As diferentes faces das ameaças por email

As burlas por email surgem de todas as formas e feitios. Algumas são tão óbvias que até dão vontade de rir — não houve qualquer esforço para disfarçar a burla.

Mas não penses que são todas assim. As burlas por email parecem tornar-se cada vez mais ardilosas e criativas. São do tipo que até a pessoa mais entendida em computadores da geração Z, que cresceu agarrada a um iPad, olharia duas vezes antes de perceber. Se não fossem tão diabólicas, até poderias dar um passo atrás e admirar a abordagem. Vamos mostrar-te como reconhecer phishing e outras burlas por email comuns, e como te proteger delas.

Uma rápida viagem ao passado

Muitos de nós lembram-se dos primeiros tempos das burlas por email — tempos dourados em que éramos mais ingénuos, mas também desconfiávamos mais dos emails. Quando recebíamos uma burla, líamo-la com interesse confuso, tentando perceber porque é que o remetente acharia que nós éramos a pessoa certa a quem pedir ajuda.

Quem se lembra de The Spanish Prisoner? Uma alma infeliz de grande riqueza, que precisava desesperadamente de nós para ajudar a pagar o resgate para poder sair da prisão. Curiosamente, esta burla é anterior ao email, tendo origem no início do século XIX. Algum surfista da Internet, algures, decidiu evidentemente digitalizá-la.

Hoje em dia, as burlas por email tiram muito mais partido dos pontos fortes do seu formato digital. Ao contrário de algumas das burlas OG, aproveitam vantagens que a Internet passou a oferecer ao longo dos anos — como a capacidade de processar pagamentos online com facilidade, uma maior dependência do email para as nossas comunicações mais importantes e a evolução das redes sociais, para citar apenas algumas.

Sinais de uma burla, logo à partida

Antes de analisarmos mais de perto os diferentes tipos de burlas por email, vamos partilhar algumas regras gerais que podes aplicar para te ajudar a identificar uma burla/spam por email — porque todas partilham elementos comuns — um remetente, uma linha de assunto, texto do corpo e, talvez o mais importante, a necessidade de ser lido e acreditado.

Nome da empresa/remetente

Fica atento a:

1. Gralhas ou estilização incorreta — Paypal vs. PayPal.

2. Algo que pareça excessivamente descritivo ou improvável — AA Car Emergency vs. AA.

3. Empresas onde não compras/não tens relação — Uma nota do Barclays quando tens conta no Lloyds.

4. Qualquer coisa que pareça estranha — Desde símbolos e nomes de empresas bizarros até espaçamento estranho — às vezes há simplesmente algo no remetente que parece errado.

Endereço de email do remetente

Fica atento a:

1. Um endereço de email incongruente — Algo que não bate certo com o nome da empresa.

2. Imitações — Um endereço concebido para parecer o da empresa real. Isto pode ser o domínio (@paypalcare.com) ou o TLD (@paypal.club).

3. Erros— Gralhas ou outras irregularidades no endereço.

Linhas de assunto

Fica atento a:

1. Frases concebidas para provocar urgência — ‘Aviso: Notificação final de pagamento’.

2. Linguagem com promessas exageradas — ‘Ganha £1000 em cinco minutos’.

3. Linguagem que provoca uma forte reação emocional — ‘Estás contratado! Começa amanhã!’

4. Gralhas — Os vigaristas não são conhecidos pela boa gramática.

5. Uso excessivo de pontuação ou emojis — Poucas empresas reais usam isto.

6. A presença de ‘Re’ — Pode ser usada para sugerir que já respondeste antes, quando não respondeste.

7. Botões e anexos— Evita sempre clicar em botões ou descarregar anexos em emails suspeitos.

Texto do corpo

Fica atento a:

1. Promessas inacreditáveis— Semelhantes à versão da linha de assunto, mas no corpo do texto há espaço para desenvolver, o que dá oportunidade de tornar as mentiras mais convincentes.

2. Chamadas à ação que procuram informação pessoal — Especialmente morada ou dados do cartão.

3. Referências a algo de que não te lembras— Desde eventos a serviços que nunca recebeste

4. Falsificação de identidade— Alguém afirma ser teu amigo ou familiar, mas não soa a essa pessoa.

Agora que já tens algum contexto sobre como os vigaristas podem manipular diferentes partes de um email, vamos analisar exemplos específicos.

Malware

Para muitos, os ataques de malware foram provavelmente o primeiro tipo de email malicioso que realmente tememos. Na altura, provavelmente chamávamo-los apenas vírus de email. Abres aquilo, o ecrã fica preto. Fim de jogo. Esse tipo de coisa.

Na realidade, malware abrange uma grande variedade de ataques maliciosos — e alguns deles são, francamente, bastante mais assustadores do que uma morte rápida do computador.

Monitorizar teclas premidas? Consumir o teu CPU sem o teu conhecimento? Espiar-te? Forçar anúncios duvidosos a aparecer de cinco em cinco minutos? Sim, malware abrange uma grande variedade de pequenos programas que se instalam no teu computador sem o teu conhecimento, e as suas funções vão desde coisas associadas a brincalhões mal-intencionados até criminosos a sério. São evasivos e muitas vezes difíceis de eliminar — isto se souberes que lá estão.

Como detetar malware

Se estiveres a sentir algum dos sintomas listados acima, há uma boa probabilidade de ser malware. Isto pode ter vindo de um email — mas não necessariamente. Há outras formas de estes programas se instalarem no teu computador — transferências, sites duvidosos e até dispositivos de hardware maliciosos. Se alguma vez encontrares uma pen USB na rua, não vás ver o que lá está.

Protege-te contra malware

Correndo o risco de dizer o óbvio, experimenta software de deteção de malware. Mas escolhe algo reputado.

Se pesquisares no Google como prevenir malware em primeiro lugar, o principal conselho é instalar software antivírus. Pessoalmente, não conheço ninguém que faça isso desde o final da década de 2010, mas quem sou eu para contradizer a totalidade do conhecimento humano e da experiência de massas homogeneizada numa resposta de uma linha do Gemini, servida numa fração defração de segundo?

Dito isto, a proteção contra ameaças oferecida pelos sistemas operativos é geralmente melhor do que era nos primeiros tempos, especialmente o Windows, que recebe atualizações para se proteger contra ameaças, mas mais importante ainda, muito software de email está a fazer esse trabalho por nós, filtrando emails suspeitos antes de chegarem até nós.

É boa ideia encontrar um fornecedor de email que promova uma boa proteção contra malware e analise os teus emails antes de chegarem até ti. Isto é particularmente útil quando se trata de evitar ataques psicológicos (e já lá vamos daqui a pouco).

Se falarmos de proteção, em vez de prevenção, é boa ideia manter cópias de segurança regulares, caso sejas apanhado por um destes ataques. Eu recomendo pessoalmente algo como Mega Sync, que atualiza sempre que guardas um ficheiro.

Phishing

Hoje em dia, é provavelmente mais provável que te depares com uma burla de phishing por email. Porquê? Porque, tal como uma melodia cativante ou o cheiro da primavera, todos somos suscetíveis ao seu encanto. Mas como podes identificar phishing?

Os ataques de phishing são eficazes devido à sua versatilidade. Às vezes não é difícil detetar phishing. Podem ser qualquer coisa: literalmente qualquer coisa que leve alguém a introduzir os seus dados pessoais. Pensa em qualquer motivo que te possa levar a partilhar os teus dados pessoais ou a enviar dinheiro a alguém, e isso tem potencial para se tornar um email de phishing.

Aqui tens apenas alguns exemplos e, tem em conta, a chave do phishing é que todos estes emails parecem reais, mas são falsos:

1. Notificação de reposição de palavra-passe.

2. Preenche os dados bancários em falta.

3. Completa a tua morada para permitir a entrega.

4. Renova a tua subscrição.

5. És o vencedor de um passatempo!

