Burla online por email e domínios falsos: como reconhecê-las e como proteger o seu domínio e o seu email

Já ouvir falar sobre burla online? E de burla online por email através de domínios falsos criados para fins maliciosos?

“Tenho um vídeo seu pela webcam.” “A sua conta vai ser bloqueada.” “Enviei este email a mim mesmo, e ele chegou.”

Se já recebeu mensagens deste género, acredite quando lhe dizemos que não está sozinho. As burlas online por email são das mais comuns em Portugal, e quase todas recorrem a um truque muito simples: fazem-se passar por alguém em quem confia para atingir o seu propósito.

Há um ângulo que raramente é explicado: o domínio. É através do domínio (o que vem depois do @ e o que está no endereço de um site, por exemplo, www.nomedasuaempresa.pt) que os burlões imitam, falsificam ou aproveitam quando alguém se esquece de o renovar. Perceber como isto funciona é a melhor defesa, tanto para si como para o seu negócio.

Neste guia explicamos, sem jargão, como reconhecer burlas por email e domínios falsos, o que fazer se já caiu, e como proteger o seu domínio e o seu email.

1. Os tipos de burla por email, em linguagem simples

Os nomes parecem complicados, mas a ideia é sempre a mesma: enganar uma pessoa para que faça algo que não faria se soubesse a verdade.

• Phishing: um email que imita uma entidade conhecida (banco, CTT, Finanças, um serviço online) para o levar a clicar num link, abrir um ficheiro ou dar dados.
• Smishing: o mesmo, mas por SMS.
• Vishing: o mesmo, mas por chamada telefónica.
• Spoofing: falsificação do remetente. A mensagem parece vir de alguém que não a enviou.
• Extorsão (sextortion): ameaças de divulgar imagens ou vídeos, quase sempre inventadas, para exigir dinheiro.
• Burla do “falso patrão” ou da fatura: um email que parece vir de um colega, de um chefe ou de um fornecedor, a pedir um pagamento ou a alterar um IBAN.

2. “Recebi um email do meu próprio endereço”: o que se passa

Abre a caixa de entrada e vê uma mensagem enviada por si, para si. A primeira reação é pensar que a conta foi invadida. Na maioria dos casos, não foi.

O email foi concebido de forma semelhante ao correio tradicional. Num envelope, qualquer pessoa pode escrever o remetente que quiser, e o carteiro não verifica. Com o email passa-se algo parecido: o campo “De” pode ser preenchido com qualquer endereço. Isto chama-se falsificação do remetente (spoofing). Ou seja, o burlão não precisa de entrar na sua conta para fazer parecer que a mensagem veio dela.

Existem mecanismos para reduzir este problema (SPF, DKIM e DMARC, que explicamos na secção 8), mas a proteção só funciona se o domínio os tiver configurado e se quem recebe a mensagem os verificar. Por isso, ainda chegam muitas mensagens deste tipo.

O que fazer, por ordem

1. Não clique em ligações, não abra anexos e não responda.
2. Veja a pasta “Enviados”. Se a mensagem não está lá, é um bom sinal de que não saiu da sua conta.
3. Mude a palavra-passe do email por precaução, e use uma que não repita noutros serviços.
4. Ative a verificação em dois passos (um código adicional, por exemplo no telemóvel).
5. Verifique as regras de reencaminhamento nas definições do email. Alguns atacantes que realmente entram numa conta criam uma regra para receber cópia de tudo.
6. Verifique a atividade recente da conta, se o seu serviço mostrar os últimos acessos.
7. Marque como spam ou phishing e apague.

Atenção: se também houver mensagens a sair da sua conta que você não escreveu (amigos a avisar, respostas estranhas), então a conta pode ter sido comprometida. Nesse caso, mude a palavra-passe de imediato e peça apoio ao seu fornecedor de email.

3. O email da “webcam”: porque é falso e o que fazer

Este é um dos mais assustadores. A mensagem diz, mais ou menos, que o remetente instalou um programa no seu computador, o filmou através da webcam enquanto via conteúdo para adultos e tem um vídeo. Exige um pagamento (normalmente em criptomoedas) para não o enviar aos seus contactos. Muitas vezes vem com o seu próprio endereço como remetente, para parecer que tem acesso à sua conta.

Na grande maioria dos casos, é uma burla em massa. A mesma mensagem é enviada a milhares de pessoas, com a esperança de que algumas, assustadas, paguem. Alguns sinais:

• Mostra uma palavra-passe sua. Isto assusta, mas costuma vir de fugas de dados antigas de outros serviços, que circulam na Internet. Não prova que o seu computador foi invadido.
• Prazo curto e ameaça. “Tem 48 horas.” A pressa é a arma principal do burlão.
• Pagamento em criptomoedas. Porque é difícil de rastrear e de reverter.
• Mensagem genérica. Não refere nada que só você saberia, como o seu nome completo, o seu site ou o seu local de trabalho.
• Remetente igual ao destinatário. Como vimos, é fácil de falsificar.

