Se já recebeu um email a dizer que a sua conta bancária vai ser bloqueada, que tem uma encomenda retida ou que ganhou um prémio inesperado, provavelmente já se cruzou com uma tentativa de phishing.
Mas porque existe phishing? Porque é que alguém perde tempo a enviar milhares de mensagens falsas a pessoas que nem conhece?
A resposta é simples: há dinheiro a ganhar. Por trás destes emails existem pessoas e organizações que descobriram uma forma de enganar outras pessoas à distância, muitas vezes sem precisarem de saber quem são as vítimas.
Perceber o que procuram ajuda a olhar para estes emails de outra maneira.
O email é a porta mais fácil de abrir
Pense na quantidade de pessoas que têm um endereço de email. Utilizamo-lo para falar com familiares, receber faturas, aceder ao banco, comprar na Internet e recuperar palavras-passe.
Para quem quer enganar os outros, isto representa uma oportunidade enorme.
Enviar um email custa pouco, demora segundos e permite chegar a milhares de pessoas em simultâneo. Não é preciso conhecer os destinatários, saber onde vivem ou sequer estar no mesmo país.
Além disso, o email faz parte da nossa rotina. Estamos habituados a receber mensagens de empresas, instituições públicas e serviços que utilizamos. Uma mensagem com o logótipo de um banco ou dos CTT não parece necessariamente suspeita à primeira vista.
É precisamente essa familiaridade que os criminosos procuram aproveitar.
Quem está do outro lado?
Quando se fala de pirataria informática, é fácil imaginar alguém sozinho, escondido atrás de um computador. A realidade pode ser bastante diferente.
Existem organizações criminosas que tratam estas fraudes como um negócio. Algumas desenvolvem os esquemas, outras conseguem listas de contactos e outras concentram-se em transformar os dados roubados em dinheiro.
Há também quem venda ferramentas e modelos de páginas falsas a outros criminosos. Assim, nem todos precisam de saber criar um esquema de raiz.
O resultado é uma espécie de cadeia de atividades ilegais. Uma pessoa prepara a fraude, outra envia as mensagens e outra pode utilizar os dados obtidos.
Não se trata necessariamente de um ataque dirigido a si. Muitas vezes, o seu endereço está simplesmente numa lista que circula entre pessoas que procuram possíveis vítimas.
O que querem estas pessoas?
Na maioria dos casos, o objetivo é conseguir dinheiro ou obter alguma coisa que lhes permita ganhá-lo mais tarde. Podem tentar convencer alguém a fazer uma transferência, pagar uma taxa que não existe ou fornecer os dados de um cartão bancário. Noutros casos, procuram informações pessoais, como o nome, a morada, o NIF ou as palavras-passe de acesso ao email, ao banco ou às redes sociais.
Há também quem tente levar a vítima a abrir um ficheiro que instala um programa malicioso no computador. Esse programa pode, por exemplo, dar acesso a documentos privados ou bloquear ficheiros e exigir dinheiro para os recuperar. Outra possibilidade é roubar uma conta e fazer-se passar pelo seu verdadeiro dono para pedir dinheiro a familiares, amigos ou colegas. Em certos casos, o interesse está simplesmente em espiar a vítima e aceder às suas mensagens e documentos.
O mais curioso é que nem sempre procuram ganhar dinheiro de imediato. Uma conta de email roubada, por exemplo, pode ser apenas o primeiro passo. Como muitos serviços permitem recuperar palavras-passe através do email, quem conseguir aceder a essa conta poderá tentar entrar noutras.
É por isso que um email aparentemente inofensivo pode esconder um problema muito maior do que parece à primeira vista.
Os esquemas mais comuns (e porque funcionam)
Os emails maliciosos nem sempre são iguais, mas muitos seguem a mesma receita: inventam um problema, prometem alguma coisa ou tentam assustar quem os recebe. A ideia é levar a pessoa a agir sem pensar muito.
