Burla CTT por SMS: como reconhecer uma mensagem falsa

Como saber se uma mensagem dos CTT é burla?

Uma mensagem falsa costuma juntar vários destes sinais:

• Não estás à espera de nada. Sem compra feita e sem ninguém que te mande uma encomenda, uma mensagem sobre «a tua encomenda» já é suspeita.
• Pede dinheiro para entregar. Uma «taxa de entrega», portes por pagar, um pequeno valor para libertar a encomenda. A DPD lembra que não envia e-mails nem SMS a pedir portes ou um valor para alterar uma encomenda, e a InPost diz que nunca te pede para pagares um serviço diretamente por SMS. A GLS nunca pede pagamentos por e-mail através de plataformas de pagamento online, cartão de crédito ou transferência bancária.
• Quer que te despaches. Dá-te 12 horas para atualizar a morada ou 48 horas para pagar, ou ameaça devolver a encomenda. Os CTT põem as mensagens alarmantes que pedem ação imediata na lista de sinais de fraude, e a InPost desconfia de qualquer mensagem que ameace com a perda da encomenda.
• O link não é da transportadora. Os CTT avisam que todos os links deles começam por www.ctt.pt. A InPost dá como exemplos de sites falsos inpost-es.com e inpost.entrega-paquete.com, e diz que o seu site é inpost.pt. A GLS considera suspeito qualquer domínio que não seja gls-group.com/PT.
• O remetente não bate certo. A InPost diz que escreve sempre de endereços terminados em @inpost.pt, a DHL nunca usa @gmail, @yahoo nem outros serviços de e-mail gratuitos, e a GLS diz que os números que mandam SMS ou WhatsApp falsos em nome dela são muitas vezes estrangeiros.
• Está mal escrita. Os CTT apontam erros gramaticais e ortográficos, logótipos de tamanho estranho e pontos de exclamação a mais. A InPost junta textos que parecem traduzidos por uma máquina.
• Pede-te para descarregar uma app, abrir um anexo ou ligar para um número. A InPost nunca te pede para ligares para números de valor acrescentado nem para descarregares ficheiros do Dropbox ou do WeTransfer.

Mas um remetente conhecido não prova nada. A DPD explica que, com spoofing, aparece no telemóvel o nome de uma empresa verdadeira e a mensagem falsa pode cair na mesma conversa que as mensagens reais dessa empresa. A GLS diz o mesmo: há casos em que os burlões usam o número de telefone dela.

Como ler um link antes de tocar

Os links das burlas começam muitas vezes pelo nome da transportadora. O dono do endereço é o que está mesmo antes da primeira / simples. O exemplo inventado usa os correios britânicos, Royal Mail, mas com ctt.pt o truque é igual:

Por isso, um endereço como www.ctt.pt.taxa-entrega.example também «começa por www.ctt.pt» e não é dos CTT. Mesmo que um link pareça certo, não o uses: escreve tu o endereço da transportadora.

Os CTT, a DPD, a GLS e a InPost mandam SMS?

Mandam, e é por isso que as burlas resultam. O que cada transportadora diz sobre as mensagens dela, e o que diz que nunca faz:

Um link, sozinho, não prova nada, porque as transportadoras verdadeiras também os mandam. E há pedidos de pagamento verdadeiros, quase todos de encargos de importação: a DHL diz que os únicos pagamentos que pede por e-mail ou SMS são os de direitos e taxas aduaneiras, e, quando escolhes Multibanco para pagar o desalfandegamento, a entidade dos CTT é sempre a 12368. O guia encomenda retida na alfândega mostra como são esses pedidos verdadeiros. Confirma sempre no site da transportadora.

Burla CTT, DPD ou GLS: o que dizem as mensagens falsas

Os textos repetem-se. Estes vêm das páginas de alerta das próprias transportadoras:

