Golpes por e-mail: como identificar mensagens falsas e proteger sua empresa

O e-mail continua sendo uma das portas de entrada preferidas dos golpistas. Ele é barato, chega a qualquer pessoa e explora algo que nenhum antivírus resolve sozinho: a pressa e a confiança de quem lê. Uma mensagem bem montada pode se passar pelo seu banco, por um fornecedor antigo, por um órgão público ou até pelo dono da empresa.

Neste guia você vai entender como esses golpes funcionam, quais sinais denunciam uma mensagem falsa, quais são os golpes mais comuns no dia a dia das pequenas e médias empresas e, principalmente, o que fazer para se prevenir. No final, há um passo a passo para agir rápido se alguém já clicou.

O que é phishing e por que ainda funciona

Phishing é o nome dado aos golpes em que o criminoso se passa por alguém confiável para levar a vítima a entregar dados, clicar em um link, abrir um arquivo ou fazer um pagamento. O nome vem do inglês “fishing” (pescar): a mensagem é a isca, e basta que uma pessoa morda.

Esse tipo de golpe não depende de uma falha técnica sofisticada. Depende de um comportamento humano comum: abrir o e-mail no celular entre uma tarefa e outra, ver um assunto alarmante e agir antes de pensar. Por isso a melhor defesa combina tecnologia, processos simples e uma equipe que sabe o que procurar.

O golpe por e-mail não ataca o computador. Ataca a pressa de quem está do outro lado da tela.

7 sinais de que a mensagem é falsa

Nenhum sinal isolado prova que um e-mail é golpe, mas, quando dois ou mais aparecem juntos na mesma mensagem, desconfie.

1. Remetente que não bate. O nome exibido diz “Banco” ou “Financeiro”, mas o endereço real é de um domínio estranho, com letras trocadas (como “rn” no lugar de “m” ou o número 1 no lugar do L) ou de um serviço de e-mail gratuito. Toque ou clique no nome para ver o endereço completo.
2. Urgência e ameaça. “Sua conta será bloqueada em 24 horas”, “último aviso”, “evite multa”. Pressão de tempo é a ferramenta favorita do golpista, porque tira de você o momento de conferir.
3. Saudação genérica. “Prezado cliente” ou o seu próprio e-mail no lugar do nome. Empresas com quem você tem relação costumam saber como você se chama.
4. Links disfarçados. O texto do botão parece legítimo, mas o endereço por trás leva a outro lugar. No computador, passe o mouse sobre o link sem clicar; no celular, segure o dedo sobre ele para ver o destino.
5. Anexos inesperados. Arquivos .zip, .exe, .html, .iso ou documentos que pedem para “habilitar conteúdo” ou “habilitar macros” são sinal vermelho, principalmente quando você não estava esperando nada.
6. Pedido de dados ou pagamento fora do normal. Bancos e órgãos públicos não pedem senha, código de verificação ou número completo de cartão por e-mail. Fornecedor que muda de conta bancária “de repente” também merece confirmação.
7. Detalhes fora do lugar. Logotipo esticado, assinatura incompleta, datas que não fazem sentido. Atenção: com ferramentas de inteligência artificial, golpes bem escritos e sem erros de português estão cada vez mais comuns. Texto caprichado não é garantia de nada.

Como conferir um link antes de clicar

O endereço que importa é o domínio, ou seja, o trecho que vem logo antes da primeira barra “/”. Golpistas colocam o nome de empresas conhecidas no começo do endereço para enganar quem lê com pressa, mas o domínio verdadeiro fica no final. Em “bancoexemplo.com.br.atualiza-cadastro.top/login”, por exemplo, o site de verdade é “atualiza-cadastro.top”, e não o banco.

Na dúvida, não use o link do e-mail. Feche a mensagem e acesse o serviço digitando o endereço no navegador ou pelo aplicativo oficial. Se o aviso for real, ele também estará lá.

Os golpes por e-mail mais comuns em empresas

Alguns roteiros se repetem com frequência. Conhecer cada um ajuda a reconhecer a isca quando ela chegar à sua caixa de entrada.

Boleto ou cobrança falsa

A mensagem traz um boleto “em atraso” ou uma “segunda via” cujo código de barras leva o dinheiro para a conta do golpista. Às vezes o valor é pequeno justamente para não chamar atenção. Antes de pagar, confira a cobrança no sistema ou no site oficial do emissor, nunca pelo link do e-mail, e verifique se o beneficiário mostrado no aplicativo do banco é mesmo a empresa esperada.

Fornecedor com “conta nova”

Esse é um dos golpes que mais causam prejuízo. O criminoso invade ou imita o e-mail de um fornecedor real e, às vezes no meio de uma conversa legítima, avisa que os dados bancários mudaram. O financeiro paga a nota de sempre, só que para outra conta.

A defesa aqui é um processo, não uma ferramenta: qualquer alteração de dados bancários só vale depois de confirmada por telefone, em um número que já estava cadastrado. Nunca use o telefone que veio no próprio e-mail, porque ele pode ser do golpista.

Falso diretor ou falso dono

Um e-mail que parece ser do sócio pede algo urgente e sigiloso: “preciso que você faça um Pix agora, estou em reunião e não posso atender” ou “compre cartões-presente para um cliente”. O tom de autoridade e o pedido de sigilo existem para impedir que a pessoa confirme. Combine com a equipe que pedidos de pagamento fora do fluxo normal sempre passam por uma confirmação por voz, sem exceção.

