Imagine uma pequena gráfica às 18h40 de uma sexta-feira. Chega um e-mail do fornecedor de papel que a gráfica paga todo mês, na mesma conversa do pedido do mês passado. Diz "Fatura atualizada em anexo, por favor processe antes do fim de semana", e o anexo se chama Invoice_4471.zip. O fornecedor é real e a conversa é real. Mas esse fornecedor sempre mandou PDFs simples, ninguém na gráfica esperava uma correção, e o pessoal de contas dessa empresa não costuma escrever numa sexta à noite.
A atitude certa é deixar esse arquivo fechado até alguém do fornecedor confirmar por um telefone que a gráfica já tem. Como regra geral, um anexo é razoavelmente seguro quando você o esperava, o remetente confere e o tipo de arquivo combina com a história. Ele merece desconfiança séria quando qualquer um desses pontos falha, e o perigo geralmente começa quando você executa, extrai ou "ativa" alguma coisa, e não quando lê a mensagem. A maior parte deste artigo trata de como fazer esses três julgamentos rapidamente e de como limitar o estrago quando não dá.
Analisando a fatura de sexta-feira
O exemplo acima é útil porque o conselho de sempre falha nele. "Não abra arquivos de desconhecidos" não ajuda quando o remetente é alguém a quem você paga. Então veja o que realmente mudou. O formato mudou, de PDF para um arquivo compactado. O horário mudou. A mensagem pressiona por uma ação antes de um fim de semana, quando ninguém consegue conferir com facilidade. Cada um desses pontos poderia ter uma explicação inocente, mas juntos bastam para parar e verificar.
Em seguida vem a possibilidade em que o dono da gráfica talvez não pense: a mensagem pode ter vindo mesmo da caixa de e-mail do fornecedor. Criminosos que entram em uma conta costumam responder dentro de conversas existentes, porque uma conversa antiga carrega uma confiança que uma mensagem fria não tem. Isso se chama sequestro de conversa (thread hijacking). Significa que um endereço de remetente correto e um assunto familiar não resolvem nada, e é por isso que a verificação final precisa acontecer fora do e-mail.
Uma sequência sensata para o dono seria:
- Não responda à mensagem para perguntar se ela é genuína. Se a caixa estiver comprometida, a resposta vai para quem comanda o golpe.
- Procure o telefone do fornecedor em uma fatura antiga em papel, no contrato ou nos contatos do celular. Não use o número da assinatura do e-mail.
- Faça uma pergunta direta: "Vocês enviaram uma fatura corrigida hoje à noite?" Se o escritório estiver fechado, a fatura pode esperar até segunda. Um fornecedor de verdade aceita um pagamento na segunda com muito mais facilidade do que um criminoso.
- Se o fornecedor tiver um portal online, entre digitando o endereço e veja se a fatura aparece lá.
- Se a resposta for não, avise o fornecedor de que a caixa de e-mail dele pode estar comprometida e depois denuncie e exclua a mensagem.
O mesmo exemplo tem uma variante mais discreta que nenhum scanner pegaria. O anexo pode ser um PDF comum e limpo de uma fatura perfeitamente real com um detalhe alterado: a conta bancária. Não há malware, o arquivo é inofensivo para o seu computador, e mesmo assim o dinheiro vai para o lugar errado. Qualquer mudança nos dados de pagamento merece esse mesmo telefonema, seja qual for o formato do arquivo.
O que um anexo nocivo está tentando fazer
Os anexos continuam populares entre os atacantes por um motivo simples. Os serviços de e-mail não podem recusar todos os arquivos, porque as pessoas precisam trocar faturas, currículos, contratos e fotos, e quem recebe abre o arquivo por vontade própria. Um arquivo malicioso geralmente busca um destes quatro resultados, e saber qual deles um determinado formato permite é a maior parte da habilidade.
- Ele executa código diretamente. Um programa ou script começa quando você dá um duplo clique e tem as mesmas permissões que você.
- Ele convence outro aplicativo a executar código, usando macros, objetos incorporados ou uma falha no software.
- Ele leva você para outro lugar. Um PDF ou documento contém apenas um botão que leva a uma página de login falsa, então o arquivo pode estar limpo enquanto o destino é o ataque.
- Ele coleta o que você digita. Um anexo HTML abre no navegador como uma página local que imita uma tela de login e envia sua senha para outra pessoa.
Uma foto JPEG em um visualizador atualizado não consegue fazer nenhuma das três primeiras coisas por conta própria. Um arquivo de atalho do Windows pode executar uma linha de comando mostrando o ícone de um documento. Essa diferença entre formatos explica a tabela abaixo.
