Falsa mensagem do banco: como reconhecer e o que fazer

Guia do Escudo · Atualizado julho 2026

Assim se parece a burla

Chega igual em nome da Caixa Geral de Depósitos, do Millennium bcp, do Novo Banco ou do Santander. Muda o nome. O guião é sempre o mesmo. Os sinais, um por um:

• Urgência inventada. "Hoje", "de imediato", "último aviso". O medo apressa e a pressa toma decisões más.
• A morada do link não é a do banco. O banco a sério usa cgd.pt, millenniumbcp.pt, novobanco.pt, santander.pt e mais nada. Os burlões usam variantes: cgd-clientes.xyz, millennium-seguranca.xyz, banco-clientes.xyz. Parecido não é igual.
• Erros e acentos a faltar. "seguranca", "confirme os seus dados". São enviados em massa por sistemas que não escrevem bem português.
• Chegou de um número desconhecido. Os avisos verdadeiros do banco aparecem na app do banco, não num link a pedir a sua palavra-passe.

Porque é que o link é o perigo

A página para onde o link aponta é uma cópia do site do banco. Se lá escrever o número de contribuinte, a palavra-passe ou os códigos, está a entregá-los a quem montou a cópia. A partir daí tentam entrar na sua conta ou pedem que autorize pagamentos. Um banco nunca lhe pede a palavra-passe completa nem códigos por SMS ou por telefone.

O que o banco nunca lhe pede

Decorar esta lista curta chega para reconhecer quase todas estas burlas. Um banco a sério nunca:

• Pede a palavra-passe completa por SMS, email ou telefone.
• Envia um link a pedir que "confirme" ou "valide" os seus dados.
• Pede o código que lhe chegou por SMS para "desbloquear" a conta.
• Ameaça bloquear a conta em poucas horas se não clicar já.

Se a mensagem faz qualquer uma destas coisas, é uma burla, mesmo que traga o nome e a cor certos do seu banco. Copiar o aspeto é fácil. É nisso que eles apostam.

O que fazer, por ordem

1. Não clique no link. Nem "só para ver".
2. Não ligue para nenhum número da mensagem. Se tiver dúvidas, ligue para o número que está no verso do seu cartão.
3. Veja a conta pela app oficial do banco. Se houvesse um problema a sério, apareceria lá.
4. Apague o SMS. No iPhone também pode denunciar como indesejado.

O primo desta burla: o reembolso das Finanças

A mesma técnica aparece em nome das Finanças: "tem um reembolso de IRS por receber, confirme o IBAN em portal-financas.xyz". O dinheiro que aparece do nada é sempre o isco. O portal verdadeiro é o das Finanças e os reembolsos aparecem lá dentro, nunca por um link de SMS a pedir dados.

Já cliquei ou já escrevi os meus dados. E agora?

• Ligue agora para o número do verso do seu cartão e peça para bloquear os acessos.
• Mude a palavra-passe do banco a partir da app oficial, não de nenhum link.
• Se autorizou algum pagamento ou viu movimentos estranhos, participe à PSP ou à GNR, e à Polícia Judiciária, que trata destes casos.
• Precisa de orientação calma? A Linha Internet Segura, 800 21 90 90, ajuda quem passou por burlas online. É gratuita.

E se chegar à minha mãe ou ao meu pai?

O problema destas mensagens não é você, que chegou a este guia. São os que não pesquisam. É para isso que existe a app Escudo: ajuda a filtrar estes SMS no próprio telemóvel e a separar os que seguem padrões conhecidos, antes de alguém os ler. Nada é apagado, só é separado, as mensagens vão para o lixo tal como o spam do email. E as suas mensagens nunca saem do telemóvel. O Escudo não lhe diz se uma ameaça concreta é verdadeira ou falsa, isso ninguém consegue a partir de um telemóvel. Ajuda a que a mensagem de burla nem sequer apareça.

Veja também: a burla do MB Way, o que fazer se já clicou e como o mesmo guião corre pelo mundo. Esta falsa mensagem do banco é a gémea do golpe do falso aviso do banco no Brasil, do SMS do BBVA no México e do smishing do HMRC no Reino Unido.