Falsa mensagem do banco: distinguir o alerta a sério da burla

Guia do Escudo · Atualizado julho 2026

O que o seu banco faz mesmo quando há um problema

Vale a pena saber isto primeiro, porque depois a burla salta à vista. Um aviso verdadeiro da Caixa Geral de Depósitos aparece dentro da Caixadirecta. O do Millennium bcp aparece na app do Millennium. O do Novo Banco, do Santander ou do ActivoBank, na respetiva app. Quando muito, o banco manda um SMS informativo sem link nenhum, do género "movimento de 45,00 EUR autorizado", só para o pôr a par. O que o banco a sério nunca faz é mandar-lhe uma morada de internet a pedir que escreva lá a palavra-passe. Guardada essa ideia, o resto é fácil.

A burla, ao lado do verdadeiro

Chega igual em nome da CGD, do Millennium bcp, do Novo Banco ou do Santander. Muda o nome no início, o guião por baixo é sempre o mesmo. Leia a mensagem de burla ao lado daquilo que o seu banco faria de verdade:

• A pressa que o banco nunca mete. "Hoje", "de imediato", "último aviso". O banco a sério não conta as horas ao seu ouvido. Quem mete relógio na mensagem quer que decida antes de pensar.
• A morada que quase acerta. O banco usa cgd.pt, millenniumbcp.pt, novobanco.pt, santander.pt e mais nada. A burla usa cgd-clientes.xyz, millennium-seguranca.xyz, banco-online.xyz. Parecido não é igual, e é no parecido que eles vivem.
• O português a coxear. "seguranca" sem cedilha, acentos a faltar, frases secas. São milhares de envios feitos por sistemas que não escrevem bem a nossa língua.
• O pedido que denuncia tudo. Escrever dados numa página que veio de um SMS. O seu banco resolve tudo dentro da app dele, nunca numa morada que lhe cai no telemóvel.

O truque do MB WAY e do código que "não deve partilhar"

Há uma variante mais fina. Depois de o levar à página falsa, alguns burlões ligam a fazer de funcionário do banco, calmos, a tratá-lo pelo nome, e pedem o código que lhe chegou por SMS "só para cancelar uma operação suspeita". Repare numa coisa: esse SMS de código, o verdadeiro, costuma trazer escrito "não partilhe este código com ninguém". É o próprio banco a avisar. Esse código autoriza um pagamento MB WAY ou uma adesão de um novo dispositivo. Se o disser, é você a assinar a operação deles. Nunca o dê, nem a alguém que jura ser do banco.

O que nenhum banco em Portugal lhe pede

Decore esta lista curta e reconhece quase todas estas burlas. Um banco a sério nunca:

• Pede a palavra-passe completa da Caixadirecta ou da app por SMS, email ou telefone.
• Manda um link a pedir que "confirme" ou "valide" os seus dados.
• Pede o código de confirmação que lhe chegou por SMS para "desbloquear" ou "cancelar" seja o que for.
• Ameaça fechar a conta em poucas horas se não clicar já.

Se a mensagem faz qualquer uma destas coisas, é burla, mesmo que traga o nome e a cor certos. Copiar o aspeto do banco é fácil. É nisso que eles apostam.

Os quatro segundos que confirmam tudo

Não precisa de perícia nenhuma. Vire o cartão, marque o número que lá está impresso e pergunte se há mesmo algum problema com a conta. É a única via que a burla não consegue imitar, porque o número do verso do cartão é seu e não veio da mensagem. Em alternativa, abra a app do banco que já tem no telemóvel. Se houvesse um problema a sério, aparecia lá dentro, não num SMS com pressa.

O primo desta burla: o reembolso do IRS

A mesma técnica anda em nome das Finanças: "tem um reembolso de IRS por receber, confirme o IBAN em portal-financas.xyz". O dinheiro que aparece do nada é sempre o isco. Os reembolsos verdadeiros aparecem dentro do Portal das Finanças e caem na conta que já lá tem, nunca por um link de SMS a pedir dados. Se recebeu um assim, veja o guia do falso reembolso do IRS.

Já cliquei ou já escrevi os meus dados. E agora?

• Ligue agora para o número do verso do seu cartão e peça para bloquear os acessos e, se deu dados do cartão, para o cancelar.
• Mude a palavra-passe do banco a partir da app oficial, nunca de nenhum link.
• Se autorizou algum pagamento ou vê movimentos que não reconhece, participe à PSP ou à GNR, e à Polícia Judiciária, que trata destes casos.
• Quer orientação com calma? A Linha Internet Segura, 800 21 90 90, ajuda quem passou por burlas online. É gratuita.

E se chegar à minha mãe ou ao meu pai?

Você chegou a este guia, e por isso já está mais seguro. O risco está em quem lê a mensagem sozinho, à noite, e carrega no link antes de perguntar a alguém. É para esse primeiro instante que existe a app Escudo: ajuda a filtrar estes SMS no próprio telemóvel e a separar os que seguem padrões conhecidos, como moradas parecidas com as do banco e pedidos de dados por link, antes de alguém os ler. Nada é apagado, só é separado, as mensagens vão para o lixo tal como o spam do email. E as suas mensagens nunca saem do telemóvel. O Escudo não lhe diz se uma ameaça concreta é verdadeira ou falsa, isso ninguém consegue a partir de um telemóvel. Ajuda a que a mensagem de burla nem sequer apareça.

Veja também a burla do MB WAY, o que fazer se já clicou e como o mesmo guião corre pelo mundo. Esta falsa mensagem do banco é a gémea do SMS do BBVA no México e do falso aviso bancário do Brasil.