Cliquei: e agora?

Módulo 3: Reconhecer phishing · Tempo de leitura: 12 minutos

Objetivo de aprendizagem: Depois desta lição, sabe o que fazer nas primeiras horas após um clique, uma palavra-passe introduzida, dados bancários introduzidos ou um anexo aberto, pela ordem correta, e como denunciar e reencaminhar o phishing.
Conceitos-chave: conter, alterar a palavra-passe a partir de um dispositivo limpo, terminar sessões, telefonar ao banco, denunciar, reencaminhar phishing (por exemplo, para a polícia e para a marca em causa)

Acontece a toda a gente

Toda a gente clica, um dia, na ligação errada. Até pessoas que já fizeram esta formação, até profissionais de informática. Um bom e-mail de phishing chega no momento errado, com a história certa. Envergonhar-se não ajuda, agir depressa sim. Quanto mais cedo intervier, menos o atacante consegue fazer com o que já tem.

Por isso, o primeiro passo em qualquer empresa é: comunicar de imediato, ao colega que trata da informática ou à sua empresa de informática. Combine que quem comunica um clique recebe um agradecimento e não uma reprimenda (mais sobre isto na lição 9.2). Quem tem medo de ser repreendido não diz nada, e assim o atacante fica com dias de vantagem.

Primeiro, determinar: o que aconteceu exatamente?

O que deve fazer depende de até onde foi. Determine isso primeiro, de forma breve e honesta.

Apenas clicar normalmente não é grave: os navegadores modernos estão bem protegidos. Mas um clique também pode iniciar uma transferência. Em caso de dúvida, trate a situação como a mais grave.

Passo a passo nas primeiras horas

1. Comunicar dentro da sua empresa. De imediato, mesmo em caso de dúvida. Conte o que viu, quando, e o que introduziu ou abriu. Guarde a mensagem: não a elimine, vai precisar dela para a denúncia.

2. Conter. Abriu um anexo ou deu acesso a alguém? Retire o dispositivo da rede: desligue o wifi, retire o cabo de rede. Não o desligue de imediato, pois o que está na memória pode ajudar na investigação (lição 8.3). Não continue a trabalhar nesse dispositivo.

3. Telefonar ao banco em caso de dinheiro. Introduziu dados bancários ou aprovou um pagamento? Telefone de imediato ao seu banco, para o número indicado no seu cartão ou no site oficial. Quanto mais rápido, maior a hipótese de o pagamento poder ser travado ou recuperado. Um pagamento feito para um IBAN falso na sequência de fraude de faturas também deve ser comunicado de imediato ao seu banco.

4. Alterar a palavra-passe a partir de um dispositivo limpo. Altere a palavra-passe da conta que introduziu. Faça-o num dispositivo diferente daquele onde abriu o anexo, pois este pode estar a ser monitorizado por um programa. Escreva o endereço você mesmo ou utilize o seu marcador, não a ligação da mensagem. Se utilizou a mesma palavra-passe noutro sítio, altere-a também aí (lição 2.1).

5. Terminar sessões e verificar a conta. Uma nova palavra-passe nem sempre expulsa automaticamente um atacante que já esteja dentro. Por isso, termine todas as outras sessões (lição 2.5) e verifique o que ele pode ter alterado:

• autenticação de dois fatores (2FA): existe alguma aplicação ou número de telefone desconhecido associado?
• dados de recuperação: o endereço de e-mail ou número de telefone de recuperação foi alterado?
• regras de reencaminhamento e filtros na sua caixa de correio: um atacante gosta de criar uma regra que reencaminha toda a correspondência, ou apenas as mensagens com "fatura", para o seu próprio endereço, ou que a elimina de imediato. Assim continua a ler a correspondência, mesmo depois de já ter alterado a sua palavra-passe;
• itens enviados: há e-mails enviados que você não escreveu? Nesse caso, tem de avisar os seus contactos.

6. Denunciar e reencaminhar. Veja abaixo.

7. Verificar se se trata de uma fuga de dados. O atacante conseguiu aceder a uma caixa de correio, a uma base de dados de clientes ou a outro ambiente com dados pessoais? Então poderá tratar-se de uma fuga de dados. De acordo com o RGPD, uma fuga de dados deve ser comunicada sem demora injustificada e, se possível, no prazo de 72 horas após a deteção, à Comissão Nacional de Proteção de Dados (CNPD), exceto se for improvável que represente um risco para as pessoas em causa. Em qualquer caso, registe sempre o caso no seu registo de fugas de dados. Como avaliar isto, aprende na lição 8.2.

Denunciar e reencaminhar o phishing

Denunciar faz sentido, mesmo que não tenha acontecido nada de grave. Assim, um site falso pode ser retirado do ar mais depressa, e outras pessoas são alertadas.

