Palavras-passe e um endereço de email utilizado indevidamente: pirateado ou forjado?

Módulo 3: Gerir a sua caixa de correio · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá proteger bem a sua caixa de correio, reconhecer a diferença entre um remetente forjado e uma caixa de correio comprometida, e tomar as medidas certas em ambos os casos.

Conceitos-chave: palavra-passe forte, frase-passe, gestor de palavras-passe, reutilização, fuga de dados, força bruta, bloqueio de IP, verificação em duas etapas, palavra-passe de aplicação, phishing, spoofing (remetente forjado), backscatter, caixa de correio comprometida, regras e redirecionamentos suspeitos, limite de envio

Dois tipos de "o meu endereço está a enviar spam"

Praticamente todos os administradores ouvem isto em algum momento: "está a sair spam do meu endereço". Há duas causas muito diferentes, e a abordagem é diferente consoante o caso.

1. Falsificação (spoofing): ninguém entrou na sua caixa de correio

Um endereço de remetente é apenas texto. Qualquer pessoa pode enviar um email com De: info@example.com, através do seu próprio servidor, sem nunca aceder à sua caixa de correio. A isto chama-se spoofing.

Assim se reconhece:

• Recebe de repente dezenas ou centenas de bounces sobre mensagens que nunca enviou, muitas vezes para endereços desconhecidos. Isto é backscatter: os destinatários recusaram o email forjado e enviaram a mensagem de erro para o endereço que nele constava, ou seja, para si.
• Na sua própria pasta de Enviados não há nada.
• Nos registos do seu servidor de correio (em muitos painéis: uma funcionalidade como "rastreamento de e-mails") não vê essas mensagens como correio de saída.
• Nas cabeçalhos dessa mensagem devolvida (lição 1.5) consta uma linha Received de um servidor que não é seu.

Alterar a sua palavra-passe não ajuda neste caso: ninguém a tinha. O que ajuda é o DMARC (lição 4.4). Com p=quarantine ou p=reject informa os destinatários de que devem colocar em quarentena ou recusar o correio que não passe pelo seu SPF ou DKIM. Assim, o email forjado chega com menos frequência, e também há menos pessoas enganadas em seu nome. Os bounces normalmente param sozinhos após alguns dias; pode eliminá-los.

2. Uma caixa de correio comprometida: alguém tem a sua palavra-passe

Se alguém tiver a sua palavra-passe, essa pessoa inicia sessão no seu servidor e envia spam realmente através da sua caixa de correio. Isto é muito mais grave: o spam sai de um servidor de confiança com o seu SPF e DKIM válidos, pelo que chega com frequência ao destino. E o servidor perde a sua boa reputação (lição 5.2).

Assim se reconhece:

• No registo do servidor vê correio de saída que não enviou, muitas vezes em grandes quantidades.
• O número de mensagens enviadas pela sua caixa de correio é muito superior ao normal, ou atinge de repente o limite de envio.
• O seu fornecedor comunica a situação, ou bloqueia o envio.
• Na sua caixa de correio aparecem coisas que não reconhece: uma regra de redirecionamento para um endereço desconhecido, um filtro que move de imediato determinado correio (por exemplo, do seu banco ou do seu fornecedor) para o lixo, um endereço de resposta diferente (Reply-To) nas suas definições, ou uma mensagem de ausência.

Essas regras são um truque conhecido. Um atacante que toma conta da sua caixa de correio quer muitas vezes ler as mensagens sem ser notado durante muito tempo, por exemplo para enviar no momento certo uma fatura falsa com um número de conta diferente. Uma regra de redirecionamento para o seu próprio endereço continua a funcionar, mesmo depois de ter alterado a sua palavra-passe.

Como é que alguém consegue a sua palavra-passe?

• Phishing: um email falso com uma ligação para uma página de início de sessão falsificada ("a sua caixa de correio está cheia, inicie sessão aqui"). A causa mais frequente.
• Reutilização: utiliza a mesma palavra-passe também numa loja online ou num fórum, e esse serviço é pirateado. As combinações roubadas de endereço de email e palavra-passe são depois testadas automaticamente em servidores de correio. Com serviços como o Have I Been Pwned pode verificar se o seu endereço consta de uma fuga de dados conhecida.
• Adivinhação: palavras-passe curtas ou óbvias (Welkom2026!, o nome da empresa) são adivinhadas por força bruta: milhares de tentativas seguidas.
• Malware no seu computador que intercepta palavras-passe ou as recolhe do seu navegador.

