H\u00e1 dois anos bastava ensinar as pessoas a reparar no portugu\u00eas estranho e no endere\u00e7o de e-mail mal escrito. Hoje o e-mail de phishing est\u00e1 bem escrito, a chamada telef\u00f3nica tem a voz do diretor financeiro e a videochamada de urg\u00eancia mostra o rosto do CEO a pedir uma transfer\u00eancia. A tecnologia da fraude melhorou; a forma\u00e7\u00e3o da maioria das empresas ficou em 2019. Este artigo explica o que mudou e como treinar uma equipa de forma realista \u2014 sem sess\u00f5es de duas horas que ningu\u00e9m ret\u00e9m nem regras que ningu\u00e9m cumpre.<\/p>\n
Tr\u00eas coisas. Primeiro, o texto: os e-mails fraudulentos s\u00e3o agora escritos em portugu\u00eas correto, com o tom e a assinatura da pessoa que imitam. Segundo, a voz: com alguns segundos de \u00e1udio p\u00fablico (uma entrevista, um v\u00eddeo no LinkedIn) \u00e9 poss\u00edvel gerar uma chamada com a voz de um administrador a pedir “uma coisa urgente”. Terceiro, a imagem: videochamadas com rostos gerados em tempo real j\u00e1 foram usadas para autorizar transfer\u00eancias em empresas europeias. O denominador comum n\u00e3o \u00e9 a tecnologia \u2014 \u00e9 a urg\u00eancia<\/strong> e a autoridade<\/strong>: algu\u00e9m importante precisa de algo j\u00e1, fora do procedimento normal.<\/p>\n Se a forma\u00e7\u00e3o s\u00f3 ensinar a detetar fraudes, vai falhar, porque algumas s\u00e3o indetet\u00e1veis. O que funciona \u00e9 uma regra que n\u00e3o depende de detetar nada: pedidos de pagamento, altera\u00e7\u00e3o de dados banc\u00e1rios ou envio de dados sens\u00edveis confirmam-se sempre por um segundo canal, para um contacto j\u00e1 conhecido<\/strong>. Recebeu um e-mail do fornecedor com um novo IBAN? Liga-se para o n\u00famero que est\u00e1 no contrato, n\u00e3o para o que vem no e-mail. O CEO pediu uma transfer\u00eancia por videochamada? Confirma-se por telefone para o n\u00famero dele. Se a regra for absoluta e a ger\u00eancia a cumprir tamb\u00e9m, a qualidade da imita\u00e7\u00e3o deixa de importar. Esta regra \u00e9 o centro da nossa an\u00e1lise \u00e0 fraude da fatura alterada<\/a>.<\/p>\n Uma sess\u00e3o anual de duas horas tem reten\u00e7\u00e3o quase nula ao fim de um m\u00eas. O que resulta \u00e9 o contr\u00e1rio: sess\u00f5es de 15 a 20 minutos, a cada dois ou tr\u00eas meses, cada uma sobre um tema (e-mail, chamadas, videochamadas, redes sociais, pens e ficheiros). Sempre com exemplos reais \u2014 idealmente tentativas que chegaram \u00e0 pr\u00f3pria empresa, anonimizadas. As pessoas lembram-se de “aquele e-mail que a Ana recebeu a fingir ser da EDP”, n\u00e3o de um diapositivo gen\u00e9rico.<\/p>\n Enviar e-mails de phishing simulados \u00e0 equipa \u00e9 a forma mais eficaz de medir e melhorar. Duas regras. Primeira: quem clica recebe uma explica\u00e7\u00e3o curta e imediata, nunca uma repreens\u00e3o p\u00fablica \u2014 o objetivo \u00e9 que as pessoas reportem sem medo, e o medo faz esconder. Segunda: mede-se a taxa de reporte<\/strong>, n\u00e3o s\u00f3 a taxa de clique. Uma empresa onde 5% clica mas 60% reporta est\u00e1 mais segura do que uma onde 2% clica e ningu\u00e9m avisa. Comece com uma simula\u00e7\u00e3o por trimestre e aumente a dificuldade gradualmente.