Ainda há quem imagine que um e-mail de phishing se reconhece à distância. Um remetente estranho, meia dúzia de erros ortográficos e uma promessa de dinheiro fácil. O problema é que os atacantes também aprenderam a escrever. E, em muitos casos, conhecem melhor os processos internos de uma empresa do que seria desejável.
Imagine uma situação perfeitamente normal. O departamento financeiro recebe uma mensagem de um fornecedor habitual, na sequência de uma conversa que já dura há vários dias. A fatura está correta, o valor corresponde ao esperado e o pagamento tem de ser feito até ao final da semana. Só há uma alteração. O IBAN é diferente.
Ninguém desconfia. O dinheiro segue para a conta errada e, quando alguém percebe o que aconteceu, já pode ser tarde demais.
Não é um cenário de ficção. É um exemplo do tipo de fraude que hoje ameaça as empresas, sobretudo quando os procedimentos internos dependem demasiado da confiança e pouco da verificação.
Em Portugal, o phishing e as suas variantes representam uma parte significativa dos incidentes de cibersegurança reportados ao Centro Nacional de Cibersegurança (CNCS). O risco não se limita a mensagens mal escritas ou a páginas falsas. Os atacantes recorrem a contas comprometidas, imitam pessoas conhecidas e aproveitam ferramentas que as empresas utilizam todos os dias.
O resultado é simples de explicar. Quanto mais convincente for a mensagem, menos provável será que alguém a questione.
As novas caras do phishing empresarial
O Business Email Compromise, conhecido pela sigla BEC, é uma das formas de fraude que merece maior atenção. Neste tipo de ataque, os criminosos fazem-se passar por um administrador, um fornecedor ou outro interlocutor de confiança para conseguir pagamentos, dados confidenciais ou acesso a sistemas.
O problema agrava-se quando conseguem comprometer uma conta de e-mail legítima. Em vez de criarem uma conversa do zero, podem entrar numa troca de mensagens existente e continuar a discussão como se fossem o interlocutor original. Esta técnica, conhecida como thread hijacking, explora uma vantagem evidente. A vítima já conhece o assunto, reconhece os nomes envolvidos e não tem motivos imediatos para desconfiar.
Uma conversa que começou de forma legítima transforma-se, assim, no veículo para uma fraude. Os atacantes podem acompanhar o processo durante dias, esperar pelo momento certo e introduzir uma alteração aparentemente banal. Uma nova conta bancária, uma fatura substituída ou um pedido urgente de pagamento.
Nas pequenas e médias empresas, onde a mesma pessoa pode tratar de dezenas de fornecedores, clientes e pagamentos, estas situações são particularmente difíceis de detetar.
Há também o quishing, o nome dado aos ataques de phishing que recorrem a códigos QR. A mensagem pode pedir ao utilizador que leia um código para consultar um documento, confirmar a identidade ou aceder a uma aplicação empresarial.
O código parece inofensivo. Afinal, é apenas uma imagem. Mas pode encaminhar o utilizador para uma página falsa que imita o Microsoft 365, um serviço bancário ou um portal de autenticação.
O risco aumenta quando a leitura é feita com o telemóvel pessoal. O utilizador pode sair do ambiente protegido da empresa, abrir uma página fraudulenta e introduzir as credenciais sem que os mecanismos de segurança habituais consigam impedir a ação.
A inteligência artificial veio acrescentar outra dificuldade. Hoje, é possível produzir mensagens convincentes, reproduzir o tom de um colega e adaptar o conteúdo a uma situação concreta. Os erros ortográficos deixaram de ser um indicador fiável.
Há ainda os deepfakes, que permitem imitar vozes e imagens. Um colaborador pode receber uma chamada aparentemente feita pelo diretor financeiro, com instruções para realizar uma transferência urgente. Se o pedido surgir num momento de pressão, a tendência para obedecer pode sobrepor-se à prudência.
Nem todos estes ataques são tecnicamente sofisticados. Por vezes, basta conhecer o nome do responsável, o calendário de pagamentos e a forma como a empresa trabalha. A tecnologia ajuda, mas a verdadeira vulnerabilidade está muitas vezes na confiança que depositamos nos procedimentos habituais.
O que está realmente em risco?
O primeiro prejuízo é financeiro. Uma transferência fraudulenta pode representar milhares ou dezenas de milhares de euros, um valor suficiente para criar dificuldades sérias numa PME. Recuperar o dinheiro também não é garantido, sobretudo quando a fraude só é descoberta vários dias depois.
Mas há outras consequências.
Uma conta de e-mail comprometida pode dar acesso a propostas comerciais, contratos, dados pessoais de clientes e informação interna. Se esses dados forem expostos, a empresa poderá ter de avaliar as suas obrigações ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD). Quando existe uma violação de dados pessoais que deve ser notificada, o prazo previsto no RGPD é, em regra, de 72 horas após o conhecimento da violação.
O impacto pode chegar também à operação diária. Um atacante que obtenha acesso a uma conta com permissões elevadas pode tentar comprometer outros serviços, alterar regras de encaminhamento de mensagens ou preparar novos ataques contra clientes e fornecedores.
Depois há a reputação. Explicar a um cliente que alguém usou uma conta legítima da empresa para lhe enviar uma mensagem fraudulenta não é uma conversa agradável. Recuperar a confiança pode demorar bastante mais do que recuperar o acesso à conta.
