O esquema de email tão sofisticado que engana até profissionais de TI (reconhece isto?)

Uma linha de assunto inofensiva, daquelas que já viu mil vezes: “Acompanhamento do contrato”. O logótipo está no sítio certo, o remetente é alguém que conhece, e por baixo há uma cadeia de mensagens que parece coisa sua, escrita há um mês. Dá um gole de chá e deixa o e-mail passar pelas defesas porque tem ar de rotina, não de problema. O golpe é básico: recusa-se a parecer um golpe, ao ponto de se sentir ridículo por sequer pensar na palavra “burla”. Pede-lhe algo mínimo, quase sem esforço. Você expira, clica e segue o dia. É precisamente por isso que este tipo é perigoso: não faz barulho, confunde-se com o quotidiano e desafia-o a reparar no que não bate certo.

O dia em que até os peritos caíram

O Sam é a pessoa a quem toda a gente recorre quando o portátil decide “não colaborar” ou quando a impressora entra em modo guerra. Diverte-se a denunciar simulações de phishing, apanha gralhas em domínios falsos a metros de distância e, uma vez, travou um falso início de sessão da Microsoft só com um olhar desconfiado. Na terça-feira, pouco depois de almoço, aprovou um “pequeno ajuste de fornecedor” que não era pequeno - e não era de fornecedor nenhum. Durante três dias, repetimos para nós próprios que aquilo não podia ter acontecido: não a ele, não connosco. Aconteceu.

A mensagem não vinha de um endereço acabado de criar. Chegou de uma conta real e encaixou numa conversa verdadeira, daquelas que se perdem na cauda longa de um projecto, com nomes conhecidos a aparecerem ao longo do histórico. O pedido parecia insignificante: confirmar o acesso a uma nova ferramenta de documentos que, alegadamente, tinha sido “normalizada em toda a região”. Havia um link - e, à primeira vista, não tinha nada de estranho. Nem precisava.

Mais tarde soubemos que a caixa de correio do fornecedor tinha sido comprometida semanas antes, e que alguém entrou na conversa a meio, como se continuasse a frase. Os criminosos fizeram o papel de bibliotecários: recolheram tom, cadência, horários e até quem termina com “cumprimentos” e quem prefere “obrigado”. Esperaram pelo instante certo para lançar um pedido que soava a algo “há muito combinado”. Confiámos na voz porque era a nossa voz - apenas baralhada.

Porque é que este phishing funciona: a anatomia de uma falsificação perfeita

A página onde o Sam aterrou era uma cópia quase total do nosso portal de início de sessão único (SSO). O domínio diferia por um detalhe mínimo, o tipo de letra parecia um pouco mais fino, e o cadeado do browser brilhava como sempre. Ele escreveu as credenciais porque toda a gente escreve as credenciais. Em seguida, surgiu o pedido do código de autenticação multi-fator (MFA) e ele introduziu-o - porque, na maior parte dos dias, é isto que “boa segurança” parece ser.

O que não vimos foi o mecanismo de retransmissão: enquanto ele digitava, eles digitavam; quando ele aprovava, eles aprovavam. Em vez de roubarem a palavra-passe, emitiram tokens, e isso permitiu-lhes passar pelas defesas como água por entre canas entrançadas. É aqui que a ideia de que a MFA é um escudo mágico morre sem alarido. A realidade é bem menos limpa.

Quando, mais tarde, analisámos os registos, surgiu o detalhe revelador: um IP desconhecido com uma confiança estranhamente familiar, a sincronizar caixas de correio a que não devia tocar. Também percebemos que um consentimento OAuth “arrumadinho” tinha passado - dando a uma aplicação “de produtividade” chaves para ficheiros que nunca imaginámos precisar de trancar. O e-mail foi apenas o prólogo. As permissões foram a peça principal.