Um dos exemplos mais conhecidos é o falso email do banco. A mensagem diz que existe um problema com a conta ou que o acesso vai ser bloqueado se não confirmar os seus dados. O mesmo acontece com as falsas encomendas dos CTT, em que pedem o pagamento de uma pequena taxa para receber uma encomenda. Pode parecer um valor insignificante, mas é precisamente isso que leva algumas pessoas a pagar sem desconfiar.
Também há mensagens que imitam as Finanças, prometendo um reembolso ou ameaçando com uma penalização. Outras anunciam prémios, como telemóveis, que supostamente ganhou e que só precisa de reclamar. Depois, há os esquemas das falsas heranças, em que alguém promete uma fortuna, mas pede dinheiro para tratar de documentos ou pagar despesas.
Nem todas estas tentativas começam com uma mensagem alarmante. Algumas são mais demoradas. É o caso dos esquemas amorosos, em que alguém conquista a confiança de outra pessoa ao longo de dias ou semanas, até surgir um pedido de dinheiro acompanhado de uma história comovente.
O que têm todos estes esquemas em comum? Procuram mexer com as nossas emoções. Umas mensagens provocam medo, outras despertam curiosidade ou criam a esperança de ganhar alguma coisa. Quando estamos preocupados, entusiasmados ou com pressa de resolver um problema, é mais fácil deixarmos passar certos sinais de alerta.
É exatamente isso que os criminosos procuram. Não precisam de convencer toda a gente. Basta que algumas pessoas acreditem na história e façam aquilo que lhes é pedido.
Porque é que as pessoas caem nestes esquemas?
Porque somos humanos.
Não é uma questão de inteligência, idade ou conhecimentos informáticos. Uma pessoa experiente pode ser enganada quando está distraída, preocupada ou com pressa.
Imagine que recebe uma mensagem aparentemente enviada pelo seu banco, precisamente num dia em que está à espera de uma transferência importante. É natural que preste mais atenção ao conteúdo e menos aos sinais de alerta.
Os criminosos exploram estas situações. Por vezes, copiam tão bem a aparência e a linguagem de uma organização legítima que a mensagem parece perfeitamente normal.
O Centro Nacional de Cibersegurança (CNCS) alerta para estas tentativas de obter informações sensíveis através de mensagens que imitam entidades credíveis. Pode consultar as suas recomendações sobre phishing e outras mensagens fraudulentas.
O importante é perceber que ser enganado não significa ser ingénuo. Significa que alguém preparou uma mensagem para influenciar a sua decisão.
Porque é que isto continua a acontecer?
Há três razões principais: dinheiro, baixo custo e dificuldade em identificar os responsáveis.
Enviar milhares de emails é relativamente barato. Os criminosos não precisam de enganar toda a gente. Basta que uma pequena parte dos destinatários responda para que uma campanha possa ser lucrativa.
Além disso, muitos destes esquemas atravessam fronteiras. Quem envia as mensagens pode estar num país, utilizar serviços alojados noutro e tentar receber dinheiro através de contas controladas por terceiros.
A Europol descreve o phishing como uma das ferramentas utilizadas pelas redes criminosas para roubar informações, facilitar fraudes e apoiar outras atividades ilegais. A existência de ferramentas prontas a utilizar também permite que pessoas com menos conhecimentos técnicos participem nestes esquemas. Saiba mais sobre os ciberataques e a criminalidade organizada.
É uma combinação que torna o problema persistente. Mesmo quando uma campanha é identificada e bloqueada, podem surgir outras.
O que isto significa para si
Se recebe emails suspeitos, não significa necessariamente que alguém o escolheu como alvo. O seu endereço pode simplesmente fazer parte de uma lista utilizada para enviar mensagens em massa.
Também não precisa de ter uma conta bancária com muito dinheiro ou uma empresa para ser um alvo interessante. Uma conta de email pode conter documentos pessoais, informações profissionais e mensagens privadas. Pode ainda permitir recuperar o acesso a outros serviços.
