Uma fatura aparentemente enviada por um fornecedor habitual, um pedido urgente do gerente ou um aviso de renovação da palavra-passe: basta um destes emails para uma PME perder dinheiro, dados ou acesso aos seus sistemas. A proteção contra phishing nas empresas não depende apenas de instalar um antivírus. Exige regras, tecnologia e pessoas capazes de parar antes de clicar.
O problema é que os ataques já não chegam apenas em emails mal escritos e cheios de erros. Hoje, copiam assinaturas, logótipos, domínios, linguagem comercial e até o tom de um colaborador conhecido. Um atacante pode fingir ser o contabilista, um fornecedor ou um administrador e pedir uma alteração de IBAN, uma transferência urgente ou o acesso a uma conta de email.
Porque é que o phishing é um risco operacional
Numa pequena empresa, uma conta comprometida pode ter consequências desproporcionadas. Quem obtém acesso ao email de uma pessoa da administração consegue ler conversas, identificar clientes, perceber quais são os fornecedores e enviar pedidos credíveis em nome da empresa. Se essa conta também permitir redefinir palavras-passe de outras aplicações, o incidente deixa de ser um simples problema de email.
Há ainda um risco menos visível: a interrupção. Um colaborador que introduz credenciais numa página falsa pode abrir a porta a ransomware, roubo de ficheiros ou fraude financeira. Durante esse tempo, a empresa deixa de faturar, responder a clientes ou aceder aos documentos necessários para trabalhar.
A pergunta certa não é se a equipa recebe emails suspeitos. Recebe. A questão é outra: se alguém clicar num deles, que barreiras existem entre esse erro e uma paragem séria do negócio?
Proteção contra phishing nas empresas em 7 medidas
1. Proteger o domínio de email
O domínio de email é a identidade digital da empresa. Se qualquer pessoa puder enviar mensagens a fazer-se passar pelo seu domínio, clientes e fornecedores terão dificuldade em distinguir uma comunicação legítima de uma fraude.
SPF, DKIM e DMARC são mecanismos que ajudam os servidores de email a validar quem está autorizado a enviar mensagens em nome do domínio. Não impedem todos os emails falsos, mas reduzem a probabilidade de o nome da empresa ser usado em campanhas de fraude.
A implementação deve ser feita com cuidado. Uma política DMARC demasiado restritiva, aplicada sem validação, pode bloquear mensagens legítimas enviadas por plataformas de faturação, newsletters ou serviços externos. O caminho sensato é começar por monitorizar, corrigir as autorizações necessárias e só depois aumentar a proteção.
2. Exigir autenticação multifator
Uma palavra-passe roubada não deve ser suficiente para entrar no email, na cloud ou no acesso remoto. A autenticação multifator acrescenta uma segunda confirmação, por exemplo através de uma aplicação autenticadora, de uma chave de segurança ou de outro método controlado pela organização.
É uma das medidas com melhor relação entre custo e redução de risco. Ainda assim, não é infalível. Existem páginas falsas que tentam recolher códigos temporários em tempo real. Sempre que possível, convém privilegiar métodos mais resistentes a phishing, como chaves de segurança, sobretudo para administração, contas financeiras e acessos com permissões elevadas.
3. Acabar com palavras-passe repetidas
Quando a mesma palavra-passe é usada no email, num fornecedor e numa aplicação interna, uma fuga de dados fora da empresa pode transformar-se num acesso indevido dentro dela. Não é preciso que o atacante adivinhe nada: basta testar credenciais já expostas.
Um gestor de palavras-passe permite criar credenciais longas e diferentes para cada serviço, sem obrigar os colaboradores a decorar dezenas de combinações. Também ajuda a reconhecer domínios falsos: se o gestor não preencher automaticamente a credencial num site habitual, há uma razão para desconfiar.
As contas de administração, routers, firewalls, cópias de segurança e plataformas de email merecem atenção especial. Nunca devem depender de palavras-passe partilhadas por email, folhas de cálculo ou mensagens informais.
4. Criar um processo para pagamentos e alterações de IBAN
O phishing mais perigoso nem sempre instala malware. Muitas vezes, pede apenas uma transferência. Um email que aparenta vir de um fornecedor pode informar que o IBAN mudou e incluir uma fatura com aspeto legítimo. Depois de o dinheiro sair, recuperá-lo pode ser difícil ou impossível.