Um reforço que passou a fazer diferença foi tratar consentimentos e tokens como superfícies de ataque de primeira linha. Rever, com periodicidade definida, as aplicações com consentimento OAuth, reduzir âmbitos (scopes) ao mínimo e bloquear aprovações fora de listas autorizadas (allowlist) corta o “teatro” do início de sessão antes de ele começar. E, sempre que possível, autenticação resistente a phishing (por exemplo, chaves FIDO2/WebAuthn) diminui drasticamente o valor destes truques de retransmissão.

Conversas sequestradas vs. phishing “a frio”

O phishing “a frio” é como um desconhecido a chamar por si numa estação: ouve, estranha e segue caminho. Já uma conversa sequestrada é um colega a terminar-lhe a frase e a conduzi-lo para a plataforma errada. É por isso que a burla pesa: a cadeia existe, os nomes existem, o tom existe. E, nesse cenário, onde é que coloca a desconfiança?

Quando o atacante opera dentro de uma thread de confiança, o SPF passa, o DKIM valida e os avisos de segurança ficam calados. A filtragem foi desenhada para medir o que vem de fora; aqui, o intruso entra com a chave da porta da frente. Há uma ideia simples - e desconfortável - a reter: proveniência não é o mesmo que intenção. A mensagem pode ser autêntica na origem e, ainda assim, ser uma emboscada.

Os truques que não antecipamos

Passamos a vida a procurar links falsos e, entretanto, falha-nos o ecrã de consentimento sorrateiro que parece uma aprovação rotineira de uma app. O aviso diz “Esta aplicação quer ler o seu correio e os seus ficheiros”, e o cérebro responde: “Pois claro, para isso é que serve.” Está com pressa, as costas doem por causa de uma cadeira que não perdoa, e você aceita porque a reunião começa em seis minutos. Isso não é negligência. É a vida a encontrar as fendas da política.

Os códigos QR em e-mails tornaram-se outro clássico. “Digitalize para ver a sua mensagem segura”, diz o texto, com uma imagem limpa num canto, moderna e “certinha”. O salto leva a um login envenenado que o telemóvel tende a confiar um pouco mais - é o seu telemóvel, o seu hábito, o seu dedo a tocar em “permitir”. Sem alarmes, só armadilhas discretas.

Os ataques por cadeia de resposta ficam ainda mais turvos quando incluem anexos de voicemail, aqueles que soam a um responsável a pedir números. O áudio vem cortado, ligeiramente metálico, mas suficientemente plausível às 17h, quando só quer sair. Clica, ouve, e depois pedem credenciais para descarregar o “ficheiro em qualidade total”. Cada passo é propositadamente aborrecido.

E há ainda o jogo da “fadiga de MFA”: notificação, notificação, notificação, até o relógio vibrar sem parar e você aprovar só para acabar com o ruído. O atacante não precisa adivinhar o código; precisa apenas que você seja humano. Tão normal que parece até indelicado duvidar - é esse o ambiente que eles fabricam.

Um momento de honestidade

Todos já vivemos aquela fase em que a caixa de entrada fica indomável e fazemos uma promessa solene: vou abrandar, ler com atenção, verificar links como se tivesse uma lupa. Depois chega a hora seguinte e a promessa dissolve-se. Sendo francos: ninguém inspeciona todos os URLs, confirma todos os cabeçalhos e telefona a todos os remetentes todos os dias. É heróico no papel e impraticável na vida real.

A parte que dói - e consola - ao mesmo tempo é esta: equipas fortes são enganadas porque a fraude imita equipas fortes. Soa a colaboração, a procedimento, a “como nós trabalhamos”. Os criminosos não derrubam a firewall; aproveitam-se dos hábitos. Não estamos a falhar; estamos a ser visados por profissionais.

Reconheça o padrão: pedidos pequenos, urgência real, tom seguro (phishing em cadeia)

Quase nunca começa com “transfira o dinheiro já” ou “reponha a palavra-passe urgentemente”. Primeiro vem um pedido suave: consegue pré-visualizar isto? Pode confirmar o acesso para os auditores? Dá para activar esta app para alinharmos com o outro site? O tom é organizado, simpático, quase a pedir desculpa. A urgência não grita; tem formato de calendário: “antes da reunião das 15h”, “antes de fechar o processamento salarial”, “antes do fim-de-semana”.

