A superfície de ataque de um particular ou de uma pequena organização já não se limita à caixa de correio eletrónico. As violações de dados pessoais provocaram um forte aumento dos pedidos de ajuda em 2025, segundo a Cybermalveillance.gouv.fr, e as técnicas de burla combinam agora SMS, chamadas telefónicas e validação bancária numa mesma sequência. Proteger os dispositivos e os dados online exige ir além de uma lista de conselhos genéricos e enfrentar os verdadeiros vetores de comprometimento.
Passkeys e autenticação multifator: o que muda concretamente na resistência ao phishing
As palavras-passe, mesmo longas e complexas, continuam vulneráveis assim que um utilizador as introduz num site falso. As passkeys baseiam-se num par de chaves criptográficas associado ao serviço em questão: a chave privada nunca sai do dispositivo e não pode ser reutilizada num domínio fraudulento. A principal vantagem não é a comodidade, mas sim a eliminação do risco de introduzir credenciais num site clonado.
A CNIL adotou, a 20 de março de 2025, uma recomendação sobre autenticação multifator. Esta recomendação confirma que a autenticação de dois fatores continua a ser uma base mínima, mas não constitui uma garantia absoluta. Uma pessoa ainda pode validar uma operação fraudulenta se for manipulada por telefone.
Os artigos dirigidos ao grande público tratam a autenticação de dois fatores como uma opção a assinalar. Na prática, recomendamos que os utilizadores hierarquizem as contas de acordo com a sua criticidade: primeiro, contas bancárias, o endereço de correio eletrónico principal e o armazenamento na cloud; depois, as redes sociais. Na secção de segurança da Tech Mafia, são explicados em detalhe os métodos de ativação para cada serviço, bem como as diferenças entre TOTP, notificações push e passkeys.
Burlas multicanal: porque já não basta um único sinal para detetar uma fraude
O esquema clássico do e-mail suspeito com erros ortográficos está ultrapassado. As observações de 2025 divulgadas pela Cybermalveillance.gouv.fr apontam para um aumento dos ataques com falsos consultores bancários e falsificação de números de telefone. O cenário típico desenrola-se em várias etapas: uma mensagem de alerta por SMS, seguida de uma chamada de um número semelhante ao do banco e, por fim, um pedido de validação na aplicação móvel.
As violações de dados contribuem diretamente para a credibilidade destes ataques. Quando um burlão conhece o nome, a morada e o número de conta da vítima, torna-se difícil distinguir o seu discurso do de uma chamada legítima. A única forma fiável de se proteger é desligar e ligar para o número oficial da entidade, consultado num extrato em papel ou no site verificado, nunca através do link ou do número recebido.
Medidas concretas perante um contacto suspeito
- Nunca valide uma operação bancária solicitada por alguém que o contactou, seja qual for o canal (SMS, chamada ou mensagem instantânea). Um consultor bancário legítimo não pede que confirme uma transferência em tempo real por telefone.
- Verifique o URL do site para o qual foi redirecionado antes de introduzir quaisquer credenciais. Basta alterar um carácter no nome de domínio para criar um site fraudulento.
- Denuncie imediatamente qualquer tentativa na plataforma Cybermalveillance.gouv.fr, mesmo que não tenha sofrido prejuízos. As denúncias permitem bloquear domínios maliciosos mais rapidamente.
Atualizações e separação de utilizações: a verdadeira superfície de ataque dos seus dispositivos
Um dispositivo cujo sistema operativo já não está atualizado fica exposto a vulnerabilidades conhecidas e documentadas publicamente. As atualizações de segurança não são melhorias cosméticas: corrigem vulnerabilidades que os atacantes por vezes exploram poucos dias após a sua divulgação. Ativar as atualizações automáticas em cada dispositivo continua a ser a medida mais eficaz em relação ao esforço necessário.
Separar as utilizações pessoais das profissionais não é apenas uma recomendação de boas práticas. Ligar uma pen USB pessoal a um computador de trabalho ou utilizar o mesmo endereço de e-mail num serviço administrativo e num fórum de lazer cria ligações entre ambientes com níveis de segurança diferentes. Se um deles for comprometido, o atacante consegue aceder ao outro sem esforço adicional.
Gestão de permissões e aplicações instaladas
Instalar aplicações apenas a partir das lojas oficiais (App Store, Google Play) ou dos sites verificados dos respetivos fornecedores reduz o risco de executar software alterado. Num computador, utilizar uma conta de utilizador padrão (sem direitos de administrador) no dia a dia limita os danos causados por um programa malicioso: este não poderá modificar ficheiros do sistema nem instalar-se em profundidade.
Cada aplicação instalada aumenta a superfície de ataque. Desinstalar software que não utiliza e revogar permissões excessivas (acesso ao microfone, à localização e aos contactos) reduz automaticamente a exposição. Tanto no Android como no iOS, as definições de privacidade permitem auditar estes acessos em poucos minutos.
Cópias de segurança e encriptação de dados: a rede de segurança esquecida
Os ataques de ransomware encriptam os ficheiros e exigem um pagamento. Sem uma cópia de segurança recente, a vítima tem de escolher entre pagar (sem garantia de recuperar os dados) e aceitar a perda. Uma cópia de segurança regular num suporte desligado da rede (disco externo, armazenamento offline) elimina a vantagem do atacante.
A regra prática habitual consiste em manter pelo menos duas cópias dos dados em suportes diferentes, uma das quais fisicamente separada da estação de trabalho. Os serviços de cloud sincronizados não substituem esta cópia de segurança offline: um ransomware pode propagar-se aos ficheiros sincronizados antes de ser detetado.
A encriptação do disco (BitLocker no Windows, FileVault no macOS) protege os dados em caso de roubo físico do dispositivo. Se um computador portátil for roubado num comboio, todos os ficheiros ficam acessíveis se o disco não estiver encriptado, mesmo que a sessão esteja protegida por palavra-passe.
A segurança digital não é um estado permanente. As técnicas de ataque evoluem, as fugas de dados fornecem aos burlões informações cada vez mais precisas e cada novo dispositivo ligado acrescenta um potencial ponto de entrada. As medidas aqui descritas não exigem um orçamento específico nem conhecimentos avançados, mas têm de ser aplicadas sistematicamente, e não apenas conhecidas.
