O telemóvel vibra à hora de almoço. Uma mensagem diz que o teu pagamento falhou e pede que confirmes o teu início de sessão dentro de uma hora. O logótipo parece o certo. O tom é urgente. Estás quase a tocar na ligação, mas reparas que o endereço do remetente usa um domínio ligeiramente diferente. Apagas a mensagem e ligas ao teu banco, para o número que está no cartão.
Essa pausa é exatamente o que os ataques de phishing esperam que não faças. Um email de phishing é uma mensagem falsa criada para roubar palavras-passe, dinheiro ou dados sensíveis. Reconhecê-lo começa por abrandar e verificar alguns detalhes. Já sabes por que razão a segurança importa, graças a o que é a segurança de email para empresas. O phishing é uma das ameaças mais comuns que a tua equipa vai encontrar.
O que é um email de phishing?
Um email de phishing faz-se passar por um remetente de confiança, como o teu banco, um fornecedor ou até um colega. Pressiona-te a clicar numa ligação, abrir um ficheiro ou responder com informações privadas. A mensagem cria muitas vezes urgência para que ajas antes de pensar.
O phishing visa empresas de todos os tamanhos. Um início de sessão comprometido de um membro da equipa pode expor registos de clientes e o correio enviado a partir do teu domínio verdadeiro. É por isso que detetar falsificações cedo protege mais do que uma única caixa de entrada.
Sinais de alerta a verificar antes de clicares
1. Endereço do remetente que não corresponde
Olha para o endereço de email completo, não só para o nome apresentado. Uma mensagem de "Apoio" pode vir de um domínio aleatório que não corresponde à empresa que diz representar. Compara-o com endereços que já usaste em segurança.
2. Linguagem urgente ou ameaçadora
O phishing ameaça muitas vezes com o encerramento da conta, ações judiciais ou pagamentos em atraso em poucas horas. As empresas legítimas raramente te pressionam a saltar os passos normais de verificação. Quando o tom te parecer estranho, verifica por um canal que conheças.
3. Ligações e anexos suspeitos
Passa o rato por cima das ligações, sem clicar, para ver o destino real. Anexos inesperados, sobretudo ficheiros comprimidos ou faturas que nunca pediste, merecem cuidado redobrado. O capítulo sobre como lidar com anexos de email de forma profissional também ensina hábitos seguros para ficheiros verdadeiros.
4. Pedidos de palavras-passe ou de alteração de pagamentos
As organizações de confiança não te pedem a palavra-passe por email. Tem o mesmo cuidado com mensagens que te pedem para enviares dinheiro para um novo número de conta. Confirma as alterações de pagamento por telefone, usando um número que procuraste tu.
O que fazer quando algo parece errado
Não cliques em ligações nem respondas com dados sensíveis. Comunica a mensagem ao responsável da tua equipa ou ao contacto de informática, se tiveres um. Apaga-a depois de comunicares, ou move-a para a pasta de spam se o teu serviço de alojamento tiver uma.
Se já clicaste numa ligação ou partilhaste uma palavra-passe, muda essa palavra-passe de imediato e avisa quem gere a configuração do teu email. Agir depressa limita os danos. Para riscos mais amplos de credibilidade, vê erros de email que prejudicam a credibilidade. Cair num phishing prejudica a confiança dos dois lados da conversa.
As táticas de phishing mudam, mas o padrão mantém-se. Remetente falso, pedido urgente, ligação arriscada. Treina a tua equipa para parar e verificar. O próximo capítulo, o que é o email spoofing, explica como os atacantes imitam o próprio domínio.
Perguntas frequentes
Os emails de phishing podem vir do domínio de uma empresa verdadeira?
Os atacantes por vezes falsificam nomes apresentados ou comprometem contas verdadeiras, o que faz as mensagens parecerem autênticas à primeira vista. Verifica sempre pedidos invulgares por um canal separado que controles. A WEMASY ajuda as marcas a manter o domínio e o site juntos no criador de websites, para que os registos de autenticação do teu fornecedor de email se mantenham coerentes.
Os erros ortográficos ainda são um sinal fiável de phishing?
Muitas mensagens de phishing modernas têm gramática correta porque os modelos são copiados de empresas verdadeiras. Confia mais no endereço do remetente, nos destinos das ligações e nos pedidos invulgares do que só nos erros de escrita.
Devo reencaminhar um email suspeito aos colegas como aviso?
Reencaminhar pode espalhar ligações ou anexos maliciosos pela tua equipa. Descreve a ameaça numa mensagem nova ou usa a ferramenta de denúncia do teu serviço de alojamento, em vez de reencaminhares o original.
Como se relacionam os ataques de phishing com o spoofing de email empresarial?
O phishing usa muitas vezes identidades de remetente falsas, enquanto o spoofing falsifica especificamente o teu domínio, para que o correio pareça vir da tua marca. Lê o que é o email spoofing para veres como os registos de autenticação reduzem esse risco.
Os clientes também precisam de estar atentos ao phishing?
Os clientes que sabem que nunca lhes pedes palavras-passe por email têm menos probabilidade de cair em falsificações feitas em teu nome. Publica no teu site políticas claras de contacto e de pagamento, para que as pessoas saibam o que esperar.
A formatação profissional dos emails pode reduzir o risco de phishing internamente?
Assinaturas e padrões de resposta coerentes ajudam a equipa a notar quando algo foge à marca. O módulo sobre o que incluir na assinatura de email ajuda as equipas a mostrar uma imagem uniforme aos clientes e entre si.