O que fazer perante um aviso de acesso suspeito ao cPanel ou ao correio

Um aviso de acesso suspeito indica que uma sessão de cPanel, webmail, IMAP ou SMTP apresenta alguma diferença em relação à utilização habitual, como um IP, país, rede ou dispositivo novos. Não demonstra por si só que a conta tenha sido comprometida, mas convém verificá-lo antes de o descartar.

Não aceda através das ligações incluídas numa mensagem inesperada. Entre diretamente na área de cliente ou no cPanel e confirme aí a conta afetada.

Nestes avisos, SMTP identifica um acesso utilizado para enviar correio; IMAP, POP e webmail identificam acessos à caixa de correio. O protocolo ajuda a distinguir se interveio uma aplicação, um cliente de correio ou uma sessão interativa.

Se reconhecer o acesso

A localização de um IP é aproximada. Um acesso pode aparecer a partir de outra cidade ou país quando utiliza:

• Uma rede móvel cuja saída se encontra noutra região.
• Uma VPN ou rede empresarial.
• Um fornecedor de Internet que mudou o seu IP público.
• Um cliente de correio ou serviço externo que se liga em seu nome.
• Uma viagem ou um dispositivo novo.

Compare a data, o endereço de correio ou utilizador e o tipo de acesso. Se coincidirem com uma ação que acabou de realizar, pode manter a palavra-passe, embora continue a ser recomendável ativar a autenticação de dois fatores na área de cliente.

Se não reconhecer o acesso

1. Altere imediatamente a palavra-passe concreta afetada. A palavra-passe de uma caixa de correio, FTP ou WordPress é independente da do cPanel.
2. Se se tratar do cPanel, a alteração substitui também a credencial principal usada pelo cPanel, FTP e SSH. Reveja à parte as contas FTP adicionais e altere apenas as que não reconheça ou que possam ter ficado expostas.
3. Ative a autenticação de dois fatores na área de cliente.
4. Analise com software de segurança os equipamentos a partir dos quais administra a conta. Alterar a palavra-passe a partir de um dispositivo infetado pode expor também a nova.
5. Reveja em Track Delivery se a caixa de correio enviou mensagens que não reconhece e verifique regras, filtros e reencaminhamentos desconhecidos.
6. Verifique alterações recentes em ficheiros, utilizadores, tarefas cron, DNS e aplicações.

Utilize palavras-passe novas e únicas. Não basta acrescentar um carácter à anterior nem reutilizar uma palavra-passe de outro serviço. O guia sobre como as palavras-passe são comprometidas explica as origens mais frequentes.

Se a caixa de correio já não permitir iniciar sessão ou enviar, pode existir uma restrição preventiva. Início de sessão, receção e envio são permissões diferentes. Reveja a causa e as mensagens pendentes antes de reativar, seguindo o guia para desbloquear uma conta após o comprometimento dos seus dados de acesso.

Quando pedir uma revisão

Contacte o suporte se não reconhecer o acesso, observar correio de saída ou alterações não autorizadas, ou não conseguir determinar que credencial foi utilizada. Indique a conta afetada, a data aproximada e o IP mostrado no aviso; nunca envie a palavra-passe.

Poderemos confrontar o acesso com os registos disponíveis e verificar se existe atividade posterior relacionada. Uma geolocalização inesperada sem ações anómalas pode ser legítima; um IP conhecido não exclui uma credencial comprometida.

Guarde o contexto da verificação

Anote que acesso verificou e com que dispositivo ou tarefa coincide. Os avisos de uma aplicação que se liga em segundo plano podem repetir-se mesmo que não tenha aberto o navegador.

Se alterar uma credencial, atualize-a nos dispositivos revistos e observe se continuam a aparecer ligações alheias. Uma revisão posterior permite distinguir as tentativas de uma aplicação com a palavra-passe antiga de atividade nova que continue a precisar de atenção.