Às autoridades. Pode denunciar e-mails falsos com ligações ou anexos suspeitos junto da polícia. De um modo geral:

• reencaminhe o e-mail de preferência como anexo. Com um reencaminhamento normal, os dados técnicos (os cabeçalhos da lição 3.3) perdem-se. Se isso não for possível, por exemplo num telemóvel, reencaminhe-o simplesmente;
• se o e-mail parecer vir de um banco ou de outra empresa conhecida, coloque o endereço dessa empresa em cc. Muitas vezes encontra esse tipo de endereços no site da própria empresa;
• sms, WhatsApp e outras mensagens devem ser denunciadas através do canal próprio indicado pela polícia ou pela entidade competente, e não reencaminhadas por e-mail. Esse mesmo canal serve também para um e-mail suspeito sem ligações ou anexos, e para fraude de helpdesk por telefone.

Reencaminhar como anexo. Em muitos programas de e-mail, a opção de reencaminhar como anexo chama-se "Reencaminhar como anexo" ou algo semelhante.

À marca em causa. Se o nome de um banco, transportadora ou fornecedor estiver a ser utilizado indevidamente, informe essa organização através de um canal que procure você mesmo no site oficial, nunca através da mensagem recebida. Muitas organizações têm um endereço próprio para denunciar phishing. Se se tratar da sua própria empresa de alojamento ou fornecedor de e-mail, envie também para lá; na WebOké pode fazê-lo através de um ticket, com o e-mail em anexo (Base de Conhecimento 581).

Apresentar queixa à polícia. Se perdeu dinheiro, ou se houve utilização indevida ou uma tentativa de o fazer, apresente queixa à polícia. As entidades de apoio a vítimas de fraude aconselham e recolhem denúncias, mas só a polícia pode investigar.

Depois disto, pode eliminar a mensagem e bloquear o remetente.

Verificação uma semana depois

Um ataque nem sempre termina ao fim de um dia. Marque um lembrete para uma semana depois:

• Há novas notificações de início de sessão ou sessões desconhecidas?
• Há pagamentos desconhecidos nos extratos bancários?
• Há novas regras de reencaminhamento ou filtros na caixa de correio?
• Clientes ou fornecedores queixam-se de e-mails estranhos enviados em seu nome? Nesse caso, a sua caixa de correio pode ainda estar a ser utilizada para enviar spam (Base de Conhecimento 25).
• O que podemos aprender? A mensagem era fácil de reconhecer, e o que a teria tornado mais evidente numa próxima vez?

Na prática: um exemplo

Segunda-feira, 9h12. A Fátima, da Padaria Exemplo, introduz a sua palavra-passe de e-mail numa página de início de sessão falsa do "programa de contabilidade". Às 9h15 repara que o endereço era boekhoudpakket.inlog-check.example. Comunica o sucedido ao Carlos, que trata da informática. Às 9h20, o Carlos altera, a partir do seu próprio computador portátil, a palavra-passe da caixa de correio dela e termina todas as sessões. No webmail, encontra uma nova regra: toda a correspondência com "fatura" é enviada para um endereço desconhecido e depois eliminada. Remove a regra, ativa a autenticação de dois fatores e verifica os itens enviados: nada foi enviado. A Fátima reencaminha o e-mail de phishing como anexo para a polícia. O Carlos regista o incidente no registo de incidentes e verifica se o atacante pode ter visto dados pessoais. Uma semana depois, volta a verificar as regras e as sessões.

O local onde se encontram essas regras e sessões varia consoante o ambiente. Na WebOké, os reencaminhamentos de um endereço encontram-se em O meu WebOké e no DirectAdmin (Forwarders), e uma regra também pode estar no webmail ou no próprio programa de e-mail. Com outros fornecedores, o funcionamento é semelhante: procure por reencaminhamento, forwarders, regras ou filtros.

Resumo

• Toda a gente clica, por vezes. Comunique de imediato, sem vergonha, e combine que comunicar é recompensado.
• Determine primeiro o que aconteceu: apenas um clique, palavra-passe, código, dados bancários, anexo ou acesso remoto.
• Ordem: comunicar, conter (retirar da rede), telefonar ao banco em caso de dinheiro, alterar a palavra-passe a partir de um dispositivo limpo, terminar sessões e verificar a conta (sobretudo regras de reencaminhamento), denunciar e reencaminhar, avaliar se há fuga de dados.
• Reencaminhe e-mails falsos como anexo para as autoridades competentes, com a marca em causa em cc; sms e mensagens de chat através do canal próprio de denúncia. Em caso de prejuízo: apresente queixa à polícia.
• Verifique novamente ao fim de uma semana.

Questionário

Exercício

Exercício A3.5: O mapa de passos depois de um clique. Recebe uma situação e um conjunto de cartões com passos. Escolha quais os passos necessários e coloque-os pela ordem correta. O programa verifica e explica porque é que um passo deve vir antes ou depois.

Ler mais

Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; com outros fornecedores, o funcionamento é semelhante.

• Este email é mesmo da WebOké? Como reconhecer phishing e utilizar o código de promoção
• Caixa de correio comprometida ou envio de spam a partir do seu endereço: saiba como resolver
• Manual do WebOké 3.6: Ver e terminar sessões ativas
• Manual DirectAdmin 3.7: Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe
• Diretiva NIS2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• ENISA: https://www.enisa.europa.eu/
• Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt/