Recebe uma mensagem do "seu banco" a pedir para confirmar os dados com urgência. Ou uma fatura de um fornecedor com um IBAN novo. Ou um aviso de que a sua caixa de correio está cheia e vai ser bloqueada hoje. Parece verdade, mas pode ser phishing: um email falso feito para roubar palavras-passe, dados bancários ou dinheiro.
Nas pequenas empresas, basta um clique distraído para causar um prejuízo sério. A boa notícia é que a maior parte destes emails tem sinais que se reconhecem em poucos segundos, desde que saiba onde olhar.
1. O remetente e os destinatários não batem certo
Não olhe só para o nome que aparece: olhe para o endereço completo. Um email do "Millennium" enviado de millenium-apoio@gmail.com, ou dos "CTT" enviado de ctt-entregas.info, é falso. Desconfie também de domínios quase iguais ao verdadeiro, com uma letra trocada ou a mais, como aiod0.pt em vez de aiodo.pt. E lembre-se de que muitas entidades nem sequer enviam este tipo de mensagens por email: na dúvida, confirme no site oficial que endereços usam.
Veja também para onde vai a resposta. Ao carregar em "Responder", o endereço que aparece no campo "Para" deve ser o mesmo do remetente. Se o email diz vir do seu fornecedor mas a resposta segue para outro endereço (o chamado reply-to), é um sinal clássico de fraude, sobretudo em pedidos de pagamento.
Por fim, repare a quem foi enviado. Um aviso sobre a "sua conta" ou a "sua fatura" deve ser só para si. Se vier para dezenas de destinatários visíveis, ou com "Undisclosed recipients" (destinatários não revelados) no campo "Para", foi enviado em massa e não é uma mensagem pessoal.
Dica: no telemóvel, toque no nome do remetente para ver o endereço verdadeiro.
Dica avançada: alguns programas de email mostram, nos detalhes da mensagem, um campo "List-ID". Indica que o email foi enviado para uma lista de distribuição, como uma newsletter. É normal numa newsletter, mas se a mensagem parece pessoal, como uma fatura ou um aviso da sua conta, desconfie.
2. Tem pressa ou ameaça
"A sua conta será suspensa em 24 horas." "Último aviso." "Pagamento em atraso, evite a coima." A urgência é a arma preferida de quem faz phishing, porque quem está com pressa não confirma. Um banco, as Finanças ou um fornecedor sério não o obrigam a resolver tudo nos próximos minutos através de um link.
3. Os links levam para outro sítio
Antes de clicar, passe o rato por cima do link (no computador) ou mantenha o dedo pressionado sobre ele (no telemóvel) para ver o endereço real. Se o texto diz portaldasfinancas.gov.pt mas o link aponta para um endereço estranho, não clique. Na dúvida, escreva você mesmo o endereço do site no browser ou use a aplicação oficial.
4. Pede dados, códigos ou pagamentos
Nenhuma entidade séria pede por email a sua palavra-passe, o código que recebeu por SMS ou os dados completos do cartão.
Atenção redobrada a um caso muito comum nas empresas: o email de um "fornecedor" ou "cliente" a dizer que mudou de IBAN. Antes de pagar, confirme sempre por telefone, para um número que já tinha, e nunca para o número que vem no próprio email.
5. Traz um anexo que não esperava
Faturas, encomendas, "documentos digitalizados" ou ficheiros comprimidos (.zip) que não pediu são uma forma clássica de instalar vírus. Se não esperava o anexo, não o abra: contacte primeiro quem supostamente o enviou e confirme.
E os erros de português?
Durante anos foram o sinal mais fácil de identificar. Hoje, com tradutores automáticos e inteligência artificial, muitos emails falsos vêm bem escritos. Os erros continuam a ser um alerta, mas um texto correto já não é garantia de nada.
Cliquei. E agora?
Acontece aos melhores. O importante é agir depressa:
- Mude a palavra-passe da conta afetada e das outras onde use a mesma.
- Se deu dados bancários, ligue já para o seu banco e peça para bloquear o cartão ou a operação.
- Ative a autenticação em dois passos no email e nas contas mais importantes.
- Avise a equipa e os contactos, sobretudo se o email foi enviado a partir da sua conta.
- Reporte o caso ao CERT.PT, do Centro Nacional de Cibersegurança.
Como proteger o email da sua empresa
- Use palavras-passe diferentes em cada serviço e um gestor de palavras-passe. Para criar palavras-passe fortes, pode usar o nosso gerador de palavras-passe.
- Ative a autenticação em dois passos sempre que possível.
- Use um email com o domínio da empresa (nome@suaempresa.pt) em vez de contas gratuitas: transmite confiança e é mais fácil de proteger.
- Garanta que o domínio tem os registos SPF, DKIM e DMARC configurados: ajudam a impedir que alguém envie emails falsos em nome da sua empresa. Pode confirmar em segundos com o nosso verificador de email do domínio.
- Mantenha o computador e o telemóvel atualizados.
- Fale sobre isto com a equipa. Cinco minutos de conversa evitam muitos problemas.
Precisa de ajuda?
Na aiodo ajudamos pequenas empresas a ter um site e um email profissional, com domínio próprio e a configuração certa. Se tem dúvidas sobre a segurança do email da sua empresa, ou recebeu uma mensagem suspeita e não sabe o que fazer, fale connosco.