Tipos de arquivo, classificados pelo que podem fazer
As classificações partem do princípio de que o arquivo veio de um remetente desconhecido ou inesperado. São um julgamento baseado no que cada formato é capaz de fazer, e o contexto pode subir ou baixar um arquivo na lista. Uma planilha .xlsm do seu contador na época do imposto de renda é normal. O mesmo arquivo de um endereço desconhecido sobre uma entrega perdida não é.
| Extensões | O que é | Risco | Por quê |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Programas e instaladores do Windows | Muito alto | Executam código com as suas permissões. Um "protetor de tela" .scr é um programa comum. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Scripts | Muito alto | O Windows tem interpretadores embutidos para eles. Um desconhecido quase nunca tem um bom motivo para enviar um. |
| .lnk | Atalho do Windows | Muito alto | Pode iniciar um comando com argumentos por trás de um ícone de aparência inofensiva. |
| .iso, .img, .vhd, .vhdx | Imagens de disco | Alto | Um duplo clique as monta como uma unidade, e já foram usadas para empacotar programas e atalhos. |
| .docm, .xlsm, .pptm, .xlam | Arquivos do Office com macros habilitadas | Alto | O "m" significa que o arquivo pode conter macros VBA. Há usos legítimos, mas são incomuns vindos de desconhecidos. |
| .doc, .xls | Formatos antigos do Office | Médio a alto | Podem conter macros sem nenhuma pista no nome e têm um longo histórico de abuso. |
| .zip, .rar, .7z, .gz, .tar | Arquivos compactados | Depende do conteúdo | Podem conter qualquer item desta tabela. Os criptografados não podem ser verificados. |
| .html, .htm, .svg | Páginas da web e imagens vetoriais | Médio a alto | Abrem no navegador e podem mostrar formulários de login falsos, executar scripts ou montar um arquivo na hora. |
| .one | Bloco de notas do OneNote | Médio a alto | Já foi usado para esconder scripts atrás de um falso botão "clique para ver". |
| Documento portátil | Baixo a médio | Em geral passivo, mas pode conter links, arquivos incorporados e scripts. | |
| .docx, .xlsx, .pptx | Arquivos modernos do Office | Baixo a médio | Não armazenam macros VBA, mas podem conter links, referências externas e objetos incorporados. |
| .jpg, .png, .gif, .webp | Imagens raster | Baixo | Dados passivos. O risco é uma rara falha do visualizador, que as atualizações resolvem. |
| .txt, .csv | Texto e dados | Baixo, com uma ressalva | Texto não se executa sozinho, mas um CSV aberto em uma planilha pode conter fórmulas, então recuse os pedidos para ativar conteúdo externo. |
Os provedores de e-mail fazem parte dessa triagem por você. O Gmail, por exemplo, recusa uma lista de tipos de arquivo que inclui .exe, .js, .lnk e .iso, e também olha dentro dos arquivos compactados quando consegue. O Outlook também bloqueia muitos tipos de programas e scripts. É por isso que os criminosos preferem formatos que os filtros precisam deixar passar, e por que um contêiner incomum muitas vezes revela mais do que um nome obviamente perigoso.
Como o tipo real de um arquivo é escondido
O Windows oculta as extensões conhecidas por padrão, o que faz o truque mais antigo ainda funcionar. Um arquivo chamado invoice.pdf.exe aparece como invoice.pdf. Desative isso uma vez e fica desativado. No Windows 11, abra o Explorador de Arquivos e escolha Exibir, Mostrar, Extensões de nomes de arquivos. No Windows 10, é uma caixa de seleção na guia Exibição. No Mac, vá em Finder, Ajustes, Avançado e marque Mostrar todas as extensões de nome de arquivo.
Outros disfarces exigem mais atenção. Nomes longos preenchidos com espaços, como statement.pdf .js, empurram a terminação verdadeira para fora de uma coluna estreita. Um caractere de controle Unicode, a substituição da direita para a esquerda (U+202E), pode inverter a forma como o fim de um nome é exibido, de modo que um arquivo que na verdade termina em .exe pareça terminar em .pdf. Programas e atalhos também podem ter o ícone que quiserem, inclusive o de um PDF ou do Word, então um ícone não prova nada.
O próprio e-mail também pode mentir. Cada anexo vem com um tipo de conteúdo declarado, como application/pdf, mas o remetente escolhe esse rótulo. O que acontece no seu aparelho depende do formato real e da extensão do arquivo. Por isso, confira a coluna Tipo ou as Propriedades do arquivo no Windows, Obter informações no Mac e a visualização de detalhes do gerenciador de arquivos no celular.
