Alertas de segurança verdadeiros da Google usados em burlas: como proteger o email da sua empresa

Recebe um email com o assunto «Alerta de segurança», enviado por no-reply@accounts.google.com. Diz que foi criada uma palavra-passe de app e que a sua conta pode estar comprometida. O Gmail não mostra nenhum aviso, o remetente é verdadeiro e o email passa em todas as verificações técnicas. E, mesmo assim, é uma burla.

Esta técnica circula há várias semanas e voltou a ganhar destaque no X a 31 de outubro de 2026, com relatos de criadores de conteúdo que ficaram sem acesso a contas Google e a canais do YouTube. Neste artigo explicamos como funciona, porque engana até quem conhece os sinais clássicos de phishing e o que a sua empresa deve fazer para proteger o email e as contas Google da equipa.

Como funciona a burla

O esquema foi descrito em pormenor pelo Centro Nacional de Cibersegurança da Suíça (NCSC), a 22 de setembro de 2026, e por um investigador da Foregenix, a 12 de outubro. Os passos são simples:

1. O burlão cria uma conta Google descartável.
2. Indica o email da vítima como endereço ou contacto de recuperação dessa conta. A Google envia logo à vítima uma notificação verdadeira, o que, segundo a Foregenix, serve para «preparar» o terreno.
3. Ativa a verificação em dois passos na conta descartável, porque só assim pode criar palavras-passe de app.
4. Cria uma palavra-passe de app e, no campo do nome, em vez de algo como «Portátil», escreve a mensagem da burla: um link, um número de telefone, um falso número de processo.
5. A Google envia automaticamente um «Alerta de segurança» real à vítima, com esse texto copiado tal e qual para dentro do modelo oficial.

O burlão nunca toca na conta da vítima para enviar a mensagem. Tudo acontece na conta dele. É por isso que, como sublinha a Foregenix, o email passa nas verificações SPF, DKIM e DMARC e chega à caixa de entrada, e não ao spam.

Três variantes já documentadas

O telefonema de «suporte». No caso relatado pelo NCSC suíço, o nome da palavra-passe de app imitava um processo de apoio («Case ID: 834333»). Pouco depois de o email chegar, a vítima recebeu uma chamada de alguém que dizia ser do suporte da Google, com um número suíço falsificado no ecrã. O burlão levou a vítima para uma página de login falsa alojada em sites.google.com.

A fatura falsa. A Universidade do Michigan registou, a 6 de outubro, um alerta verdadeiro da Google com uma falsa fatura de 399 dólares da McAfee e um número de telefone. Os links legítimos do email levavam apenas ao painel da própria conta, sem nada de anormal, para que a única «saída» fosse ligar para o número dos burlões.

O link para o Google Sites. O blogue da MEGA analisou o caso de um utilizador que recebeu, a 1 de outubro, um alerta que pedia para rever a palavra-passe numa página em sites.google.com. A página tinha uma falsa verificação «Não sou um robô» e um formulário de login. O gestor de palavras-passe do utilizador até ofereceu preencher os dados, porque ele tinha um login guardado para esse domínio da Google. A publicação dele no X passou os 5 milhões de visualizações em poucos dias.

Porque é que os conselhos habituais não chegam

Os conselhos clássicos contra o phishing mandam verificar o remetente, passar o rato por cima do link e procurar erros de ortografia. Neste caso, todos falham:

• O remetente é verdadeiro. O email vem mesmo da Google.
• O domínio parece verdadeiro. O sites.google.com pertence à Google, mas qualquer pessoa com uma conta Google pode publicar páginas lá.
• O texto está limpo. A MEGA lembra que o FBI e a Europol já alertaram para o uso de IA generativa para escrever mensagens de burla sem erros.
• Os filtros deixam passar. Com SPF, DKIM e DMARC válidos, não há razão técnica para o email ir para o spam.

Se quiser rever os sinais que continuam a funcionar na maioria dos casos, leia o nosso artigo sobre os cinco sinais de um email de phishing. Para perceber o que o SPF, o DKIM e o DMARC fazem (e o que não fazem), veja o que o Gmail e o Outlook exigem desde 2025.