A tecnologia tem de fazer a sua parte
A primeira medida é proteger as contas com autenticação multifator, conhecida como MFA. Uma password roubada não deve ser suficiente para permitir o acesso ao e-mail, ao armazenamento de ficheiros ou às ferramentas de trabalho remoto.
Sempre que possível, devem privilegiar-se métodos resistentes a phishing, como chaves de segurança físicas ou mecanismos de autenticação que impeçam a utilização de códigos em páginas fraudulentas. Nem todos os métodos de MFA oferecem o mesmo nível de proteção.
O domínio da empresa também precisa de estar devidamente configurado. SPF, DKIM e DMARC ajudam a controlar a utilização não autorizada do domínio e dificultam a falsificação de mensagens em nome da organização. Não impedem todos os ataques, sobretudo quando uma conta legítima já foi comprometida, mas reduzem uma parte importante do risco.
Vale a pena confirmar igualmente se a solução de segurança do correio eletrónico consegue analisar anexos, ligações, imagens e códigos QR. Os convites de calendário também merecem atenção. Um convite inesperado pode incluir instruções para contactar um número fraudulento ou visitar uma página maliciosa.
As passwords devem ser longas, únicas e guardadas num gestor de passwords aprovado pela empresa. Reutilizar a mesma credencial em vários serviços é uma forma de transformar um problema isolado num incidente mais abrangente.
Por fim, é necessário manter sistemas operativos, aplicações e equipamentos atualizados. A segurança não depende apenas do e-mail. Uma vulnerabilidade num servidor ou numa aplicação desatualizada pode abrir outra porta de entrada.
As pessoas precisam de procedimentos claros
Nenhuma ferramenta consegue compensar todos os erros humanos. E não vale a pena fingir que os colaboradores nunca vão clicar numa ligação suspeita. O objetivo é reduzir a probabilidade de isso acontecer e limitar os estragos quando acontece.
A formação deve ser regular, prática e adaptada às tarefas de cada equipa. O departamento financeiro precisa de reconhecer tentativas de alteração de IBAN. A equipa de recursos humanos deve saber identificar pedidos fraudulentos de dados pessoais. Os administradores de sistemas precisam de reconhecer sinais de comprometimento das contas.
As simulações de phishing podem ajudar a identificar dificuldades e a melhorar os procedimentos, desde que sejam usadas para ensinar e não para humilhar quem falha.
É igualmente necessário estabelecer uma regra simples para os pagamentos. Qualquer alteração de dados bancários deve ser confirmada através de um canal independente, como uma chamada para um número que já esteja registado nos contactos da empresa. Nunca se deve utilizar exclusivamente o número indicado na mensagem que solicita a alteração.
O mesmo princípio aplica-se aos pedidos urgentes de transferência. Se um administrador pedir um pagamento fora do procedimento habitual, a identidade deve ser confirmada por outro meio. Uma voz familiar ou uma conversa de e-mail aparentemente legítima não substitui a verificação.
A empresa deve ainda disponibilizar uma forma simples de reportar mensagens suspeitas. Se o processo exigir preencher um formulário interminável ou abrir um ticket com dez campos obrigatórios, é provável que alguns utilizadores desistam. O reporte tem de ser rápido e claro.
E se alguém já tiver clicado?
É aqui que se distingue uma política de segurança escrita de um procedimento que funciona.
Se um colaborador introduzir as credenciais numa página suspeita, deve comunicar imediatamente o sucedido à equipa de TI. A conta poderá precisar de ser protegida, as sessões ativas revogadas e as regras de encaminhamento verificadas. Se existir suspeita de comprometimento de outros sistemas, a investigação deve abranger os acessos relacionados.
Quando há suspeita de fraude financeira, o banco deve ser contactado imediatamente. A rapidez pode fazer diferença na possibilidade de bloquear ou recuperar uma transferência.
A empresa precisa também de um plano de resposta a incidentes que identifique responsáveis, contactos, prioridades e obrigações de comunicação. As organizações abrangidas pelo regime jurídico da segurança do ciberespaço devem avaliar os respetivos deveres de notificação ao CNCS, de acordo com o enquadramento aplicável.
Ter cópias de segurança atualizadas, testadas e protegidas contra alterações não impede o phishing, mas pode ser decisivo se o incidente evoluir para um ataque mais abrangente. Um backup que nunca foi testado é apenas uma esperança guardada noutro disco.
A sua empresa está preparada?
Antes de investir em mais uma ferramenta de segurança, vale a pena responder a algumas perguntas. Todas as contas de e-mail têm MFA ativo? O domínio tem SPF, DKIM e DMARC configurados? A solução de segurança analisa códigos QR e convites de calendário? Os colaboradores sabem a quem reportar uma mensagem suspeita?
Há dupla aprovação para transferências e alterações de IBAN? A formação é contínua? Existe um plano para responder a contas comprometidas e comunicar incidentes dentro dos prazos aplicáveis?
Se algumas respostas forem negativas, já existe trabalho por fazer.
O phishing empresarial vai continuar a evoluir, com recurso a inteligência artificial, imitação de identidades e abuso de ferramentas legítimas. Não existe uma solução que elimine todo o risco. A defesa mais eficaz resulta da combinação de tecnologia adequada, pessoas preparadas e procedimentos que não dependem da boa vontade ou da memória de um único colaborador.
No fundo, a questão já não é saber se uma empresa vai receber uma mensagem fraudulenta. Isso é praticamente inevitável. A questão é saber se alguém vai conseguir transformar essa mensagem num prejuízo.