São dez da manhã e uma colega do financeiro chega na sua mesa com cara de preocupada. Recebeu um e-mail que parecia da Microsoft avisando que a caixa de entrada estava cheia, clicou no link, digitou usuário, senha e até o código que chegou no celular. A página ficou carregando, e foi aí que ela percebeu que tinha algo errado. Isso é phishing em empresas, e acontece com negócios de todos os tamanhos, até com quem tem um bom profissional de TI. Mantenham a calma: o fato de ela ter contado na hora é a melhor coisa que podia acontecer, porque nas primeiras horas dá para fechar a porta antes que alguém a use.
Explicamos o que fazer hoje mesmo se um funcionário da sua empresa digitou a senha num site falso, como saber se os golpistas chegaram a entrar, quem avisar e como evitar que aconteça de novo. Se o que aconteceu é que já usaram o e-mail de vocês e os clientes pagaram outra conta, explicamos em e-mail da empresa invadido, e se foi a sua empresa que pagou uma cobrança falsa de um fornecedor, em golpe do boleto falso em empresas.
Resposta rápida
Se um funcionário digitou a senha num site falso: troquem a senha num aparelho seguro (e em qualquer serviço onde ela se repita), encerrem todas as sessões abertas e revisem a verificação em duas etapas. Procurem regras de encaminhamento, acessos estranhos ou e-mails enviados que ninguém escreveu, e registrem tudo antes de apagar. Se a conta mexe com pagamentos ou com o banco, liguem para o banco (se houve Pix, peçam o MED). Registrem o B.O. e, se puderam ver dados pessoais, avaliem comunicar a ANPD em até 3 dias úteis.
Neste artigo
- O que aconteceu quando um funcionário cai em phishing
- Primeiro: o funcionário precisa poder contar sem medo
- As primeiras horas: o que fazer se um funcionário caiu em phishing
- Sinais de que a conta chegou a ser usada
- Guardem as provas antes de limpar
- Registrar a ocorrência e avisar quem precisa saber
- Se já houve pagamentos ou saída de dinheiro
- Como evitar que o phishing entre de novo na sua empresa
- Quando pedir ajuda profissional
O que aconteceu quando um funcionário cai em phishing
Phishing é o golpe que usa uma mensagem falsa para fazer alguém entregar o acesso. O nome vem de fishing, pescar em inglês: a mensagem é a isca e o site falso, o anzol. Na empresa, a isca quase nunca parece golpe. As mais comuns são «sua caixa de entrada está cheia», «sua senha expirou», um documento compartilhado esperando por você, uma fatura para conferir ou um aviso de entrega.
O link leva a uma página que imita o Microsoft 365, o Google ou o webmail da empresa, e o que se digita ali vai direto para os golpistas. O que muita gente não sabe é que alguns desses sites falsos funcionam como intermediários: repassam na hora o usuário, a senha e o código de verificação para o site verdadeiro e ficam com a sessão já aberta. Por isso só trocar a senha não basta, e por isso é preciso encerrar as sessões, como você vai ver mais abaixo.
Com esse acesso eles podem ler os e-mails, olhar arquivos compartilhados, mandar mensagens para colegas e clientes de um endereço verdadeiro ou preparar uma fraude maior. Parece grave, mas se vocês reagirem hoje, na maioria das vezes fica só no susto.
Phishing e fraude BEC não são a mesma coisa
Muita gente confunde, e vale separar porque muda o que fazer. Phishing é o golpe para roubar o acesso. A fraude BEC (business email compromise, e-mail corporativo comprometido) é o que pode vir depois: usar esse e-mail da empresa, ou um que o imita, para pedir uma transferência, uma troca de dados bancários ou dados de clientes. Uma senha roubada num site falso é uma das portas de entrada mais comuns para invadir o e-mail de uma empresa. Se vocês cortam o phishing a tempo, o normal é que o BEC nem chegue a acontecer.
Primeiro: o funcionário precisa poder contar sem medo
Antes de mexer em qualquer coisa, conversem com quem clicou, e sem bronca. Vocês precisam de todos os detalhes, e isso só acontece se a pessoa não sentir que vai ser apontada como culpada. O que mais protege uma empresa é que as pessoas avisem rápido, mesmo depois de terem clicado.
Perguntem o que exatamente ela digitou (só a senha, também o código, dados do banco ou de cartão), em que página, a que horas e em qual aparelho, e se baixou ou abriu algum arquivo. Peçam para não apagar o e-mail: vocês vão precisar dele.
As primeiras horas: o que fazer se um funcionário caiu em phishing
Aqui cada hora conta, mas não é preciso entender tudo para começar. Se vocês têm um profissional de TI ou uma empresa que cuida do e-mail, liguem agora e façam isto junto com eles:
- Troquem a senha num aparelho seguro. Um que vocês saibam que está limpo, não o do funcionário. O Ministério da Justiça recomenda trocar as senhas de e-mail, redes sociais e contas bancárias usando um aparelho seguro, e vale para qualquer serviço onde a mesma senha se repita, porque os golpistas vão testá-la em todo lugar. A senha nova não vai por e-mail, porque essa caixa pode estar comprometida.
