Phishing: a psicologia por trás de 50 pretextos que funcionam
A época dos e-mails cheios de erros de ortografia e histórias de príncipes generosos acabou. Hoje, a cibercriminalidade é, antes de mais nada, uma questão de psicologia. Os hábitos, os medos, os automatismos e a falta de tempo de cada pessoa são estudados para construir as armadilhas mais eficazes do dia a dia digital. Os ataques mais perigosos já não tentam quebrar sistemas complexos: quebram a confiança.
Este guia reúne um catálogo de 50 pretextos agrupados por família, com o mecanismo psicológico que cada um explora e um exemplo concreto da mensagem que pode aparecer no ecrã.
Seis mecanismos, um único objetivo: o reflexo antes da reflexão
Por trás da diversidade de pretextos, encontra-se quase sempre um destes seis motores:
- Medo & urgência: uma conta bloqueada, uma multa, uma transferência suspeita. A pressão do tempo visa fazer agir antes de pensar.
- Autoridade: a mensagem parece vir de uma administração, de um banco ou de um superior hierárquico. Raramente se discute uma ordem que parece legítima.
- Ganância: um reembolso, um prémio, um bónus. A perspetiva de ganho baixa a guarda.
- Curiosidade: uma encomenda misteriosa, um alegado vídeo comprometedor, uma mensagem "prioritária". É difícil resistir à vontade de saber.
- Hábito: entrar no e-mail, clicar em "cancelar subscrição", aceitar termos de utilização... gestos feitos de forma automática, dezenas de vezes por mês.
- Imagem & ego: o medo de perder um selo, uma reputação, um estatuto social leva a reagir depressa para o preservar.
Uma mesma mensagem combina muitas vezes vários mecanismos ao mesmo tempo: um falso alerta bancário, por exemplo, soma o medo (conta ameaçada), a autoridade (supostamente vem do banco) e a urgência (24 horas para agir).
Segurança & acesso a contas: a jogar com o medo
A família mais ampla: tudo o que ameaça diretamente uma conta ou uma identidade digital.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Roubo de credenciais | "A sua sessão do Microsoft 365 expirou. Inicie sessão novamente para continuar a receber os seus e-mails." |
| Palavra-passe alegadamente comprometida | "Alerta de segurança: a sua palavra-passe foi exposta numa fuga de dados pública. Clique aqui para a redefinir." |
| Contorno da autenticação de dois fatores | "Verificação necessária: introduza já nesta página o código recebido por SMS para confirmar a sua identidade." |
| Falso início de sessão suspeito | "Deteção de um início de sessão invulgar a partir do estrangeiro (IP 192.x.x.x). Se não foi você, bloqueie o acesso aqui." |
| Ameaça de encerramento em 24 h | "Urgente: a sua conta será definitivamente suspensa dentro de 24 horas sem ação da sua parte." |
| Verificação de identidade forçada | "Conformidade: a sua conta está restringida. Forneça um comprovativo de identidade no prazo de 48 h." |
| Falsa fuga de dados | "As suas credenciais estão a circular na dark web. Clique para verificar se o seu e-mail foi afetado." |
| Falsa atualização de segurança | "Atualização crítica necessária para o seu antivírus. Descarregue a correção aqui." (o link instala software espião) |
Dinheiro & banco: a jogar com o stress financeiro
Nada faz reagir mais depressa do que um movimento de dinheiro, real ou inventado.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falsa transferência a sair | "Foi iniciada uma transferência de 850,00 € para um terceiro. Clique aqui para a cancelar se não foi você." |
| Falso reembolso | "Boa notícia! Um excedente de 142,50 € aguarda por si. Confirme os seus dados bancários para receber a transferência." |
| Cartão bancário alegadamente expirado | "O seu cartão registado está a expirar. Atualize os seus dados para evitar a interrupção do serviço." |
| Falso crédito concedido | "O seu pedido de empréstimo pessoal de 15.000 € foi pré-aprovado. Finalize o seu processo online." |
| Falsa fatura por pagar | "Aviso: a fatura n.º 84920 está em atraso. Pague imediatamente para evitar penalizações por atraso." |
| Roubo da frase de recuperação de criptomoedas | "Migração de rede: sincronize já a sua carteira com a sua frase de recuperação de 12 palavras." |
| Falsa rejeição de débito direto | "O seu último débito direto foi rejeitado. Atualize o seu meio de pagamento para evitar qualquer litígio." |
| Falsa alteração de dados bancários (IBAN) | "Alteração de dados bancários: confirme os seus novos dados para continuar a receber os seus pagamentos." |
Um pretexto surge muitas vezes: um valor preciso, nem redondo nem enorme (142,50 €, 850,00 €). Um valor realista parece mais credível do que um número redondo e incentiva mais a clicar para verificar.
