«SUPORTE TI: a sua conta Microsoft 365 expira dentro de 12 h. Redefina a sua palavra-passe antes do bloqueio: portal-rh-ligacao[.]net»
A mensagem chega numa quinta-feira às 8h47. Está em casa, a primeira reunião começa dentro de treze minutos, a máquina de café está a trabalhar e o seu computador profissional já mostra um pedido de ligação. Não conhece o número, mas também não sabe de cor o número do departamento de TI — nunca o teve. Então clica.
É aí que está toda a diferença em relação ao SMS falso da encomenda ou à multa forjada: este golpe não joga com o medo de perder dinheiro, mas com o medo de bloquear o próprio trabalho. E visa um perfil preciso: o trabalhador isolado, em casa, que não tem ninguém no gabinete ao lado a quem perguntar «também recebeste isto?».
Porque é que os burlões passaram do particular ao trabalhador
Uma conta bancária pirateada representa, no melhor dos casos, alguns milhares de euros, e um banco que muitas vezes bloqueia a operação. Uma conta profissional pirateada é outra coisa: um acesso ao correio interno, aos ficheiros partilhados, às ferramentas de faturação, por vezes à VPN da empresa. Para um atacante, a rentabilidade não tem comparação.
A ANSSI (Agência Nacional da Segurança dos Sistemas de Informação francesa) documenta-o ano após ano no seu Panorama de la cybermenace: o roubo de credenciais continua a ser uma das portas de entrada mais frequentes dos ataques de ransomware contra empresas e autarquias francesas. E o cybermalveillance.gouv.fr, o dispositivo público de assistência, coloca o phishing no topo dos pedidos de apoio apresentados por profissionais há vários anos consecutivos.
O SMS impôs-se como o vetor preferido por uma razão simples e um pouco embaraçosa para as direções de informática: o telemóvel pessoal escapa aos filtros da empresa. Um correio profissional está protegido por uma gateway antispam, um antivírus, regras de quarentena, por vezes um aviso vermelho «remetente externo». Um SMS recebido num smartphone pessoal não tem nada disso. Chega em bruto, no mesmo fio das mensagens da família.
A anatomia de um SMS falso do «departamento de TI»
Estas campanhas seguem quase sempre a mesma estrutura. Saber reconhecê-la basta para desarmar 90 % das tentativas.
1. Um remetente com ar interno
A mensagem aparece sob um nome de remetente alfanumérico — «SuporteTI», «MS-Seguranca», «DSI-Alerta» — ou sob um número de telemóvel banal. Lembrete essencial: o nome de remetente apresentado num SMS não é uma prova de identidade. É declarado pelo emissor no momento do envio. Em França, a Arcep e a Fédération française des télécoms implementaram desde 2023-2024 um mecanismo de filtragem dos nomes de remetente usurpados (o «MEF», mecanismo de autenticação dos emissores), que reduziu consideravelmente a usurpação das marcas declaradas. Mas uma empresa de 200 trabalhadores normalmente não declarou o seu nome curto junto dos operadores: o burlão não tem então nada a usurpar, inventa.
2. Uma urgência com data marcada
«Em 12 h», «até hoje à noite», «último aviso». O prazo curto não é um detalhe de estilo: é o coração do dispositivo. Impede o único gesto que protege verdadeiramente — telefonar a alguém para verificar.
3. Um pretexto credível e administrativo
Os pretextos mais frequentes observados nas campanhas denunciadas:
| Pretexto do SMS | O que o burlão quer realmente |
|---|---|
| «A sua palavra-passe expira» | As suas credenciais numa página de início de sessão falsa |
| «Nova política de segurança, volte a registar o seu dispositivo» | Levá-lo a instalar um perfil ou uma aplicação de controlo remoto |
| «Valide a ligação invulgar» | Levá-lo a aprovar a ligação dele através da sua dupla autenticação |
| «Atualização dos seus dados bancários para o salário» | O seu IBAN, para desviar o seu vencimento |
| «O diretor-geral precisa de si, responda a este número» | Abrir um diálogo e passar depois a uma fraude do CEO |
4. Uma ligação interminável
O domínio imita um vocabulário empresarial — portal-rh, intranet-ligacao, sso-seguranca — seguido de uma extensão invulgar. Num ecrã de smartphone, o endereço aparece truncado. É exatamente por isso que o golpe funciona melhor no telemóvel do que no computador: só vê o início da ligação.