- Encerrem todas as sessões abertas. No Microsoft 365, no Google Workspace e na maioria dos serviços dá para forçar a saída em todos os aparelhos. A Microsoft explica que revogar as sessões ativas invalida na hora o acesso obtido com as credenciais roubadas. Se puderem, bloqueiem a conta por um tempo enquanto revisam.
- Revisem a verificação em duas etapas. Se não estava ativada, ativem agora. Se estava, vejam quais métodos estão cadastrados na conta (telefones, apps autenticadores) e removam qualquer um que não seja do funcionário. A Microsoft orienta remover métodos de MFA não reconhecidos, porque às vezes os golpistas cadastram o deles para poder voltar.
- Procurem as portas dos fundos. Regras de encaminhamento ou filtros que ninguém criou, encaminhamento automático para um endereço de fora, permissões de outras pessoas sobre a caixa e aplicativos conectados à conta que ninguém reconhece. Façam capturas de tela e anotem tudo antes de apagar, para não perder as provas.
- Vejam o que fizeram lá dentro. Os registros de login mostram de onde e quando entraram. Olhem também os e-mails enviados e excluídos e, se a conta acessa pastas compartilhadas, o que foi aberto ou baixado.
- Se o funcionário baixou ou abriu algo, tirem esse aparelho da rede até alguém que entenda dar uma olhada, e não formatem ainda, porque também é prova. Uma varredura completa com o antivírus atualizado ajuda.
- Se esse acesso mexe com dinheiro, liguem para o banco. Se o funcionário acessa o internet banking da empresa, digitou dados bancários no site falso ou há pagamentos pendentes, liguem para o banco pelo canal oficial, contem o que aconteceu e peçam para monitorar ou bloquear operações. Avisem também o financeiro para não atender nenhuma troca de conta nem pagamento urgente que chegue por e-mail nos próximos dias.
- Avisem a equipe. Uma mensagem curta para ninguém clicar no mesmo e-mail, que costuma chegar a várias pessoas ao mesmo tempo. E se saíram e-mails estranhos dessa conta, avisem também os clientes ou fornecedores que os receberam.
Dica Kironic
Abram um documento e anotem cada passo com o horário: quando o funcionário clicou, quando a senha foi trocada, que regras vocês encontraram, para quem ligaram. Leva dez minutos e vai servir para o B.O., para a ANPD, para o banco e para o seguro, se tiverem.
Sinais de que a conta chegou a ser usada
Às vezes o funcionário avisa tarde, ou nem percebe, e é outra pessoa que nota algo estranho. A Microsoft lista vários sinais típicos de uma conta de e-mail comprometida, e estes são os que mais aparecem em pequenas empresas:
- Logins de outro país ou de aparelhos que ninguém reconhece.
- Regras que encaminham e-mails para fora ou que movem mensagens para pastas que ninguém olha, como «RSS» ou «Itens Excluídos».
- E-mails em Enviados que ninguém escreveu, ou e-mails que somem da caixa de entrada.
- Clientes ou colegas perguntando sobre uma mensagem estranha que receberam dessa conta, muitas vezes outro phishing.
- A conta bloqueada para enviar e-mails ou trocas de senha que ninguém pediu.
Se depois de revisar vocês não encontraram nada disso e encerraram as sessões a tempo, o mais provável é que tenham barrado o ataque. Mesmo assim, fiquem de olho na conta por algumas semanas, porque às vezes os golpistas esperam antes de tentar de novo.
Guardem as provas antes de limpar
É normal querer apagar o e-mail falso e deixar tudo como antes, mas façam isso com ordem. Exportem o e-mail original em formato .eml ou .msg, que conserva os cabeçalhos (a parte técnica que mostra de onde ele saiu de verdade), guardem o endereço do site falso sem abrir de novo e façam capturas das regras, dos acessos e dos e-mails enviados.
Os provedores de e-mail só guardam os registros de acesso por um tempo, então, se o caso tem cara de que vai crescer, vale a pena um perito em forense digital fazer uma cópia da conta e dos registros. Ele faz isso de um jeito que depois ninguém possa dizer que foi manipulado, com uma espécie de impressão digital de cada arquivo chamada hash. Explicamos o que faz um perito em perito forense digital e criptomoedas. Bem preservadas, essas provas ajudam a descobrir por onde entraram e a defender a sua empresa.
Registrar a ocorrência e avisar quem precisa saber
O boletim de ocorrência
Invadir a conta de outra pessoa é crime mesmo que ainda não tenha saído dinheiro, então vale registrar o B.O. na Polícia Civil, presencialmente ou pela delegacia virtual do seu estado. Levem o e-mail exportado, o endereço do site falso, as capturas e a cronologia. Se houve pagamentos, o B.O. é ainda mais importante, porque ajuda o banco a pedir o bloqueio. Explicamos o passo a passo em como denunciar golpe online.