Serviços públicos & administração: a jogar com a autoridade
Poucas pessoas discutem uma mensagem que parece vir de uma administração.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falso reembolso de impostos | "Finanças: após o recálculo dos seus impostos, tem direito a um reembolso de 312,00 €. Clique aqui." |
| Falsa renovação do cartão de saúde | "Segurança Social: o seu novo cartão de saúde está pronto. Pague 2,90 € de portes de envio para o receber." |
| Falsa multa por pagar | "Autoridade de trânsito: tem uma multa de estacionamento por pagar de 35,00 €. Regularize antes do agravamento através deste link." |
| Falsa anomalia na carta de condução ou registo do veículo | "Segurança rodoviária: o seu processo apresenta uma anomalia administrativa. Regularize a sua situação aqui." |
| Falsa citação judicial | "Citação: é convocado a comparecer por uma infração digital. Consulte o documento anexo." |
| Falso subsídio ou apoio do Estado | "Apoio energético: é elegível para um apoio pontual de 200 €. Solicite o seu pagamento." |
É em parte isto que explica o sucesso de plataformas oficiais de denúncia, como o PHAROS em França: a autoridade inspira confiança nos dois sentidos, tanto ao burlão que a usurpa como ao serviço que a exerce de facto.
Entregas & comércio eletrónico: a jogar com a rotina
Quase toda a gente espera uma encomenda em algum momento: o terreno é sempre favorável.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falsas taxas alfandegárias | "A sua encomenda está retida na alfândega. Pague 1,99 € de porte para liberar o envio." |
| Falso endereço de entrega a corrigir | "Endereço incompleto. Impossível entregar a sua encomenda. Atualize os seus dados." |
| Falsa tentativa falhada de entrega em mão | "Aviso de passagem: o nosso estafeta não conseguiu contactá-lo. Reagende uma entrega na sua morada." |
| Falsa encomenda dispendiosa | "Confirmação da sua encomenda de um smartphone (1.299,00 €). Se não fez esta encomenda, cancele-a aqui." |
| Falsa encomenda misteriosa | "Uma encomenda não reclamada em seu nome aguarda no depósito. Reclame-a antes que seja destruída." |
| Falso rastreio de encomenda | "A sua encomenda está a caminho. Clique no link para seguir o estafeta em tempo real." |
Empresa & recursos humanos: a jogar com a hierarquia
No trabalho, uma mensagem que parece vir dos RH ou da direção beneficia de confiança imediata — e de vontade de responder depressa para não incomodar.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falso recibo de vencimento | "RH: o seu recibo de vencimento do mês já está disponível online. Inicie sessão no seu portal de colaborador." |
| Falsa arbitragem de férias | "Pedido de férias: é necessária uma arbitragem sobre os seus dias marcados. Confirme o seu pedido." |
| Falso inquérito interno | "Direção: responda ao nosso inquérito de satisfação anónimo e tente ganhar um cartão-oferta." |
| Falsa assinatura urgente (DocuSign) | "Um documento confidencial 'Contrato_2026.pdf' necessita da sua assinatura eletrónica urgente." |
| Falso ficheiro partilhado na nuvem | "Um colega partilhou um ficheiro seguro consigo. Clique para aceder ao documento." (o link volta a pedir a palavra-passe do e-mail) |
| Falsa instrução da direção | "MUITO URGENTE – CONFIDENCIAL: preciso que faças uma verificação neste link imediatamente." |
| Falsa migração de ferramenta de trabalho | "Departamento de TI: passagem para a nova versão do Teams. Ative a sua conta no prazo de 24 h." |
Redes sociais & mensagens: a jogar com a imagem e o ego
A conta social não é apenas uma ferramenta: é uma imagem pública, e a sua perda assusta quase tanto como uma perda de dinheiro.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Ameaça ao selo de verificação | "O seu selo de verificação vai ser retirado. Confirme os seus dados para o manter." |
| Falsa violação de direitos de autor | "A sua conta infringiu direitos de autor numa publicação. Conteste, sob pena de remoção." |
| Curiosidade voyeurista | "Viste o que disseram sobre ti neste vídeo? Clica já para ver o vídeo!" |
| Falsa denúncia em massa | "Vários utilizadores denunciaram o seu perfil. Verifique a sua conta para evitar o banimento." |
