Phishing: a fraude que se esconde em mensagens e ficheiros aparentemente legítimos
Phishing é uma técnica de fraude digital usada para induzir pessoas a revelar palavras-passe, dados bancários, códigos de autenticação ou outras informações confidenciais. Os criminosos recorrem a mensagens de correio eletrónico, SMS, chamadas, páginas falsas e anexos que imitam entidades conhecidas. No contexto da impressão e digitalização, documentos digitalizados, faturas, avisos de entrega e pedidos de assinatura podem ser usados como isco. Este artigo explica os sinais mais comuns, compara tipos de fraude, apresenta cuidados ao digitalizar e partilhar documentos e indica os passos a seguir perante uma suspeita ou incidente.
Phishing é uma fraude digital criada para enganar uma pessoa e levá-la a entregar informação confidencial, instalar software malicioso ou efetuar um pagamento indevido. A tentativa pode chegar por correio eletrónico, SMS, redes sociais, chamada telefónica ou por um documento aparentemente normal, como uma fatura digitalizada, um aviso de entrega ou um pedido de assinatura. Como os fluxos de impressão e digitalização fazem circular ficheiros e dados sensíveis, reconhecer estes esquemas é essencial tanto em casa como no trabalho.
O que é phishing e qual é o objetivo
O termo phishing descreve tentativas de “pesca” de dados: o atacante apresenta uma mensagem credível e explora a urgência, a curiosidade ou o receio da vítima. Pode fingir ser um banco, uma transportadora, um serviço público, um fornecedor, uma escola ou o departamento informático de uma empresa.
O objetivo raramente é apenas obter uma resposta. Em geral, a fraude procura levar o destinatário a clicar numa ligação, abrir um anexo, introduzir credenciais numa página falsa, confirmar um código recebido por SMS ou alterar dados de pagamento. Depois disso, o criminoso pode aceder ao correio eletrónico, contas bancárias, plataformas de armazenamento ou sistemas empresariais.
Porque os documentos são um isco eficaz
Um PDF com aspeto profissional transmite confiança. Por isso, os criminosos exploram rotinas administrativas: “fatura em anexo”, “documento digitalizado”, “guia de transporte”, “notificação de impressão” ou “partilha de ficheiro”. Um documento pode conter uma ligação para uma página falsa, instruções para contactar um número fraudulento ou um anexo perigoso disfarçado de ficheiro legítimo.
Um logótipo correto, uma assinatura bem escrita e um PDF aparentemente real não comprovam a autenticidade de uma mensagem. A validação deve partir do remetente, do endereço do sítio e do contexto do pedido.
Principais formas de phishing
Embora o correio eletrónico seja o meio mais conhecido, existem várias modalidades. Conhecê-las ajuda a adequar a resposta e a evitar que uma interação apressada se transforme num incidente.
| Tipo de fraude | Canal habitual | Sinal frequente | Medida segura |
|---|---|---|---|
| Phishing por correio eletrónico | Caixa de entrada profissional ou pessoal | Ligação para “confirmar” dados ou abrir um anexo inesperado | Não usar a ligação; aceder ao serviço pelo endereço habitual |
| Smishing | SMS ou aplicações de mensagens | Multa, encomenda ou prémio com prazo muito curto | Não responder nem tocar na ligação; confirmar pelo canal oficial |
| Vishing | Chamada telefónica | Pedido de códigos, palavras-passe ou instalação de aplicação | Desligar e ligar para o número publicado pela entidade |
| Spear phishing | Correio eletrónico dirigido | Mensagem personalizada com cargo, fornecedor ou projeto real | Validar o pedido por contacto independente |
| Fraude de fatura | PDF, ligação de partilha ou correio eletrónico | Alteração súbita de IBAN ou urgência no pagamento | Confirmar dados bancários por telefone conhecido |
Sinais de alerta numa mensagem ou ficheiro digitalizado
Nem todas as mensagens suspeitas têm erros ortográficos. Ataques atuais podem ser bem redigidos, usar identidades visuais copiadas e até mencionar dados públicos da vítima. Ainda assim, há sinais que merecem atenção antes de abrir, imprimir, arquivar ou reenviar qualquer documento.
- Remetente semelhante ao verdadeiro, mas com domínio alterado, letras trocadas ou endereço gratuito inesperado.
- Pedido urgente para pagar, desbloquear uma conta, evitar uma coima ou impedir o cancelamento de um serviço.
- Anexo não solicitado, sobretudo se exigir ativação de macros, palavra-passe desconhecida ou instalação de software.
- Ligação cujo destino não corresponde ao nome da entidade, mesmo que o texto visível pareça legítimo.
