Como reconhecer a falsificação de identidade por email

As técnicas de falsificação de identidade podem confundir tanto os filtros antispam como o próprio destinatário. As mensagens costumam tentar que abra um anexo, visite uma ligação ou entregue credenciais.

Estes são os sinais que convém rever antes de confiar num pedido de pagamento, acesso ou descarga.

Falsificação do remetente

Consiste em manipular o endereço do remetente para aparentar que a mensagem vem de outra pessoa. Mantenha o antispam ativo, mas não o considere uma proteção absoluta. SPF, DKIM e DMARC fornecem verificações complementares para os domínios que controla.

Falsificação do nome, com remetente real

Embora alguns sistemas detetem a falsificação do domínio, nem todas as mensagens falsificadas são fáceis de identificar. Outra variante consiste em modificar o nome visível.

Quando envia um email, pode definir um nome que acompanhará o endereço do remetente, para distinguir a pessoa ou empresa de onde provém. O nome pode ser qualquer um que se considere oportuno e, sempre que estiver presente, o webmail ou o cliente de email mostrá-lo-á na informação do emissor, chegando até a ocultar o endereço, já que é um dado-chave para que o remetente pareça familiar (por exemplo, o nome completo da pessoa).

O nome visível é definido pelo emissor e as normas de autenticação não demonstram que pertença à pessoa indicada. Os filtros podem detetar algumas tentativas de falsificação, mas o atacante poderia usar até um endereço conhecido como nome.

Por isso, alguns atacantes usam esta técnica para falsificar identidades. Por exemplo, um email vem de usuario@dominioexterno.com e o nome definido por este emissor é, em vez disso, ayuda@banco.com. Quando o utilizador o recebe, o cliente de email dá maior visibilidade ao nome, que neste caso é ayuda@banco.com, o que gera a confusão.

Por sua vez, a mensagem pode vir realmente de usuario@dominioexterno.com, o que dificulta distinguir automaticamente se o nome mostrado tenta enganar.

As campanhas mudam frequentemente as suas ligações, anexos e textos, pelo que nenhum antivírus ou filtro deve ser considerado uma garantia perante uma variante nova.

Sempre que tiver dúvidas, expanda o endereço completo e reveja o domínio caráter a caráter, os avisos de autenticação e qualquer Reply-To diferente. O facto de o endereço ser real ou de a mensagem estar autenticada não exclui que a conta tenha sido comprometida.

Resposta dentro de uma conversa conhecida

Um atacante pode responder dentro de uma conversa real se tiver acedido a uma conta ou a mensagens anteriores. Reconhecer o assunto ou o histórico não demonstra que o novo pedido seja legítimo.

Normalmente, a mensagem alegará a necessidade de assinar um documento, contrato ou nova tabela de preços, sem dar mais informação, sendo o mais genérica possível para evitar dúvidas e levar o destinatário a abrir o ficheiro anexo.

Não abra anexos nem ligações inesperados. Confirme o pedido através de um canal independente que já conhecesse, como um telefone habitual; não responda à mesma mensagem nem utilize dados de contacto nela incluídos, porque a conta pode estar comprometida. Mantenha também o equipamento e a sua proteção de segurança atualizados.

Envio de spam a partir da própria conta

Também pode acontecer que a vítima seja a própria conta do destinatário; tratamos esse caso no manual seguinte

Se já interagiu com a mensagem

Se introduziu credenciais, altere-as a partir do endereço habitual do serviço e reveja sessões, reencaminhamentos e acessos. Se abriu um anexo suspeito, verifique o equipamento e evite continuar a utilizar essa sessão para alterar palavras-passe. Perante uma alteração de conta bancária ou um pedido de pagamento, confirme os dados por um canal independente conhecido.

Conserve a mensagem original e os seus cabeçalhos para a analisar. Não basta uma captura do nome visível. Um resultado SPF, DKIM ou DMARC correto também não exclui que a conta legítima tenha sido comprometida.