não basta.
• Posso confiar numa videochamada ou perfil? Podem ajudar, mas não garantem identidade. Confirme pedidos sensíveis por um canal conhecido.
• Reportar à INCIBE equivale a apresentar denúncia? Não. A INCIBE pode orientar ou receber um reporte; para denúncia formal, siga os procedimentos policiais.
• O que fazer após instalar uma aplicação suspeita? Pare de a utilizar, proteja as contas noutro dispositivo fiável e peça ajuda técnica. Se o acesso remoto estiver ativo, desligue o dispositivo se for seguro.
• O que devo fazer se divulguei os dados do cartão? Contacte rapidamente o emissor através da aplicação ou número oficial, pergunte o que fazer e verifique os movimentos. Bloquear o cartão pode não resolver toda a exposição.

Uma regra simples

Quando uma mensagem, chamada ou oferta pede uma ação sensível, pare, confirme por outra via e proteja contas ou pagamentos. Se já pagou ou partilhou dados, contacte rapidamente o banco ou serviço, preserve as provas e recorra a ajuda oficial. Estas medidas reduzem riscos, mas não evitam todas as fraudes nem garantem recuperação.