Às vezes, o sinal está precisamente na ausência de atrito. Ninguém coloca uma pergunta de seguimento. Toda a gente na thread parece estranhamente de acordo. Não há gralhas porque o texto foi “roubado” de si. Você não vê um pedido a violar a política; vê um pedido que a “aperfeiçoa”. As burlas a sério raramente gritam.

E nem sempre há sequer um link para clicar. O anexo pode ser um site de ficheiro único que abre no browser como se fosse um “documento”. O pedido de consentimento pode ser um ecrã real da Microsoft ou da Google - só que para uma aplicação clonada com um nome tranquilizador. Você não sente que está a quebrar regras; sente que está a seguir um caminho feito de propósito para si.

O que acabou por salvar o dia

Não percebemos no momento. Demos por isso quando a equipa de Finanças estranhou uma factura com uma conta bancária que não batia certo com a do trimestre anterior. O modelo era igual, a despedida era igual, o “por favor” e o “obrigado” estavam lá. A diferença era mínima: um novo IBAN, escondido numa mensagem reencaminhada num sítio onde ninguém devia ter reencaminhado nada.

A partir daí, o rasto foi intenso: um conjunto de regras de caixa de correio a empurrar mensagens para arquivo, uma nova regra a desviar e-mails de “verificação” para uma pasta chamada Notas, e um início de sessão a partir de um país que nenhum de nós conseguiu identificar à primeira. O nosso EDR alertou-nos, meio a queixar-se, sobre actividade de tokens que “não cheirava bem”. Cortámos acessos, reiniciámos sessões, revogámos consentimentos e voltámos a ligar a pessoas como se estivéssemos em 2004.

Foi uma gestora de projecto júnior que evitou a perda de uma boa quantia por fazer o que já parece fora de moda. Pegou no telefone e ligou ao fornecedor usando um número guardado num PDF antigo - não o que vinha na assinatura do e-mail. Do outro lado, houve um silêncio, um palavrão dito baixo e a frase: “Fomos hackeados.” É a frase que ninguém quer ouvir e a única que, finalmente, põe toda a gente na mesma sala.

Como continuar humano e, ainda assim, seguro

Não precisamos de capas; precisamos de hábitos que caibam em dias reais. Uma equipa implementou a regra dos “dois pares de olhos” para tudo o que mexe com dinheiro ou permissões: alguém tem de ver, mesmo que pareça um detalhe. Outra criou uma lista de contactos que vive fora do e-mail, com números verificados sem pressa, à luz do dia - para ninguém andar à caça de contactos sob pressão. Não é perfeito; é exequível.

Aprendemos a valorizar quem atrasa uma tarefa para a confirmar, em vez de resmungar sobre “processo”. Isso muda tudo. Quando o “estar ocupado” é tratado como bravura, a pressa é premiada; quando o cuidado é visto como profissionalismo, fazer uma pausa torna-se normal. A lentidão é uma funcionalidade de segurança.

E, por vezes, o melhor controlo é social: uma mensagem rápida no Slack a perguntar “Foste mesmo tu que enviaste isto?” ou um gesto para o colega ao lado para validar se a página de login parece errada. Começámos a manter uma lista interna curta, uma espécie de “sala de espelhos”, com os truques mais recentes que vimos - escrita como mexerico: engraçada, incisiva, memorável. A cultura vence documentos longos de política que ninguém lê. E é mais humana.

Também ajuda definir um caminho simples para reportar suspeitas sem medo de julgamento: um botão de “Reportar phishing” no cliente de e-mail, um canal dedicado e um compromisso claro de resposta. Quanto mais fácil for levantar a mão, mais cedo se interrompe a cadeia - e menos provável é que a vergonha faça as pessoas esconderem sinais.