O perigo maior: a «porta das traseiras»

Para o NCSC suíço, a parte mais grave vem depois de a vítima escrever a palavra-passe na página falsa. Em poucos minutos, os burlões entraram na conta e criaram uma palavra-passe de app própria. Este código, pensado para aplicações antigas, permite aceder à conta sem a verificação em dois passos. No caso relatado, os emails e os contactos da vítima continuaram a ser sincronizados para um dispositivo no estrangeiro durante algum tempo, sem que ninguém desse por isso.

A ajuda da Google diz que as palavras-passe de app são revogadas quando se muda a palavra-passe da conta. Ainda assim, o NCSC recomenda ir à secção «Palavras-passe de app» e apagar todas as entradas sem exceção, e verificar também os endereços de recuperação e as regras de reencaminhamento automático.

Como verificar se um alerta da Google é real

A regra mais segura não depende do email. A própria Google, citada pela MEGA, aconselha a ir diretamente a myaccount.google.com/notifications em caso de dúvida.

1. Não clique em nada no email. Abra um separador novo e escreva myaccount.google.com, ou use a app da Google no telemóvel.
2. Compare com a atividade da conta. Se o alerta fala de uma palavra-passe de app ou de um novo início de sessão que não aparece na «Atividade de segurança recente», trate-o como suspeito.
3. Desconfie de texto «colado». Links, números de telefone ou números de processo no meio da frase, onde normalmente aparece o nome de um dispositivo, são o sinal típico desta técnica.
4. A Google não liga. Tanto o NCSC como a Foregenix lembram que a Google não telefona aos utilizadores, sem mais, por causa da segurança da conta. Se receber uma chamada destas, desligue.
5. Os logins da Google estão em accounts.google.com. Nunca em sites.google.com, nem em documentos ou formulários.

O que fazer se já clicou ou escreveu a palavra-passe

Com base nas recomendações do NCSC e da MEGA:

• Mude a palavra-passe da conta Google a partir de myaccount.google.com, nunca a partir do link do email.
• Termine as sessões ativas e retire os dispositivos que não reconhece.
• Apague todas as palavras-passe de app e os acessos de terceiros que não criou.
• Verifique os endereços de recuperação e as regras de reencaminhamento no Gmail.
• Ative a verificação em dois passos ou, melhor ainda, chaves de acesso (passkeys), que a Google recomendou depois de um ataque semelhante em 2025.
• Mude a palavra-passe em todos os outros serviços onde usava a mesma.
• Denuncie o email no Gmail: três pontos ao lado de «Responder» e «Denunciar phishing».

Se a conta tinha dados de clientes ou de trabalhadores, avalie também se houve uma violação de dados pessoais. Explicámos os passos e o prazo de 72 horas para notificar a CNPD no artigo sobre o que fazer se lhe roubarem dados.

O que a sua empresa deve fazer esta semana

• Avise a equipa. Mostre um exemplo deste tipo de alerta e combine uma regra simples: nenhum alerta de segurança se resolve a partir do email ou por telefone.
• Reveja as contas Google da empresa. Procure palavras-passe de app esquecidas, endereços de recuperação desatualizados e reencaminhamentos que ninguém se lembra de ter criado.
• Prefira chaves de acesso. Uma passkey não se escreve numa página falsa, por isso este tipo de burla perde a maior parte da força.

Em resumo

Um email pode vir mesmo da Google e trazer uma mensagem escrita por um burlão. A defesa não está em analisar o email, mas em nunca agir a partir dele: abra a conta diretamente, desligue chamadas de «suporte» inesperadas e feche as portas das traseiras, como as palavras-passe de app.

Quer saber se o domínio e o email da sua empresa estão bem configurados? Faça a auditoria gratuita ao seu site e veja em poucos minutos o que corrigir. Se preferir, a MarcaWeb ajuda a rever as contas e a configurar chaves de acesso para a sua equipa: escreva para info@marcaweb.pt.