Proteger bem a sua caixa de correio

1. Uma palavra-passe longa e única por caixa de correio. O comprimento conta mais do que caracteres estranhos. Uma frase-passe de quatro ou cinco palavras soltas é forte e fácil de memorizar. Não a utilize em mais nenhum sítio.
2. Um gestor de palavras-passe. Assim não tem de memorizar todas essas palavras-passe e deixa de ser necessário reutilizá-las.
3. Verificação em duas etapas sempre que possível. No correio empresarial na nuvem (Microsoft 365, Google Workspace) e no painel de cliente do seu fornecedor isso costuma ser possível. Numa caixa de correio IMAP comum isso muitas vezes não é possível para o próprio IMAP e SMTP, porque os programas de correio apenas enviam uma palavra-passe. Alguns serviços trabalham então com palavras-passe de aplicação: uma palavra-passe separada e longa por programa, que pode revogar sem alterar a sua palavra-passe principal.
4. Seja cuidadoso quanto ao local onde inicia sessão. Introduza a sua palavra-passe apenas no seu próprio programa de correio ou no endereço verdadeiro do seu webmail. Um fornecedor nunca pede a sua palavra-passe por email.
5. Conheça a segurança do seu servidor. Muitos servidores bloqueiam um endereço IP após um número de tentativas de início de sessão falhadas. Isso protege contra ataques de força bruta, mas também significa que um dispositivo antigo com uma palavra-passe errada (um tablet antigo, uma impressora que faz digitalizações para email) pode fazer bloquear toda a rede do seu escritório.

O que fazer perante uma caixa de correio comprometida?

Faça isto de imediato, por esta ordem:

1. Altere a palavra-passe no painel do seu fornecedor (não através de uma ligação recebida por email). Escolha uma palavra-passe nova e única.
2. Verifique regras de redirecionamento, filtros, aliases e a mensagem de ausência, tanto no webmail como no painel. Elimine tudo o que não tenha sido criado por si.
3. Verifique quais os dispositivos e programas que estabelecem ligação e introduza a nova palavra-passe em todos. Um dispositivo esquecido com a palavra-passe antiga pode fazer bloquear o seu IP.
4. Analise o seu computador à procura de malware, especialmente se não tiver clicado numa ligação de phishing.
5. Altere também a palavra-passe noutros sítios onde a tenha reutilizado, e também a palavra-passe do seu painel de cliente, se for a mesma.
6. Informe o seu fornecedor. Este pode ver o que foi enviado, limpar a fila de espera e levantar um bloqueio.
7. Avise os seus contactos se tiver sido enviado correio para eles, especialmente no caso de faturas falsas. Uma fuga de dados pessoais pode, ao abrigo do RGPD, exigir também uma notificação à autoridade de proteção de dados competente; verifique isto em caso de dúvida.

Uma caixa de correio comprometida raramente surge sozinha. Verifique também se o seu sítio web não está a enviar spam: um formulário de contacto desprotegido ou um plugin pirateado também podem enviar correio em seu nome (lição 7.3).

Na prática: assim é num painel

No DirectAdmin altera a palavra-passe de uma caixa de correio em Contas de e-mail, através dos três pontos e Alterar Senha/Usuário; na coluna Enviados vê quanto correio uma caixa de correio enviou hoje. Com Rastreamento de e-mails vê se uma mensagem foi realmente enviada através do servidor. Os redirecionamentos encontram-se em Encaminhamentos, as mensagens de ausência em Respostas automáticas e, no webmail, em Definições. Outros painéis têm funcionalidades semelhantes, muitas vezes com nomes como "percurso da mensagem", "message trace" ou "regras da caixa de correio".

Resumo

• Bounces sobre correio que não enviou, sem nada na pasta de Enviados: falsificação. Aqui ajuda o DMARC, não uma nova palavra-passe.
• Spam de saída real no registo do servidor: caixa de correio comprometida. Alterar a palavra-passe, verificar regras e redirecionamentos, atualizar dispositivos, informar o fornecedor.
• Os atacantes definem muitas vezes uma regra de redirecionamento ou um filtro, para continuarem a ler as mensagens sem serem notados.
• Utilize uma palavra-passe longa e única por caixa de correio, um gestor de palavras-passe e, sempre que possível, verificação em duas etapas ou palavras-passe de aplicação.

Quiz

Exercício

Exercício O3.4: Verificação de segurança da sua caixa de correio. Reveja a sua própria caixa de correio. A palavra-passe é única e longa, e está guardada num gestor de palavras-passe? Procure o seu endereço num serviço de fugas de dados (como o Have I Been Pwned) e registe se consta de alguma fuga. Verifique no webmail ou no painel todas as regras de redirecionamento, filtros, o endereço de resposta e a mensagem de ausência. Registe quais os dispositivos que utilizam a caixa de correio. Depois responda: se amanhã receber bounces de correio que não enviou, como descobre se se trata de spoofing ou de uma pirataria?

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis da WebOké; junto de outros fornecedores o funcionamento é semelhante.

• Manual DirectAdmin 9.6: O que fazer se o seu endereço de e-mail foi utilizado indevidamente
• Manual DirectAdmin 7.2: Alterar a palavra-passe de um endereço de e-mail
• Manual DirectAdmin 9.3: Rastreamento de e-mails: onde ficou o meu e-mail?
• Como altero a palavra-passe ou os limites do meu endereço de e-mail?
• Caixa de correio comprometida ou envio de spam a partir do seu endereço: saiba como resolver
• NCSC, aconselhamento sobre palavras-passe e verificação em duas etapas (Países Baixos): https://www.ncsc.nl