Perceber estas motivações ajuda a reconhecer melhor as tentativas de fraude.
Quando receber uma mensagem inesperada que exige uma ação urgente, pare um momento. Não precisa de resolver tudo imediatamente, mesmo que o email diga o contrário.
Perguntas frequentes
O phishing acontece apenas por email?
Não. O email é um dos meios mais utilizados, mas está longe de ser o único. Também pode receber uma mensagem fraudulenta por SMS, WhatsApp, redes sociais ou até ser contactado por telefone por alguém que se faz passar pelo seu banco ou por uma entidade oficial.
O objetivo é praticamente o mesmo: ganhar a sua confiança, obter informações pessoais ou convencê-lo a entregar dinheiro. Há, no entanto, diferenças na forma como estas fraudes são feitas. Quando o esquema utiliza mensagens SMS, é conhecido como smishing. Quando recorre a chamadas telefónicas, chama-se vishing.
Imagine que recebe um SMS a avisar que tem uma encomenda retida e que precisa de pagar uma pequena quantia para a receber. Se, em vez disso, receber uma chamada de alguém que se apresenta como funcionário do banco e lhe pede os dados de acesso à conta, está perante uma tentativa de fraude semelhante, mas através de outro canal.
Por isso, não basta desconfiar dos emails. O importante é perceber que uma mensagem ou chamada pode parecer legítima sem o ser.
Quem ganha dinheiro com o phishing?
Depende do esquema e de quem está envolvido. Em alguns casos, os criminosos procuram obter dinheiro diretamente da vítima, através de transferências, pagamentos falsos ou roubo de dados bancários. Noutros, o objetivo é conseguir palavras-passe, informações pessoais ou acesso a contas que possam ser utilizadas mais tarde.
Os dados roubados também podem ser vendidos a outros criminosos. Uma conta de email, por exemplo, pode ter valor para quem pretende aceder a documentos privados, fazer-se passar pelo proprietário ou tentar entrar noutros serviços associados à mesma conta.
Nem todos os envolvidos fazem exatamente a mesma coisa. Há quem prepare as mensagens, quem consiga os dados e quem os utilize para cometer outras fraudes. Esta divisão de tarefas permite que o negócio continue mesmo quando algumas contas são bloqueadas ou determinadas campanhas são identificadas.
É também por isso que o phishing não desaparece de um dia para o outro: enquanto houver formas de transformar os dados roubados em dinheiro ou utilizá-los para cometer outras fraudes, haverá quem continue a tentar.
Se não tenho nada de valor, porque me atacam?
Pode pensar que não tem dinheiro suficiente no banco para interessar a um criminoso ou que, por não ter uma empresa, não representa um alvo importante. Mas o problema não se limita ao dinheiro que tem disponível.
Muitas destas mensagens são enviadas em massa. O seu endereço de email pode ter sido incluído numa lista de contactos e receber a mesma mensagem que milhares de outras pessoas. Na maioria dos casos, quem a envia nem sequer sabe quem é o destinatário.
Além disso, uma conta de email pode guardar muito mais do que mensagens. Pode conter faturas, documentos pessoais, informações profissionais e conversas privadas. É também utilizada frequentemente para recuperar palavras-passe de outros serviços, desde redes sociais a contas de compras online.
Se alguém conseguir aceder à sua conta, poderá tentar fazer-se passar por si e pedir dinheiro aos seus contactos. E, se utilizar a mesma palavra-passe em vários serviços, o problema poderá estender-se a outras contas.
Não precisa de ser rico, ter uma empresa ou ser uma figura pública para ser vítima de phishing. Basta que alguém encontre uma oportunidade para o enganar. É precisamente por isso que vale a pena levar estas mensagens a sério, mesmo quando parecem pouco convincentes ou prometem algo sem grande valor.