Manter a segurança no email na era digital

É difícil acreditar que o email foi inventado há quase 50 anos. Claro que demorou algum tempo até se tornar acessível para que pessoas como tu e eu o pudessem usar. Mas, avançando até aos dias de hoje, mais de metade do mundo usa email.

No ano passado, foram enviados mais de 360 mil milhões de emails todos os dias, demonstrando claramente que, embora existam formas mais conversacionais de trocar mensagens, o email continua a ser um pilar firme da comunicação. Tudo, desde o envio de mensagens formais e anexos maiores até ao simples registo de compras. Tudo isto é incrivelmente importante.

Mas, como acontece com as melhores inovações, a sua criação trouxe algumas ressalvas — e uma lista crescente de problemas de segurança.

Ninguém é imune

Quando pensamos em segurança de email, pensamos naturalmente nas nossas experiências individuais. Naquela vez em que quase caímos num email fraudulento, ou quando a caixa de correio de um amigo foi invadida e tivemos de o avisar. Mas, sem dúvida, a maior ameaça que o email representa é para as empresas. Uns impressionantes 94% das organizações terão sido vítimas de fraudes só em 2024.

Porque são as empresas um alvo tão apetecível? Em primeiro lugar, cada ser humano é um potencial ponto fraco. Quer se trate de palavras-passe fracas ou da tendência humana para confiar nos outros, há inúmeras formas de os colegas poderem ser vítimas de um ataque, e nem todas são óbvias.

As pequenas empresas podem ser particularmente vulneráveis a emails fraudulentos que alegam vir de clientes, prestadores de serviços e fornecedores — especialmente se estiveres a gerir sozinho as muitas responsabilidades de um proprietário de pequena empresa. Mas as empresas maiores, com equipas de segurança especializadas, não são imunes.

Basta olhar para as notícias recentes para ver exemplos de quando o email corre mal para grandes empresas. Uma empresa de Singapura foi enganada e transferiu 42,3 milhões de dólares para uma conta fraudulenta através de um email falsificado de um fornecedor. A INTERPOL ajudou-a a recuperar cerca de 41 milhões, mas continuou a ser um erro incrivelmente dispendioso.

As ameaças de email mais comuns

Existem muitos tipos de ameaças por email. As formas mais comuns de ataque por email contra empresas incluem:

• Phishing

• Malware

• Email empresarial comprometido

• Faturas falsas

No topo da lista de perigos está o phishing, com 91% dos casos a envolver perda de dados. Um verdadeiro pesadelo num mundo com leis de proteção de dados cada vez mais exigentes, como o GDPR e a CCPA. Mas mitigar o risco não é tão difícil como poderias pensar.

A segurança começa em casa

Proteger o email não tem de ser complicado. Há muitas coisas que podes fazer para criar uma primeira linha de defesa eficaz — sem te custar nada além de um pequeno investimento de tempo.

Sensibilização para phishing

Aqui, um pouco de formação pode poupar-te muito em termos de segurança do email. Se és trabalhador por conta própria ou tens uma pequena empresa, já estás a fazer a coisa certa ao ler este artigo! Se tens uma equipa maior, considera reunir toda a gente e explicar exatamente o que é phishing e as muitas formas que pode assumir. Embora alguns possam revirar os olhos perante o básico, à medida que aprofundas as muitas formas como o phishing se pode manifestar, e até evoluir para ‘whaling’, até os mais familiarizados com ameaças cibernéticas beneficiarão de uma revisão.

Infelizmente, os seres humanos são o ponto fraco quando se trata de phishing. Este depende da nossa psicologia e da confiança inerente que temos nos outros. Por essa razão, nunca veres a mensagem de phishing em primeiro lugar é uma enorme vantagem — e é por isso que deves procurar um fornecedor de email que dê prioridade a um filtro antispam forte entre as suas funcionalidades. Já lá vamos.

Palavras-passe fortes

Para além da formação, a primeira linha de defesa é também a mais simples de implementar — uma palavra-passe. Ter consciência de como a psicologia pode jogar contra nós também é vital aqui. Por conveniência, todos queremos criar algo memorável, mas isso pode ser o oposto da segurança. Datas de nascimento, endereços de email, nomes de familiares ou coisas importantes nas nossas vidas podem dar aos hackers humanos uma vantagem inicial. Mas, claro, a questão vai além disso.

Quando são usadas máquinas ou scripts para invadir contas, as próprias palavras deixam-nos ficar mal — porque, no fim de contas, são finitas e temos maior probabilidade de escolher umas do que outras. Por isso, combinações aleatórias de números, símbolos e letras maiúsculas/minúsculas tornam as palavras-passe mais difíceis de adivinhar. Os gestores de palavras-passe são úteis para gerar palavras-passe únicas concebidas para serem difíceis de comprometer.

Mas, para quem prefere uma palavra-passe fácil de memorizar, uma boa alternativa é usar uma frase inteira memorável como palavra-passe. O comprimento torna-a, por definição, muito mais segura. Adicionar uma letra minúscula extra a uma palavra-passe torna-a 26 vezes mais difícil de descobrir. Adicionar três letras minúsculas torna-a 263 — ou seja, 17 576 possibilidades adicionais. Por isso, a vantagem das palavras-passe mais longas é exponencial.

Autenticação de dois fatores

A autenticação de dois fatores (2FA) é um dos melhores métodos que podes usar para proteger a tua conta, e hoje é indispensável. Ao exigir um dispositivo secundário para iniciar sessão, como um telemóvel ou uma chave, qualquer pessoa sem esse hardware não conseguirá fazê-lo, mesmo que descubra a palavra-passe. Além disso, se for uma autenticação em tempo real no telemóvel, serás alertado de que alguém está a tentar aceder à tua conta e poderás tomar medidas preventivas (como alterar a palavra-passe ou terminar sessões em todos os dispositivos) para resolver o problema.