O que fazer

1. Não pague e não responda. Responder confirma que o seu email está ativo e pode trazer mais mensagens.
2. Mude a palavra-passe que aparece na mensagem, em todos os serviços onde a use, e ative a verificação em dois passos.
3. Verifique se o seu email aparece em fugas de dados conhecidas, num serviço de consulta de confiança, como o Have I Been Pwned.
4. Mantenha o computador atualizado e com antivírus em funcionamento.
5. Guarde a mensagem (sem clicar em nada) caso queira denunciar.

Se existirem de facto imagens suas a ser usadas para o ameaçar, ou se a pessoa que o ameaça for alguém que o conhece, a situação é diferente e deve ser levada a sério: guarde as provas, não pague e contacte as autoridades (ver a secção 10). Não está sozinho e a responsabilidade é de quem ameaça.

4. Falsos emails de bancos, CTT, Finanças e transportadoras

São os mais frequentes. Costumam dizer que há um problema com a conta, um pagamento por fazer, uma encomenda retida ou um reembolso à espera. O objetivo é levá-lo a um site falso que copia o original, para lhe roubar os dados.

A regra de ouro: nunca use a ligação do email. Abra o site da entidade escrevendo o endereço no browser, ou use a aplicação oficial, e veja lá se existe mesmo alguma notificação.

5. Domínios parecidos com o original

Os burlões registam domínios que se parecem com os verdadeiros, na esperança de que ninguém repare. Chama-se typosquatting. Alguns truques comuns:

• Letras trocadas ou a mais: um “m” que se torna “rn”, um “l” que se torna “i”, uma letra repetida.
• Palavras acrescentadas: “apoio”, “seguro”, “login” ou “pagamentos” junto ao nome real.
• Extensões diferentes: o mesmo nome com outro final (.com em vez de .pt, por exemplo).
• Acentos e caracteres parecidos: o .pt aceita acentos do alfabeto português, como á, ã, ç ou ê, por isso um nome com e sem acento pode ser confundido à primeira vista.

Se tem uma marca ou um negócio, registar as variantes mais óbvias do seu domínio (com e sem acentos, com erros de escrita comuns e com as extensões principais) reduz o risco de alguém as usar contra os seus clientes. Pode ver como escolher um bom nome em Como escolher o nome de domínio para o seu negócio.

6. Domínio expirado: o risco de outros o aproveitarem

Este é o risco de que menos se fala, e pode afetar qualquer empresa. Um domínio é registado por um período e tem de ser renovado. Se ninguém o renovar, o que acontece?

Segundo as regras do .PT, quando termina o prazo de um domínio .pt há um período adicional de 30 dias para renovar. Durante esse período, o domínio deixa de estar ativo na zona .pt (o site e o email deixam de funcionar) e a renovação tem um valor adicional. Se não for renovado, o domínio é removido e fica disponível para registo por qualquer pessoa.

E depois? Se outra pessoa o registar, pode:

• Receber os emails que ainda chegam a esse domínio, incluindo mensagens de recuperação de palavras-passe de serviços onde o seu email antigo estava registado.
• Pôr um site falso com o nome da sua empresa e aproveitar-se da sua reputação.
• Enviar emails em nome do seu antigo domínio aos seus clientes e fornecedores.

Como evitar

• Mantenha os dados de contacto atualizados no registo do domínio, para receber os avisos de renovação.
• Use um email de contacto que consulte, e não o do colaborador que já saiu da empresa.
• Considere a renovação por vários anos, se estiver disponível, para ter menos datas a controlar.
• Se um domínio já não for necessário, retire-o dos serviços e dos emails antes de o deixar expirar.
• Guarde a data de expiração num calendário da empresa, com avisos antecipados.

7. Como verificar um domínio suspeito

Antes de confiar num site ou num email, faça uma verificação rápida:

1. Leia o endereço com atenção, letra a letra, e compare-o com o oficial.
2. Escreva você o endereço no browser, em vez de usar a ligação recebida.
3. Pesquise o nome da entidade no Google e compare com o endereço do site oficial.
4. Consulte o WHOIS do domínio. Nos domínios .pt, o WHOIS do .PT mostra a data de registo e de expiração, o estado técnico e os dados do titular e da entidade gestora. Os dados pessoais de pessoas singulares só aparecem se o titular o autorizar, mas os das empresas são sempre divulgados. Um domínio registado há poucos dias e que diz ser um banco é um sinal de alerta.
5. Não confie só no cadeado (HTTPS). Significa que a ligação é cifrada, não que o site seja de confiança. Os burlões também usam certificados.

