Os emails de phishing são uma arma predileta de criminosos para roubar dados pessoais dos utilizadores e instalar malware nos seus dispositivos. Mas é possível atenuar o dano causado pelo primeiro clique no link errado.
Entre todas as categorias de ciberameaças detetadas pela telemetria da ESET, empresa europeia líder em soluções de cibersegurança, os ataques de phishing em emails foram das principais ameaças para os utilizadores em Portugal na primeira metade do ano[i]. Erros ortográficos, gramática estranha, linguagem urgente ou ameaçadora, falta de contexto – tudo isto são sinais comuns de ataques de phishing em emails.
No entanto, algumas ameaças de phishing são mais difíceis de detetar. Algumas envolvem um investimento significativo de tempo e um planeamento meticuloso por parte dos agentes maliciosos, que até examinam as comunicações anteriores das suas vítimas, o que acaba por tornar o ataque altamente convincente e bem-sucedido.
Basta um deslize e uns segundos para ser vítima de um ataque de phishing – e nem mesmo os profissionais de TI estão isentos deste risco! Uma mensagem de email aparentemente inócua pode conter um link no qual deve clicar antes que, jura o seu autor, “seja tarde demais”. Considerando a popularidade dos ataques de phishing em emails em Portugal, é importante para os utilizadores conhecerem as suas opções após se aperceberem que clicaram no sítio errado. A ESET deixa 10 passos essenciais:
1. Não forneça mais informações
Digamos que recebeu um email de uma loja online que levanta suspeitas, mas clicou no link do corpo do email sem pensar muito ou apenas por curiosidade. O link envia-o para um website que parece legítimo, mas as dúvidas persistem na sua mente. A abordagem mais simples é não partilhar qualquer informação adicional. Não introduza o seu login nem forneça os detalhes da sua conta bancária. Se os cibercriminosos só queriam os seus dados e não comprometeram o seu dispositivo com malware, é provável que tenha acabado de escapar a um ataque pior.
2. Desligue o seu dispositivo da Internet
Alguns ataques de phishing podem levá-lo a dar aos agentes maliciosos acesso ao seu computador, smartphone ou outro dispositivo. Estes podem instalar malware, recolher informações sobre si e o seu dispositivo ou obter controlo remoto do dispositivo comprometido. Para reduzir os danos, é imperativo agir rapidamente. Comece por desligar o dispositivo comprometido da Internet. Se utilizar um PC com uma ligação por cabo, basta desligar o cabo de Internet do seu computador. Se estiver ligado através de Wi-Fi, desligue-o nas definições do dispositivo ou ligue o modo de avião no seu smartphone.
3. Faça backup dos seus dados
Desligar-se da Internet impedirá que mais dados sejam enviados para o servidor malicioso, mas os seus dados continuam a estar em perigo. Deve fazer um backup dos seus ficheiros, principalmente dos documentos sensíveis ou dos ficheiros com elevado valor pessoal, como fotografias e vídeos. No entanto, fazer backup dos seus dados depois de terem sido comprometidos pode ser arriscado, uma vez que podem já ter sido comprometidos por malware. É provável que faça backup do malware juntamente com as fotografias da sua última festa de aniversário. Em vez disso, deve fazer backup dos seus ficheiros regularmente e de forma preventiva. Se o malware atingir o seu dispositivo, pode recuperar os seus dados a partir de um disco rígido externo, uma pen USB ou serviço de armazenamento na cloud.
4. Efetue uma verificação de malware e outras ameaças
Execute uma verificação completa do seu dispositivo utilizando software anti-malware de um especialista em cibersegurança, enquanto o dispositivo ainda está desligado da Internet. Se o processo de verificação não encontrar qualquer risco potencial, mas ainda tiver dúvidas, contacte o seu fornecedor de cibersegurança. E se ainda não estiver a utilizar qualquer software anti-malware multicamada com funcionalidades anti-phishing, arranje um!
