Abrir uma ligação de fraude não significa necessariamente que o dinheiro já foi retirado da conta ou que o telemóvel ficou infetado. O risco, contudo, não é nulo. A gravidade depende do tipo de página, do estado de atualização do dispositivo e, sobretudo, do que aconteceu depois do clique: se apenas abriu o endereço, se introduziu dados, se autorizou uma operação, se instalou uma aplicação ou se executou algum ficheiro ou comando.
Não existe uma janela oficial de dez minutos ao fim da qual seja impossível travar a fraude, nem uma garantia de que todas estas medidas possam ser concluídas nesse período. A divisão temporal serve apenas para ordenar as prioridades. A rapidez é determinante: o Banco de Portugal recomenda que qualquer suspeita seja comunicada imediatamente à instituição financeira, enquanto o Centro Nacional de Cibersegurança aconselha a alterar sem demora as palavras-passe que possam ter sido comprometidas.
Primeiros dois minutos: feche a página e interrompa a interação
O primeiro passo é parar de interagir com o site. Feche a página, não carregue em novos botões, não responda à mensagem e não telefone para números apresentados no aviso recebido. Caso precise de confirmar a autenticidade do contacto, utilize a aplicação oficial, um endereço que já conheça ou o número inscrito no cartão bancário. Nunca use os dados fornecidos na própria mensagem suspeita.
O phishing procura fazer-se passar por bancos, empresas ou organismos públicos para levar a vítima a fornecer palavras-passe, dados pessoais, números de cartões ou informações bancárias. A mesma técnica pode chegar por SMS, sendo conhecida como smishing, ou através de chamadas telefónicas, no chamado vishing.
Se um ficheiro foi apenas descarregado, mas não chegou a ser aberto ou executado, não o abra. Utilize o programa de segurança do equipamento para o analisar, colocar em quarentena ou eliminar. O simples início de um download não significa necessariamente que o dispositivo esteja infetado.
A situação é mais grave se instalou uma aplicação, abriu ou executou um ficheiro, seguiu instruções para introduzir comandos ou permitiu o acesso remoto ao equipamento. Nesses casos, desligue imediatamente o dispositivo da Internet, cortando o Wi-Fi e os dados móveis. Não volte a utilizá-lo para entrar no banco, no correio eletrónico ou noutras contas sensíveis até ser feita uma verificação de segurança. A Comissão Federal do Comércio dos Estados Unidos recomenda o isolamento do equipamento quando existe suspeita de instalação ou execução de software malicioso.
Entre os dois e os cinco minutos: contacte o banco
Caso tenha introduzido dados do cartão, códigos de acesso, credenciais do homebanking ou informações relacionadas com uma aplicação de pagamentos, contacte imediatamente o banco. Utilize o número indicado no cartão, a aplicação oficial ou o endereço verdadeiro da instituição, introduzido diretamente no navegador.
Explique exatamente o que aconteceu e siga as indicações recebidas. Diga ao banco se escreveu credenciais, forneceu um código recebido por SMS, aprovou uma notificação na aplicação, ordenou uma transferência ou instalou algum programa. Poderá ser necessário cancelar as credenciais de acesso, bloquear ou substituir o cartão, suspender a aplicação de pagamentos ou reforçar a vigilância sobre a conta.
O Banco de Portugal recomenda que a instituição financeira seja contactada de imediato quando exista suspeita de fraude ou utilização indevida de dados. Também aconselha a comunicar sem demora qualquer pagamento que o cliente não reconheça. Não espere pela apresentação de uma queixa às autoridades para avisar o banco, uma vez que a participação criminal não substitui este contacto urgente.
Nos termos do Decreto-Lei n.º 91/2018, que regula os serviços de pagamento, as operações não autorizadas devem ser comunicadas ao banco sem atraso injustificado. Em regra, o prestador deve reembolsar o montante até ao final do primeiro dia útil seguinte ao momento em que toma conhecimento da operação, sem prejuízo das exceções previstas na lei.
Esta regra não significa, porém, que todos os pagamentos realizados durante uma fraude sejam automaticamente devolvidos. O artigo 103.º do mesmo diploma considera autorizada a operação à qual o cliente tenha dado consentimento. Uma transferência ordenada ou confirmada pela própria vítima, ainda que sob manipulação de um burlão, pode levantar uma discussão diferente de um pagamento realizado sem qualquer autorização. É, por isso, essencial explicar ao banco todos os passos seguidos.
Entre os cinco e os oito minutos: altere as palavras-passe comprometidas
Se escreveu uma palavra-passe na página falsa, altere-a no serviço verdadeiro. Faça-o, de preferência, através de outro equipamento que considere seguro. Entre diretamente na aplicação oficial ou escreva o endereço correto, sem voltar a utilizar a ligação recebida.
