O phishing (pronuncia-se como “fishing”) é um ataque que tenta roubar o seu dinheiro ao levá-lo a revelar informações pessoais – tais como números de cartões de crédito, informações bancárias ou palavras-passe – em sites que fingem ser legítimos. Normalmente, os cibercriminosos fingem ser empresas fidedignas, amigos ou conhecidos numa mensagem falsa, que contém uma ligação para um site de phishing.
Aprenda a detetar uma mensagem de phishing
O phishing é uma forma popular de cibercrime por ser tão eficiente. Os cibercriminosos têm tido êxito na utilização de e-mails, mensagens SMS, mensagens diretas em redes sociais ou videojogos para levar as pessoas a responder com as suas informações pessoais. A melhor defesa é estar informado e saber o que deve procurar.
Eis algumas formas de reconhecer um e-mail de phishing:
- Chamada urgente à ação ou ameaças: desconfie de e-mails que afirmam que tem de clicar, ligar a ou abrir um anexo de imediato. Muitas vezes afirmam que tem de agir de imediato de modo a reclamar um prémio ou evitar uma qualquer penalização. Criar uma falsa sensação de urgência é um truque comum dos ataques e esquemas de phishing. Essas pessoas fazem-no para impedi-lo de pensar muito sobre o assunto ou de consultar um agente de confiança que possa desaconselhar essas práticas.Sugestão: Sempre que vir uma mensagem a pedir-lhe para agir de imediato, faça uma pausa e leia cuidadosamente a mensagem. Tem a certeza de que é verdadeira? Resista ao impulso inicial e mantenha-se em segurança.
- Remetentes novos ou pouco frequentes – Embora não seja invulgar receber um e-mail de alguém pela primeira vez, em especial se o remetente não pertence à sua organização, tal poderá ser um sinal de phishing. Quando receber um e-mail de alguém que não reconhece ou que o Outlook identifica como um novo remetente, dedique alguns momentos para examiná-lo de forma mais cuidadosa antes de continuar.
- Erros de ortografia e gramática – As empresas ou organizações profissionais costumam ter uma equipa editorial para garantir que os clientes obtêm conteúdo profissional de alta qualidade. Se uma mensagem de e-mail tiver erros ortográficos ou gramaticais óbvios, pode ser uma fraude. Por vezes, estes erros são o resultado de uma tradução inadequada de um idioma estrangeiro, podendo igualmente ser deliberados numa tentativa de escapar aos filtros que tentam bloquear estes ataques.
- Saudações genéricas – Uma organização que trabalhe consigo deverá saber o seu nome. Hoje em dia, personalizar um e-mail é bastante fácil. Se o e-mail começar com um “Exmos. Srs.”, isso poderá ser um sinal de que o e-mail não é proveniente do seu banco ou site de compras.
- Ligações suspeitas ou anexos inesperados– Se suspeitar que uma mensagem de e-mail é um esquema fraudulento, não abra quaisquer ligações ou anexos presentes. Em vez disso, paire o rato sobre a ligação, mas não clique na mesma, para ver se o endereço corresponde à ligação que foi escrita na mensagem. No exemplo seguinte, ao colocar o rato sobre a ligação revela o endereço Web real na caixa com o fundo amarelo. Note que a cadeia de carateres do endereço IP é muito diferente do endereço Web da empresa.
Sugestão: No Android, prima a ligação para obter uma página de propriedades que revele o verdadeiro destino da ligação. No iOS, faça o que a Apple chama de “Light, long-press”.
- Domínios de e-mail não correspondentes: se o e-mail afirmar ser proveniente de uma empresa de renome, como a Microsoft ou o seu banco, mas o e-mail estiver a ser enviado a partir de outro domínio de e-mail, como Yahoo.com ou microsoftsupport.ru, trata-se provavelmente um esquema fraudulento. Esteja atento relativamente a erros ortográficos subtis no nome legítimo. Por exemplo, micros0ft.com em que o “o” foi substituído por um “0” ou rnicrosoft.com, em que “m” foi substituído por “rn” Estes são truques comuns por parte dos criminosos.
