Phishing é das principais ameaças em Portugal

De acordo com a telemetria da Eset, entre as várias categorias de ciberameaças, os ataques de phishing em emails foram uma das principais ameaças que os utilizadores em Portugal enfrentaram na primeira metade de 2023. Neste contexto, a empresa apresenta um conjunto de dicas que um utilizador deverá seguir em caso de clicar num link malicioso.

Erros ortográficos, gramática estranha, linguagem urgente ou ameaçadora e falta de contexto são alguns dos sinais comuns de ciberataques de phishing via email, indica a Eset, utilizando particularmente esta forma de comunicação para aceder aos dados pessoais dos indivíduos visados e para instalar malware nos seus dispositivos.

No entanto, existem ameaças de phishing com uma elevada capacidade de fugir à deteção, assentes num investimento significativo de tempo e na elaboração de planos mais detalhados pela parte dos cibercriminosos.  Segundo a Eset, alguns dos agentes maliciosos chegam até a examinar as comunicações anteriores dos seus alvos para assegurar um ataque convincente e bem-sucedido.

Um clique é suficiente para uma pessoa cair vítima de um ataque de phishing, sendo um risco que afeta até os próprios profissionais de Tecnologias de Informação. Neste sentido, a Eset recomenda dez passos que os utilizadores deverão seguir após se aperceberem que clicaram num link malicioso.

1. Não fornecer informações adicionais: se, por exemplo, um utilizador recebeu um email de uma loja online suspeita, clicou no link e foi direcionado para um website aparentemente legítimo, mas continua com dúvidas, o utilizador não deve partilhar informações adicionais – desde o login aos detalhes da conta bancária.
2. Desligar o dispositivo da Internet: através de alguns ataques de phishing, os cibercriminosos poderão conseguir aceder ao dispositivo do utilizador visado e instalar malware, recolher dados pessoais ou obter controlo remoto do dispositivo. Neste sentido, a ESET afirma que é necessário desligar o dispositivo da Internet: desligar o cabo de Internet se for um PC com ligação por cabo ou, em caso de ligação através de Wi-Fi, desligá-lo nas definições ou colocar em modo de avião do smartphone.
3. Fazer backup dos dados: segundo a ESET, desligar o dispositivo da Internet impede que mais dados sejam enviados para o servidor malicioso, mas os dados continuam em perigo. Neste sentido, a empresa recomenda fazer backup de todos os ficheiros considerados sensíveis e importantes. Uma vez que fazer backup dos dados após terem sido comprometidos é arriscado, podendo já estar infetados por malware, a ESET reforça a importância de fazer backup dos ficheiros de forma regular e preventiva para um disco rígido externo, uma pen USB ou serviço de armazenamento na cloud.
4. Realizar uma verificação de malware e outras ameaças: enquanto o dispositivo está desligado da Internet, o utilizador visado deve efetuar uma verificação completa do seu dispositivo através de um software anti-malware de um especialista em cibersegurança. 
5. Considerar a reposição de fábrica: a reposição de fábrica é irreversível permite repor o smartphone no seu estado original, limpando todos as aplicações e ficheiros instalados, bem como todos os dados armazenados localmente. Ainda assim, existem determinados tipos de malware que podem persistir após uma reposição total.
6. Repor passwords: os emails de phishing visam levar os alvos a divulgar os seus dados sensíveis, como números de identificação, detalhes bancários e de cartões de crédito ou credenciais de acesso. Ainda que um utilizador não os forneça, se tiver malware instalado no seu dispositivo, é possível que um cibercriminoso consiga localizar os seus dados. Nestes casos, a ESET reforça a importância de alterar de imediato as credenciais de login, especialmente se reciclar a mesma password em várias contas – algo que não deve ser feito para garantir a cibersegurança.
7. Contactar bancos, autoridades e fornecedores de serviços: um utilizador deve contactar as autoridades locais e informar imediatamente o banco, caso tenha introduzido os seus dados bancários ou dados de acesso a um website com acesso aos seus cartões, para os bloquear ou congelar, de forma a evitar ou minimizar perda financeira. É importante também verificar se o banco, ou outro serviço de pagamento comprometido, tem uma política de reembolso para vítimas de burlas.
8. Detetar as diferenças: após entrar com sucesso num dispositivo, os cibercriminosos podem tentar manter-se presentes durante o máximo de tempo possível, alterando logins, endereços de email, números de telefone, entre outros. Desta forma, a ESET sugere aos utilizadores visados a revisão das suas contas das redes sociais, das informações bancárias e do seu histórico de encomendas de compras online.
9. Procurar dispositivos não reconhecidos: com o acesso aos detalhes de conta dos alvos, os cibercriminosos poderão tentar iniciar sessão com o seu próprio dispositivo. Neste sentido, é importante estar atento ao registo de sessões de login nas definições de privacidade, disponibilizado pela maioria das redes sociais, e forçar o fim de sessão nos dispositivos desconhecidos.
10. Notificar os contactos, fornecedores de serviços e empregador: é frequente que os cibercriminosos recorram à lista de contactos das contas comprometidas para propagar a campanha de phishing. Para evitar que outras pessoas sejam afetadas pelo mesmo esquema, a ESET sublinha a necessidade de informar família, amigos e até a chefia e departamento de TI, caso o ciberataque esteja associado a contas ou dispositivos de trabalho. Para além disto, a empresa afirma que os principais serviços de email, como o Outlook ou o Gmail, oferecem ferramentas para denunciar emails de phishing diretamente através da caixa de entrada.