A ANPD, se puderam ver dados pessoais
Se com esse acesso os golpistas puderam ver dados pessoais de clientes, funcionários ou fornecedores (nomes, telefones, holerites, contratos), isso é um incidente de segurança com dados pessoais. A LGPD (art. 48) obriga a empresa a comunicá-lo à ANPD e aos titulares quando puder causar risco ou dano relevante, e a regulamentação da ANPD fixa o prazo de 3 dias úteis.
É uma obrigação séria, mas dá para cumprir sem drama. Comunicar a tempo mostra diligência, e se no fim não for necessário comunicar, registrem por escrito o que aconteceu e o que foi feito.
Se já houve pagamentos ou saída de dinheiro
Se nestas horas saiu dinheiro da empresa, ou algum cliente pagou uma conta que não é a de vocês, liguem para o banco o quanto antes. Fiquem tranquilos, porque aqui há margem: se foi por Pix, o MED do Banco Central existe justamente para tentar devolver valores em caso de golpe, e quanto antes for acionado, maior a chance. Se o dinheiro ainda está na conta de destino, ele pode ser bloqueado, e em muitos casos é recuperado, principalmente quando se age nas primeiras horas.
Imagine um escritório de contabilidade com quinze pessoas. Numa terça-feira, um funcionário digita a senha num falso aviso de documento compartilhado. Na mesma tarde alguém entra no e-mail dele, cria uma regra que esconde as respostas e manda para um cliente um aviso de troca de conta. Se no dia seguinte o pessoal de TI vê a regra, encerra as sessões, liga para o cliente antes que ele pague e registra o B.O., tudo fica no susto. E se o cliente já tinha pago, avisar o banco dele na mesma manhã dá boas chances de segurar o dinheiro.
Explicamos com mais detalhes como recuperar uma transferência em como recuperar dinheiro de golpe.
Como evitar que o phishing entre de novo na sua empresa
Alguém clicar num link falso algum dia é quase inevitável, porque os e-mails estão cada vez mais bem feitos. O que está nas mãos de vocês é que, quando acontecer, isso não sirva para nada.
Para prevenir, não deixem a senha ser a única chave. Ativem a verificação em duas etapas em todas as contas, inclusive na do dono e nas genéricas tipo «contato@» ou «financeiro@», e quando der, usem um app autenticador ou uma chave de segurança em vez do SMS, que são mais difíceis de enganar. E não deixem as senhas se repetirem entre o e-mail e outros serviços: um gerenciador de senhas facilita muito.
Mostrem para a equipe, com exemplos reais, que nenhum aviso de «caixa cheia» ou «senha expirada» se resolve clicando num link do e-mail. Se precisar entrar em algum lugar, digita-se o endereço ou usa-se o app de sempre. E deixem bem claro que avisar nunca dá problema: o funcionário que diz «acho que fiz besteira» cinco minutos depois poupa um trabalho enorme para a sua empresa. O mesmo truque chega cada vez mais por SMS ou por ligação no celular do trabalho, então vale a pena ler como funcionam o golpe do SMS falso e o golpe da falsa central.
Por dentro, peçam a quem cuida da TI para ativar a filtragem de e-mails e os alertas de login suspeito, revisar de tempos em tempos as regras de encaminhamento e as permissões, e configurar SPF, DKIM e DMARC no domínio, para dificultar que outros mandem e-mails se passando por vocês. E para o dinheiro, um hábito simples: nenhum pagamento urgente e nenhuma troca de conta é aprovada só por e-mail, sempre com uma ligação para um número que vocês já tinham.
Quando pedir ajuda profissional
Se vocês não sabem por quanto tempo os golpistas ficaram lá dentro, se saíram e-mails para clientes dessa conta, se havia dados pessoais sensíveis ou se já saiu dinheiro, vale a pena uma avaliação profissional o quanto antes. Um perito em forense digital pode preservar a conta e os registros e descobrir por onde entraram e o que levaram, e um advogado pode ajudar com o B.O., a ANPD, o banco e os clientes afetados.
Somos advogados e peritos especialistas em golpes online, criptomoedas e crimes informáticos, e cada caso é sempre atendido por um advogado ou um perito. Envie o que vocês tiverem, mesmo que esteja bagunçado: o e-mail falso, o endereço do site onde a senha foi digitada, as capturas e a cronologia. Analisamos de graça e dizemos o que fazer hoje e quais são os próximos passos. Em muitos casos o dinheiro é recuperado, principalmente quando se age rápido. Na Kironic fazemos todo o possível para recuperar o seu dinheiro.
Um último aviso: depois de um incidente assim, às vezes aparecem «empresas de recuperação» que garantem 100% em troca de um pagamento antecipado. Costuma ser o segundo golpe. Explicamos como reconhecer em golpe do falso advogado e falsas empresas de recuperação.