A consulta do WHOIS serve para verificar a titularidade e as datas de um domínio. Não deve ser usada para recolher contactos de terceiros.

8. Para empresas: SPF, DKIM e DMARC

Se tem um domínio próprio e usa email com ele (por exemplo, geral@oseunegocio.pt), há três registos técnicos que ajudam os outros servidores a perceber se uma mensagem que diz vir de si é de facto sua. Pense neles como uma verificação de identidade para o seu email.

• SPF é uma lista dos servidores autorizados a enviar email em nome do seu domínio. Quem recebe vê se o servidor que enviou está na lista.
• DKIM é uma assinatura digital adicionada às mensagens que sai do seu servidor. Permite verificar que o conteúdo não foi alterado e que veio de quem diz.
• DMARC diz ao servidor de quem recebe o que fazer quando o SPF ou o DKIM falham (não fazer nada, enviar para spam ou rejeitar) e pode enviar-lhe relatórios sobre quem está a usar o seu domínio.

Estes registos configuram-se no DNS do domínio. Um exemplo, só para ilustrar o formato do DMARC numa fase inicial de observação:

v=DMARC1; p=none; rua=mailto:dmarc@oseunegocio.pt

Os valores corretos de SPF e DKIM dependem do serviço de email que usa, por isso peça-os ao seu fornecedor de email e não copie registos de exemplos. Um caminho prudente é começar o DMARC em modo de observação (p=none), analisar os relatórios e só depois passar a quarantine e, por fim, a reject.

O que isto faz e o que não faz: reduz bastante o risco de alguém enviar emails a fingir ser a sua empresa, mas não o elimina. Só ajuda quando quem recebe verifica estes registos, e não o protege de phishing feito com domínios parecidos com o seu.

Cuidados adicionais para o seu negócio

• Verificação em dois passos em todas as contas de email da empresa.
• Palavras-passe únicas e, de preferência, num gestor de palavras-passe.
• Regra de confirmação por outro canal para pagamentos e alterações de IBAN: ligue para um número que já conhece, nunca para o do email.
• Formação rápida da equipa, com exemplos reais de emails falsos.
• Site atualizado e protegido. Se usa WordPress, veja as boas práticas de gestão e plugins de segurança. Se quer perceber melhor o que o seu alojamento deve incluir, leia O que é alojamento web?

9. Já cliquei ou paguei: o que fazer

Aconteceu a qualquer pessoa. O mais importante é agir depressa e sem vergonha.

Se clicou numa ligação ou abriu um anexo

1. Desligue-se da Internet (wi-fi ou cabo) se tiver aberto um anexo.
2. Não introduza dados. Se já o fez, passe ao ponto seguinte.
3. Mude as palavras-passe das contas afetadas, a partir de outro dispositivo, se possível, e ative a verificação em dois passos.
4. Faça uma análise com o antivírus e mantenha o sistema atualizado.

Se forneceu dados bancários ou fez um pagamento

1. Contacte o seu banco de imediato, pelo número que consta do cartão ou do site oficial, e peça para bloquear o cartão ou a conta. Cada hora conta.
2. Peça a anulação ou a recuperação do pagamento, se for possível.
3. Guarde as provas: capturas de ecrã, o email original, comprovativos e horas.
4. Apresente queixa (ver secção seguinte).

Se for uma empresa

1. Avise internamente de imediato quem trata de TI e de finanças.
2. Isole os computadores afetados.
3. Mude as credenciais de acesso ao email, ao banco e aos serviços críticos.
4. Avise clientes e fornecedores se houver emails enviados em nome da empresa.
5. Avalie, com apoio jurídico, se há obrigação de comunicar uma violação de dados.

10. A quem denunciar

Denunciar ajuda a travar a burla e a proteger outras pessoas. Consulte sempre os contactos atualizados nos sites oficiais:

• Polícia Judiciária: para queixas de burla, extorsão e crimes informáticos.
• CNCS (Centro Nacional de Cibersegurança): para comunicar incidentes e phishing.
• O seu banco: para qualquer situação que envolva contas ou cartões.
• A entidade imitada: muitos bancos, os CTT e outras entidades têm um endereço próprio para receber emails de phishing.
• Linha Internet Segura: se houver ameaças ligadas a imagens íntimas ou a menores.