Documentos do Office e as duas barras coloridas
Os arquivos do Office merecem uma seção própria porque estão em toda parte e são abusados há décadas. Uma macro é um pequeno programa escrito em Visual Basic for Applications, guardado dentro de um documento, que pode automatizar um trabalho útil ou baixar e iniciar outra coisa. O formato do arquivo dá uma pista parcial: .docx e .xlsx não podem guardar macros VBA, enquanto .docm e .xlsm podem, e os antigos .doc e .xls também podem sem avisar.
Quando você abre um arquivo da internet ou de um e-mail no Office para Windows, normalmente encontra uma de duas barras. A amarela é do Modo de Exibição Protegido, que abre o documento somente para leitura em um modo restrito e oferece Habilitar Edição. Enquanto você permanece no Modo de Exibição Protegido, o arquivo é muito mais limitado no que pode fazer. Você pode lê-lo e, para um documento que só precisa ler, não há motivo para sair dele.
A vermelha é um aviso de segurança. A Microsoft mudou o Office para Windows, com a implantação começando em 2022, de modo que as macros VBA em arquivos vindos da internet ficam bloqueadas por padrão no Word, Excel, PowerPoint, Access, Project, Publisher e Visio. O aviso diz que as macros foram bloqueadas porque a origem do arquivo não é confiável. Segundo a documentação da Microsoft, essa mudança não vale para o Office no Mac, no Android ou iOS, nem na web, então não presuma o mesmo comportamento em todo lugar.
O bloqueio depende da Marca da Web (Mark of the Web), uma etiqueta que o Windows adiciona a arquivos vindos de um local não confiável, como um download do navegador ou um anexo de e-mail. Uma pessoa pode remover a etiqueta marcando Desbloquear nas Propriedades do arquivo, e isso dá um sinal de alerta claro. Se um documento ou um e-mail "prestativo" manda você clicar com o botão direito no arquivo, marcar Desbloquear e reabrir, estão levando você a passar por cima da proteção. Feche.
Os atacantes responderam com persuasão. Um documento-armadilha típico mostra uma página borrada e uma linha como "Este documento foi criado em uma versão mais nova. Habilite a edição e o conteúdo para visualizar." Nenhum documento genuíno precisa de macros só para ser lido. Se o arquivo veio de alguém que você não consegue verificar, trate essa mensagem como a resposta à sua pergunta sobre ele ser seguro.
A história desse jogo de gato e rato explica alguns dos formatos estranhos da tabela. As imagens de disco ficaram populares em parte porque os arquivos dentro de uma ISO não recebiam a Marca da Web, até a Microsoft corrigir isso em novembro de 2022 (CVE-2022-41091). Depois aumentou o abuso de arquivos do OneNote, com scripts e atalhos incorporados atrás de botões falsos, e em 2023 a Microsoft anunciou que o OneNote para Microsoft 365 e o Office de varejo passariam a bloquear arquivos incorporados com extensões perigosas. Cada correção empurra os atacantes para o próximo contêiner, então um formato desconhecido vindo de um estranho já é motivo suficiente para fazer uma pausa.
PDFs, páginas da web e imagens
A grande maioria dos PDFs é inofensiva, e o risco realista raramente é uma exploração engenhosa. Muito mais comum é um PDF de uma página com um logotipo e um grande botão "Ver documento seguro" que leva a uma página de login falsa. Um PDF também pode carregar arquivos incorporados, que um visualizador pode oferecer para abrir, e pode conter JavaScript. Os leitores de PDF tiveram falhas de segurança ao longo dos anos, então mantenha o seu atualizado. Abrir um PDF inesperado no visualizador embutido de um navegador atual é um padrão razoável, e se você usa o Adobe Acrobat Reader e raramente precisa de scripts, pode desmarcar Habilitar JavaScript do Acrobat em Editar, Preferências, JavaScript. Um PDF que existe só para dizer "seu documento está pronto, clique aqui" é uma porta de entrada, não um documento.
Os anexos HTML são piores do que parecem. Um abre no seu navegador como uma página local e pode mostrar uma cópia perfeita de uma tela de login com seu endereço de e-mail já preenchido. Como nenhum endereço da web suspeito esteve na mensagem, os scanners de link do seu serviço de e-mail podem nunca ver um. Um arquivo HTML também pode montar um arquivo dentro do navegador a partir de dados codificados e oferecê-lo para download, uma técnica chamada HTML smuggling, que pode passar por filtros que só inspecionam anexos. Nenhuma empresa de verdade precisa que você faça login a partir de um arquivo anexado a um e-mail. Trate qualquer página assim como phishing e acesse o serviço digitando o endereço.
