Nenhum filtro de e-mail pega tudo. Em algum momento, uma mensagem falsa chega à caixa de entrada de alguém do seu time, e o que acontece depois depende menos da tecnologia e mais do preparo da pessoa. Treinar o time é, na prática, uma das defesas mais importantes que a empresa tem.
Este guia mostra como o golpe funciona, quais sinais o time pode aprender, como treinar sem culpar ninguém, o que fazer quando alguém clica e como combinar o treino com a configuração técnica do e-mail.
Como o golpe costuma funcionar
O phishing imita alguém ou algo em quem você confia: o banco, o fornecedor, o diretor, o setor financeiro, um serviço de entrega. A mensagem cria pressa ou medo ("sua conta será bloqueada", "pagamento pendente", "preciso disso agora") e leva a um link falso, a um anexo malicioso ou a um pedido de transferência.
Sinais de alerta que o time pode aprender
- Pressa e ameaça para agir imediatamente;
- Remetente estranho: o nome parece certo, mas o endereço completo não bate;
- Link com endereço diferente do que o texto mostra (passe o mouse antes de clicar);
- Pedido fora do padrão, como mudar dados bancários de um fornecedor por e-mail;
- Anexos inesperados, principalmente arquivos compactados ou com macros;
- Erros de texto e formatação que a empresa real não cometeria.
Três exemplos para mostrar ao time
O falso diretor. Uma mensagem parece vir do dono da empresa: "Estou em reunião e não posso falar. Preciso que você faça uma transferência urgente e me envie o comprovante." O nome está certo, mas o endereço de e-mail é de um serviço gratuito. A regra que protege: pedido de pagamento fora do processo normal só se confirma por outro canal, como uma ligação.
O boleto do fornecedor. O e-mail avisa que os dados bancários mudaram e anexa um boleto novo. O valor e o nome parecem corretos. A regra: mudança de conta bancária de fornecedor sempre é confirmada por telefone com um contato já conhecido, nunca pelo número que consta na mensagem.
A conta bloqueada. "Sua caixa de e-mail está cheia, clique aqui para liberar espaço." O link leva a uma página igual à do login da empresa, que captura a senha. A regra: em caso de dúvida, não clique no link, abra o serviço pelo endereço que você já conhece.
Como treinar sem culpar ninguém
- Mostre exemplos reais, de preferência mensagens que chegaram à própria empresa.
- Faça simulações de phishing de tempos em tempos, com foco em aprender e não em punir.
- Crie um jeito simples de reportar: um endereço ou botão para encaminhar mensagens suspeitas.
- Elogie quem reporta, mesmo quando era um alarme falso. Quem tem medo de errar esconde o clique.
- Repita o treinamento. Os golpes mudam, e a atenção diminui com o tempo.
Uma rotina possível para empresa pequena: uma conversa de 20 minutos por trimestre, com dois ou três exemplos reais, mais um lembrete curto sempre que surgir um golpe novo circulando.
Combine o treino com a tecnologia
Treinamento funciona melhor com uma base técnica sólida: SPF, DKIM e DMARC configurados no domínio, para dificultar que alguém se passe pela sua empresa, e autenticação em dois fatores, para que uma senha entregue por engano não abra a conta. Um filtro de e-mail atualizado e a atualização dos computadores completam o conjunto.
E se alguém clicou
Aja rápido e sem broncas:
- troque a senha da conta afetada e, se houver, revogue as sessões abertas;
- avise o responsável de TI imediatamente;
- se houve entrega de dados bancários ou pagamento, contate o banco no mesmo dia;
- verifique se foram criadas regras de redirecionamento no e-mail, um truque comum para continuar espionando depois;
- registre o que aconteceu, para melhorar o treinamento e, se for o caso, avaliar se há dados pessoais envolvidos.
Lista de conferência
- O time sabe reconhecer pressa, remetente estranho e link diferente do texto.
- Existe um endereço ou botão para reportar mensagens suspeitas.
- Pagamentos e mudanças de dados bancários são confirmados por outro canal.
- SPF, DKIM e DMARC estão configurados no domínio.
- O 2FA está ativo no e-mail de todos.
- Há um roteiro escrito para quando alguém clicar.
- O treinamento tem data marcada para se repetir.
Perguntas frequentes
Simulação de phishing é demais para empresa pequena? Não precisa de ferramenta cara. Um e-mail de teste simples, enviado com aviso prévio de que haverá simulações durante o ano, já gera aprendizado.
Devo punir quem clicou? Não. A punição faz as pessoas esconderem o erro, e o tempo de resposta é o que mais importa.
O filtro de spam não resolve? Reduz muito, mas nenhum filtro é perfeito. Por isso o preparo das pessoas continua sendo necessário.
Recursos e quando chamar ajuda
O Cert.br publica cartilhas gratuitas sobre segurança e golpes por e-mail em português, e os serviços de e-mail corporativo têm ferramentas de proteção nas configurações do administrador. Chame um profissional quando houver pagamento realizado ou dados de clientes expostos, quando o e-mail da empresa estiver enviando mensagens que ninguém escreveu ou se o domínio estiver sendo imitado por golpistas.
Quer um plano de proteção do e-mail e do time? A Linkti configura SPF, DKIM e DMARC e orienta o time na Configuração de E-mail, e o time responde no WhatsApp.
