Um email aparentemente enviado pelo banco, por um fornecedor ou pela direção pode parar uma PME em poucos minutos. Os sinais de phishing nem sempre são erros ortográficos evidentes: hoje, as mensagens fraudulentas imitam logótipos, assinaturas, páginas de autenticação e até o tom de escrita de pessoas reais. O objectivo é simples: levar alguém a entregar credenciais, dados bancários, ficheiros ou acesso à rede da empresa.
O problema não é apenas técnico. Uma palavra-passe de email roubada pode permitir ao atacante ler conversas comerciais, redefinir acessos a aplicações cloud, enviar pedidos falsos de pagamento a clientes ou fornecedores e preparar um ataque mais grave. Quando uma equipa trabalha com acesso remoto, VPN, documentos partilhados e aplicações internas, um único clique pode abrir uma porta que parecia bem fechada.
Os sinais de phishing que exigem atenção imediata
Phishing é uma tentativa de fraude feita por email, SMS, chamada telefónica ou mensagem numa plataforma de colaboração. A mensagem cria urgência, medo ou curiosidade para que a vítima aja depressa, sem confirmar a origem. Não existe um único sinal infalível. O que interessa é reconhecer combinações suspeitas e parar antes de clicar, responder ou introduzir dados.
Um pedido urgente que foge ao procedimento normal
“Pague esta factura hoje”, “a sua conta será bloqueada”, “valide a palavra-passe nos próximos 30 minutos” ou “preciso de uma transferência confidencial” são frases clássicas. A urgência serve para contornar a verificação normal que a empresa deveria fazer.
Desconfie especialmente quando o pedido envolve pagamentos, alteração de IBAN, compra de cartões-presente, dados de colaboradores ou códigos de autenticação. Mesmo que a mensagem pareça vir da gerência, confirme por outro canal conhecido: telefone para um número já registado, mensagem interna ou contacto presencial. Não responda simplesmente ao mesmo email, porque a caixa de correio pode estar comprometida ou o endereço pode ser falso.
O endereço do remetente parece certo, mas não é
O nome apresentado no email pode ser legítimo. O que importa é o endereço completo. Um atacante pode usar um domínio muito parecido com o de um fornecedor, trocar uma letra, acrescentar um hífen ou usar um subdomínio enganador. `financeiro@fornecedor-pagamentos.com` não é o mesmo que `financeiro@fornecedor.com`.
Há também ataques em que a conta verdadeira de um parceiro foi invadida. Nesse caso, o endereço estará correcto, mas o conteúdo será estranho: um pedido fora de contexto, uma factura inesperada ou um ficheiro que a pessoa habitualmente não enviaria. A confiança no remetente não deve substituir a validação do pedido.
A ligação conduz a um endereço inesperado
Passe o cursor sobre a ligação sem clicar e observe o destino. Se o texto disser que vai abrir o Microsoft 365, o portal do banco ou uma plataforma de partilha de ficheiros, mas o endereço apontar para um domínio desconhecido, pare. Uma página de autenticação legítima não precisa de ser aberta através de um endereço estranho, encurtado ou cheio de caracteres sem relação com o serviço.
Nos telemóveis esta verificação é menos cómoda, porque o endereço pode não surgir por completo. É uma das razões para evitar aprovar pagamentos, abrir anexos ou introduzir credenciais importantes a partir de uma mensagem recebida no telemóvel. Quando houver dúvida, abra o navegador e aceda ao serviço pelo endereço habitual ou pela aplicação oficial.
O anexo não faz sentido ou pede para activar funções
Ficheiros com extensão `.exe`, `.js`, `.zip` ou documentos Office que pedem para activar macros merecem cuidado redobrado. Um PDF ou uma factura em Excel podem ser veículos para malware, incluindo ransomware capaz de cifrar ficheiros partilhados e servidores.
Nem todo o anexo comprimido é malicioso, tal como nem toda a mensagem com português imperfeito é fraude. O contexto decide muito. Uma empresa de contabilidade pode enviar ficheiros protegidos; um fornecedor pode partilhar uma proposta em PDF. Mas se não estava à espera do documento, confirme antes de o abrir. O custo de uma chamada de dois minutos é incomparavelmente menor do que o de recuperar dados, investigar acessos e explicar uma falha a clientes.
A mensagem pede credenciais ou códigos de autenticação
Um serviço sério pode pedir que inicie sessão, mas não deve solicitar por email a sua palavra-passe, um código recebido por SMS ou a aprovação de uma notificação de autenticação multifactor. Esses códigos são temporários e, precisamente por isso, têm grande valor para quem tenta entrar numa conta.
Também é perigoso receber várias notificações de aprovação no telemóvel sem ter tentado iniciar sessão. Este método, por vezes chamado fadiga de MFA, pretende que o utilizador aceite uma delas por engano. Recuse, altere a palavra-passe a partir de um equipamento seguro e comunique a situação à pessoa ou equipa responsável pelos sistemas.
Porque é que o phishing afecta tanto as PME?
Muitas PME têm bons colaboradores e relações de confiança, mas processos pouco formalizados. Uma pessoa acumula funções administrativas, comerciais e financeiras. Um pedido urgente chega no meio de chamadas, encomendas e atendimento ao cliente. É nesse cenário que uma fraude bem construída funciona.
Os atacantes sabem também que uma empresa mais pequena pode depender de um único endereço de email, de um computador com acesso a tudo ou de backups pouco testados. Se conseguirem entrar numa caixa de correio, podem procurar facturas, contactos, palavras-passe partilhadas e conversas sobre pagamentos. Depois, atacam no momento mais conveniente.
A tecnologia ajuda, mas não resolve sozinha. Um antivírus empresarial, filtragem de email, firewall correctamente configurada e autenticação multifactor reduzem o risco. Ainda assim, nenhum filtro identifica com total certeza um email enviado de uma conta legítima de fornecedor que tenha sido comprometida. A decisão humana continua a ser uma linha de defesa essencial.
O que fazer quando alguém detecta phishing
A regra inicial é clara: não clicar, não responder, não abrir o anexo e não reencaminhar a mensagem para colegas como se fosse normal. Reencaminhar uma ameaça sem aviso pode aumentar a exposição. Em vez disso, a mensagem deve ser reportada pelo procedimento interno definido pela empresa ou enviada à equipa de suporte com indicação de que é suspeita.
Se o colaborador já clicou numa ligação, não deve esconder o erro. Deve desligar-se da VPN ou da rede, quando aplicável, e avisar de imediato o responsável técnico. A rapidez permite bloquear sessões, alterar credenciais, analisar o equipamento e evitar que o incidente se espalhe. O silêncio é quase sempre mais caro do que o clique inicial.
Se introduziu a palavra-passe numa página falsa, altere-a imediatamente a partir de um dispositivo seguro. Termine sessões activas, reveja regras de reencaminhamento no email e confirme se foram criados utilizadores, aplicações autorizadas ou métodos de recuperação desconhecidos. Nas contas com permissões financeiras ou administrativas, a análise deve ser mais profunda, porque o atacante pode ter deixado formas de voltar a entrar.
Quando houve pagamento ou alteração de dados bancários, contacte de imediato o banco e o fornecedor real. Não espere pela confirmação do dia seguinte. Alguns esquemas de fraude de CEO ou de alteração de IBAN são detectados cedo o suficiente para tentar travar a transferência, mas cada hora conta.
Reduzir o risco sem complicar o trabalho
A melhor protecção começa por separar o que é confortável do que é seguro. Partilhar a mesma palavra-passe entre colegas pode parecer prático até à saída de um colaborador ou ao comprometimento de uma conta. Usar o router fornecido pelo operador sem regras de segurança adequadas pode parecer suficiente até ser necessário controlar acessos remotos. Ter uma cópia dos ficheiros no mesmo escritório pode parecer backup até existir um incêndio, uma inundação ou ransomware.
Uma política simples e aplicada vale mais do que um manual esquecido. Defina quem pode autorizar pagamentos, como se confirmam alterações de IBAN e qual o canal obrigatório para validar pedidos urgentes. Crie contas individuais, aplique palavras-passe fortes guardadas num gestor de palavras-passe e active autenticação multifactor, sobretudo no email, na cloud, na VPN e nos acessos administrativos.
A rede também deve seguir o princípio do menor privilégio: cada pessoa acede apenas ao que necessita. Uma VPN bem configurada, uma firewall empresarial e segmentação de rede limitam o impacto caso uma credencial seja roubada. Não impedem todo o ataque, mas evitam que uma caixa de correio comprometida se transforme automaticamente em acesso a servidores, ficheiros confidenciais e equipamentos críticos.
Por fim, mantenha cópias de segurança segundo a regra 3-2-1: três cópias dos dados, em dois suportes diferentes, com uma cópia fora das instalações. Mais importante ainda, teste a recuperação. Um backup que nunca foi restaurado é uma promessa, não uma garantia.
A IMPULSYS trabalha frequentemente com empresas que só percebem a dimensão destas fragilidades quando um email suspeito chega à caixa de entrada certa. Não espere por esse momento para decidir como a empresa confirma pagamentos, protege o email e recupera os seus dados. O melhor teste à segurança é uma pergunta simples: se alguém clicar hoje, conseguimos continuar a trabalhar amanhã?
No responses yet