Os arquivos SVG parecem imagens e são definidos em XML, o que significa que podem incluir scripts e links. Em um visualizador de imagens eles agem como uma figura, enquanto em um navegador podem agir como uma página da web. Um SVG inesperado vindo de um desconhecido merece a mesma desconfiança que um arquivo HTML.
Os arquivos JPEG, PNG, GIF e WebP comuns são dados passivos, e o risco teórico de uma falha no visualizador é o que as atualizações do sistema resolvem. O risco prático é outro: uma imagem pode ser simplesmente isca, como uma "captura de tela" de uma fatura que manda você ligar para um telefone. O arquivo é seguro, e as instruções dentro dele não são.
Arquivos compactados: avalie o conteúdo, não a embalagem
Um arquivo ZIP não é seguro nem perigoso. Ele é exatamente tão seguro quanto o que há dentro. Os arquivos compactados servem aos atacantes porque a mensagem mostra apenas "documents.zip" enquanto o tipo real do arquivo fica escondido, e porque um arquivo compactado dentro de outro, ou um formato menos comum, pode confundir alguns scanners.
A criptografia acrescenta outro problema. As ferramentas de segurança de e-mail não conseguem olhar dentro de um arquivo compactado protegido por senha, e é por isso que uma mensagem com um arquivo criptografado e a senha juntos é um padrão clássico. Pense no que esse arranjo consegue: não dá sigilo nenhum, já que quem tem o e-mail tem a senha, e a única coisa que ele faz com segurança é cegar o scanner. Um remetente genuíno que criptografa um arquivo normalmente compartilha a senha por outro meio, como por telefone ou em um chat separado.
Se você verificou que o arquivo compactado deveria existir e ainda quer ver o que há dentro:
- Abra o arquivo para ver a lista de arquivos sem extrair nada. O Explorador de Arquivos do Windows e programas como o 7-Zip conseguem mostrar a lista. O Mac geralmente descompacta por padrão com um duplo clique, então use uma ferramenta de compactação ali.
- Leia cada nome e extensão. Um único
.lnk,.js,.exeou.isoem algo que foi descrito como papelada encerra o assunto, então exclua o arquivo. - Verifique se o conteúdo combina com a história. Um "guia em PDF" deve ser um PDF, não uma pasta com um atalho.
- Extraia apenas o arquivo específico de que você precisa e depois aplique as mesmas verificações a ele.
Conferindo o remetente, em resumo
O arquivo é metade do ataque, e a história convincente em volta dele é a outra metade. Nosso guia sobre como identificar e-mails de phishing trata disso em detalhe, então aqui estão as verificações que mais importam para anexos.
Comece pelo endereço real, porque o nome de exibição pode ser definido como qualquer coisa por qualquer pessoa. "Departamento de Contas" pode ser billing@example-pay.example. No computador, passe o cursor sobre o nome ou clique nele e, no celular, toque na linha do remetente. Procure domínios com palavras acrescentadas, hifens ou letras trocadas ("rn" fingindo ser "m"), endereços de webmail gratuitos que dizem ser o setor de cobrança ou o jurídico de uma empresa e um domínio que não corresponde ao site que você já conhece.
Depois veja para onde iria uma resposta. Uma mensagem pode vir de um endereço e mandar as respostas para outro. Listas de discussão e sistemas de chamados, assim como as newsletters em que você se inscreveu, às vezes fazem isso por motivos comuns, mas uma nota de aparência pessoal sobre um pagamento urgente não deveria.
A verificação técnica leva um minuto. No Gmail, abra o menu de três pontos e escolha Mostrar original. No Outlook na web, use Exibir, Exibir origem da mensagem. Procure por spf=pass, dkim=pass e dmarc=pass. O SPF lista quais servidores podem enviar em nome de um domínio, o DKIM é uma assinatura criptográfica que mostra que o domínio autorizou a mensagem e que ela não foi alterada, e o DMARC liga esses resultados ao domínio visível do From e diz aos receptores o que fazer em caso de falha. Leia os resultados em uma direção só. Uma falha em uma mensagem que diz ser do seu banco é um forte alerta. Um pass não torna uma mensagem segura, porque criminosos podem registrar um domínio parecido e autenticá-lo direito, e uma caixa de e-mail sequestrada passa em todas as verificações.
Sobra a pergunta que nenhum cabeçalho responde: isso combina com uma conversa real? Você deveria conseguir dizer que esperava esse arquivo dessa pessoa sobre esse assunto e que ele contém detalhes que você pode verificar na sua conta. A pressão age contra isso. Urgência, sigilo e medo ("ação judicial", "não conte a ninguém", "conta encerrada hoje") junto com um arquivo são o padrão habitual. Na dúvida, entre em contato com o remetente usando dados que você já tinha antes de essa mensagem chegar. Se a fatura é real, ela também estará na sua conta.