Se o domínio usado na burla for um domínio .pt, saiba que as regras do .PT definem como abuso de DNS o uso de um domínio para malware, phishing, pharming, botnets ou spam. Quando o .PT tem conhecimento de uma situação destas, comunica-a aos responsáveis pelo domínio e, quando aplicável, à autoridade competente. O .PT pode ainda bloquear ou redirecionar domínios na sequência de uma notificação de uma autoridade competente, mas não é responsável pela utilização que é dada aos domínios. Por isso, a denúncia às autoridades é o caminho mais eficaz.

Checklist: este email é de confiança?

• Estava à espera desta mensagem?
• O endereço do remetente é exatamente o oficial?
• Cria urgência ou ameaça?
• Pede dados, códigos ou palavras-passe?
• A ligação aponta para o domínio oficial (passe o rato por cima, sem clicar)?
• O anexo é inesperado?
• Consigo confirmar por outro canal (telefone oficial, aplicação, site escrito por mim)?
• Se é de uma empresa, o IBAN ou os dados de pagamento mudaram de repente?
• A mensagem mostra uma palavra-passe minha como “prova”?
• Em caso de dúvida, não cliquei e perguntei a alguém?

Perguntas frequentes sobre Burla online 

Recebi um email do meu próprio endereço. A minha conta foi invadida?

Por norma, não. O remetente de um email pode ser falsificado sem que o burlão tenha acesso à sua conta. Não clique em nada, consulte a pasta  de “Enviados”,  altere a  palavra-passe por precaução e ative a verificação em dois passos (2FA).

Um email diz que me filmou pela webcam. É verdade?

Na grande maioria dos casos trata-se de uma burla massiva. Por isso, não pague e não responda. Aconselhamos a mudar as passwords e a ativar o 2FA, ou seja, a verificação em dois passos. Se existirem ameaças reais com imagens suas, guarde as provas e contacte as autoridades.

Porque é que o email mostra a minha palavra-passe?

Muito provavelmente, isso está a acontecer porque o seu email e respetivo acesso esteve envolvido numa fuga de dados de outro serviço, que circula na Internet. Isso não prova que o seu computador foi invadido, mas é um bom motivo para mudar essa palavra-passe em todos os sítios onde a utilizaou.

Como sei que um site é falso?

Para validar se um site é falso, faça a verificação do domínio, ou seja, do endereço desse site, letra a letra, escreva-o no browser em vez de usar as ligações recebidas, desconfie sempre de pedidos com urgência e de pedidos de dados, e consulte o WHOIS para ver a data de registo. O cadeado (HTTPS) não garante que o site seja de confiança.

O que acontece se o meu domínio .pt expirar?

Segundo as regras do .PT, existe um período adicional de 30 dias para renovar, com um valor adicional, durante o qual o domínio deixa de estar ativo. Se não for renovado, é removido e fica disponível para registo por qualquer pessoa.

O que são o SPF, o DKIM e o DMARC?

O SPF, o DKIM e o DMARC dizem respeito a registos do domínio que permitem aos servidores de email a verificar se as mensagens foram efetivamente enviadas por quem diz ter enviado. O SPF lista os servidores autorizados, o DKIM assina as mensagens e o DMARC define o que fazer quando as verificações falham. Reduzem o risco de falsificação, mas não o eliminam.

Registar variantes do meu domínio protege a minha marca?

O registo de variantes do seu domínio ajuda a reduzir o risco de terceiros utilizando nomes parecidos contra os seus clientes. Não impede todos os casos, porque há muitas variantes possíveis, mas, pelo menos, cobre as mais óbvias.

A quem devo denunciar uma burla por email?

À Polícia Judiciária, ao CNCS, ao seu banco (se envolver contas ou cartões) e à entidade que foi imitada. Consulte sempre os contactos atualizados nos sites oficiais.

Proteja o seu nome na Internet

As burlas por email não vão desaparecer,no entanto, existem algumas ações que pode levar a cabo para tornar a vida mais difícil a quem as tenta. Mantenha o seu domínio sempre renovado, com os dados atualizados, proteja as variantes mais importantes do seu nome e use um alojamento com os cuidados básicos de segurança.

Se tem uma marca, um negócio ou um projeto, comece por garantir o seu nome:

Verifique agora a disponibilidade do seu domínio .pt e das suas variantes

Se prtende ou renovar o seu site em WordPress, veja os planos de alojamento WordPress. Segundo a página de planos, incluem certificado SSL grátis, cópias de segurança com JetBackup e Imunify360 para segurança avançada.

E partilhe este guia com quem mais precisa dele: pais, avós, colegas e clientes. A burla online só resulta porque as pessoas não sabem que existem. Já recebeu algum email suspeito? Conte-nos nos comentários como o reconheceu.