Falso banco, falsa entrega e falso órgão público

Avisos de “acesso suspeito à sua conta”, “encomenda retida aguardando pagamento de taxa” ou “pendência no CPF ou CNPJ” levam a páginas que copiam o visual de sites conhecidos para capturar login, senha e códigos de verificação. Bancos, transportadoras e órgãos públicos têm canais oficiais; use sempre esses canais para conferir.

Documento compartilhado e caixa de e-mail cheia

“Fulano compartilhou um arquivo com você” ou “sua caixa atingiu o limite, revalide sua senha”. A página de destino imita a tela de login do e-mail corporativo e rouba a senha. Com a conta invadida, o golpista passa a aplicar os outros golpes em nome da sua empresa, para clientes e fornecedores que confiam em você.

Como se prevenir: pessoas, processos e tecnologia

Proteção de verdade vem em camadas. Nenhuma medida isolada impede todos os golpes, mas cada camada reduz o que passa para a próxima. Se uma falhar, a seguinte segura.

Pessoas: transforme a equipe em filtro

• Mostre exemplos reais de golpes, sem expor ninguém, em conversas curtas e frequentes. Dez minutos por mês costumam valer mais que um treinamento longo uma vez por ano.
• Crie a cultura do “na dúvida, pergunte”. Ninguém deve ser repreendido por desconfiar de um e-mail que depois se mostrou legítimo.
• Defina um canal simples para reportar mensagens suspeitas, como encaminhar para um endereço específico ou avisar o responsável pela TI.

Processos: regras que o golpista não consegue pular

• Alteração de dados bancários de fornecedor só depois de confirmação por telefone em número já cadastrado.
• Pagamentos urgentes ou fora do fluxo exigem aprovação de uma segunda pessoa.
• Ninguém informa senha ou código de verificação por e-mail, mensagem ou telefone, nem para quem diz ser “do suporte”.
• Boletos são conferidos no aplicativo do banco antes do pagamento: nome do beneficiário, CNPJ e valor.

Tecnologia: deixe menos golpes chegarem à caixa de entrada

• Verificação em duas etapas (MFA) no e-mail e nos sistemas importantes. Mesmo que a senha vaze, o invasor não entra sem o segundo fator.
• SPF, DKIM e DMARC configurados no domínio da empresa. Esses registros indicam quais servidores podem enviar e-mails em seu nome e dificultam que golpistas usem o seu domínio para enganar clientes e fornecedores.
• Filtro antispam e antimalware no e-mail corporativo, além de antivírus ativo e atualizado nos computadores.
• Atualizações em dia de sistema operacional, navegador e programas. Muitas atualizações corrigem justamente as falhas exploradas por anexos maliciosos.
• Gerenciador de senhas e uma senha diferente para cada serviço. Um bom gerenciador ainda ajuda a perceber páginas falsas, porque não preenche a senha em um endereço que não reconhece.
• Backup seguindo a regra 3-2-1: três cópias dos dados, em dois tipos de mídia, com uma delas fora da empresa. Se um anexo malicioso instalar um ransomware, é o backup que permite recuperar os arquivos sem negociar com criminosos.

Clicou no link ou abriu o anexo? Faça isto agora

Acontece com qualquer pessoa, inclusive com quem conhece todos os sinais. O que separa um susto de um prejuízo é a velocidade da reação. Siga esta ordem:

1. Desconecte o computador da rede (tire o cabo ou desligue o Wi-Fi) se você abriu um anexo ou instalou algo. Isso limita o que um programa malicioso consegue fazer.
2. Troque a senha que foi digitada na página falsa, usando outro aparelho confiável, e ative a verificação em duas etapas. Se usava a mesma senha em outros serviços, troque lá também.
3. Avise o banco imediatamente se informou dados bancários ou fez um pagamento. Quanto antes o banco for acionado, maiores as chances de bloquear a transação.
4. Comunique o responsável pela TI. Ele pode verificar o computador, revisar regras de encaminhamento criadas na caixa de e-mail e checar se outras pessoas receberam a mesma mensagem.
5. Alerte a equipe, clientes e fornecedores, principalmente se a sua conta de e-mail foi usada para enviar mensagens.
6. Guarde as evidências: o e-mail original, comprovantes e capturas de tela. Elas ajudam o banco, a TI e, se for o caso, o registro de um boletim de ocorrência.

Checklist rápido antes de clicar

• Eu estava esperando esse e-mail?
• O endereço do remetente é mesmo de quem diz ser?
• O link leva ao site oficial, e não a um domínio parecido?
• O pedido faz sentido e segue o processo normal da empresa?
• Consigo confirmar por outro canal antes de agir?

Se qualquer resposta for “não” ou “não sei”, pare e confirme antes de clicar, baixar ou pagar. Alguns minutos de conferência custam muito menos do que um pagamento desviado ou uma conta invadida.

Como a Dottcon pode ajudar

A Dottcon ajuda pequenas e médias empresas a proteger o e-mail corporativo: configuração de SPF, DKIM e DMARC, verificação em duas etapas, filtros, backup e atualização dos equipamentos, além de orientação para a equipe reconhecer golpes. Quer saber como está a segurança do e-mail da sua empresa? Fale com a gente.

Voltar ao blog