Como funciona uma mensagem de phishing

Módulo 3: Reconhecer phishing · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Depois desta lição, consegue reconhecer os truques psicológicos e as características fixas de uma mensagem de phishing, mesmo quando o texto não tem erros, e reage com o reflexo parar, verificar, perguntar.
Conceitos-chave: urgência, autoridade, medo, curiosidade, recompensa, pretexto, phishing escrito por IA, o reflexo de "parar, verificar, perguntar"

O phishing é uma história, não uma técnica

Phishing é uma mensagem que o leva a fazer algo que é bom para o remetente e mau para si: clicar numa ligação, iniciar sessão numa página falsificada, abrir um anexo, fazer um pagamento ou fornecer um código. A técnica por trás disso costuma ser simples. O que faz o trabalho é a história.

Essa história chama-se pretexto: um motivo credível. "A sua encomenda não pôde ser entregue." "A sua caixa de correio está cheia." "Há uma fatura por pagar." "A sua conta vai ser bloqueada." Um bom pretexto adapta-se à sua situação. Uma padaria recebe um e-mail sobre um fornecedor de farinha, um escritório de advogados sobre uma citação judicial, uma loja online sobre um pagamento bloqueado.

O objetivo é quase sempre um destes quatro:

No último caso, não acontece nada de grave no momento. "Quem é que trata dos pagamentos na vossa empresa?" parece uma pergunta normal. Mas com a resposta, o atacante pode mais tarde enviar um e-mail muito mais convincente, dirigido exatamente a essa pessoa. Isto chama-se spear phishing (lição 1.2).

Os cinco botões em que o phishing carrega

O phishing funciona porque o leva a agir antes de pensar. Para isso, carrega em alguns botões fixos na nossa cabeça. Quase todas as mensagens de phishing usam pelo menos dois.

1. Urgência. "Dentro de 24 horas", "ainda hoje", "último aviso". A pressão do tempo é o truque mais importante, porque assim não tem tempo para verificar.
2. Autoridade. A mensagem parece vir de alguém que você leva a sério: o banco, a Autoridade Tributária, o diretor, a polícia, o seu fornecedor de alojamento, um advogado.
3. Medo. A sua conta vai ser bloqueada, vai receber uma multa, os seus dados foram expostos numa fuga de dados, o seu domínio está a expirar, houve uma invasão na sua conta.
4. Curiosidade. "Veja as fotografias do evento", "recebeu um documento partilhado", "tem uma mensagem de voz à sua espera", "resumo_salarios_2026.pdf".
5. Recompensa. Um reembolso, um vale-presente, um prémio ganho, uma atualização gratuita, uma grande encomenda de um novo cliente.

Atenção: estes botões também aparecem em mensagens verdadeiras. Uma fatura verdadeira tem uma data de vencimento, um banco verdadeiro envia por vezes um aviso. Um único truque não torna, portanto, uma mensagem falsa. Ela torna-se suspeita quando a pressão é elevada e a mensagem pede algo que normalmente não faria.

Características fixas, independentemente do texto

Além dos truques, as mensagens de phishing têm algumas características que quase sempre se repetem:

• Uma ordem para fazer algo agora (chamada à ação): um botão, uma ligação, um anexo, um número de telefone para ligar.
• Um canal que não se adequa. O seu banco pede por e-mail para iniciar sessão, o seu fornecedor pede por WhatsApp um pagamento, o seu colega pede por sms vales-presente.
• Um pedido que não se adequa. Fornecer uma palavra-passe ou um código de início de sessão, alterar um IBAN, fazer um pagamento fora do procedimento habitual, instalar software a pedido de alguém que ligou.
• Uma anomalia no remetente ou na ligação. O endereço ou a ligação não pertence exatamente à organização que esperava. Como ler isto em detalhe, aprende nas lições 3.2 e 3.3.
• Pedido de sigilo ou de contornar o procedimento. "Não fales disto aos outros por enquanto", "estou numa reunião, não me ligues", "faz isto um pouco à margem do sistema".

A última característica é o sinal mais forte na fraude do CEO e na fraude de faturas: um diretor verdadeiro não tem qualquer interesse em que você salte o controlo normal.

Porque é que os erros ortográficos já não são um bom sinal

Antigamente, reconhecia o phishing por português incorreto, saudações estranhas e formatação pouco cuidada. Isso já não funciona. Com modelos de linguagem (IA), um atacante escreve em poucos segundos um e-mail sem erros, simpático, em qualquer idioma, no estilo da organização que está a imitar. O NCSC neerlandês também alerta que o phishing feito com IA se torna mais difícil de reconhecer: menos erros de linguagem e páginas de início de sessão com um aspeto cada vez mais autêntico.

A isto acresce que o phishing por vezes vem de uma caixa de correio verdadeira. Se a caixa de correio de um fornecedor foi comprometida, o atacante responde simplesmente dentro de uma troca de e-mails já existente, com a assinatura, o tom e as mensagens anteriores incluídas. Isto chama-se thread hijacking (sequestro de conversação). O remetente, a formatação e o idioma são, nesse caso, todos autênticos. Só o pedido é que não bate certo: "Temos uma nova conta bancária, pode pagar a fatura em aberto nessa conta?"

