O que é phishing
Phishing é uma mensagem que se faz passar por alguém de confiança (um banco, um fornecedor, um colega, a Microsoft ou as Finanças) para levar a pessoa a fazer uma de três coisas: introduzir a palavra-passe numa página falsa, abrir um anexo com software malicioso ou fazer um pagamento. Chega por email, mas também por SMS e por telefone.
Os sinais de alerta
- Urgência: "a sua conta vai ser bloqueada hoje", "o pagamento tem de sair até às 12h".
- Remetente parecido, mas não igual: uma letra trocada no domínio, ou um nome conhecido com um endereço estranho por trás.
- Ligações que pedem login: um botão que abre uma página igual à do Microsoft 365 ou do banco, num endereço que não é o oficial.
- Anexos inesperados: faturas, encomendas ou documentos partilhados que ninguém pediu, sobretudo ficheiros comprimidos ou que pedem para ativar conteúdo.
- Pedidos de pagamento ou de mudança de IBAN fora do circuito habitual.
- Pedidos de segredo: "não comente com ninguém, é confidencial".
A fraude do CEO e das faturas
É a variante que mais dinheiro custa às empresas. Alguém escreve em nome de um administrador a pedir uma transferência urgente, ou em nome de um fornecedor a avisar que o IBAN mudou. Muitas vezes o email vem de uma conta verdadeira que foi comprometida, por isso o remetente parece certo.
A defesa é um procedimento, não uma ferramenta: qualquer pagamento novo ou mudança de IBAN é confirmado por telefone, para um número que já tinha, e nunca para o número que vem no email.
O que fazer se alguém clicou
- Avisar logo quem gere a informática. Não apagar a mensagem: é útil para perceber o que aconteceu.
- Se introduziu a palavra-passe, mudá-la de imediato e terminar as sessões abertas noutros equipamentos.
- Confirmar que a autenticação multifator está ativa e que não foi acrescentado nenhum método novo.
- Verificar se foram criadas regras de reencaminhamento na caixa de email. É um truque comum para continuar a ler o correio da vítima.
- Se abriu um anexo, desligar o computador da rede e deixar a equipa técnica analisá-lo.
- Se deu dados bancários ou fez um pagamento, contactar o banco de imediato e apresentar queixa às autoridades.
Pode também reportar a mensagem ao CERT.PT, do Centro Nacional de Cibersegurança, para ajudar a travar a mesma campanha noutras empresas.
Como reduzir o risco
- Autenticação multifator em todas as contas, a começar pelo email e pelo Microsoft 365. Uma palavra-passe roubada deixa de chegar.
- Filtragem de email que bloqueia ligações e anexos maliciosos antes de chegarem à caixa de entrada. É o que fazemos na proteção de email.
- Formação curta e frequente, com exemplos reais, em vez de uma sessão longa por ano.
- Regras de pagamento com dupla confirmação para transferências e mudanças de IBAN.
- Equipamentos atualizados e contas de administrador separadas das contas do dia a dia.
Checklist rápida
- MFA ativa no email e no Microsoft 365 de todos
- Filtragem de email com análise de ligações e anexos
- Mudanças de IBAN confirmadas por telefone
- Toda a equipa sabe a quem reportar um email suspeito
- Regras de reencaminhamento de email verificadas
Tratamos destas medidas no serviço de cibersegurança. Para saber em poucos minutos onde a sua empresa está mais exposta, faça o diagnóstico gratuito. Se o pior acontecer, leia também o guia sobre ransomware.