• Entrega falhada, é preciso reagendar. Um SMS falso sobre uma entrega não efetuada que pede reagendamento (alerta dos CTT de julho de 2026), ou um SMS a pedir uma «taxa de entrega» (outubro de 2024).
• Problema com a morada. Entrega suspensa «por falta de número de porta» (CTT, julho de 2026), endereço «pouco claro» a corrigir em 12 horas (CTT, 2025). A InPost dá o exemplo «Confirma o teu endereço para receberes o envio».
• Encomenda parada ou devolvida. «Os CTT tentaram contactar três vezes» e a encomenda volta para trás se não abrires o link (CTT, fevereiro de 2025). A DHL avisou em 2025 de e-mails que dizem que a encomenda foi devolvida a uma agência e pedem 2,86 € para a recuperar em 48 horas.
• Taxas alfandegárias. Há alertas dos CTT sobre SMS falsos em nome da CTT Expresso a pedir taxas alfandegárias. O guia da alfândega mostra como reconhecer um pedido verdadeiro.
• Entrega com PIN. SMS falsos sobre entregas «com apresentação de PIN» (CTT, fevereiro de 2026).
• WhatsApp em vez de SMS. Os CTT avisam de mensagens de WhatsApp com a imagem CTT (março de 2026), e a GLS pede capturas de ecrã das mensagens falsas que te chegam por SMS ou WhatsApp.
• Código QR num e-mail. Um e-mail dos «CTT» diz que a encomenda está à espera e pede que leias um código QR, que leva a um site parecido com o dos CTT (outubro de 2024).
• Uma app para seguir a encomenda. Em 2021, a DHL descreveu um SMS que levava a descarregar uma aplicação que pedia permissão para ler e enviar SMS.
• Um telefonema. A InPost avisa de pessoas que se fazem passar por agentes dela e pedem dados bancários ao telefone: o apoio ao cliente nunca te pede dados bancários nem a palavra-passe.
• Uma venda em segunda mão. A GLS diz que as burlas com o nome dela aparecem sobretudo em sites de venda de artigos em segunda mão, e a DPD lembra que não vende artigos: uma venda em nome dela é burla.

Como confirmar uma encomenda sem usar o link

Nenhum destes passos usa a mensagem:

1. 1Pergunta-te se estás à espera de alguma coisaNão compraste nada e ninguém te vai mandar nada? Então trata a mensagem como burla.
2. 2Procura o número de seguimento verdadeiroNo e-mail de envio ou na página da encomenda da loja, nunca o que vem no SMS.
3. 3Abre tu a transportadoraEscreve ctt.pt, inpost.pt ou o site dela, ou abre a app. Não toques em links, não leias códigos QR e não ligues para números que venham na mensagem.
4. 4Procura um pedido verdadeiroUma taxa que seja mesmo devida aparece no seguimento ou na conta da transportadora.
5. 5Reporta e apagaOs CTT pedem que avises as autoridades competentes (vê mais abaixo onde).

Os CTT pedem que escrevas «ctt.pt» em vez de usares uma ligação vinda de outro lado, e a InPost que sigas o envio só na página oficial dela. Não encontras o código? Vê onde encontrar o número de seguimento. Depois, podes colá-lo no Peek, que pergunta à transportadora e, quando é preciso, a outras fontes, e vês as últimas atualizações sem passar pelo link.

Como funciona uma entrega falhada verdadeira, com o aviso e o reagendamento, está explicado em encomenda não entregue.

Carreguei no link de uma burla CTT: o que fazer?

Depende do que fizeste na página:

1. 1Fecha a páginaNão escrevas mais nada. Não respondas à mensagem.
2. 2Liga ao bancoPara o número do cartão ou da app do banco, e pede para bloquear o cartão.
3. 3Muda as palavras-passeEm todas as contas onde usas a palavra-passe que lá escreveste.
4. 4Desconfia de quem te ligarAlguém liga a seguir, mesmo a dizer que é do banco? Desliga e liga tu para um número que foste procurar.
5. 5Apresenta queixaÀ PSP ou à GNR, se perdeste dinheiro ou dados.

Só abriste o link? A InPost aconselha a fechar o navegador e a fazer uma análise de segurança ao telemóvel ou ao computador. Depois, reporta a mensagem na mesma.

Escreveste os dados do cartão ou pagaste a taxa? O Banco de Portugal diz para avisares imediatamente o banco que emitiu o cartão. Nos pagamentos não autorizados feitos antes de avisares, a tua perda fica limitada a 50 euros, mas com negligência grave podes perder mais; depois de avisares, deixas de responder por usos não autorizados, salvo fraude tua. Podes pedir a correção de um pagamento não autorizado até 13 meses depois do débito. O reembolso não é garantido: liga já, não esperes para ver.

A GLS avisa que não responde por pagamentos feitos a quem se faça passar por ela, e o mesmo diz a DHL. Fica atento ao extrato do cartão nas semanas seguintes.

Onde reportar uma burla CTT ou outra mensagem falsa

Reporta a mensagem mesmo que não tenhas carregado em nada e, depois, apaga-a.

No iPhone, uma mensagem de um remetente desconhecido mostra Denunciar spam por baixo; toca nela e depois em Apagar e denunciar. Já não dá depois de responderes e, se a opção não aparecer num SMS, fala com a tua operadora. No Google Mensagens, no Android, abre a conversa, toca em Mais opções, depois em Detalhes, e usa Bloquear e denunciar spam.