O e-mail aprovado rápido demais

A maior parte dos golpes com nome de empresa começa com um e-mail que pide uma ação simples e urgente. Trocar um dado de pagamento. Liberar um acesso. Confirmar uma alteração de cadastro. A ação é pequena, o prazo é curto, e a pessoa, querendo resolver rápido, faz.

A defesa de quem já foi victimizado começa sempre no mesmo ponto: e-mail não deveria pedir ação breaking de segurança, e o procedimento da empresa deveria exigir confirmação por um segundo canal para qualquer alteração que envolva dinheiro, credencial ou acesso. Quando esse procedimento existe, o e-mail deixa de ser suficiente, porque o atacante não tem o segundo canal.

O que torna o golpe eficaz é a combinação de urgência com autoridade. O Remetente tem o nome e o logotipo da empresa, o assunto cita um número de pedido ou uma matrícula, e o texto é curto, direto e com a marca da organização. E o mais importante: o pedido chega por um canal interno, o e-mail do trabalho, que a pessoa confia mais do que qualquer outro.

A medida que quebra o ataque é simples: o procedimento. Duas confirmações, canais diferentes, para tudo que envolva dinheiro ou acesso. Uma única confirmação por telefone, para a primeira vez, e depois a regra vale sempre.

E há a versão organizacional, que é ainda mais forte: a empresa não deve pedir que a pessoa confie no e-mail para decidir. Decisões que dependem só de uma mensagem recebida são decisões que o atacante também consegue parecer legítimo.