Quando você precisa abrir um arquivo de alguém novo
Às vezes o arquivo é justamente o ponto: o currículo de um candidato, o primeiro orçamento de um fornecedor, uma resposta a algo que você anunciou à venda. O objetivo, então, é ver o conteúdo dando ao arquivo o mínimo de poder possível. Estas opções vão do menor ao maior esforço, e a maioria das pessoas vai parar na segunda ou na terceira.
Pergunte se você precisa mesmo abri-lo. Se o arquivo é inesperado e a história é genérica, excluir custa pouco, já que remetentes de verdade insistem depois.
Use a pré-visualização do seu serviço de e-mail. Os serviços de webmail muitas vezes processam PDFs, imagens e documentos do Office nos próprios servidores, então o arquivo é exibido em vez de executado no seu aparelho. Visualize primeiro e baixe só se for necessário. Esse é o hábito mais útil para quem recebe arquivos de desconhecidos no trabalho.
Abra os documentos somente para leitura. Ficar no Modo de Exibição Protegido, ou abrir o arquivo em um pacote de escritório na web, limita o que ele pode fazer. Não toque em Habilitar Edição nem em Habilitar Conteúdo.
Verifique-o. No Windows, você pode clicar com o botão direito em um arquivo salvo e verificá-lo com o Microsoft Defender, e outros produtos de segurança oferecem o mesmo. Para um arquivo que não tenha nada privado, um scanner online com vários mecanismos, como o VirusTotal, dá uma segunda opinião. Os envios a serviços desse tipo podem ser compartilhados com empresas de segurança e pesquisadores, então nunca envie contratos, documentos de identidade, faturas ou qualquer coisa confidencial. Um resultado limpo também não é garantia, porque um arquivo novo ou personalizado pode ainda não ser detectado por nada.
Peça outro formato. Um candidato de verdade pode reenviar o currículo como um PDF comum. Um cliente pode colar o texto no corpo do e-mail. Pedir não custa nada, e quem está tentando entregar um arquivo específico costuma resistir.
Use um ambiente isolado para qualquer coisa incomum. O Windows Sandbox está disponível nas edições Pro, Enterprise e Education do Windows, é ativado em Ativar ou desativar recursos do Windows e exige que a virtualização esteja habilitada. Ele dá uma área de trabalho descartável, e tudo lá dentro é descartado quando você fecha. Ainda tem acesso à rede por padrão, a menos que você desative isso em um arquivo de configuração, então um arquivo executando lá dentro pode alcançar a internet, e você não deve entrar em nada a partir dali. Uma máquina virtual ou um aparelho reserva servem ao mesmo propósito.
Um teste rápido antes do duplo clique
Passe por estas perguntas quando algo parecer estranho. Duas ou mais respostas preocupantes já bastam para excluir a mensagem ou verificá-la antes.
- Conheço esse remetente e estava esperando esse arquivo agora?
- O endereço e o domínio reais correspondem a quem ele diz ser?
- Esse é o tipo de arquivo que eu esperaria para esse assunto?
- O arquivo está dentro de um contêiner, principalmente um protegido por senha?
- A mensagem pressiona com urgência, sigilo, pagamento ou login?
- O documento pede que eu habilite a edição, o conteúdo ou as macros?
- Posso confirmar isso antes por um canal separado?
Celulares e Macs são diferentes, não imunes
Programas e scripts do Windows simplesmente não rodam no iOS ou no Android, e os sistemas móveis confinam os aplicativos de forma mais rígida do que os sistemas de computador tradicionais. Isso elimina uma grande classe de ameaças. Mas os celulares têm fraquezas próprias, e o phishing funciona pelo menos tão bem em uma tela pequena, onde os endereços completos ficam ocultos e um botão de login falso parece igual a qualquer outro.
No Android, o principal risco de arquivo é o APK, um pacote de aplicativo enviado como anexo. Ele só pode ser instalado se você permitiu que o aplicativo que o abriu instale apps desconhecidos. Confira em Configurações, Apps, Acesso especial de apps, Instalar apps desconhecidos, embora o caminho exato varie entre fabricantes. Deixe isso desativado para seu aplicativo de e-mail e para o navegador e instale apps apenas das lojas oficiais. No iPhone e no iPad, fique atento a perfis de configuração, que podem alterar ajustes como VPN e certificados confiáveis. Os perfis instalados aparecem em Ajustes, Geral, VPN e Gerenciamento de Dispositivo. Não instale um só porque um e-mail pediu.