Mas, para tirares o máximo partido da 2FA, é vital abordar uma vulnerabilidade crítica: os protocolos IMAP, SMTP e POP3. Em termos simples, estes protocolos permitem-te ligar aos teus servidores de email, especialmente através de sistemas de terceiros — como o Outlook. No entanto, isso tem um custo.

Ao permitires que mais dispositivos se liguem, estás a criar mais pontos fracos, quer se trate de acesso não autorizado, quer do descarregamento de emails para dispositivos inseguros. O POP3 é especialmente problemático porque não encripta os dados que estão a ser transmitidos. Isto significa que os emails, incluindo o seu conteúdo e credenciais, podem ser facilmente intercetados por agentes maliciosos. Também tende a apagar os emails do servidor à medida que são transferidos, o que pode levar à perda de dados.

Desativar todos estes protocolos ao mais alto nível é uma boa forma de proteger as contas de email da tua empresa. Se precisares mesmo de usar um, considera IMAP sobre SSL/TLS (também conhecido como IMAPS).

Ao desativares os protocolos inseguros, ativares a 2FA e escolheres uma palavra-passe segura, estás a fazer tudo o que é essencial para manter a tua conta protegida a um nível básico.

Funcionalidades mais avançadas

Claro que há aspetos um pouco mais técnicos. Podes precisar de optar por um fornecedor premium de email empresarial para garantires que tens acesso a todas estas funcionalidades.

Deixa a preocupação de lado com uma filtragem antispam forte

Somos os nossos piores inimigos quando se trata de spam, especialmente phishing. Sem nós, é apenas mais um email fraudulento lançado no vazio. É preciso um ser humano para que haja consequências.

Há muitas formas e táticas que podes usar para impedir que o spam por email sobrecarregue a tua caixa de entrada, mas uma forma simples é garantir que tens a filtragem de spam certa. Esta consegue identificar spam através de inúmeros métodos diferentes e até aprender com base no tipo de spam que recebes. Desde comparar elementos, como verificar se o nome apresentado corresponde ao domínio/endereço do remetente, até detetar outras irregularidades que podemos não notar nos emails (como certificados de envio), estes sistemas funcionam em vários níveis para nos proteger.

O melhor tipo de filtro de spam também oferece diferentes níveis de filtragem consoante o nível de ameaça percebido, permitindo-te maior proteção contra os piores infratores. Da mesma forma, oferecem a possibilidade de voltar a colocar mensagens classificadas incorretamente na tua caixa de entrada, sem que voltem a ser assinaladas erradamente como spam. São um dos fatores mais importantes a considerar ao escolher o teu fornecedor de email enquanto pequena empresa.

Usa emails protegidos por palavra-passe

Os fornecedores de email mais avançados oferecem efetivamente emails encriptados que exigem que o destinatário use uma palavra-passe para os abrir. Isto garante que, mesmo que o email seja intercetado ou acedido por partes não autorizadas, estas não consigam ver a mensagem sem a palavra-passe correta. É uma excelente funcionalidade para enviar conteúdos sensíveis ou confidenciais.

Normalmente, os emails protegidos por palavra-passe existem apenas no teu servidor de correio. Em vez de enviar o conteúdo do email ao destinatário, é enviado um link que o leva ao local onde a mensagem está armazenada no teu servidor, onde pode introduzir a palavra-passe para abrir o email.

Porque não aprender como encriptar os teus emails no Spacemail? Isso ajudar-te-á a proteger as tuas comunicações quando for necessária privacidade adicional.

Monitoriza a atividade da tua conta de email

Algumas funcionalidades são ideais para empresas maiores, mas também podem ser úteis para trabalhadores por conta própria, por exemplo, para quem tem um elevado nível de envolvimento com o seu negócio. Uma dessas funcionalidades é a possibilidade de monitorizar a atividade da tua conta.

Ao acompanhares exatamente onde as tuas contas de email têm sessão iniciada e quando foram acedidas pela última vez, podes perceber claramente, em apenas alguns cliques, se houve uma violação de segurança.

Verificar regularmente horários, localizações ou endereços IP desconhecidos é uma boa prática e permite-te acompanhar qualquer comportamento suspeito de forma rotineira e descontraída. Nem todos os fornecedores de email oferecem registos de atividade, por isso dá prioridade aos que oferecem — especialmente se te permitirem terminar sessões remotamente em inícios de sessão não identificados.

Poderias argumentar que isto não aconteceria se todos os conselhos anteriores fossem seguidos, mas é ótimo saber que esta opção existe para qualquer cenário pior do que o esperado.

Descansa sabendo que estás protegido

Vale a pena encarar tudo isto não como um conjunto de obstáculos, mas como uma série de passos rápidos e fáceis que te dão tranquilidade no que toca à proteção do teu email. Nenhum dos passos acima é difícil de concretizar.

Ao adotares práticas simples como a sensibilização para phishing, o uso de palavras-passe fortes, a ativação da autenticação de dois fatores e o aproveitamento de funcionalidades avançadas (como emails encriptados), podes proteger o teu email e evitar violações de segurança dispendiosas.

Lembra-te: proteger o teu email não é apenas uma questão de proteger informação sensível — trata-se de proteger o teu negócio, a tua reputação e a tua tranquilidade. Precisas do fornecedor certo para garantir que o teu email continua a ser uma ferramenta de comunicação fiável e segura neste mundo cada vez mais digital.