A resposta curta
Prefere funcionalidades de família, perfis individuais ou cofres partilhados em vez de enviar credenciais por mensagem. Define quem administra, que dados são comuns e como remover acesso. Uma conta partilhada sem registo torna impossível saber quem alterou ou apagou algo.
Perceber antes de agir
O risco real nesta situação
Toda a família entra na mesma conta de compras; o código chega a um telefone antigo e ninguém sabe quem fez uma encomenda.
A conta de correio eletrónico é frequentemente a chave de recuperação de todas as outras. Protegê-la com palavra-passe exclusiva, segundo fator e meios de recuperação atualizados tem prioridade sobre afinar dezenas de definições menores.
Uma palavra-passe longa e única impede que uma fuga num serviço abra os restantes. Um gestor de palavras-passe reduz a carga de memória e permite criar credenciais diferentes; uma passkey pode ainda eliminar a palavra-passe em serviços compatíveis.
Segurança inclui conseguir voltar a entrar. Códigos de recuperação, dispositivos de confiança e contactos atualizados devem ser preparados antes do problema e guardados fora do equipamento principal.
Segurança digital não é adivinhar tudo corretamente. É criar uma pausa e uma confirmação que continuem a funcionar quando a história parece urgente.
Aplica esta ideia ao problema deste guia. Separa o que sabes — aquilo que viste diretamente na conta, aplicação ou dispositivo — do que alguém afirmou numa mensagem ou chamada. Não preenchas as lacunas com o logótipo, o tom profissional ou dados pessoais que o interlocutor conhece. Esses elementos podem aumentar a credibilidade sem aumentar a prova.
Ler os sinais
Quatro pistas que merecem uma pausa
Aviso de início de sessão que não reconheces
Aviso de início de sessão que não reconheces. Pergunta o que aconteceria se esperasses dez minutos. Em “Contas partilhadas em família: colaborar sem partilhar a mesma palavra-passe”, uma consequência legítima continuará visível no canal oficial; a pressão artificial tenta impedir precisamente essa comparação.
Código de autenticação que não pediste
Código de autenticação que não pediste. Não avalies apenas o aspeto. Logótipos, nomes e conversas podem ser copiados. O dado que interessa é a origem verificável e se o pedido aparece quando abres o serviço sem usar o caminho recebido.
Alteração de correio ou telefone de recuperação
Alteração de correio ou telefone de recuperação. Um código ou aprovação não é uma formalidade. É uma chave ou uma assinatura para a ação descrita no ecrã. Lê montante, dispositivo, beneficiário e finalidade antes de decidir.
Sessão aberta num dispositivo, cidade ou aplicação desconhecida
Sessão aberta num dispositivo, cidade ou aplicação desconhecida. Mudanças de processo, conta ou interlocutor precisam de uma segunda verificação. Usa um contacto anterior e explica a alteração que estás a confirmar, sem fornecer primeiro a resposta esperada.
Um sinal não é uma sentença. Serve para abrandar e verificar. Vários sinais juntos, sobretudo com dinheiro, códigos ou ameaça, justificam interromper o processo e procurar ajuda.
Verificação independente
Como confirmar sem usar a pista do atacante
Cria perfis e mantém uma única conta administrativa com recuperação atualizada.
- 1Entra pela aplicação oficial e consulta atividade e dispositivos ligados.
Faz a confirmação sem copiar números, endereços ou instruções da comunicação suspeita. Explica apenas o necessário e pergunta se existe realmente o pedido, operação ou alteração.
- 2Confirma os meios de recuperação e remove opções antigas ou desconhecidas.
Faz a confirmação sem copiar números, endereços ou instruções da comunicação suspeita. Explica apenas o necessário e pergunta se existe realmente o pedido, operação ou alteração.
- 3Revoga sessões e aplicações de terceiros que já não utilizas.
Faz a confirmação sem copiar números, endereços ou instruções da comunicação suspeita. Explica apenas o necessário e pergunta se existe realmente o pedido, operação ou alteração.
Se a entidade legítima não encontra a situação, não voltes ao interlocutor para pedir explicações. Guarda a comunicação, bloqueia quando apropriado e usa os mecanismos oficiais de denúncia. Se encontra uma ação verdadeira, confirma ainda que o montante, destinatário e momento correspondem ao que pretendes — uma história pode misturar dados reais com uma instrução fraudulenta.
Aplicar sob pressão
Plano em cinco passos
- 01Proteger o correio principal
Proteger o correio principal. Cria perfis e mantém uma única conta administrativa com recuperação atualizada. O objetivo é ganhar contexto sem criar novas ações. Não respondas, não tentes enganar o interlocutor e não apagues informação que possa ser necessária mais tarde.
- 02Criar credencial única
Criar credencial única. Traduz a situação numa frase concreta: “pedem-me dinheiro”, “querem um código”, “a minha sessão mudou” ou “um equipamento saiu do meu controlo”. Em “Contas partilhadas em família: colaborar sem partilhar a mesma palavra-passe”, esta formulação decide quem deve ser contactado primeiro e evita uma reação genérica.
