Para a utilização da plataforma de e-mail de uma forma segura, produtiva, profissional e educada, existem um conjunto de boas normas que devem de ser seguidas, como por exemplo:
Utilize o e-mail de forma segura
O e-mail é uma das ferramentas de comunicação mais utilizadas nas organizações e, simultaneamente, um dos principais meios utilizados pelos cibercriminosos para realizar ataques. Phishing, roubo de credenciais, distribuição de malware e fraude são algumas das ameaças que podem ter origem numa simples mensagem de e-mail.
Uma utilização segura do e-mail depende tanto do comportamento dos utilizadores como das medidas de segurança implementadas pela organização.
Confirme sempre o remetente
Quando receber um e-mail, verifique cuidadosamente o endereço do remetente, especialmente quando a mensagem solicita uma ação, a abertura de um ficheiro, o acesso a uma ligação ou o fornecimento de informação.
Tenha particular atenção a endereços que tentam imitar empresas, fornecedores ou pessoas conhecidas. Um endereço aparentemente legítimo não garante, por si só, que a mensagem seja verdadeira.
Esta verificação é uma das primeiras barreiras contra ataques de phishing, nos quais os atacantes tentam levar o utilizador a fornecer credenciais, informação confidencial ou a executar uma ação que comprometa a segurança.
Consulte as nossas informações sobre phishing aqui.
Tenha cuidado com anexos
Não abra ficheiros anexados a mensagens suspeitas ou provenientes de remetentes desconhecidos.
Documentos do Office, ficheiros PDF, ficheiros comprimidos ou outros tipos de anexos podem ser utilizados para distribuir malware ou explorar vulnerabilidades.
Se não estiver a aguardar determinado ficheiro, confirme a sua legitimidade através de outro canal de comunicação, antes de o abrir. Em caso de dúvida, reporte a mensagem ao responsável ou à equipa de IT da organização.
Não elimine simplesmente uma mensagem suspeita sem a reportar quando existir um mecanismo interno para esse efeito. O reporte atempado pode permitir à organização identificar e bloquear uma campanha de ataque que esteja a atingir vários utilizadores.
Nunca envie palavras-passe ou informação bancária por e-mail
Nunca envie por e-mail palavras-passe, códigos de autenticação, números de cartões bancários ou outra informação altamente sensível, sobretudo em resposta a um pedido inesperado.
Tenha especial cuidado com mensagens que solicitem transferências bancárias, alterações de dados de pagamento, informação financeira ou credenciais de acesso. Estes pedidos podem fazer parte de esquemas de fraude ou Business Email Compromise (BEC).
Quando for necessário transmitir informação sensível, devem ser utilizados meios e mecanismos de comunicação aprovados pela organização e adequados ao nível de sensibilidade da informação, incluindo soluções de partilha segura e, quando aplicável, mecanismos de encriptação.
Não clique em ligações suspeitas
Não clique em ligações existentes em mensagens suspeitas, mesmo que o texto da mensagem pareça legítimo.
Antes de selecionar uma ligação, verifique cuidadosamente o endereço de destino. Quando tiver dúvidas, aceda diretamente ao site através do endereço que conhece ou utilize um marcador (bookmark) previamente guardado no navegador.
Esta precaução é particularmente importante em mensagens que alegam existir um problema com uma conta, uma encomenda, uma fatura ou um pagamento e que exigem uma ação imediata.
Desconfie de mensagens urgentes ou fora do habitual.
Os atacantes recorrem frequentemente à engenharia social para criar um sentimento de urgência, medo ou pressão e levar o utilizador a agir sem verificar a legitimidade do pedido.
Desconfie particularmente de mensagens que:
• exigem uma ação imediata;
• solicitam informação confidencial ou credenciais;
• pedem transferências ou alterações de dados bancários;
• parecem ser provenientes de um superior, cliente ou fornecedor, mas apresentam um pedido fora do habitual;
• contêm erros, linguagem pouco habitual ou alterações inesperadas no estilo de comunicação;
• apresentam ligações ou anexos que não estava à espera de receber.
Perante um pedido invulgar, confirme-o através de um canal alternativo, utilizando um contacto que já conheça e não os dados fornecidos na própria mensagem.
Medidas que as organizações devem implementar
A segurança do e-mail não deve depender exclusivamente da atenção dos utilizadores. As organizações devem implementar controlos técnicos e procedimentos adequados para reduzir o risco associado ao correio eletrónico.
Entre outras medidas, é recomendável:
• utilizar autenticação multifator (MFA) para proteger as contas de e-mail;
• implementar filtros de spam, phishing e malware;
• manter os sistemas de e-mail e respetivos componentes devidamente atualizados;
• utilizar mecanismos de autenticação e proteção do domínio, como SPF, DKIM e DMARC;
• definir políticas para utilização segura do e-mail e tratamento de informação sensível;
• proporcionar formação e sensibilização regular dos colaboradores;
• disponibilizar um mecanismo simples para reportar mensagens suspeitas;
• monitorizar incidentes e tentativas de ataque e utilizar essa informação para melhorar continuamente as medidas de proteção.
A implementação destas medidas deve ser enquadrada na política de segurança da informação da organização e pode ser suportada por referências reconhecidas, como a ISO/IEC 27001, ISO/IEC 27002, NIST Cybersecurity Framework e CIS Controls.
Pare, verifique e confirme
O princípio mais importante é simples: se uma mensagem provocar dúvida, pare antes de agir.
Não abra anexos, não introduza credenciais, não efetue pagamentos e não divulgue informação sensível sem confirmar primeiro a legitimidade do pedido.
Uma pequena verificação pode evitar um incidente de cibersegurança.