6. Um amigo em apuros a pedir ajuda.

7. Notificação de reembolso de impostos.

8. Pedido de donativos para caridade.

Se nunca viste uma burla de phishing, será que és sequer um peixe? São tão ubíquas que é difícil imaginar o email sem elas. Mas há mais do que uma forma de pescar…

Spear phishing e whaling

O spear phishing e o whaling visam indivíduos específicos, muitas vezes com táticas mais agressivas.

O spear phishing usa conhecimento pessoal, normalmente obtido de várias fontes, para criar emails mais convincentes. Como é escrito com base em informação pessoal, pode referir amigos reais, situações reais ou até fazer-se passar por um banco (etc.) de forma mais convincente. Se achas que isto dificilmente te aconteceria, lembra-te de que a maioria das pessoas tem mais informação acessível publicamente online do que imagina.

Se alguém se fizesse passar pelo teu amigo e referisse um acontecimento muito específico em que ambos participaram há uma década, porque não haverias de acreditar? Talvez demorasses algum tempo a lembrar-te de que publicaste sobre isso em detalhe no Facebook e de que a publicação está visível publicamente. Quando te pedissem dinheiro emprestado, talvez ajudasses.

Todos somos suscetíveis ao spear phishing, o que o torna mais perigoso do que as burlas mais óbvias. Uma ressalva feliz é que o nível de investigação necessário para levar a cabo com sucesso uma burla de spear phishing afasta a maioria dos burlões. É mais fácil apostar num email em massa ao qual menos pessoas responderão. Mas será aí que a IA entrará no futuro? Temos de nos manter vigilantes.

Whaling

Então, o que é whaling? Bem, em muitos aspetos, um ataque de whaling é praticamente o mesmo que spear phishing, mas é especificamente direcionado a indivíduos com maior património, como CEOs.

A triste realidade é que o seu estatuto faz deles alvos mais compensadores para investir tempo e que outros fatores (como a sua riqueza, responsabilidade, falta de tempo e vasta rede de contactos) significam que existem várias fraquezas potenciais a explorar. Por exemplo, talvez só precisem de convencer um assistente pessoal ou secretário de que têm o selo de aprovação do CEO. Portanto, parece que o whaling comercial é sempre uma má notícia.

Como te protegeres contra spear phishing e whaling

Para além do que está listado no nosso guia geral acima, também deves configurar uma filtragem de spam forte. O fator humano é realmente onde os emails de phishing brilham. Se o malware é um truque simples, então, a certo nível, o phishing exige a nossa cumplicidade. Afinal, temos de entregar a nossa informação. Como discutimos, faz isso apelando à nossa resposta emocional.

Por isso, garantir que nunca entramos em contacto com isso em primeiro lugar é a forma mais forte de o combater. Os filtros de spam procuram múltiplos elementos ao avaliar um email que nós, enquanto humanos, não conseguimos. Cruzam listas negras, padrões comportamentais conhecidos e até um método conhecido como filtragem bayesiana. Isto compara o conteúdo de um email com spam conhecido e emails legítimos para calcular a probabilidade de ser spam. Além disso, bons filtros de spam terão em conta o que outros utilizadores marcam como spam, criando o que é conhecido como um ciclo de feedback do utilizador.

Email empresarial comprometido

Ligeiramente diferente de tudo o que vimos até agora, isto vem do ângulo oposto — a ideia de que uma conta de email legítima foi comprometida. Não tem necessariamente de ser uma conta empresarial, mas, para efeitos desta entrada, há alguns fatores mais interessantes de que falar se imaginarmos que é.

Se um burlão conseguir obter acesso ilegal a uma conta de email empresarial, pode fazer-se passar por trabalhadores para pedir fundos ou até acesso a outros sistemas internos que possam incluir dados sensíveis.