- 03Ativar o segundo fator
Ativar o segundo fator. Abre tu próprio o serviço, escreve o endereço conhecido ou usa um número guardado antes do incidente. Se a confirmação depender da mesma mensagem, chamada ou pessoa, ainda não é independente. Regista o canal usado e a resposta.
- 04Guardar recuperação offline
Guardar recuperação offline. Executa apenas a ação necessária e confirma o resultado. Mudar várias definições ao mesmo tempo pode esconder a causa, terminar uma sessão útil ou destruir provas. Quando existe dinheiro, identidade ou ameaça, pede apoio cedo.
- 05Rever sessões e aplicações
Rever sessões e aplicações. Anota data, decisão e próximo controlo. Revê sessões, movimentos ou mensagens durante o período adequado. Depois transforma o incidente numa proteção sustentável — segundo fator, alerta, cópia ou regra familiar — sem criar uma rotina impossível.
Se não consegues confirmar pelo canal independente, não concluas a ação. Uma oportunidade legítima tolera verificação; uma urgência real também merece o contacto correto.
Limitar o dano
Se já clicaste, partilhaste ou pagaste
Não percas tempo a discutir com quem te abordou e não escondas detalhes por vergonha. A resposta depende do que saiu do teu controlo: dinheiro, credenciais, documento, sessão, ficheiro ou dispositivo. Diz exatamente o que aconteceu à entidade que te ajuda.
Muda primeiro a palavra-passe do correio eletrónico num dispositivo limpo e termina as outras sessões. Faz a ação através de um canal oficial e anota hora, pessoa ou referência. Esta cronologia reduz repetições e ajuda a perceber se o dano continua ativo.
Altera depois as contas onde a mesma palavra-passe foi reutilizada, começando por banco, nuvem e redes sociais. Faz a ação através de um canal oficial e anota hora, pessoa ou referência. Esta cronologia reduz repetições e ajuda a perceber se o dano continua ativo.
Guarda provas dos alertas, verifica regras de reencaminhamento e usa apenas o processo oficial de recuperação. Faz a ação através de um canal oficial e anota hora, pessoa ou referência. Esta cronologia reduz repetições e ajuda a perceber se o dano continua ativo.
Perigo ou ameaça imediata: o Sistema Queixa Eletrónica não substitui o 112. Em perda financeira, o contacto urgente com o banco é separado da apresentação de queixa e não deve esperar.
Depois da urgência
Proteções que se mantêm no dia a dia
Configura uma vez, testa num momento calmo e escreve como reverter. Uma defesa que bloqueia o próprio utilizador ou depende de memória perfeita acaba por ser contornada.
Configura uma vez, testa num momento calmo e escreve como reverter. Uma defesa que bloqueia o próprio utilizador ou depende de memória perfeita acaba por ser contornada.
Configura uma vez, testa num momento calmo e escreve como reverter. Uma defesa que bloqueia o próprio utilizador ou depende de memória perfeita acaba por ser contornada.
Configura uma vez, testa num momento calmo e escreve como reverter. Uma defesa que bloqueia o próprio utilizador ou depende de memória perfeita acaba por ser contornada.
Três erros que pioram a situação
- 01Trocar apenas uma letra entre serviços
Substitui esta reação por uma pausa, um canal independente e um registo curto. O objetivo não é parecer especialista; é manter controlo sobre a próxima ação.
- 02Guardar o único código de recuperação no mesmo telemóvel
Substitui esta reação por uma pausa, um canal independente e um registo curto. O objetivo não é parecer especialista; é manter controlo sobre a próxima ação.
- 03Aprovar notificações de acesso por hábito
Substitui esta reação por uma pausa, um canal independente e um registo curto. O objetivo não é parecer especialista; é manter controlo sobre a próxima ação.
Partilhar sem assustar
Uma frase para explicar este risco a outra pessoa
“Não precisamos de provar já que é falso. Vamos fechar isto e confirmar no sítio que já conhecemos.”
Esta frase evita confronto e vergonha. Se estás a ajudar uma criança, familiar ou colega, oferece-te para fazer a verificação em conjunto sem assumir o controlo de todas as contas. A confiança é uma proteção: quem sabe que será ouvido pede ajuda mais cedo.
Dúvidas rápidas
Antes de fechares este guia
Uma palavra-passe muito complexa basta?
Não se for reutilizada. Comprimento e unicidade trabalham juntos; o segundo fator limita ainda mais o impacto de uma credencial roubada.
SMS é melhor do que nenhum segundo fator?
Em geral, sim. Porém, uma aplicação autenticadora, passkey ou chave física tende a resistir melhor a redirecionamento de número e a algumas formas de phishing.
Devo mudar palavras-passe todos os meses?
Não por calendário sem motivo. Usa credenciais longas e únicas e muda-as quando há suspeita, fuga, reutilização ou indicação fiável do serviço.
Verificação editorial
Fontes consultadas
Selecionámos fontes oficiais e institucionais com utilidade para Portugal. A tecnologia, os processos das plataformas e os canais de apoio podem mudar; confirma sempre a instrução atual na entidade responsável.
- Centro Nacional de CibersegurançaRecomendação técnica sobre autenticação multifator
- Centro Nacional de CibersegurançaContexto atual: infostealers
- Google Safety CenterFerramentas e práticas de segurança da Conta Google
