Phishing corporativo: como reconhecer e-mails falsos e proteger as credenciais

Phishing corporativo é a fraude em que um e‑mail (ou mensagem) se passa por alguém de confiança — banco, fornecedor, provedor de e‑mail, diretor da empresa — para conseguir credenciais, dados ou um pagamento. Reconhecer um phishing depende menos de "parecer estranho" e mais de três verificações objetivas: quem realmente enviou, para onde o link leva de verdade e por que existe pressa. Qualquer mensagem que peça senha, pagamento urgente ou mudança de dados bancários deve ser confirmada por outro canal antes de qualquer ação.

Phishing não é spam

Spam é mensagem indesejada em massa: incomoda, consome tempo, mas não tem como objetivo enganar uma pessoa específica. Phishing é fraude direcionada ao comportamento humano — ele imita um remetente legítimo e conta com a rotina do destinatário para funcionar. Por isso um filtro de e‑mail bem configurado reduz muito o volume, mas nunca elimina o risco sozinho: o que chega é justamente o que se parece com trabalho normal.

Os formatos mais comuns em empresas

Boleto e cobrança falsos

Mensagem com "segunda via", "boleto atualizado" ou "cobrança em atraso" em anexo. O documento chega com o nome correto do fornecedor e valores plausíveis, mas com beneficiário ou dados bancários trocados. Regra prática: dados bancários de fornecedor nunca mudam por e‑mail. Qualquer alteração exige confirmação por telefone em contato já cadastrado.

Fornecedor comprometido

Variante mais difícil: o e‑mail vem realmente da conta do fornecedor, porque ela foi invadida. Não há erro de domínio, não há português ruim. O que denuncia é o conteúdo — mudança de conta, urgência, pedido de sigilo.

Falsa redefinição de senha

"Sua senha expira hoje", "confirme sua conta", "sua caixa está cheia". O link leva a uma página idêntica à de login do provedor, que apenas coleta usuário e senha. É o caminho mais direto para o roubo de credenciais.

Falso executivo

Pedido urgente, em nome de diretor ou sócio, para transferência, compra de créditos ou envio de dados, quase sempre com justificativa de indisponibilidade ("estou em reunião, não me ligue").

Como conferir um e‑mail suspeito

• Remetente real: veja o endereço completo, não o nome exibido. O nome pode ser qualquer texto.
• Domínio parecido: letras trocadas, caracteres a mais, terminação diferente da habitual, subdomínio que imita a marca.
• Destino do link: passe o cursor sobre o link e leia o endereço antes de clicar; no celular, mantenha pressionado. Desconfie de encurtadores em comunicação corporativa.
• Anexos: arquivos executáveis, compactados com senha ou documentos que pedem "habilitar edição/conteúdo" para funcionar.
• Urgência artificial: prazo apertado, ameaça de bloqueio, pedido de sigilo — a pressa existe para evitar a checagem.
• QR code: códigos em e‑mail ou PDF levam o usuário para o celular, fora das proteções da rede corporativa, e devem receber a mesma desconfiança de um link.
• Contexto: você esperava essa mensagem? Esse fornecedor costuma escrever assim?

Nenhum item isolado prova fraude. A combinação de dois ou três exige verificação por outro canal.

Prevenção em camadas

Autenticação e contas

MFA (autenticação em dois fatores) em todas as contas corporativas é a medida de maior impacto: mesmo com a senha vazada, o acesso exige o segundo fator. Prefira aplicativo autenticador ou chave de segurança a código por SMS. Em ambientes Microsoft 365, revise também políticas de acesso, contas antigas ainda ativas e permissões acumuladas — tema detalhado em erros comuns de configuração e segurança no Microsoft 365 e em Microsoft 365 para empresas.

Senhas

Senhas longas, únicas por serviço e guardadas em gerenciador corporativo. Reutilização é o que transforma um vazamento antigo em invasão nova, como explicado em senhas fracas em empresas.

Filtros, proteção de rede e backup

Filtro antispam e antiphishing no e‑mail, proteção de endpoint gerenciada e regras de saída no firewall corporativo reduzem a superfície. E, como nenhuma barreira é absoluta, backup corporativo testado é o que garante recuperação quando algo passa.

Processo e pessoas

Defina por escrito uma regra simples: nenhuma alteração de dados bancários, nenhuma transferência fora do padrão e nenhum envio de credenciais acontece sem confirmação por outro canal. Treine a equipe periodicamente e use simulações controladas de phishing para medir o risco real — o objetivo é identificar onde reforçar orientação, não punir quem clicou. Quem clica e avisa rápido é parte da defesa.