A fadiga de MFA: quando a dupla autenticação se torna a arma
É o mecanismo mais insidioso de 2025-2026 e o menos conhecido do grande público.
Ativou a dupla autenticação na sua conta profissional. Excelente reflexo. Só que o burlão já tem a sua palavra-passe — recuperada numa fuga de dados, comprada por alguns euros. Ele tenta ligar-se. O seu telemóvel recebe uma notificação: «Aprova esta ligação?». Recusa.
Ele recomeça. Três vezes. Dez vezes. Às 2 h da manhã. Depois chega o SMS: «Suporte TI: estamos a testar a segurança da sua conta, agradecemos que aprove a notificação em curso.»
Esgotado, irritado e tranquilizado por uma mensagem que parece explicar a avaria, o utilizador carrega em «Aprovar». O atacante está lá dentro. Esta técnica tem um nome: MFA fatigue ou push bombing. Foi utilizada em várias compromissões importantes documentadas nos últimos anos, e tanto a CISA norte-americana como a ANSSI recomendam agora abandonar a validação por simples botão a favor do number matching — o código a copiar apresentado no ecrã de início de sessão.
Regra absoluta: uma notificação de ligação que não desencadeou você mesmo no próprio segundo recusa-se sempre. Sem exceção, sem explicação recebida por SMS.
Para as contas mais sensíveis, a proteção mais robusta continua a ser material: uma chave de segurança FIDO2 ligada por USB ou aproximada por NFC não pode ser alvo de phishing, porque verifica criptograficamente o endereço do site antes de responder. Uma página de início de sessão falsa, por mais perfeita que seja, não obtém nada.
O teletrabalho, terreno de jogo ideal
Três fatores acumulam-se quando se trabalha a partir de casa.
O isolamento social. No escritório, a verificação é instantânea e gratuita: viramo-nos para o colega. Em casa, verificar implica abrir o Teams, procurar o interlocutor certo, esperar uma resposta. O custo cognitivo aumenta, a vigilância baixa.
A confusão dos espaços. O mesmo smartphone recebe o SMS do pediatra, a notificação do grupo de desporto e o alerta de «segurança informática». O cérebro não muda para o modo profissional, trata tudo ao mesmo nível de atenção — ou seja, distraidamente.
O equipamento pessoal. Muitos trabalhadores consultam o correio profissional num telemóvel que lhes pertence, sem configuração de segurança imposta pelo empregador. Um smartphone Android recente com atualizações de segurança garantidas durante vários anos faz aqui uma verdadeira diferença: um aparelho que já não recebe correções torna-se um coador, por mais cuidadoso que seja o utilizador.
Acrescente-se um fator horário: as campanhas de smishing profissional são enviadas maciçamente na segunda-feira de manhã, na sexta ao fim do dia e durante as férias escolares. São os momentos em que os departamentos de TI estão saturados ou com pessoal reduzido, e em que uma mensagem de urgência parece mais plausível.
As cinco perguntas a fazer antes de tocar no ecrã
Nenhuma exige competências técnicas.
- O meu departamento de TI alguma vez me escreveu por SMS? Na esmagadora maioria das organizações, a resposta é não. As comunicações passam pelo correio interno, pela intranet ou pelo telefone.
- A mensagem pede-me para fazer algo com urgência? Uma verdadeira informação de segurança informa. Um golpe ordena.
- A ligação leva a outro sítio que não o domínio habitual da minha empresa? Se não conseguir ler o endereço por inteiro, parta do princípio de que a resposta é sim.
- Fui eu que desencadeei a ação mencionada? Não houve pedido de redefinição da minha parte = não há redefinição legítima.
- O que acontece se ignorar esta mensagem durante duas horas? Quase sempre: nada. Só esta pergunta desarma a urgência.
O que fazer quando já se clicou
O pior reflexo é o silêncio por vergonha. Cair na armadilha não é uma falta profissional: é a consequência previsível de ataques concebidos por profissionais. Uma comunicação em dez minutos limita os danos; uma comunicação ao fim de três dias chega depois do roubo.