| Falsa mensagem prioritária | "Recebeu uma mensagem prioritária de um recrutador. Inicie sessão para a ler." |
| Falso amigo pirateado | "Olá, é o Alex! Fiquei bloqueado na minha conta, podes clicar e dar-me o código que recebes?" |
Subscrições do dia a dia: a jogar com a desatenção
São os gestos mais automáticos que escondem as armadilhas mais retorcidas.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falha de renovação simulada | "O seu pagamento foi recusado. A sua subscrição será suspensa esta noite sem atualização." |
| Falso armazenamento esgotado | "O seu espaço de armazenamento está a 99%. As suas fotos deixarão de ser guardadas. Aumente a sua quota." |
| Falsa oferta de descoberta | "Aproveite 3 meses grátis no plano Premium. Ative a sua experiência sem compromisso." (o cartão bancário é pedido logo na inscrição) |
| Falsa atualização dos termos de utilização | "Termos gerais: aceite os novos termos de utilização para continuar a usar o serviço." |
| O falso botão "Cancelar subscrição" | "Já não quer receber as nossas ofertas? Clique em "Cancelar subscrição" para sair da lista." |
| O falso botão "Marcar como spam" | "Este e-mail parece-lhe suspeito? Clique no botão "Marcar como spam" abaixo para nos avisar." |
Os dois últimos pretextos são particularmente perversos. O gesto que devia limpar a caixa de entrada ou denunciar um abuso é ele próprio a armadilha: o clique confirma ao burlão que uma pessoa real lê aquele endereço, ou dispara diretamente um script malicioso. Perante uma mensagem duvidosa, é melhor denunciá-la a partir do seu próprio cliente de e-mail (o botão "indesejável" da aplicação) do que a partir de um botão fornecido pelo próprio e-mail.
Ganhos, oportunidades & cripto: a jogar com a ganância
A versão moderna dos golpes de ganhos extraordinários, mais discreta mas igualmente eficaz.
| Pretexto | Exemplo de mensagem recebida |
|---|---|
| Falso emprego remoto sobrepago | "Recrutamento: oferta de teletrabalho a 500 € por dia. Sem experiência necessária, candidate-se aqui." |
| Falsa herança ou ganho | "Notário: foi designado beneficiário de uma herança não reclamada. Contacte através do link." |
| Falso airdrop de criptomoeda | "500 tokens gratuitos distribuídos aos primeiros 1.000. Ligue a sua carteira para reclamar." (a carteira é esvaziada automaticamente) |
O reflexo que funciona sempre
Perante o medo, a urgência ou o hábito, um único gesto costuma bastar: antes de clicar, passe o cursor sobre o link (ou mantenha-o premido no smartphone) para mostrar o endereço real de destino, sem nunca clicar nele. O nome exibido não prova nada; o endereço que aparece ao passar o cursor, sim.
Uma mensagem legítima nunca pede para escolher entre agir no minuto seguinte ou perder a conta, o dinheiro ou a encomenda. Essa chantagem com o tempo é, por si só, um sinal de alarme suficiente para parar e verificar por outro canal (o site oficial digitado diretamente, ou uma chamada para o número habitual).
- Quase todos os pretextos resumem-se a seis mecanismos: medo, autoridade, ganância, curiosidade, hábito, imagem.
- Uma mesma mensagem combina frequentemente vários mecanismos para maximizar as suas hipóteses.
- O nome de remetente exibido não prova nada: é escrito pelo próprio remetente.
- Os botões "cancelar subscrição" e "marcar como spam" de um e-mail duvidoso podem ser a própria armadilha.
- Passar o cursor sobre um link antes de clicar revela o seu endereço real: o reflexo mais simples, e o mais eficaz.
Reconhecer o pretexto é um primeiro passo. Compreender como a mensagem consegue passar apesar dos filtros (ver o guia Phishing: como os burlões fazem passar os seus e-mails) e saber agir depois de confirmada a suspeita são outros dois. É aqui que entra o Baitback: cola-se o e-mail suspeito, a ferramenta encontra o seu servidor de envio, o seu alojamento e o seu endereço de denúncia, e prepara depois as mensagens prontas a enviar. Para ir mais longe, o Baitback está disponível diretamente na página inicial da ferramenta, e o guia Denunciar um ataque de phishing: do relatório ao encerramento detalha o que se segue depois de uma denúncia.