O ataque entra pelo email, e quase nunca traz vírus: phishing, fraude do IBAN e ransomware

Quando uma empresa é atacada, a conversa a seguir é quase sempre sobre o antivírus. Foi o antivírus que falhou? Precisamos de um melhor? Na esmagadora maioria dos casos que socorremos, a pergunta está no sítio errado, porque o ataque não entrou por onde se pensa.

Entrou pelo email. E na maior parte das vezes não trouxe vírus nenhum.

Este artigo explica como é que isso funciona na prática, porque é que as defesas habituais não apanham a versão moderna do problema, e o que trava mesmo cada um dos três tipos de ataque que chegam à caixa de correio de uma PME portuguesa. Escrevemo-lo a partir do que vemos no terreno: socorremos cerca de uma empresa por semana, e o padrão repete-se com uma regularidade aborrecida.

Os três que chegam por email, por ordem de frequência

1. O que quer a sua password

Chega um email do Microsoft 365, do banco ou de um fornecedor conhecido, a dizer que a caixa está cheia, que há uma fatura por ver ou que a password expira hoje. O link leva a uma página igual à verdadeira. A pessoa escreve o utilizador e a password, a página diz que houve um erro, e a vida continua.

A partir daí não há malware nenhum na máquina. Há alguém autenticado na conta, a ler correio, a criar regras que desviam mensagens para pastas que ninguém abre, e a estudar como é que a empresa fala com os clientes. Podem passar semanas até se notar. Nenhum antivírus deteta isto, porque tecnicamente não aconteceu nada de errado no computador.

2. O que quer o dinheiro da transferência

É a evolução do anterior e é o que causa prejuízos maiores. Com acesso ao correio, o atacante espera pela altura certa e responde a um fio de conversa que já existe, com o assunto certo, o histórico certo e o tom certo, a informar que os dados bancários mudaram. A fatura é verdadeira. O valor é verdadeiro. Só o IBAN é que não.

Não há ficheiro suspeito para analisar, não há link estranho, e a mensagem vem de um endereço legítimo ou de um domínio parecido com o do fornecedor. É por isso que engana pessoas atentas e competentes, e é por isso que a explicação nunca deve ser "quem é que caiu nesta".

3. O que traz carga

É o clássico, e é o que já quase toda a gente reconhece: o anexo que pede para ativar macros, o ficheiro comprimido com password no corpo do email para escapar à análise, o instalador disfarçado. Este pode acabar em ransomware, com os ficheiros cifrados e um pedido de resgate.

É o mais visível dos três, e hoje é também o menos frequente. Continua a ser o que dá mais trabalho a reparar.

Porque é que as defesas habituais não chegam

O antivírus faz o que sempre fez, e fá-lo bem: apanha ficheiros maliciosos. O problema é que dois dos três ataques acima não têm ficheiro nenhum. Uma página de login falsa não é um vírus. Um email a pedir para mudar o IBAN não é um vírus. São conversas.

O filtro de spam também ajuda, mas foi construído para separar publicidade não pedida de correio legítimo, não para detetar que a mensagem legítima que está a ler foi escrita por outra pessoa que entrou na conta do seu fornecedor.

E há um pormenor que apanha muita gente de surpresa: quando alguém envia emails em nome do seu domínio, o problema não está no seu servidor, está na configuração pública do domínio. Se o seu domínio não disser à internet quem está autorizado a enviar em nome dele, qualquer pessoa pode escrever aos seus clientes assinando com o seu nome, e o email chega à caixa de entrada deles com ar de verdadeiro.

O que trava mesmo, por ordem de eficácia

Esta ordem não é aleatória. É a que corresponde ao que vemos parar ataques na prática, e não ao que é mais fácil de vender.

Autenticação em dois passos em todas as contas de email, sem exceções. É a única medida desta lista que sozinha anula por completo o ataque número um. A password roubada deixa de servir para nada. As exceções são o problema: a conta da gerência, a conta partilhada da contabilidade, a conta antiga de um colaborador que saiu. É sempre por uma dessas que se entra.