Os cibercriminosos também o podem persuadir a visitar sites falsos com outros métodos, tais como mensagens de texto ou chamadas telefónicas. Os cibercriminosos sofisticados montam centros de atendimento para ligar ou enviar mensagens de texto automáticas a potenciais alvos. Estas mensagens frequentemente incluem pedidos para que introduza um número PIN ou outro tipo de informações pessoais.
É um administrador ou um profissional de TI?
Se tiver uma subscrição do Microsoft 365 com Proteção Avançada Contra Ameaças, pode ativar a ATP Anti-phishing para ajudar a proteger os seus utilizadores. Saiba mais
Se receber um e-mail de phishing
- Nunca clique em ligações ou anexos em e-mails suspeitos. Se receber uma mensagem suspeita de uma organização e estiver na dúvida em relação à sua legitimidade, aceda ao seu browser e abra um novo separador. Em seguida, aceda ao site da organização através de um favorito que tenha guardado ou de uma pesquisa na Web. Em alternativa, contacte a organização através do um número de telefone listado no verso de um cartão membro, impresso numa fatura ou declaração, ou que consiga encontrar no site oficial da organização.
- Se a mensagem suspeita parecer ser proveniente de uma pessoa que conhece, contacte essa pessoa através de outros meios, por exemplo, mensagem de texto ou chamada telefónica para confirmar.
- Denuncie a mensagem (ver abaixo).
- Apague-a.
Como comunicar um esquema de phishing
- Microsoft Office Outlook – Com a mensagem suspeita selecionada, selecione Denunciar mensagem a partir do friso e, em seguida, selecione Phishing. Esta é a forma mais rápida de denunciar e remover a mensagem da sua caixa de entrada, e irá ajudar-nos a melhorar os nossos filtros para que veja menos mensagens como essas no futuro. Para obter mais informações, consulte utilizar o suplemento Denunciar Mensagem.
- Outlook.com – Selecione a caixa de verificação junto à mensagem suspeita na sua caixa de entrada do Outlook.com. Selecione a seta junto a Lixo e, em seguida, selecione Esquema de phishing.
Nota: Se estiver a utilizar um cliente de e-mail que não o Outlook, escreva um novo e-mail para phish@office365.microsoft.com e inclua o e-mail de phishing como um anexo. Não reencaminhe o e-mail suspeito; é necessário que o recebamos como um anexo para que possamos examinar os cabeçalhos na mensagem.
Se estiver num site suspeito:
Enquanto estiver num site suspeito no Microsoft Edge, selecione o ícone Mais (…) > Ajuda e feedback > Site de Relatórios inseguros.
Para mais informações, consulte Navegar na Web em segurança com o Microsoft Edge.
O que fazer se acredita ter sido alvo de phishing
Se suspeita que poderá ter sido vítima de um ataque de phishing, existem algumas coisas que pode fazer.
- Enquanto a sua memória ainda estiver fresca, anote o maior número possível de dados sobre o ataque de que se recorda. Em particular, procure anotar informações tais como os nomes de utilizador, números de conta ou palavras-passe que possa ter partilhado.
- Altere imediatamente as palavras-passe dessas contas afetadas, e em qualquer outro lugar em que possa estar a utilizar a mesma palavra-passe. Ao alterar as suas palavras-passe, deve criar palavras-passe exclusivas para cada conta. Dê uma vista de olhos pelo artigo Criar e usar palavras-passe fortes.
- Confirme que tem a autenticação multifator (também conhecida como verificação de dois passos) ativada para cada conta que pode. Consulte o artigo O que é: Autenticação multifator
- Caso este ataque afete as suas contas escolares ou profissionais, deve notificar os seus colegas de suporte de TI no seu trabalho ou escola acerca de possíveis ataques. Se tiver partilhado informações sobre os seus cartões de crédito ou contas bancárias, é aconselhável contactar essas empresas e alertá-las para uma possível fraude.
- Se perdeu dinheiro ou foi vítima de roubo de identidade, denuncie a situação às autoridades locais. Os detalhes no passo 1 serão muito úteis para as autoridades.
Fonte: Microsoft