Phishing em Portugal: como identificar e proteger-se em 2026

O estado do phishing em Portugal em 2026

Portugal registou um aumento de 45% nos ataques de phishing em 2025, segundo dados do Centro Nacional de Cibersegurança (CNCS). Os golpes mais comuns envolvem imitação de CTT, MBWay, bancos portugueses e operadoras de telecomunicações. A Polícia Judiciária considera o phishing a principal ameaça cibernética no país.

Em 2026, a sofisticação dos ataques atingiu um novo nível graças à inteligência artificial. Emails de phishing são agora redigidos em português europeu perfeito, com formatação profissional idêntica às comunicações legítimas. Para mais sobre ameaças de IA, consulte o nosso artigo sobre deepfakes e phishing com IA.

Segundo o Diário de Notícias, as perdas financeiras com phishing em Portugal ultrapassaram os €15 milhões em 2025, um aumento de 60% face ao ano anterior. Os grupos etários mais afetados são os jovens entre 18-25 anos (exposição elevada nas redes sociais) e os seniores acima dos 65 anos (menor literacia digital).

Os golpes de phishing mais comuns em Portugal

CTT e encomendas falsas: emails ou SMS informando que 'a sua encomenda está retida' e pedindo pagamento de taxas aduaneiras. Os sites falsos replicam perfeitamente o portal dos CTT. Em 2026, variantes incluem QR codes em cartas físicas falsas enviadas por correio — uma tática que ultrapassou o digital.

MBWay e bancos: mensagens a alegar 'atividade suspeita' na conta ou 'atualização obrigatória de segurança'. Os links direcionam para páginas que capturam credenciais bancárias. O Millennium BCP, CGD e Novo Banco são os mais imitados. O SIBS reportou um aumento de 300% em tentativas de fraude MBWay em 2025.

Operadoras (NOS, MEO, Vodafone): emails com 'faturas em atraso' ou 'ofertas exclusivas' que instalam malware ou redirecionam para páginas de phishing. Verifique sempre o remetente e aceda diretamente ao site oficial.

Autoridade Tributária e Finanças: emails falsos sobre 'reembolsos pendentes' ou 'irregularidades fiscais' são particularmente eficazes durante épocas de IRS. A AT nunca pede dados bancários por email — aceda sempre ao portal oficial das Finanças.

Smishing e vishing: phishing por SMS e telefone

Para além do email, o phishing expandiu-se para SMS (smishing) e chamadas telefónicas (vishing). Em Portugal, SMS falsos dos 'CTT', 'MBWay' e 'Autoridade Tributária' são extremamente comuns, com links que direcionam para sites fraudulentos otimizados para mobile.

O vishing envolve chamadas de supostos funcionários bancários que pedem dados da conta ou códigos de segurança. Em 2026, deepfakes de voz com IA tornaram estas chamadas mais convincentes. Nunca forneça dados sensíveis por telefone — desligue e ligue diretamente para o número oficial do seu banco.

Ferramentas de proteção como o Kaspersky Premium incluem proteção anti-phishing que funciona em browsers mobile, bloqueando sites maliciosos mesmo quando acedidos via links de SMS. Consulte a comparação de antivírus 2026 para mais opções de proteção.

Como se proteger eficazmente contra phishing

Utilize um antivírus com proteção anti-phishing em tempo real. O Kaspersky Premium (97% de deteção anti-phishing nos nossos testes) e o Bitdefender Total Security (96%) detetam e bloqueiam sites de phishing automaticamente — mesmo os recém-criados. O Norton 360 (95%) é igualmente eficaz.

Ative a autenticação de dois fatores (2FA) em todos os serviços — consulte o nosso guia de 2FA. Use passwords únicas com um gestor de passwords. Nunca clique em links de emails inesperados — aceda diretamente ao site oficial. Verifique sempre o certificado SSL e o domínio exato do site.

Para proteção adicional em redes Wi-Fi públicas (cafés, aeroportos), use uma VPN para encriptar todo o tráfego. Leia o nosso artigo sobre riscos de Wi-Fi público em Portugal.

