Mais uma vez nos chegou por SMS, com a imagem da Autoridade Tributária bem visível e um aviso laranja a exigir verificação de dados obrigatória. O endereço não pertencia a gov.pt, era um domínio qualquer registado algures no estrangeiro, disfarçado com as palavras certas para parecer oficial.
Quem recebe esta mensagem nem sempre desconfia, pois o instinto de desconfiar não nasce em toda a gente e é sobre essa fragilidade que vale a pena alertar.
O caso está longe de ser isolado. Contribuintes têm recebido SMS a exigir o pagamento imediato de dívidas fiscais fictícias, com referências multibanco fabricadas e ameaça de execução ainda no próprio dia.
Beneficiários da Segurança Social receberam mensagens semelhantes, assinadas em nome do instituto, exigindo o pagamento urgente de uma dívida que nunca existiu. Utilizadores da Chave Móvel Digital foram avisados de uma ativação suspeita num telemóvel desconhecido, com uma ligação para atualizar as credenciais.
Até a própria Anacom, reguladora das comunicações, viu o seu número de atendimento ao público falsificado em chamadas fraudulentas, em que os burlões se faziam passar por seus colaboradores e invocavam a Polícia Judiciária para meter medo a quem atendia.
O padrão repete-se com pequenas variações, mas a lógica é sempre a mesma. Rouba-se o rosto do Estado, o seu brasão, o seu tom burocrático e usa-se essa credibilidade emprestada para pedir aquilo que o verdadeiro Estado nunca pede por mensagem, como uma password, um número de cartão ou uma confirmação de dados sob ameaça de bloqueio.
A confiança que décadas de administração pública construíram à custa de muito trabalho é assim convertida num instante em isco para as vítimas mais incautas.
Os números confirmam que não é um fenómeno marginal. A Procuradoria-Geral da República registou 695 queixas de phishing em 2025, mais 42% do que no ano anterior, além de outras trezentas relativas a telefonemas fraudulentos. Um estudo internacional recente apontava que mais de três em cada quatro portugueses já tinham sido alvo de pelo menos uma tentativa de burla digital em 2025.
Os relatórios anuais do Centro Nacional de Cibersegurança mostram, ano após ano, o phishing e o smishing como o tipo de incidente mais registado, sempre acima de um terço do total, uma constante que atravessou a pandemia, a guerra na Ucrânia e sucessivas campanhas de sensibilização sem nunca perder o primeiro lugar.
A questão não é só como reconhecer a burla, é saber como o Estado é copiado com tanta facilidade e porque continua tão lento a proteger-se a si próprio.
A Anacom entregou um anteprojeto de lei contra o spoofing ao ministério da tutela em 2024. Só em maio deste ano o Conselho de Ministros aprovou uma proposta de autorização legislativa a caminho do parlamento, obrigando as operadoras a bloquear ou anonimizar mensagens fraudulentas e a identificar utilizadores de cartões pré-pagos.
Nessa altura, o próprio governador do Banco de Portugal recordava que continuávamos a ser o único país europeu sem legislação sobre a matéria, e pedia urgência. Entre o diagnóstico e a proposta de lei, os criminosos recorrem cada vez mais à inteligência artificial generativa para personalizar mensagens fraudulentas e simular vozes, tornando os esquemas ainda mais convincentes.
Se já sabemos identificar o problema e sabemos escrevê-lo em comunicados, falta proteger por antecipação, tratando a identidade digital do Estado como infraestrutura crítica e não apenas como um capítulo em relatórios de sensibilização anual.
Um domínio gov.pt bem protegido contra imitações, um canal único e verificável por cada organismo, mecanismos de deteção mais rápidos do que o tempo que um cidadão distraído demora a carregar num link, tudo isto existe e funciona noutros países. Falta decidir sobre o que é prioritário e não apenas a discutir piscinas!
Enquanto isso não acontece, resta o mais modesto dos conselhos, o mesmo de sempre e por isso o mais difícil de repetir sem parecer cansativo. Nenhum organismo público pede dados pessoais, bancários ou fiscais através de uma ligação recebida por SMS.
Perante qualquer mensagem desse género, o gesto mais seguro não é responder nem verificar pelo link, é fechar a mensagem e procurar o serviço diretamente, escrevendo o endereço oficial no navegador. O Estado que existe de verdade não precisa de convencer ninguém às pressas.