Por ordem:
- Mude imediatamente a palavra-passe em causa, a partir de outro dispositivo se possível, e sobretudo a partir do endereço oficial escrito à mão — nunca a partir da ligação do SMS.
- Avise o seu departamento de TI ou o seu responsável, mesmo em caso de dúvida, mesmo que não tenha introduzido nada. Só eles podem invalidar as sessões abertas.
- Verifique as regras do seu correio eletrónico: os atacantes criam frequentemente uma regra de reencaminhamento automático invisível para continuarem a ler as suas mensagens após a mudança de palavra-passe.
- Denuncie o SMS ao 33700 reencaminhando a mensagem e enviando depois o número do remetente. O serviço, operado pela Fédération française des télécoms, permite o bloqueio dos números emissores.
- Apresente queixa se houver dados desviados e comunique o incidente em cybermalveillance.gouv.fr, que encaminha para prestadores certificados ExpertCyber.
Se a empresa sofrer uma violação de dados pessoais, tem além disso uma obrigação legal: notificar a CNIL no prazo de 72 horas, nos termos do artigo 33.º do RGPD. A sua comunicação rápida faz parte desta cadeia.
Reduzir a superfície de exposição, do lado do trabalhador
Não controla a política de segurança do seu empregador, mas controla várias coisas.
Separar as utilizações. A solução mais clara continua a ser a dupla linha: um cartão SIM pré-pago dedicado a inscrições, entregas e serviços online, e o outro reservado aos contactos de confiança. Nos smartphones compatíveis com eSIM, esta separação já não custa nada em termos de espaço. Quanto menos o seu número profissional circular, menos acabará em bases de dados revendidas.
Não deixar o número por aí. O artigo da WeLiveSecurity sobre a recolha de números pelos burlões lembrava-o esta primavera: as fugas de dados de sites comerciais, os passatempos e os formulários de inscrição alimentam a maior parte das listas usadas para o smishing. Cada formulário preenchido é uma exposição adicional.
Proteger o próprio terminal. Um telemóvel que serve para validar ligações profissionais é um objeto crítico. Uma capa de proteção reforçada e um vidro temperado não são um capricho: um ecrã rachado que se demora a reparar significa um aparelho substituído à pressa, com transferências de contas feitas à pressa e sessões esquecidas no equipamento antigo. Do mesmo modo, uma bateria externa compacta evita o clássico telemóvel desligado precisamente no momento em que seria necessário validar — ou recusar — uma ligação.
Gerir bem as palavras-passe. A reutilização de uma palavra-passe entre um fórum de lazer e uma conta profissional é a causa número um destes ataques. Um gestor de palavras-passe, gratuito ou pago, elimina o problema numa noite de instalação. Para quem prefere o analógico, um caderno de palavras-passe guardado numa gaveta fechada continua a ser infinitamente mais seguro do que uma mesma chave usada em todo o lado — desde que nunca saia de casa.
O que o empregador deveria fazer (e que pode pedir)
Se estiver em posição de o sugerir, três medidas mudam tudo, e nenhuma é dispendiosa:
- Publicar um canal de verificação único e conhecido de todos: um número interno, um endereço, uma frase-tipo. «O departamento de TI nunca lhe escreverá por SMS» deve estar afixado tão claramente como as instruções de incêndio.
- Passar a dupla autenticação para number matching em vez de um simples botão de aprovação, e implementar chaves físicas para as contas com privilégios.
- Instaurar uma cultura de comunicação sem sanção. Uma organização que repreende o trabalhador enganado garante que só será avisada depois de o ransomware estar instalado.
Os guias gratuitos da ANSSI e do cybermalveillance.gouv.fr — nomeadamente o Guide des bonnes pratiques de l'informatique e os kits de sensibilização destinados às micro, pequenas e médias empresas — fornecem materiais diretamente reutilizáveis, sem orçamento.
O essencial numa frase
Um departamento de TI legítimo nunca o coloca em situação de agir em pânico a partir do seu telemóvel pessoal. Sempre que uma mensagem combina urgência, ligação e conta profissional, a única boa resposta é fechar o SMS e marcar um número que já conhecia antes de o ter recebido.
E se a dúvida persistir, tenha em mente esta relação de forças assimétrica: o burlão precisa que responda em cinco minutos. Você tem o direito de esperar até amanhã.