Os aplicativos de e-mail nos celulares também tendem a esconder o endereço completo do remetente e a extensão do arquivo, então é preciso tocar para revelá-los. Se um arquivo parece importante e você não consegue ler seus detalhes com conforto, espere até estar diante de uma tela maior. Pouquíssimos anexos honestos não podem esperar uma hora.
Os Macs têm sua própria proteção, o Gatekeeper, que verifica os apps baixados antes de rodarem pela primeira vez e avisa sobre software que não é de um desenvolvedor identificado. Às vezes instruções de golpe mandam você contornar esse aviso abrindo o arquivo de outra forma ou colando um comando no Terminal. Trate essas instruções como trataria "Habilitar Conteúdo" em um documento do Word. Fique atento a arquivos .dmg, .pkg, .app e .command vindos de desconhecidos, que são os equivalentes no Mac das primeiras linhas da tabela.
Configurações que mudam as chances
Nenhuma delas exige ferramentas de especialista. Percorrer esta lista uma vez leva mais ou menos o tempo de um intervalo para o café, e a maior parte nunca precisa ser repetida.
| Configuração | Onde | Com o que ajuda |
|---|---|---|
| Mostrar extensões de nomes de arquivos | Menu Exibir do Explorador de Arquivos; Ajustes do Finder, Avançado | Extensões duplas e arquivos disfarçados |
| Atualizações automáticas | Configurações do sistema e da loja de aplicativos | Falhas conhecidas em visualizadores, navegadores e no Office |
| Software de segurança ativado | Segurança do Windows ou o produto que você escolheu | Malware conhecido quando os arquivos são salvos ou abertos |
| Modo de Exibição Protegido e bloqueio de macros | Office: Arquivo, Opções, Central de Confiabilidade, Configurações da Central de Confiabilidade (normalmente ativados) | Documentos que executam código sem uma decisão sua |
| Bloquear a instalação de apps desconhecidos | Android: Acesso especial de apps | Arquivos APK recebidos por e-mail |
| Conta padrão, sem privilégio de administrador, para o uso diário | Configurações de contas do sistema | Malware obtendo com facilidade direitos em todo o sistema |
| Login com vários fatores nas contas importantes | Página de segurança de cada conta | Tomada de conta depois de uma senha roubada |
| Um endereço separado para cadastros | Um endereço secundário, alias ou caixa de entrada temporária | Sua caixa de entrada principal virar alvo |
Anexos comuns e como costumam dar errado
As situações abaixo são exemplos de padrões que aparecem com frequência. O que importa em cada uma é a diferença entre como a coisa de verdade costuma chegar e o que está diante de você.
| A alegação | Como é a coisa de verdade | O que deve fazer você parar | O que fazer |
|---|---|---|---|
| Fatura de uma empresa que você não usa | Você teria uma conta ou um pedido | Nenhuma relação e, muitas vezes, um arquivo compactado, um arquivo HTML ou um documento com macro | Exclua |
| Fatura de uma empresa que você usa | Visível na sua conta, no formato de sempre | Formato novo, dados bancários novos, horário estranho | Entre direto na conta ou ligue para um número conhecido |
| "Prévia" de documento compartilhado | Um link do serviço de compartilhamento, que abre onde você já está conectado | Um arquivo HTML anexado com uma página de login | Acesse o serviço você mesmo e procure o compartilhamento |
| Currículo ou portfólio | Um PDF ou documento padrão | Um arquivo compactado, um documento com macro ou um link para um site de download estranho | Visualize e peça um formato padrão |
| Aviso de caixa postal de voz ou de fax | Muitos sistemas telefônicos enviam um arquivo de áudio, como WAV ou MP3 | HTML, um arquivo compactado ou um programa | Confira o portal do seu sistema telefônico |
| Arquivo urgente do seu "gerente" | Canais normais e tom normal | Sigilo, pressa, um pedido de pagamento | Confirme por telefone ou pessoalmente |
| Anexo novo em uma conversa antiga | Escrito com a voz da própria pessoa e sobre o assunto | Um "segue em anexo" genérico, um tipo de arquivo que ela nunca envia | Fale com ela por outro meio antes de abrir |
A linha do candidato a vaga merece uma palavra para quem contrata. Contratar é exatamente o caso em que pessoas desconhecidas devem mandar arquivos para você, e é por isso que os atacantes o imitam. Uma regra publicada dizendo "só PDF, sem arquivos compactados nem links" não custa nada aos candidatos reais e elimina a maior parte do risco antes que qualquer coisa chegue.