O pós-incidente silencioso

Depois dos alarmes e das chamadas intermináveis com seguradoras, o escritório ficou estranhamente “limpo”. Cabos enrolados no sítio, o cheiro a pó quente de um reinício de servidores a demorar mais do que devia a desaparecer. As pessoas falavam mais baixo, e o som das teclas parecia mais pesado, como se cada toque contasse. A vergonha tentava infiltrar-se e tivemos de a expulsar de propósito. Aos atacantes nada lhes dá mais jeito do que ver-nos a virar uns contra os outros.

Construímos uma linha temporal, apontámos tudo, e fizemos um esforço consciente para não reescrever a história de modo a parecermos mais espertos do que fomos. O que mais impressiona é a paciência dos criminosos: sentaram-se dentro das conversas, aguardaram que o trabalho normal lhes oferecesse uma narrativa pronta e, depois, pediram o favor mais pequeno. Nada de vilões de banda desenhada - apenas técnica.

E é técnica que teremos de pôr do outro lado. Não mais medo, nem diagramas com caixas maiores, mas perguntas melhores no momento certo. Este pedido encaixa no que fizemos da última vez? Eu sentir-me-ia ridículo por ligar e confirmar? Se a resposta lhe soar a “sim”, então que seja “sim”.

Os pequenos rituais que realmente ajudam

“Ritual” parece uma palavra estranha para segurança, mas assenta bem. Um mini check-up antes de partilhar credenciais ou aprovar uma app nova. Não é uma auditoria; é um minuto de atenção. Diga o nome da aplicação em voz alta. Leia o domínio em voz alta também. Se as palavras “não soarem bem”, é provável que a página também não esteja bem.

Guarde um “ficheiro de coisas estranhas” pessoal. Cole capturas de ecrã de pedidos de consentimento, páginas de início de sessão e facturas que pareceram suspeitas mas afinal eram legítimas. Vai construir um radar privado que corta o ruído. Os padrões saltam à vista quando tem uma parede de exemplos. E, sim: fotografe os números de telefone em que confia e guarde-os onde o e-mail não chega.

Façam par para permissões. Se um e-mail lhe pedir para conceder a uma aplicação acesso ao correio ou a ficheiros, ligue ao seu “par” e façam juntos com ecrã partilhado. Um lê os âmbitos (scopes), o outro verifica a data de registo do domínio da app. Soa nerd - e é -, mas transforma segundos de dúvida num pequeno desporto de equipa. Depois riem-se, e o riso cola a prática.

Porque é que a burla parece pessoal

Há um motivo para este tipo de ataque bater mais fundo do que o antigo “Exmo. Senhor” mal escrito. Ele percebe como trabalhamos e do que nos orgulhamos. Usa assinaturas limpas, modelos bem cuidados, o ritmo das nossas semanas. O Sam não caiu por ignorância. Caiu porque sabia exactamente como as coisas costumam funcionar - e a burla copiou isso com precisão.

A picada fica porque toca na identidade: “eu sou a pessoa que sabe”. Quando isso falha, não se questiona apenas um link; questionam-se reflexos. E isso não é fraqueza: é o começo de um reflexo melhor. Curiosidade em vez de certeza. Pausa em vez de clique. Uma chamada curta em vez de uma cadeia interminável de e-mails.

A última coisa de que se vai lembrar

O que me ficou não foi o pós-mortem técnico, apesar de ter sido longo, inteligente e necessário. Foi um momento pequeno: o Sam junto à janela a dizer, baixo, “eu devia ter percebido”. A sala amaciou. Alguém passou-lhe uma bolacha, outra pessoa fez mais um chá, e a tensão na mandíbula dele cedeu um pouco. Foi aí que percebi que a defesa real não é uma tecnologia nem uma política.

A defesa real é a permissão que nos damos uns aos outros para abrandar, perguntar, desconfiar e gastar cinco minutos quando o dia tenta roubá-los. Mantemos uma cultura suficientemente corajosa para ser cuidadosa. Mantemos espaço para sermos humanos num sistema feito para nos acelerar. E partilhamos mais um sinal, para que a próxima pessoa o veja mais cedo do que nós vimos. A burla não parecia perigo; parecia trabalho.