5. Considere uma reposição de fábrica
A reposição de fábrica significa repor o smartphone no seu estado original, removendo todas as apps e ficheiros instalados. No entanto, alguns tipos de malware podem persistir no seu dispositivo mesmo após uma reposição total, mas é provável que a limpeza do seu dispositivo móvel ou computador remova com êxito qualquer ameaça. Lembre-se de que uma reposição de fábrica é irreversível e irá limpar todos os dados armazenados localmente. Nunca é demais sublinhar a importância de efetuar backups regulares!
6. Reponha as suas passwords
Os emails de phishing podem induzi-lo a divulgar os seus dados sensíveis, tais como números de identificação, detalhes bancários e de cartões de crédito ou credenciais de acesso. Mesmo que não forneça os seus dados, é possível que, se tiver malware instalado no seu dispositivo, este possa localizá-los. Se pensa que este é o caso, principalmente se os emails de phishing lhe pedirem para fornecer um login específico, deve alterar imediatamente as suas credenciais de login, especialmente se reciclar a mesma password em várias contas. Estas situações realçam a importância de utilizar nomes de utilizador passwords únicos para diferentes serviços online.
7. Contacte bancos, autoridades e fornecedores de serviços
Se introduziu dados bancários/cartões de crédito ou dados de acesso a um website com acesso aos seus cartões, informe imediatamente o seu banco. O seu cartão pode ser bloqueado ou congelado para evitar futuras fraudes, e pode evitar ou minimizar qualquer perda financeira. Não se esqueça de verificar se o seu banco (ou outro serviço de pagamento comprometido) tem uma política de reembolso para as vítimas de burlas. Para evitar que outras pessoas caiam no mesmo esquema, é importante também contactar as autoridades locais.
8. Detete as diferenças
Os criminosos que conseguem entrar com sucesso num dos seus dispositivos ou contas podem tentar estabelecer a sua presença durante o máximo de tempo possível. Podem alterar os seus logins, endereços de email, números de telefone ou qualquer coisa que os ajude a solidificar a sua posição na sua conta. Reveja a sua atividade nas contas das redes sociais, as informações bancárias e o seu histórico de encomendas de compras online. Se, por exemplo, detetar algum pagamento que pareça estranho, desconhecido ou não autorizado, comunique-o, altere as suas credenciais e peça um reembolso.
9. Procure dispositivos não reconhecidos
Se os agentes maliciosos roubaram os detalhes da sua conta, é provável que tenham tentado iniciar sessão a partir do seu próprio dispositivo. A maioria das plataformas de redes sociais mantém um registo das suas sessões de login atuais nas definições de privacidade. Verifique-o e force o fim de sessão em qualquer dispositivo desconhecido.
10. Notifique os seus amigos, contactos, fornecedores de serviços e empregador
Por vezes, os cibercriminosos utilizam a sua lista de contactos numa conta comprometida para espalhar ligações de phishing ou spam. Tenha em atenção este facto e tome medidas para evitar que outros sejam vítimas do mesmo esquema. Se um ciberataque estiver relacionado com as suas contas de trabalho ou com dispositivos emitidos pela sua entidade patronal, siga as regras da sua empresa para lidar com ciberincidentes e comunique imediatamente o caso à sua chefia e ao departamento de TI. Os principais serviços de email, como o Outlook ou o Gmail, também oferecem ferramentas para denunciar emails de phishing diretamente da sua caixa de entrada.
[i] A ameaça com maior expressão em Portugal entre dezembro de 2022 e maio de 2023 (H1 2023) foi a ameaça de email HTML/Phishing.Agent trojan, que constituiu 27,67% das deteções no período. Esta ameaça refere-se a documentos HTML maliciosos enviados por email, que, quando abertos num navegador web, remetem o utilizador para um site de phishing (Fonte: telemetria da ESET para Portugal em H1 2023).