Comprometer uma conta empresarial também tira partido de outra particularidade social inerente a muitas empresas, sobretudo as maiores: é improvável que todos os membros do pessoal conheçam toda a gente. Isto, combinado com o facto de se esperar que as pessoas sejam educadas num ambiente de trabalho, significa que estes emails têm vantagens extra em comparação com contas privadas.

Como te protegeres contra isto

Garantir que todos os funcionários usam autenticação de dois fatores (email 2FA) e escolhem palavras-passe fortes reduz bastante o risco de contas roubadas/hackeadas. A 2FA garante que o titular da conta saberá sempre se alguém tentar entrar, e uma palavra-passe forte dificulta ataques de força bruta.

Também podes reduzir a probabilidade de problemas futuros desativando imediatamente as contas dos funcionários que saem da empresa. Um cemitério de contas em desuso a ganhar pó é um acidente à espera de acontecer.

Faturas falsas

Um dos temas que talvez estejas a notar é a exploração de diferentes extremos emocionais. Até agora, considerámos o medo ou o descuido de um CEO e a suposta apatia de um funcionário em relação a outro. Agora, vamos experimentar a raiva.

Alguém afirma que lhe deves dinheiro e exige pagamento imediato. Está zangado, diz coisas que te fazem duvidar da tua própria memória ou cria uma situação de cuja realidade não podes ter a certeza. O veneno e a raiva continuam até quase parecer mais fácil pagar.

Isto pode não parecer muito provável para muitos de nós, mas talvez isso seja o pior: as probabilidades são de que ‘nós’ não sejamos os alvos. O sucesso deles estará nos vulneráveis. Aqueles que talvez realmente não se lembrem ou que confiem mais em estranhos.

Prevenção

Se assumirmos que nós não vamos pagar faturas aleatórias que recebemos por email, talvez valha a pena aproveitar esta oportunidade para sugerir que fales com as pessoas da tua vida que têm menos experiência online. Pergunta-lhes se precisam de ajuda para identificar burlas e explica que só porque alguém está a exigir dinheiro não significa que a sua reivindicação seja legítima. Afinal, precisamos de cuidar uns dos outros, e ninguém quer ver alguém cair de cabeça numa burla óbvia.

Existem recursos para os quais podes encaminhar as pessoas que as podem orientar de forma simples e acessível.

Burlas de ofertas de emprego

Ao contrário de algumas das outras, estas podem ser difíceis de detetar até para os mais experientes. Uma razão para isso é que não existem no vazio do email. Se qualquer um de nós recebesse um email do nada a dizer que tinha conseguido um emprego, saberíamos logo que era spam. Mas e se não tivesse sido assim que aconteceu?

E se a burla tivesse começado como um anúncio real num site de emprego real? Candidataste-te a ele juntamente com um conjunto de outros empregos reais, e parecia tão plausível como todos os outros. Bem, então este é um email que estás à espera de receber — na esperança de receber, até. E, de forma semelhante ao spear phishing, isto cria uma oportunidade mais elaborada para uma burla. Porque tu és agora um participante voluntário — pelo menos, ao início.

Mas em quê? Estas burlas podem assumir inúmeras formas, mas, essencialmente, tal como os antigos esquemas em pirâmide do passado, pedem dinheiro adiantado sob o pretexto de cobrir custos, comprar equipamento ou até formação para o cargo — e nada disso é real. Por vezes, pode até haver outras pessoas no sistema que também acreditam que é real, e isso pode sugerir legitimidade onde ela não existe.

Como detetar uma burla de oferta de emprego

Há certos indícios a que podes estar atento quando te candidatas a empregos e que podem indicar que o emprego não é legítimo:

1. Salários irrealistas — Se algo parece bom demais para ser verdade, provavelmente é.

2. Empregos vagos ou improváveis — Será que alguém precisaria mesmo ou quereria alguém para desempenhar esta função?

3. Sem necessidade de entrevistas — Ou oferta de emprego apressada sem a devida verificação.

4. Comunicações pouco profissionais — Pedem mais dados do que seria necessário.

5. Falta de presença online da empresa — Ou uma empresa cujo site parece um pouco duvidoso. Imagens de stock, avaliações implausíveis, nenhum conteúdo real — esse tipo de coisa.

