João SilvaDesde o início de 2026, o número de alertas de phishing emitidos pelas autoridades portuguesas não para de crescer. O esquema mais recente usa o nome do Fisco — a Autoridade Tributária e Aduaneira (AT) — para enviar emails falsos que imitam comunicações oficiais, com links para páginas fraudulentas que pedem dados pessoais e bancários. Se recebeu um email deste tipo, ou se já forneceu informação, saiba quais são os seus direitos legais e o que deve fazer agora.
O que é o phishing e porque é tão eficaz
O phishing é uma técnica de engenharia social: os criminosos constroem mensagens que imitam comunicações legítimas para induzir o destinatário a agir sem pensar. A urgência ("a sua conta vai ser bloqueada"), a autoridade ("Autoridade Tributária e Aduaneira") e a familiaridade visual (logótipos, cores, formatação) são os três ingredientes que tornam estes ataques eficazes mesmo para utilizadores experientes.
Como funciona o esquema de phishing do Fisco em 2026
O esquema é tecnicamente simples mas eficaz. O utilizador recebe um email com o logótipo da AT, um assunto urgente — "Reembolso pendente", "Notificação fiscal importante" ou "Irregularidade detetada" — e um link para uma página que imita o portal das Finanças.
Ao clicar e introduzir os dados de acesso, o utilizador entrega as suas credenciais diretamente aos criminosos. Nalguns casos, é solicitado também o número de cartão de crédito, sob o pretexto de "verificar a identidade" para processamento de um reembolso.
O governo português alertou explicitamente para este tipo de fraude: mensagens fraudulentas em nome de serviços do Estado como Chave Móvel Digital, ePortugal e Autenticação.gov são uma realidade documentada pelas autoridades. O Partido Socialista questionou o Governo sobre a proteção dos consumidores face a fraudes por spoofing em maio de 2026, segundo o Público.
Os 5 direitos legais que a maioria dos portugueses não conhece
Se foi vítima de um email fraudulento — especialmente se chegou a fornecer dados — tem direitos concretos ao abrigo da legislação portuguesa e europeia:
1. Direito a apresentar queixa-crime: A fraude informática é crime punível pelo artigo 221.º do Código Penal português. Pode apresentar queixa na Polícia Judiciária, na GNR ou no Ministério Público. Não precisa de ter sofrido prejuízo financeiro para apresentar queixa — o acesso ilegítimo aos seus dados já é suficiente.
2. Direito ao bloqueio imediato de contas: Se forneceu dados bancários, tem o direito de contactar o seu banco imediatamente para bloquear o acesso e contestar transações que não autorizou. Ao abrigo da Diretiva Europeia de Serviços de Pagamento (PSD2), o banco é obrigado a reembolsá-lo por transações não autorizadas, salvo em casos de negligência grave.
3. Direito à eliminação dos seus dados: Ao abrigo do RGPD (Regulamento Geral sobre a Proteção de Dados), tem o direito de exigir que qualquer entidade que detenha os seus dados pessoais os apague. Embora seja difícil aplicar este direito a criminosos, pode reportar à Comissão Nacional de Proteção de Dados (CNPD) se os seus dados foram comprometidos por uma entidade legítima com falhas de segurança.
4. Direito a indemnização por danos: Se sofreu prejuízos financeiros ou danos morais resultantes do esquema de phishing, pode reclamar indemnização em tribunal. A identificação dos criminosos é complexa, mas casos em que o banco falhou na deteção de fraudes óbvias podem ser alvo de ação judicial contra a instituição financeira.
5. Direito à assistência jurídica gratuita: Se não tem meios financeiros para contratar um advogado, pode solicitar apoio judiciário ao Estado. Em Portugal, o sistema de acesso ao direito cobre situações de vítimas de crimes informáticos.
Consulte sempre um advogado especializado antes de tomar decisões legais relacionadas com a sua situação específica. Este artigo tem carácter informativo e não substitui o aconselhamento jurídico personalizado.
Os 5 passos a seguir imediatamente
Independentemente de ter ou não sofrido prejuízo, aja nas primeiras horas:
- Não clique em nada mais: Feche o email e não regresse à página.
- Altere a password do portal das Finanças: Aceda apenas através de
portaldasfinancas.gov.pt— nunca por links de email. - Contacte o seu banco: Informe sobre o incidente, mesmo que não tenha introduzido dados bancários, para ficarem em alerta.
- Denuncie à Polícia Judiciária: A PJ tem uma página de alertas de phishing e aceita denúncias online.
- Reporte ao CNCS: O Centro Nacional de Cibersegurança recebe relatos de incidentes que ajudam a rastrear campanhas de phishing em curso.
Quando contratar um advogado especializado
Um advogado especializado em direito digital é essencial quando: houve transferência de dinheiro que o banco recusa reembolsar; os seus dados foram usados para cometer outros crimes em seu nome; ou a fraude envolve montantes significativos. Quanto mais cedo agir, maior a probabilidade de recuperação dos valores.
Na Expert Zoom, pode encontrar advogados com experiência em burlas e fraudes online disponíveis para consulta rápida, online ou presencial, para avaliar o seu caso e orientá-lo nos próximos passos. Uma consulta preventiva pode poupar-lhe tempo, dinheiro e muito stress.
Como reconhecer um email falso da AT antes de clicar
A prevenção é sempre preferível à recuperação. Aqui estão as diferenças mais fáceis de identificar entre um email genuíno da Autoridade Tributária e um email de phishing:
- Remetente: A AT usa apenas domínios
@at.gov.pt. Qualquer variação —@at-gov.pt,@fiscoalerta.com,@at.gov.pt.verify.xxx— é falsa. - Links: Passe o rato sobre o link sem clicar. O endereço real deve ser
portaldasfinancas.gov.pt. Se apontar para outro domínio, não clique. - Pedidos de dados: A AT nunca pede password, número de cartão ou dados bancários por email.
- Urgência exagerada: Frases como "aja nas próximas 24 horas ou a sua conta será encerrada" são características de phishing.
Não ignore um email suspeito. E se já caiu no esquema — não perca tempo. Os seus direitos existem. Use-os.