Para equipes pequenas
Se você cuida do e-mail de uma equipe, alguns controles reduzem o quanto depende do julgamento de uma única pessoa numa tarde corrida. Configure o serviço de e-mail para bloquear de vez os tipos de alto risco, como programas e scripts, e para reter para revisão os arquivos compactados protegidos por senha vindos de fora. Publique SPF, DKIM e DMARC para o seu domínio, para que seja mais difícil falsificar seu nome, e leia os relatórios do DMARC para ver quem está enviando em seu nome. Um aviso visível nas mensagens vindas de fora da organização ajuda as pessoas a perceber quando "o chefe" está escrevendo de outro lugar.
Internamente, links compartilhados de uma plataforma em que você confia são melhores do que anexos, porque qualquer anexo vindo de fora passa a se destacar. Combinem uma regra escrita de que a mudança de dados bancários é sempre confirmada por telefone, em um número já registrado, não importa quem peça nem quão urgente pareça. E ofereça aos funcionários uma forma de denunciar e-mails suspeitos com um clique e agradeça a quem a usa, inclusive a quem já clicou. Alguém constrangido a ficar calado dá horas extras a um invasor.
Se você já abriu
Pessoas cuidadosas também cometem esse erro, geralmente quando estão cansadas ou ocupadas. Os primeiros minutos contam, e o que você faz depende do que de fato aconteceu.
Você abriu uma imagem ou um PDF em um visualizador atualizado e não clicou em nada. O risco realista é baixo. Faça uma verificação e siga em frente, atento a mensagens de acompanhamento.
Você executou algo, extraiu algo ou habilitou macros. Siga estes passos em ordem:
- Feche o arquivo e pare de responder às perguntas dele. Não digite nenhuma senha.
- Desligue o Wi-Fi ou desconecte o cabo de rede. Isso pode impedir que o malware busque outros componentes ou envie dados para fora.
- Em um aparelho do trabalho, avise na hora a partir de outro aparelho e não tente limpar por conta própria. Avisos rápidos permitem que a TI ou a equipe de segurança contenham o problema antes que ele se espalhe.
- Faça uma verificação completa. Na Segurança do Windows, vá em Proteção contra vírus e ameaças, Opções de verificação, onde uma verificação offline do Microsoft Defender reinicia o computador e verifica antes de o Windows carregar.
- A partir de um aparelho diferente e limpo, troque suas senhas importantes, começando pelo e-mail, já que o e-mail pode redefinir todo o resto. Depois faça o banco e tudo em que você entrou recentemente na máquina afetada.
- Revise os acessos recentes da sua conta de e-mail, as regras de encaminhamento, os filtros e os aplicativos conectados. Os atacantes às vezes adicionam uma regra oculta para continuar recebendo seus e-mails depois que você troca a senha.
- Ative o login com vários fatores, ou confirme que ele continua ativo, nas contas que importam.
Você digitou uma senha em uma página que o anexo abriu. Trate essa senha como roubada. Troque-a no site verdadeiro digitando você mesmo o endereço e troque-a em todo lugar onde a usou.
Você informou dados de cartão. Ligue para seu banco ou emissor do cartão no número impresso no cartão e peça que o bloqueiem.
O aparelho continua se comportando de forma estranha. Programas novos, ferramentas de segurança desativadas e redirecionamentos do navegador são sinais de que uma verificação não bastou. Restaurar a partir de um backup bom conhecido ou reinstalar o sistema é a solução confiável, e é por isso que manter um backup offline ou com versões faz parte, na prática, da segurança de anexos.
Onde uma caixa de entrada temporária se encaixa e onde não
Tudo o que vimos age depois que uma mensagem de risco já chegou até você. A privacidade da caixa de entrada age antes, limitando quem consegue alcançar o seu endereço importante. Todo site que tem seu endereço real pode vazá-lo, vendê-lo ou ser invadido. Reduzir essa exposição significa menos remetentes desconhecidos depois, o que também facilita perceber o arquivo inesperado ocasional. Nosso artigo sobre como organizar seu e-mail pessoal explica como dividir os endereços por nível de confiança.
Uma caixa de entrada temporária é uma ferramenta para o nível mais baixo. Se você usar uma para um download único ou uma pergunta em um fórum, quando os termos do site permitirem, esse remetente nunca descobre seu endereço principal. Nosso guia sobre como se cadastrar sem o seu e-mail real trata de quando isso é adequado e de quando um endereço permanente é a escolha certa. Desenvolvedores também usam caixas de entrada temporárias para verificar se o próprio aplicativo envia anexos corretamente, sem encher uma caixa pessoal.