Da mesma forma, não deves eliminar empregos legítimos só por causa de um anúncio mal feito. Por isso, o principal sinal de alerta é alguém pedir dinheiro antes de começares. Quase não há casos em que um emprego deva exigir que pagues alguma coisa adiantada, muito menos que desempenhes quaisquer funções gratuitamente.

Por mais certo que estejas do processo até esse ponto, no momento em que a conversa passa para transferir dinheiro, podes ter a certeza — é uma burla.

Burlas românticas

Possivelmente a manipulação emocional mais forte de todas: como nos sentimos quando estamos apaixonados.

Tenho experiência pessoal de alguém numa aplicação de encontros pedir dinheiro emprestado (que é onde este tipo de burla é mais provável de acontecer hoje em dia). Não é tão invulgar como possas pensar — e, em alguns casos, podemos até ter dificuldade em pensar nisso como uma burla…

As fronteiras ficam rapidamente difusas quando o coração começa a mandar mais do que a cabeça. Talvez uma parte de nós até pense “talvez me estejam a fazer de parvo, mas o que são dez libras quando se trata de amor?”. Mas essa pessoa pode passar o dia inteiro na aplicação de encontros. Se conseguir que dez pessoas por dia lhe deem dez libras, isso até representa um bom rendimento. E seria, sem dúvida, classificado como burla.

Como evitar apaixonar-te por uma burla romântica

Correndo o risco de soar a conselheira sentimental, não te deixes guiar pelo coração. Se a tua cabeça diz que é uma burla, então provavelmente é. Nunca dês dinheiro a alguém que não conheces bem, por muito que essa pessoa diga que te ama. É um facto triste da vida que as pessoas usem emoções extremas para manipular.

Burlas de prémios

A maioria de nós provavelmente lembra-se de receber um folheto pelo correio a dizer que tínhamos ganho a lotaria e que tínhamos de ligar para um número para reclamar o prémio. Suponho que era inevitável que isto também se transformasse num email.

Não há muito mais a dizer aqui que já não tenha sido dito nas outras entradas. Talvez possamos simplesmente criar um mantra para a vida. Se um email diz que ganhaste um prémio, não ganhaste um prémio*.

*A menos que tenhas ganho um prémio. Mas definitivamente não ganhaste um prémio. Para de pensar no prémio.

Prevenção

Olha, tu mesmo, mesmo não ganhaste um prémio. Compra um bilhete de lotaria se tiver de ser — mas carrega nesse botão de spam.

Proteger-te a ti e aos outros

Falando a sério, seja spam ou burla, isto não tem mesmo graça nenhuma. As pessoas saem realmente magoadas, perdem dinheiro ou sentem-se estúpidas depois.

Sugerimos várias formas de te protegeres, mas no fundo tudo se resume a três coisas:

• Ativa o máximo de segurança possível

Seja o que for que o teu fornecedor ofereça, quer seja 2FA, palavras-passe geradas automaticamente ou até encriptação — o que quiseres. Configura isso. Só torna a tua conta um pouco mais difícil de sequestrar.

• Escolhe um fornecedor com foco na segurança

Um fornecedor com software robusto de gestão de spam e atualizações de segurança frequentes é provavelmente a tua melhor forma de proteção contínua enquanto empresa. A maioria das burlas que descrevemos começa e acaba na gestão de spam. Se nunca as virmos, nunca serão um problema.

• Mantém-te atento

As burlas de phishing nunca param de evoluir. Têm-te como alvo a ti, não a tua caixa de entrada, por isso tu és a tua melhor defesa.

Há práticas que uses para evitar cair em spam e burlas? Gostávamos muito de as conhecer! Deixa quaisquer ideias ou perguntas na secção de comentários abaixo