Artigos Relacionados
Uma carta dentro da caixa do correio pode parecer completamente normal. Pode trazer o nome correto, o logótipo do banco, um cartão aparentemente legítimo e instruções que parecem fazer sentido.
Mas há um detalhe que pode transformar uma simples carta numa armadilha: um QR Code que encaminha a vítima para um site falso.
A GNR alertou, no início de setembro de 2026, para uma nova burla que recorre precisamente a este método. O esquema combina uma falsa comunicação bancária, um suposto cartão novo e a pressão para o ativar rapidamente através de um código QR. O objetivo é levar a vítima a entregar dados pessoais e bancários que podem depois ser utilizados pelos criminosos.
A DECO PROteste também emitiu um alerta sobre este esquema, explicando que a falsa carta pode incluir um cartão com o nome completo do destinatário e encaminhar, através do QR Code, para uma página que imita o banco.
E há uma regra que deve ficar gravada: se chegar um cartão bancário que não estava à espera de receber, não tente ativá-lo através do QR Code da carta.
A nova burla chega diretamente à caixa do correio
Durante muito tempo, as burlas bancárias estiveram associadas sobretudo a SMS, e-mails e chamadas telefónicas.
Agora, os criminosos estão a explorar outro caminho: o correio tradicional.
A estratégia é simples, mas pode ser bastante convincente.
A vítima recebe uma carta que aparenta ter sido enviada pelo seu banco. No interior encontra um novo cartão bancário, supostamente destinado a substituir o cartão atual porque este estaria prestes a expirar.
Até aqui, tudo pode parecer perfeitamente normal. O problema surge quando a carta exige uma ativação urgente. Segundo o alerta divulgado pela GNR, a mensagem procura convencer a vítima de que precisa de ativar rapidamente o cartão para evitar o bloqueio da conta. Para isso, apresenta um QR Code que supostamente conduz ao site do banco. É precisamente nesse momento que a fraude pode começar.
O cartão pode até ter o nome correto da vítima
Este é um dos aspetos mais perigosos deste esquema.
A carta falsa pode apresentar o nome da própria pessoa, juntamente com elementos gráficos semelhantes aos utilizados pelo banco.
Para quem recebe a correspondência, a combinação pode parecer convincente:
- o nome está correto;
- o banco parece ser o habitual;
- existe um cartão físico;
- a carta apresenta instruções;
- existe um QR Code;
- é criada uma sensação de urgência.
Tudo parece encaixar.
Mas nada disso garante que a comunicação seja verdadeira.
A DECO PROteste alerta precisamente para este ponto: o facto de os burlões conhecerem dados pessoais do destinatário não prova que a carta tenha sido enviada pela instituição bancária.
Ter o nome correto não torna uma carta verdadeira.
O perigo está no QR Code
O QR Code tornou-se uma ferramenta banal no dia a dia. É utilizado em restaurantes, pagamentos, bilhetes, publicidade, serviços públicos e inúmeras outras situações.
Essa familiaridade pode ser aproveitada pelos burlões.
Neste caso, o código pode encaminhar o telemóvel para uma página falsa que imita o site oficial do banco.
O endereço pode não ser imediatamente reconhecido como fraudulento. A página pode apresentar cores, logótipos e elementos gráficos semelhantes aos do banco verdadeiro.
A vítima acredita que está simplesmente a iniciar o processo de ativação do cartão.
Mas, em vez de chegar ao banco, pode estar a entregar os seus dados diretamente aos criminosos.
O que é o quishing?
Este tipo de fraude é conhecido como quishing, uma variante do phishing que utiliza códigos QR como porta de entrada para páginas fraudulentas.
A lógica é semelhante à de uma ligação maliciosa enviada por SMS ou e-mail.
A diferença é que, neste caso, o endereço está escondido dentro de um código que parece inofensivo.
Depois de digitalizar o QR Code, a vítima pode ser encaminhada para uma página que solicita diferentes informações, como:
- credenciais de acesso ao banco;
- dados pessoais;
- informações do cartão;
- códigos de autenticação;
- outros elementos utilizados para confirmar a identidade.