A regra deve ser simples: nenhuma alteração de dados bancários, pedido de pagamento urgente ou instrução fora do procedimento normal é validado só por email. Confirme-se o pedido através de um contacto conhecido, usando um número já registado pela empresa e não o que vem na mensagem suspeita.
Este processo pode parecer lento até ao dia em que evita uma fraude. Para uma PME, uma chamada de dois minutos é muito mais barata do que uma transferência para uma conta errada.
5. Treinar a equipa com casos reais
Dizer aos colaboradores para terem cuidado é insuficiente. É mais útil mostrar exemplos concretos: um pedido de partilha de ficheiro, uma falsa notificação de entrega, uma convocatória para assinatura digital ou uma mensagem do alegado diretor a pedir cartões de oferta.
A formação deve ser curta, regular e sem tom de culpa. O objetivo não é transformar cada pessoa num especialista em cibersegurança. É ensinar sinais que justificam uma pausa: urgência invulgar, endereço do remetente semelhante mas não igual, ligação inesperada, pedido de credenciais ou mudança repentina de procedimento.
Também é essencial haver um caminho claro para reportar. Se alguém suspeitar de um email, deve saber a quem o encaminhar e ter confiança de que não será criticado por perguntar. O silêncio é um aliado do atacante.
6. Separar acessos e proteger os equipamentos
Uma firewall empresarial bem configurada, como uma solução baseada em pfSense, não substitui a proteção do email, mas faz parte da defesa. Pode controlar acessos, segmentar a rede, limitar ligações indevidas e reduzir a exposição de serviços internos à Internet.
Os equipamentos precisam igualmente de atualizações, antivírus ou proteção de endpoint e contas sem privilégios de administrador para as tarefas diárias. Se um computador for comprometido, o objetivo é impedir que o problema se propague livremente ao servidor, aos ficheiros partilhados ou a toda a rede.
O teletrabalho merece o mesmo rigor. Aceder a aplicações internas por VPN, com autenticação multifator e permissões adequadas, é diferente de deixar serviços expostos à Internet porque era a forma mais rápida de resolver uma necessidade pontual.
7. Preparar a recuperação antes do incidente
Mesmo com prevenção, é prudente assumir que alguém pode clicar. Por isso, a empresa deve saber o que fazer nas primeiras horas: desligar ou isolar o equipamento afetado, alterar credenciais, revogar sessões ativas, verificar regras de reencaminhamento no email e contactar o apoio técnico.
As cópias de segurança são decisivas, mas só ajudam se puderem ser recuperadas. A regra 3-2-1 continua a fazer sentido: três cópias dos dados, em dois suportes diferentes e uma cópia fora das instalações. Um backup ligado permanentemente à mesma rede ou guardado no mesmo espaço físico pode ser atingido pelo mesmo ataque, incêndio ou inundação.
Teste a recuperação de ficheiros e sistemas críticos. Um backup que nunca foi restaurado é uma promessa, não uma garantia.
O que uma PME pode rever já este mês
Comece pelas contas com maior impacto: email da gerência, faturação, contabilidade, administração dos sistemas e acesso a ficheiros. Verifique se todas usam autenticação multifator, se existem contas antigas sem utilização e se há regras estranhas de reencaminhamento automático no email.
Depois, reveja a forma como são autorizados pagamentos. Se uma pessoa pode alterar um IBAN e aprovar uma transferência apenas com base num email, existe uma fragilidade concreta a corrigir. Não depende de orçamento elevado, mas de disciplina operacional.
Por fim, peça uma avaliação da infraestrutura. É frequente encontrar routers fornecidos pelo operador a desempenhar funções para as quais não foram pensados, acessos remotos sem controlo suficiente, backups no mesmo local dos servidores ou permissões excessivas em pastas partilhadas. Na IMPULSYS, este diagnóstico é o ponto de partida para desenhar proteção ajustada ao risco e à realidade de cada negócio, sem acrescentar complexidade desnecessária.
A melhor defesa contra phishing não é prometer que ninguém cometerá um erro. É construir uma empresa onde um clique errado não tenha poder para parar tudo.
No responses yet