Quando a mesma palavra-passe é usada em várias contas, todas devem ser tratadas como potencialmente comprometidas. Comece pelo correio eletrónico, porque esta conta é frequentemente utilizada para recuperar o acesso a outros serviços. Depois, altere as credenciais do banco, das redes sociais, das lojas digitais e das restantes plataformas onde repetiu a mesma combinação.
O Centro Nacional de Cibersegurança recomenda palavras-passe diferentes para cada serviço, preferencialmente com pelo menos 12 caracteres, e aconselha a sua alteração quando existe suspeita de comprometimento. Sempre que possível, deve também ser ativada a autenticação de múltiplos fatores, que acrescenta uma segunda confirmação ao acesso.
Se o serviço permitir, termine ainda as sessões abertas noutros equipamentos e verifique se o endereço de recuperação, o número de telemóvel ou outras definições da conta foram alterados sem autorização.
Entre os oito e os dez minutos: verifique o dispositivo e guarde provas
Se não instalou nem executou qualquer ficheiro e o equipamento não apresenta comportamentos estranhos, atualize o sistema operativo, o navegador e o programa de segurança. Num computador, execute uma análise completa. Num telemóvel, verifique se surgiram aplicações, perfis de gestão ou permissões que não reconhece.
Caso tenha executado software suspeito, instalado uma aplicação ou permitido o controlo remoto, mantenha o dispositivo desligado da Internet até ser verificado. Se os problemas persistirem, procure assistência técnica de uma entidade conhecida e não aceite ajuda oferecida por contactos recebidos através da própria fraude.
Num equipamento profissional, informe imediatamente o responsável ou o departamento de informática da empresa. Um clique num computador de trabalho pode colocar em risco não apenas a conta do utilizador, mas também dados, credenciais e sistemas da organização.
Guarde uma captura de ecrã da mensagem, o endereço da página, o remetente e a hora do contacto. Conserve também eventuais comprovativos de pagamentos ou mensagens trocadas com o burlão. Não volte, contudo, a abrir a ligação apenas para recolher provas.
O incidente pode ser comunicado ao CERT.PT, serviço do Centro Nacional de Cibersegurança responsável pela coordenação da resposta a incidentes, através da plataforma MyCiber. Entre as situações que podem ser notificadas encontram-se páginas fraudulentas, tentativas de phishing, contas comprometidas, intrusões e outros problemas de cibersegurança.
Introduziu dados ou perdeu dinheiro? Apresente queixa
Quando tenham sido fornecidos dados pessoais ou bancários, realizadas operações não autorizadas ou retirados valores da conta, a situação deve ser participada à PSP, à GNR, à Polícia Judiciária ou ao Ministério Público. O Banco de Portugal recomenda primeiro o contacto imediato com a instituição financeira e, depois, a participação da ocorrência às autoridades.
A comunicação ao CERT.PT não substitui uma queixa criminal. O próprio Centro Nacional de Cibersegurança esclarece que os incidentes que possam constituir crime devem também ser comunicados às autoridades judiciárias ou policiais competentes.
Se a mensagem chegou através da conta de um familiar, amigo ou colega, avise essa pessoa por outro meio, como uma chamada para um número que já conheça. O perfil poderá ter sido comprometido e estar a enviar a mesma ligação para mais contactos.
E se apenas abriu o link e não escreveu nada?
Quem apenas abriu a página, sem fornecer informações, autorizar pagamentos, executar ficheiros ou instalar aplicações, enfrenta geralmente um risco menor, mas não deve assumir que o perigo é inexistente. Algumas páginas maliciosas podem tentar iniciar downloads ou explorar falhas de segurança do navegador e do sistema operativo.
Feche o endereço, atualize o equipamento e execute uma análise de segurança. Não é necessário alterar indiscriminadamente todas as palavras-passe apenas porque a página abriu, mas deve fazê-lo se introduziu alguma credencial, se a reutilizou noutros serviços ou se detetar sinais de acesso indevido.
Nos dias seguintes, acompanhe os movimentos bancários, os acessos recentes às contas e as notificações de início de sessão. Qualquer pagamento não reconhecido, mesmo de pequeno valor, pedido inesperado de alteração de palavra-passe ou mensagem enviada sem autorização justifica uma reação imediata.
O Banco de Portugal aconselha a ativação de alertas para transferências e débitos, bem como a consulta frequente dos movimentos da conta. Perante qualquer operação que não reconheça, contacte o banco sem demora.
Leia também: Usa muito o MB WAY? É possível ‘ganhar’ algum do seu dinheiro de volta através da aplicação