É precisamente aqui que o risco aumenta.
Uma vez obtidos, esses dados podem ser utilizados em tentativas de acesso à conta, operações fraudulentas ou outras formas de crime financeiro e roubo de identidade.
A urgência é uma das principais armas da burla
Existe um padrão que merece atenção especial: a pressão para agir imediatamente.
A carta pode indicar que o cartão precisa de ser ativado com urgência ou que, caso isso não aconteça, a conta poderá ser bloqueada.
Este tipo de mensagem procura provocar medo.
Em vez de parar, pensar e confirmar a informação junto do banco, a vítima sente que precisa de resolver imediatamente o suposto problema.
É precisamente essa reação que os burlões procuram.
A DECO PROteste recomenda especial atenção a expressões que transmitam urgência ou ameaça de bloqueio e salienta que uma comunicação deste género deve ser confirmada diretamente com a instituição.
Quanto maior for a pressão para agir depressa, maior deve ser a vontade de parar.
Recebeu um novo cartão pelo correio? Não faça isto
Se chegar uma carta a anunciar um novo cartão bancário, o primeiro impulso não deve ser digitalizar o código.
Não utilize o QR Code apresentado na carta antes de confirmar a situação.
Também não introduza dados pessoais, palavras-passe, códigos de acesso ou informações do cartão numa página aberta através desse código.
Em vez disso, faça uma verificação independente.
A recomendação mais segura é contactar diretamente o banco através de um canal oficial que já conheça.
Pode utilizar a aplicação oficial da instituição, entrar diretamente no site através de um endereço conhecido ou contactar o número de telefone oficial do banco.
Não utilize os contactos fornecidos numa carta suspeita para confirmar se a própria carta é verdadeira.
Como confirmar se o cartão é verdadeiro?
Esta é uma questão importante.
Se estava realmente à espera de um novo cartão, confirme a informação através da aplicação oficial ou de outro canal bancário que já utilize habitualmente.
A DECO PROteste recomenda que, para aceder ao homebanking, seja utilizado diretamente o endereço oficial do banco ou um endereço previamente guardado, em vez de seguir o QR Code de uma carta suspeita.
Em alguns casos, a ativação de cartões também pode ser efetuada através dos canais oficiais indicados pela própria instituição, incluindo a aplicação bancária ou, quando disponível, uma caixa Multibanco.
O importante é que o processo seja iniciado por iniciativa do cliente num canal confiável, e não através de uma ligação fornecida numa comunicação potencialmente fraudulenta.
E se a carta tiver o logótipo do banco?
Mesmo assim, não confie automaticamente.
Os criminosos podem reproduzir facilmente elementos visuais de empresas e instituições conhecidas.
Logótipos, cores, tipos de letra e linguagem institucional podem ser utilizados para criar uma aparência de autenticidade.
A existência de um cartão físico torna a fraude ainda mais convincente.
Mas uma carta bem produzida continua a poder ser falsa.
A aparência não substitui a confirmação.
E se o cartão tiver o nome completo?
Também não é garantia de autenticidade.
Aliás, este é precisamente um dos elementos que torna a burla mais sofisticada.
Uma pessoa que recebe uma carta com o próprio nome e um cartão aparentemente destinado à sua conta pode assumir imediatamente que a comunicação é legítima.
Mas os dados pessoais podem estar na posse de terceiros por diferentes motivos.
Por isso, o nome correto deve ser encarado apenas como mais um elemento da comunicação — nunca como prova de que esta foi enviada pelo banco.
Já digitalizou o QR Code? Não entre em pânico, mas aja
Se apenas digitalizou o código e abriu uma página, mas não introduziu dados, não forneceu códigos e não descarregou ficheiros, feche a página e não prossiga.
Se introduziu credenciais bancárias, dados do cartão, códigos de autenticação ou outras informações sensíveis, a situação é diferente.
Nesse caso, deve contactar imediatamente o banco através de um canal oficial e explicar exatamente o que aconteceu.