Seja claro sobre os limites. Um endereço temporário protege seu endereço, não seu aparelho. Depois que você baixa um arquivo, todas as verificações deste artigo valem por completo. As caixas de entrada temporárias não servem para contratos, documentos de identidade, registros médicos ou financeiros, e não são adequadas para banco, serviços do governo ou qualquer conta que você precise recuperar. Qualquer pessoa que conheça ou adivinhe um endereço pode abrir aquela caixa de entrada, então um endereço aleatório é a escolha mais segura, e nada confidencial deve ficar ali.
No VookMail, um endereço está pronto quando a página carrega, sem cadastro. Os anexos funcionam, dentro dos limites de tamanho, e a caixa de entrada mostra a mensagem e lista os arquivos sem executar nada. Arquivos de programa comuns como .exe, .bat e .apk são recusados, e arquivos compactados como .zip mostram um aviso de cautela, que é um bom lembrete para aplicar os passos para arquivos compactados vistos acima. Nossos domínios recebem e-mails por um provedor de entrega de e-mail que os encaminha para nós por HTTPS. As mensagens e os anexos são apagados depois de cerca de um dia, então baixe o que precisar sem demora e não trate a caixa de entrada como armazenamento. A política de privacidade e a página de metodologia explicam o tratamento com mais detalhes.
O botão do QR também pode ajudar na cautela com anexos. Ele mostra seu endereço como um código que você pode escanear em outro aparelho, onde Novo e o mesmo endereço e domínio abrem aquela caixa de entrada, então, se você prefere olhar um arquivo duvidoso em um celular ou em um aparelho reserva em vez de no computador principal, pode. Um arquivo baixado de propósito ainda deve corresponder ao que foi prometido. Se um site ofereceu um guia em PDF e você recebeu um ZIP com um atalho, exclua.
Erros que vale a pena desaprender
- Encaminhar um arquivo suspeito a um colega "para conferir". Isso espalha o risco. Use o canal de denúncia da sua organização.
- Extrair um arquivo compactado para ver o que há dentro, quando listar o conteúdo teria mostrado.
- Usar uma senha fornecida no mesmo e-mail. Isso entrega ao atacante o que ele queria, um arquivo que seu scanner nunca viu.
- Clicar em Habilitar Edição por hábito. Para um documento que você só precisa ler, não há nada a ganhar.
- Tratar uma verificação limpa como prova. Ela significa que nenhum scanner reconheceu o arquivo hoje.
- Enviar arquivos confidenciais a scanners públicos, que podem compartilhar dados privados com terceiros.
- Adiar atualizações. Muitas explorações de anexos miram falhas já corrigidas nas versões atuais do Office, de leitores de PDF, de navegadores e de sistemas operacionais.
- Ficar calado depois de um clique errado. Em uma conta de trabalho, uma hora de silêncio não ajuda ninguém além do atacante.
Perguntas que costumam surgir
Dá para pegar um vírus só abrindo um e-mail?
Em um aplicativo de e-mail atualizado, abrir e ler uma mensagem dificilmente infecta um aparelho. O perigo costuma começar quando você abre ou executa um anexo, habilita macros ou clica em um link. Carregar imagens, porém, pode avisar o remetente de que você abriu a mensagem, o que é um problema de privacidade e não uma infecção.
O antivírus me protege de todos os anexos maliciosos?
Não. Antivírus e filtros de e-mail pegam uma grande parte das ameaças conhecidas, mas arquivos novos ou personalizados podem passar, e uma página de login falsa pode não conter malware nenhum. A verificação é uma camada ao lado de conferir o remetente, conhecer os tipos de arquivo, bloquear macros e manter tudo atualizado.
Devo confiar em um anexo porque veio de um amigo?
Confie na pessoa e confira a mensagem mesmo assim. Contas são sequestradas, então um arquivo estranho de um amigo, com um bilhete incomumente curto, merece uma mensagem rápida perguntando se foi ele que enviou.
É mais seguro abrir um arquivo suspeito no celular?
Pode ser, no caso de programas do Windows, que não rodam ali. Não adianta nada contra páginas de login falsas, que são a ameaça mais provável em um PDF ou arquivo HTML. O celular é um risco diferente, e um aparelho reserva ou um sandbox é a melhor escolha quando você quer uma separação de verdade.
É seguro receber anexos em uma caixa de entrada temporária?
Recebê-los é igual a qualquer caixa de entrada, já que o serviço guarda e mostra o arquivo e não o executa. O que importa é o que acontece depois que você o baixa. Aplique as mesmas verificações e mantenha qualquer coisa confidencial fora de uma caixa de entrada que outras pessoas poderiam abrir se adivinhassem o endereço.