Ferramentas e extensões anti-phishing gratuitas

Mesmo sem um antivírus premium, existem ferramentas que podem ajudar. O Google Safe Browsing (integrado no Chrome) bloqueia sites maliciosos conhecidos. O uBlock Origin é uma extensão de browser que bloqueia domínios maliciosos. O Netcraft Extension verifica a reputação de sites em tempo real.

No entanto, estas ferramentas gratuitas são reactivas — dependem de bases de dados de sites já identificados. Soluções premium como os melhores antivírus de 2026 utilizam IA para detetar sites de phishing em tempo real, mesmo os nunca antes reportados. Para uma análise mais detalhada, leia a nossa comparação entre antivírus gratuito e pago.

O que fazer se for vítima de phishing

Se introduziu credenciais num site falso: altere imediatamente a password do serviço comprometido e de todos os outros que usem a mesma password. Contacte o seu banco se introduziu dados bancários — os bancos portugueses têm equipas dedicadas a fraude que podem bloquear transações suspeitas.

Reporte o incidente ao CNCS (cert@cert.pt), à Polícia Judiciária (através do portal de queixas eletrónicas), e à plataforma de denúncias da GNR ou PSP. A denúncia é fundamental para que as autoridades possam agir e prevenir mais vítimas.

Para prevenir danos futuros, considere utilizar um serviço de monitorização de dark web — incluído no Kaspersky Premium e no Norton 360. Consulte o nosso artigo sobre monitorização de dark web para mais detalhes. A recuperação de uma identidade comprometida pode levar meses — leia sobre prevenção de roubo de identidade.

Phishing no Brasil: golpes específicos do mercado brasileiro

O Brasil é um dos países mais afetados por phishing no mundo, com mais de 4 milhões de tentativas registadas em 2025. Os golpes digitais mais comuns incluem emails falsos do Serasa, Receita Federal, Banco do Brasil, Itaú e Nubank. Com a massificação do PIX, surgiram variantes que combinam phishing com engenharia social para induzir transferências instantâneas e irreversíveis.

Os golpes de PIX por phishing funcionam tipicamente assim: a vítima recebe um email ou SMS informando de uma 'cobrança pendente' ou 'desconto exclusivo' com um QR code PIX. Ao escanear, transfere dinheiro diretamente para o criminoso. Outra variante envia links que instalam malware capaz de substituir automaticamente chaves PIX copiadas para a área de transferência — o utilizador pensa que está a pagar ao destinatário correto, mas o dinheiro vai para o atacante.

A ANPD e o Banco Central recomendam: nunca aceda ao banking por links recebidos, use sempre o app oficial do banco, ative limites de PIX noturno e confirme dados do destinatário antes de cada transferência. Um antivírus premium com proteção anti-phishing é a primeira linha de defesa tecnológica contra estas ameaças.

Estatísticas de phishing em Portugal: dados do CNCS e Europol

O Relatório Anual de Cibersegurança do CNCS revela que o phishing representou 43% de todos os incidentes reportados em Portugal em 2025 — mais do que malware (22%) e acessos não autorizados (18%) combinados. Os setores mais visados foram: serviços financeiros (31%), telecomunicações (24%), administração pública (15%) e retalho online (12%).

A Europol classificou Portugal como o 8.º país da UE mais afetado por phishing per capita, acima da média europeia. Os fatores contribuintes incluem: alta penetração de Internet Banking (78% da população bancarizada), uso intensivo de serviços digitais públicos (Portal das Finanças, SNS24), e literacia digital abaixo da média da UE segundo o Digital Economy and Society Index (DESI).

As operações policiais conjuntas entre a Polícia Judiciária e a Europol desmantelaram 3 redes de phishing que visavam especificamente bancos portugueses em 2025, resultando em 47 detenções e na apreensão de €2.3 milhões em ativos. No entanto, a natureza global e automatizada do phishing torna a repressão policial insuficiente — a proteção individual com ferramentas como os melhores antivírus de 2026 continua a ser a defesa mais eficaz.