<\/p>\n A equipa precisa de uma forma de reportar em dois segundos: um bot\u00e3o no Outlook ou um endere\u00e7o interno conhecido por todos. E precisa de feedback: quem reporta deve saber, no pr\u00f3prio dia, se era fraude ou n\u00e3o. Sem feedback as pessoas deixam de reportar ao fim de um m\u00eas. Com feedback, a equipa transforma-se no melhor sensor de seguran\u00e7a da empresa \u2014 mais r\u00e1pido do que qualquer filtro.<\/p>\n Financeiro e contabilidade (transfer\u00eancias), recursos humanos (dados pessoais, altera\u00e7\u00f5es de conta de sal\u00e1rio), rece\u00e7\u00e3o e assistentes de dire\u00e7\u00e3o (acesso a agendas e a pedidos “em nome de”), e a pr\u00f3pria ger\u00eancia \u2014 que recebe os ataques mais personalizados e \u00e9 quem menos frequenta forma\u00e7\u00f5es. Nas embaixadas, cl\u00ednicas e hot\u00e9is com quem trabalhamos, a rece\u00e7\u00e3o \u00e9 frequentemente o primeiro alvo, porque atende quem quer que ligue.<\/p>\n A forma\u00e7\u00e3o \u00e9 a \u00faltima linha, n\u00e3o a primeira. Antes dela: filtragem de e-mail que marca mensagens externas e bloqueia anexos execut\u00e1veis, autentica\u00e7\u00e3o do dom\u00ednio (SPF, DKIM e DMARC) para dificultar que algu\u00e9m envie e-mails em nome da empresa, e autentica\u00e7\u00e3o multifator<\/a> para que uma password roubada n\u00e3o chegue. Nos nossos contratos de ciberseguran\u00e7a gerida<\/a> estas camadas est\u00e3o configuradas e a sensibiliza\u00e7\u00e3o das equipas faz parte do servi\u00e7o.<\/p>\n Sess\u00f5es curtas a cada dois ou tr\u00eas meses funcionam melhor do que uma sess\u00e3o longa por ano. Uma simula\u00e7\u00e3o de phishing por trimestre mant\u00e9m o tema presente.<\/p>\n Criam, se forem usadas para castigar. Se cada clique for seguido de uma explica\u00e7\u00e3o de dois minutos e o foco for celebrar quem reporta, o efeito \u00e9 o contr\u00e1rio: as pessoas passam a falar do assunto.<\/p>\n N\u00e3o sabe com certeza. Por isso a resposta n\u00e3o \u00e9 detetar, \u00e9 confirmar: desligar e ligar de volta para o n\u00famero conhecido. Uma palavra-passe verbal acordada previamente resolve a maioria dos casos.<\/p>\n O RGPD exige medidas organizativas adequadas e a NIS2 exige explicitamente forma\u00e7\u00e3o em ciberseguran\u00e7a para as entidades abrangidas, incluindo os \u00f3rg\u00e3os de gest\u00e3o. Mesmo fora dessas obriga\u00e7\u00f5es, \u00e9 a medida com melhor rela\u00e7\u00e3o custo-benef\u00edcio.<\/p>\n Preparamos a sess\u00e3o inicial, a primeira simula\u00e7\u00e3o e o bot\u00e3o de reporte, e configuramos a filtragem de e-mail e o MFA para que menos fraudes cheguem \u00e0s pessoas. Veja a nossa ciberseguran\u00e7a gerida para empresas<\/strong><\/a> ou ligue 211 459 950.<\/p>\nRegra zero: o procedimento vence a pessoa<\/h2>\n
Forma\u00e7\u00e3o que funciona: curta, frequente e com exemplos reais<\/h2>\n
Simula\u00e7\u00f5es de phishing: sim, mas sem humilhar<\/h2>\n
O bot\u00e3o de reportar<\/h2>\n
Treinar para deepfakes: o que dizer \u00e0s pessoas<\/h2>\n
\n
Os alvos que merecem treino extra<\/h2>\n
A parte t\u00e9cnica que reduz o que chega \u00e0s pessoas<\/h2>\n
Perguntas frequentes<\/h2>\n
Com que frequ\u00eancia se deve fazer forma\u00e7\u00e3o?<\/h3>\n
As simula\u00e7\u00f5es n\u00e3o criam desconfian\u00e7a na equipa?<\/h3>\n
Como sei se uma chamada com a voz do meu chefe \u00e9 falsa?<\/h3>\n
A forma\u00e7\u00e3o \u00e9 obrigat\u00f3ria por lei?<\/h3>\n
Quer come\u00e7ar pela sua equipa?<\/h2>\n