A GNR recomenda que, em situações de fraude, seja contactada de imediato a instituição financeira e que o caso seja participado às autoridades competentes.
Quanto mais cedo o banco souber do sucedido, mais rapidamente poderá indicar as medidas adequadas para proteger a conta e os meios de pagamento.
Não forneça códigos enviados por SMS
Outro ponto merece especial atenção.
Os códigos recebidos por SMS ou através de outros mecanismos de autenticação são frequentemente utilizados para confirmar operações ou acessos.
Nunca forneça estes códigos a alguém apenas porque essa pessoa afirma ser funcionário do banco.
A GNR alerta precisamente para o risco de fornecer dados pessoais, códigos de acesso, PIN ou outros códigos de segurança a terceiros, sobretudo quando existe pressão para agir rapidamente.
Mesmo que a pessoa conheça o seu nome, o banco, alguns dados pessoais ou detalhes da situação, isso não prova a sua identidade.
Os burlões podem querer mais do que o dinheiro
Uma burla deste género não tem necessariamente como único objetivo uma transferência imediata.
Os dados recolhidos podem ser utilizados posteriormente noutras tentativas de fraude.
Credenciais, informações pessoais e dados bancários podem ajudar a construir ataques mais sofisticados ou tentativas de falsificação de identidade.
É por isso que uma pessoa que introduziu dados numa página fraudulenta não deve pensar que o problema terminou simplesmente porque nenhuma quantia foi retirada naquele momento.
Os dados roubados podem continuar a ser utilizados.
O que fazer perante uma carta suspeita
Se receber uma carta com um cartão bancário que não pediu, siga estes passos:
1. Pare.
Não tente ativar imediatamente o cartão.
2. Não leia o QR Code.
Trate-o como trataria uma ligação suspeita recebida por SMS.
3. Não introduza dados.
Nunca forneça palavras-passe, PIN, códigos de autenticação ou dados bancários numa página cuja origem não tenha confirmado.
4. Contacte o banco diretamente.
Utilize a aplicação oficial, o site oficial ou um contacto que já conheça.
5. Confirme a emissão do cartão.
Pergunte à instituição se o cartão foi realmente emitido e enviado.
6. Se já forneceu dados, avise imediatamente o banco.
Não espere para perceber se acontece alguma coisa.
7. Participe a fraude às autoridades.
A GNR recomenda a participação às autoridades competentes em caso de burla.
A regra de ouro: nunca confirme uma comunicação através da própria comunicação
Este é talvez o conselho mais importante.
Imagine que recebe uma carta a dizer que o seu cartão está prestes a expirar e que precisa de ser ativado.
A carta fornece um número de telefone para confirmar a informação.
Ou fornece um QR Code.
Ou apresenta um endereço de internet.
Se existir uma suspeita, não utilize esses elementos para verificar se a carta é verdadeira.
Procure o banco por outro caminho.
Abra a aplicação oficial. Introduza diretamente o endereço conhecido do banco. Utilize um contacto oficial que já tenha guardado.
Desta forma, a confirmação acontece através de uma fonte independente.
Uma carta pode parecer verdadeira e continuar a ser uma burla
Esta é a principal mensagem deixada por este novo alerta.
As burlas estão cada vez mais cuidadas na forma como são apresentadas.
Já não dependem necessariamente de mensagens cheias de erros ou de pedidos evidentemente absurdos.
Podem chegar por correio, apresentar um cartão físico, utilizar o nome correto da vítima e reproduzir a imagem de uma instituição conhecida.
E depois basta um pequeno gesto: ler um QR Code.
É nesse momento que uma comunicação aparentemente banal pode transformar-se numa tentativa de roubo de dados.
A melhor defesa continua a ser simples: parar, desconfiar e confirmar diretamente.
Porque quando uma carta diz que é preciso agir imediatamente para evitar o bloqueio de uma conta, talvez a coisa mais importante a fazer seja precisamente o contrário.
Não fazer nada até confirmar.