- Pedido de dados que a organização normalmente não solicita por mensagem, como códigos de autenticação ou palavra-passe.
- Mudança de IBAN, morada de pagamento ou contacto de um fornecedor sem confirmação por outro canal.
- Documento digitalizado com qualidade deliberadamente baixa, campos cortados ou instruções para contactar apenas um número indicado no próprio ficheiro.
Ao receber um PDF, não assuma que é seguro apenas porque o formato é comum. PDFs podem incluir ligações e, em situações específicas, outros conteúdos ativos. Mantenha o leitor de PDF atualizado e use as ferramentas de segurança disponibilizadas pelo sistema e pela organização.
Cuidados ao imprimir, digitalizar e partilhar documentos
Impressoras multifunções e serviços de digitalização são úteis, mas podem concentrar contratos, documentos de identificação, dados médicos, faturas e correspondência. A segurança depende do equipamento, da configuração e dos hábitos de quem o utiliza.
Antes de digitalizar
Confirme o destinatário e avalie se o documento contém dados estritamente necessários. Quando possível, omita ou masque números de identificação, dados bancários, assinaturas e outras informações que não sejam exigidas. Em ambiente profissional, utilize perfis de digitalização aprovados e pastas de destino com acesso limitado.
Durante a partilha
Evite enviar ficheiros sensíveis por ligação pública sem controlo de acesso. Prefira plataformas autorizadas, com permissões por utilizador e prazo de expiração, quando disponíveis. Uma palavra-passe aplicada ao ficheiro pode reduzir a exposição acidental, mas não substitui a confirmação da identidade do destinatário; a palavra-passe deve ser comunicada por canal diferente.
- Verifique quem pede o documento e qual a finalidade declarada.
- Digitalize apenas as páginas necessárias e reveja o ficheiro antes do envio.
- Confirme o endereço do destinatário, sem confiar apenas no preenchimento automático.
- Partilhe pelo canal institucional ou plataforma segura definida pela organização.
- Guarde o original em local protegido e elimine cópias temporárias quando deixarem de ser necessárias.
Como confirmar uma mensagem suspeita
A forma mais segura de verificar uma mensagem é não interagir com os elementos que ela própria fornece. Em vez de clicar no botão “aceder à conta”, escreva o endereço oficial no navegador ou abra a aplicação oficial já instalada. Para uma fatura ou alteração de dados bancários, contacte o fornecedor usando um número existente no contrato, no sítio oficial ou num registo interno.
Nas empresas, pedidos invulgares de direção, recursos humanos ou contabilidade merecem validação adicional, mesmo que pareçam vir de um endereço interno. Contas comprometidas podem enviar mensagens genuínas a partir de contactos verdadeiros. A confirmação por telefone, presencialmente ou por um canal de comunicação previamente conhecido é uma barreira simples e eficaz.
O que fazer se clicou, abriu um anexo ou forneceu dados
Agir depressa limita danos. Não apague a mensagem antes de a comunicar, pois cabeçalhos, ligações e anexos podem ajudar a equipa técnica ou a entidade competente a analisar o caso. Se utilizou uma palavra-passe numa página suspeita, altere-a de imediato no serviço legítimo e em todas as contas onde tenha sido reutilizada.
- Interrompa a interação: feche a página, não descarregue mais ficheiros e não responda ao remetente.
- Altere as credenciais afetadas através do sítio ou aplicação oficial e ative autenticação multifator.
- Contacte o banco sem demora se tiver fornecido dados bancários, códigos de confirmação ou autorizado operações.
- Avise a equipa de informática ou segurança da organização, usando o procedimento interno.
- Execute uma verificação de segurança no equipamento e mantenha o sistema e as aplicações atualizados.
- Guarde evidências, como a mensagem, o endereço do remetente, capturas de ecrã e a hora do contacto.
Prevenção contínua para utilizadores e organizações
A defesa contra phishing combina tecnologia e hábitos. Filtros de correio eletrónico, proteção antimalware, atualizações, cópias de segurança e autenticação multifator reduzem o risco, mas não eliminam a necessidade de analisar pedidos inesperados. Uma organização deve também definir regras claras para aprovação de pagamentos, alteração de IBAN e partilha de documentos digitalizados.
Para utilizadores individuais, o princípio essencial é simples: nenhum pedido urgente deve impedir uma verificação independente. Desconfie de pressões emocionais, confirme contactos e mantenha palavras-passe únicas, idealmente guardadas num gestor de palavras-passe. Em equipamentos partilhados, termine sessão nas plataformas de digitalização e recolha imediatamente as folhas impressas.