Um procedimento escrito para alterações de dados bancários. Contra o ataque número dois não há tecnologia que chegue, porque a mensagem é legítima. O que funciona é uma regra simples e sem exceções: nenhuma alteração de IBAN é aceite por email, confirma-se sempre por telefone, para um número que já tínhamos antes, nunca para o número que vem na mensagem. Custa zero euros e evita a perda mais cara desta lista.

SPF, DKIM e DMARC configurados no seu domínio. São três registos que dizem à internet quem pode enviar email em seu nome. Sem eles, o seu domínio pode ser usado para enganar os seus clientes, e o seu próprio correio legítimo tem mais probabilidade de cair no spam deles. O Centro Nacional de Cibersegurança publica uma recomendação técnica sobre isto e existe uma ferramenta pública portuguesa, o WEBCHECK.PT, onde qualquer pessoa pode ver como está o seu domínio em dois minutos.

Cópias de segurança do email fora do Microsoft 365 ou do Google. Isto surpreende quase toda a gente: o fornecedor de correio garante que o serviço está disponível, não que os seus dados são recuperáveis meses depois. No Microsoft 365, uma mensagem apagada e depois removida dos itens eliminados fica recuperável por um período curto, por omissão catorze dias, e depois desaparece. Quem descobre a fraude ao fim de um mês descobre também que o rasto foi apagado pelo próprio atacante.

Formação, mas do tipo certo. Mostrar exemplos reais de mensagens que chegaram àquela empresa vale mais do que uma sessão sobre segurança em geral. E a mensagem mais importante a passar não é "tenham cuidado": é quem achar que clicou onde não devia avisa já e não é repreendido por isso. As empresas onde as pessoas escondem o erro por vergonha são as que descobrem tarde, e descobrir tarde é o que transforma um susto num prejuízo.

Se já aconteceu

As primeiras horas contam, e a reação instintiva costuma ser a errada. Não apague as mensagens suspeitas nem reinstale o computador antes de alguém olhar: é assim que se destrói a informação que permite perceber por onde entraram e o que levaram.

Mude as passwords a partir de outro equipamento, ative a autenticação em dois passos, verifique se foram criadas regras de reencaminhamento na caixa de correio, e avise os clientes e fornecedores com quem trocou mensagens no período em causa. Se houver dados pessoais envolvidos, há prazos legais de comunicação a cumprir, e eles são curtos.

Perguntas frequentes

Tenho antivírus e o Microsoft 365. Não chega?

Para o ataque com anexo, ajuda muito. Para o roubo de credenciais e para a fraude do IBAN, não, porque nenhum dos dois envolve software malicioso. Faltam a autenticação em dois passos e o procedimento para alterações bancárias.

Somos uma empresa pequena. Isto interessa-nos mesmo?

A maior parte destes ataques não escolhe alvo, é automático, e as empresas pequenas são as que menos costumam ter dois passos ativos. Das que socorremos, a maioria tem menos de vinte pessoas.

Vale a pena pagar o resgate?

É uma decisão de gestão e não nos cabe tomá-la por ninguém, mas há factos a pesar: pagar não garante a recuperação, identifica a empresa como pagadora, e não elimina o acesso por onde entraram. Quem tem cópias testadas raramente chega a colocar a questão.

Como sei se o meu domínio está bem configurado?

Em dois minutos, no WEBCHECK.PT, sem instalar nada e sem contratar ninguém.

Onde entramos

Socorremos empresas nesta situação todas as semanas, com e sem contrato connosco, e no fim fica sempre um relatório escrito com o que aconteceu, por onde entraram, o que foi reposto e o que estava em falta. Entregamo-lo mesmo a quem não é cliente e não tenciona ser.

Mas a parte que interessa é a outra: quase tudo o que está neste artigo é barato e faz-se antes. A autenticação em dois passos, o procedimento do IBAN e a verificação do domínio não são projetos, são tardes de trabalho. Se quiser saber como está hoje, o diagnóstico não custa nada e diz-lhe onde está e para onde deve ir.