Por isso, não olhe para o aspeto da mensagem, mas sim para o que ela lhe pede. Raramente se reconhece o phishing por uma única característica, mas sim pelo conjunto.

O reflexo: parar, verificar, perguntar

Não precisa de conhecer todos os truques. Precisa de um único reflexo que usa sempre que uma mensagem lhe pede algo.

Parar. Sente pressa, susto, curiosidade ou alegria? É precisamente esse o momento para não clicar. Ponha a mensagem de lado por um instante. As organizações verdadeiras dão quase sempre tempo suficiente para verificar.

Verificar pela sua própria via. Não continue através da própria mensagem. Não clique na ligação, não ligue para o número indicado na mensagem e não responda ao e-mail. Vá você próprio ao site através dos seus favoritos ou escrevendo o endereço, ou ligue para um número que já tinha (a sua própria contabilidade, o verso do seu cartão bancário, o site oficial). A fatura existe realmente? A encomenda está mesmo a caminho?

Perguntar. Se ainda tiver dúvidas, pergunte a um colega ou à pessoa que alegadamente enviou a mensagem, através de outro canal. Combine com a sua equipa que esse tipo de pergunta nunca é incómoda. É melhor perguntar dez vezes desnecessariamente do que pagar uma vez indevidamente.

Este reflexo também funciona perante um e-mail perfeito vindo de uma caixa de correio pirateada. A verificação pela sua própria via contorna completamente o atacante, pois ele não está nos seus favoritos nem ao telefone do seu fornecedor.

Na prática: é assim que se apresenta

Três mensagens recriadas que a Padaria Example (info@example.com) recebe numa única manhã. Todos os nomes são inventados.

Mensagem 1: a encomenda

De: Serviço de Entregas <service@koeriersdienst-track.example>
Assunto: Entrega falhada: ação necessária
Caro cliente, tentámos hoje entregar uma encomenda. O endereço estava incompleto. Agende uma nova entrega dentro de 48 horas e pague os custos de reentrega de 1,95 euros, caso contrário a encomenda será devolvida ao remetente.

Truques: urgência (48 horas), medo (devolução da encomenda), um valor pequeno para não pensar duas vezes. O objetivo são os dados do seu cartão. Verificação: está à espera de uma encomenda? Procure a encomenda através do site ou da aplicação da própria transportadora.

Mensagem 2: o fornecedor

De: Fornecedor de Farinha <administratie@leverancier.example>
Assunto: RE: fatura 2026-0412
Olá, conforme combinado, aqui está a fatura. Atenção: devido a uma mudança de banco, a partir de agora, por favor pague para a nossa nova conta bancária. Pode fazer isso ainda hoje? Assim conseguimos agendar a entrega de sexta-feira.

Truques: autoridade (fornecedor conhecido, troca de e-mails já existente), urgência, recompensa (a entrega). O remetente pode ser autêntico: a caixa de correio do fornecedor pode ter sido comprometida. Verificação: ligue ao fornecedor para o número que consta na sua própria contabilidade, não para o que consta neste e-mail.

Mensagem 3: o programa de contabilidade

De: Programa de Contabilidade <noreply@boekhoudpakket.example>
Assunto: A sua subscrição vai ser suspensa
Não conseguimos processar o seu último pagamento. Inicie sessão dentro de 24 horas para atualizar os seus dados de pagamento, caso contrário perde o acesso à sua contabilidade.
[Entrar]

Truques: medo, urgência, autoridade. Se o remetente é verdadeiro, lê-se na lição 3.3; para onde o botão leva, na lição 3.2. Verificação: abra você próprio a aplicação ou os seus favoritos do programa de contabilidade. Se lá não houver nenhum aviso, o e-mail é falso.

Resumo

• O phishing funciona através de uma história (pretexto) adaptada a si, com o objetivo de obter dados de início de sessão, dinheiro, acesso ao seu dispositivo ou informação.
• Os cinco botões: urgência, autoridade, medo, curiosidade e recompensa. Normalmente são dois ou mais ao mesmo tempo.
• Os erros ortográficos já não são uma característica fiável: a IA escreve e-mails sem erros e caixas de correio pirateadas enviam mensagens autênticas.
• Observe o que uma mensagem lhe pede e através de que canal, não o seu aspeto.
• Reflexo: parar, verificar pela sua própria via, perguntar em caso de dúvida.

Questionário

Exercício

Exercício A3.1: Reconhecer truques. Recebe seis mensagens recriadas. Escolha para cada mensagem quais truques contém (urgência, autoridade, medo, curiosidade, recompensa) e o que faria: simplesmente tratar do assunto, ou primeiro verificar pela sua própria via. O programa corrige as suas respostas e explica, para cada mensagem, o que não detetou.

Para saber mais

Os passos indicados nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.

• Este email é mesmo da WebOké? Como reconhecer phishing e utilizar o código de promoção
• Centro nacional de cibersegurança neerlandês (NCSC), Como reconheço um e-mail de phishing?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Centro nacional de cibersegurança neerlandês (NCSC), Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Para denunciar fraude e phishing, dirija-se à polícia.