O que fazer se alguém clicou ou informou a senha

A prioridade é reduzir a janela de acesso do invasor. Em ordem:

1. Avise a TI imediatamente. Tempo é o fator que mais influencia o estrago.
2. Troque a senha da conta afetada e de qualquer serviço que usasse a mesma senha.
3. Revogue as sessões ativas da conta, para que tokens já emitidos deixem de funcionar.
4. Ative ou revise o MFA e verifique se algum método de segundo fator desconhecido foi cadastrado.
5. Verifique regras de encaminhamento e caixa de entrada. Criar regra que encaminha ou apaga mensagens é o primeiro passo típico de quem invade uma conta de e‑mail — inclusive para esconder respostas a fraudes em andamento.
6. Revise a conta: aplicativos autorizados, dispositivos conectados, alterações de perfil, assinatura de e‑mail e contatos de recuperação.
7. Isole e analise o equipamento se houve execução de anexo: desconecte da rede e faça a verificação antes de devolver à operação.
8. Comunique quem foi impactado. Se a conta enviou mensagens fraudulentas, avise clientes e fornecedores.
9. Se houve pagamento, acione o banco imediatamente e preserve evidências: e‑mails originais com cabeçalhos, registros e comprovantes, sem apagar nada.
10. Registre o incidente e revise o que falhou no processo, não apenas na tecnologia.

Erros comuns

• Tratar o clique como falha individual e não como incidente a ser comunicado.
• Trocar a senha e não revogar as sessões ativas.
• Confiar apenas no filtro de e‑mail.
• Confirmar dados bancários respondendo o próprio e‑mail suspeito.
• Manter contas de ex‑funcionários ativas.
• Não ter backup testado para os casos em que a fraude evolui para ransomware.

Phishing é um recorte específico de segurança: engenharia social, e‑mail e credenciais. A visão ampla de proteção — ransomware, vazamentos, camadas de rede e continuidade — está em segurança digital para empresas.

Se alguém da equipe já entregou a senha ou autorizou um acesso indevido, trate como incidente: o roteiro está em empresa sofreu ataque hacker: o que fazer. Para dificultar golpes que usam o nome da empresa, configure SPF, DKIM e DMARC, como explicamos em e-mail corporativo caindo no spam.

Perguntas frequentes

Como identificar um e‑mail de phishing?

Confira o endereço completo do remetente, o destino real do link antes de clicar, a coerência do pedido e o motivo da urgência. Pedidos de senha, mudança de dados bancários ou pagamento imediato exigem confirmação por outro canal, sempre.

MFA impede phishing?

MFA não impede o e‑mail de chegar, mas impede que uma senha roubada seja suficiente para acessar a conta. É a proteção de maior impacto por esforço. Aplicativo autenticador ou chave de segurança oferecem proteção melhor do que código por SMS.

O que fazer depois de clicar em um link suspeito?

Avise a TI, troque a senha, revogue as sessões ativas, revise o MFA e verifique se há regras de encaminhamento criadas na caixa de entrada. Se houve execução de anexo, o equipamento deve ser isolado da rede e verificado antes de voltar ao uso.

Como conferir se o remetente é legítimo?

Compare o domínio com o endereço que a empresa já usa em comunicações anteriores, procurando letras trocadas ou terminações diferentes. Em caso de dúvida, contate a pessoa por telefone já cadastrado — nunca pelo número ou pelo link contido na mensagem.

Boleto falso é phishing?

Sim. É uma das formas mais comuns no Brasil: o documento imita um fornecedor real e altera o beneficiário. A regra de proteção é processual — alteração de dados bancários nunca é aceita por e‑mail, apenas com confirmação por canal já conhecido.

Uma conta do Microsoft 365 pode ser comprometida?

Pode, quando a credencial é capturada em uma página falsa e não há segundo fator. Os sinais típicos são acessos de locais incomuns, regras de encaminhamento desconhecidas e mensagens enviadas que o usuário não escreveu.

O filtro de e‑mail não deveria bloquear tudo?

O filtro bloqueia grande parte do volume, mas mensagens bem construídas — principalmente vindas de contas legítimas invadidas — passam. Por isso a defesa combina filtro, MFA, processo de verificação e treinamento.

Denunciar internamente adianta?

Adianta muito. Quando um usuário avisa rapidamente, a TI bloqueia a conta, alerta os demais e reduz o alcance da campanha. Ambientes que punem o erro atrasam o aviso e aumentam o dano.