A cibersegurança assenta num princípio técnico simples: cada conta online, cada dispositivo ligado e cada troca de dados constituem uma potencial superfície de ataque. Proteger os dados online significa reduzir metodicamente essa superfície através de hábitos concretos, que qualquer pessoa pode adotar sem conhecimentos informáticos específicos.
Phishing e sites falsos: a ameaça que contorna as proteções tradicionais
O relatório da Cybermalveillance.gouv.fr, publicado em março de 2026, coloca o phishing no primeiro lugar das ameaças denunciadas, com um aumento dos pedidos de assistência em relação a 2024. Os esquemas vão muito além de um simples e-mail suspeito.
As falsas mensagens de entrega ilustram bem esta evolução. Uma SMS informa que uma encomenda está retida, encaminha para um site que imita uma transportadora conhecida e, em seguida, pede o pagamento de alguns euros. O verdadeiro objetivo é recolher dados bancários ou credenciais de acesso.
Um site fraudulento bem concebido também pode transmitir em tempo real as credenciais introduzidas e, depois, pedir um código de utilização única. Nem a autenticação de dois fatores por SMS bloqueia este tipo de ataque se o site intermediário encaminhar as informações para o serviço verdadeiro. Os recursos dedicados à segurança na Geekfinity explicam em detalhe estes mecanismos de interceção e as respetivas formas de proteção.
O hábito a adotar: nunca clicar num link recebido por mensagem para aceder a um serviço bancário, a uma transportadora ou a um organismo público. Escrever o endereço do site diretamente no navegador elimina o risco de ser redirecionado para uma cópia fraudulenta.
Autenticação de dois fatores: porque é que o SMS já não chega
A autenticação de dois fatores (ou 2FA) acrescenta uma verificação após a palavra-passe. O princípio é sólido, mas nem todos os fatores oferecem o mesmo nível de proteção.
A ANSSI recomenda que não se utilize o SMS como segundo fator. Há duas razões técnicas para isso. Em primeiro lugar, uma SMS pode ser intercetada através de um ataque conhecido como SIM swapping, em que um atacante obtém uma cópia do cartão SIM junto da operadora. Além disso, como referido acima, um site falso pode pedir o código recebido por SMS e transmiti-lo ao serviço verdadeiro em tempo real.
As alternativas mais robustas podem ser classificadas por nível de resistência:
- As aplicações de autenticação (como Google Authenticator, Authy ou Microsoft Authenticator) geram códigos localmente no telemóvel, sem os transmitir pela rede móvel. Bloqueiam o SIM swapping, mas continuam vulneráveis se o utilizador introduzir o código num site falso.
- As chaves de segurança FIDO (chaves USB físicas, como a YubiKey) verificam automaticamente o domínio do site antes de validar o início de sessão. Um site falso não recebe qualquer informação.
- As passkeys, integradas nos sistemas Apple, Google e Microsoft, funcionam com o mesmo princípio criptográfico das chaves FIDO. Verificam o domínio do site e resistem ao phishing sem exigir equipamento adicional.
Ativar a autenticação de dois fatores continua a ser um grande reforço da segurança, mesmo por SMS. A utilização de uma aplicação de autenticação ou de passkeys é o passo seguinte.
Palavras-passe e gestor dedicado: a base técnica
Reutilizar uma palavra-passe em várias contas transforma uma fuga de dados num serviço pouco importante numa porta de entrada para o e-mail, a conta bancária ou as redes sociais. Este mecanismo, conhecido como credential stuffing, explora o facto de a maioria dos utilizadores da Internet reutilizar as mesmas credenciais.
A solução prática é utilizar um gestor de palavras-passe. Este tipo de software gera uma palavra-passe longa e única para cada serviço, guarda-a num cofre encriptado e preenche-a automaticamente no início de sessão. O utilizador só precisa de memorizar uma palavra-passe principal.
Alguns critérios para escolher um gestor fiável:
- Encriptação ponto a ponto, que garante que nem mesmo o fornecedor do software consegue ler as palavras-passe guardadas
- Sincronização entre dispositivos (computador, telemóvel, tablet), para evitar voltar à solução fácil de usar uma única palavra-passe
- Compatibilidade com passkeys, que permite centralizar gradualmente todos os acessos numa única ferramenta
- Auditoria de segurança independente publicada, que demonstra a transparência e a robustez do produto
Falso suporte técnico e burlas telefónicas: um vetor subestimado
A Cybermalveillance.gouv.fr identifica o falso suporte técnico como uma ameaça por si só. O esquema típico: surge uma janela no ecrã com uma mensagem de alerta que imita o Windows ou o macOS e pede ao utilizador que ligue para um número de telefone. A pessoa que atende, fazendo-se passar por técnico, pede depois acesso remoto ao computador.
Uma vez ligado, pode instalar um programa de controlo remoto, extrair ficheiros ou exigir um pagamento por uma intervenção fictícia. Nenhum fornecedor de sistemas operativos contacta os seus utilizadores desta forma.
Perante este tipo de ecrã: fechar o navegador (se necessário, forçando o encerramento através do gestor de tarefas), nunca ligar para o número apresentado e nunca conceder acesso remoto a alguém que não tenha sido contactado. Se não for possível fechar o navegador, na grande maioria dos casos basta reiniciar o dispositivo.
Atualizações e cópias de segurança: dois hábitos que não deve descurar
As atualizações de segurança corrigem vulnerabilidades exploradas ativamente por atacantes. Adiar uma atualização por algumas semanas pode ser suficiente para deixar uma porta aberta. Ativar as atualizações automáticas em todos os dispositivos (telemóvel, computador, tablet e dispositivos ligados) elimina este risco sem esforço.
As cópias de segurança protegem contra outro cenário: o ransomware, que encripta os ficheiros e exige um pagamento. Uma cópia de segurança recente, guardada num suporte desligado da rede (disco rígido externo, pen USB), permite restaurar os dados sem ceder à chantagem. Regra prática: fazer uma cópia de segurança pelo menos uma vez por mês num suporte físico desligado.
Estes dois hábitos — atualizações e cópias de segurança — não impedem que um ataque aconteça. Limitam as consequências a um incómodo temporário, em vez de uma perda definitiva de dados ou de acesso.
