Manter-se em segurança online durante as férias

Uma mulher com uma camisola cinzenta sentada a uma mesa a olhar para o seu telemóvel.

O que as equipas de defesa precisam de saber

Os cibercriminosos adoram aproveitar oportunidades para tirar partido das pessoas e, na época festiva, isso torna-se ainda mais fácil quando estão distraídas. Entre compras, tempo em família, as constipações que andam a circular e as ligações com entes queridos pela internet, os agentes de ameaça encontram terreno fértil.

Infelizmente, esse aumento de atividade legítima serve de cobertura para os agentes de ameaça. Os dados de Threat Intelligence da Microsoft mostram que os atacantes ajustam as campanhas para coincidir com períodos em que as pessoas estão distraídas, com pressa e mais confiantes em emails de retalhistas ou serviços de entregas.

Estes padrões sazonais surgem de forma consistente na telemetria da Microsoft e no Microsoft Digital Defense Report 2025 (MDDR), que destaca como os ataques de engenharia social e de usurpação de identidade potenciados por IA aumentam em volume e taxa de sucesso durante períodos de elevada transação.

Eis o que as equipas de defesa e os utilizadores devem vigiar à medida que as festas se aproximam.

Phishing por código de dispositivo

Durante a correria das festas, quando aumentam as confirmações de encomendas, as atualizações de envio, as verificações de identidade e os alertas de fraude, os agentes de ameaça aproveitam o ruído. Enviam mensagens a pedir que os utilizadores introduzam um “código de verificação” para resolver um problema de compra ou confirmar uma entrega. O pretexto soa familiar e urgente, o que reduz a suspeita. Mas introduzir esse código pode conceder silenciosamente aos atacantes acesso OAuth à conta do utilizador, sem nunca ser necessária uma palavra-passe.

A Microsoft Threat Intelligence tem acompanhado um aumento constante destas técnicas de tomada de controlo de contas sem credenciais, tanto em ambientes de consumo como empresariais. Os atacantes recorrem a códigos de dispositivo e phishing baseado em consentimento porque são simples, escaláveis e muito eficazes a contornar os controlos tradicionais contra o roubo de credenciais. Durante os períodos de maior volume de compras, estes iscos misturam-se na perfeição com as comunicações legítimas, dificultando a deteção e aumentando a probabilidade de comprometimento.

Como mitigar o phishing por código de dispositivo

Restringir o fluxo de código de dispositivo sempre que possível
Reforçar a clareza no início de sessão e a verificação do utilizador
Revogar o acesso imediatamente quando for detetada atividade suspeita
Usar políticas de risco de início de sessão para automatizar a contenção
Monitorizar continuamente os inícios de sessão de risco

Ataques de CAPTCHA falso (esquemas ClickFix)

As ofertas de viagens de fim de ano, as promoções relâmpago e a caça aos presentes de última hora criam condições ideais para os atacantes se esconderem à vista de todos. Os ataques de redirecionamento que se fazem passar por confirmações de reserva ou emails promocionais levam muitas vezes as vítimas para uma página CAPTCHA, um padrão em que os utilizadores confiam e raramente questionam. Mas estes não são CAPTCHAs reais. Os agentes de ameaça usam-nas agora como mecanismo de distribuição de instruções de engenharia social, levando as vítimas a colar comandos maliciosos diretamente nos pedidos Executar do Windows ou em terminais.

A Microsoft Threat Intelligence alertou recentemente para o crescimento acelerado destes esquemas ClickFix. Não exigem qualquer cadeia de exploração, apenas ação do utilizador. Esta simplicidade torna-os altamente escaláveis e particularmente perigosos durante os picos sazonais, quando os compradores se movem depressa e têm maior probabilidade de cumprir instruções aparentemente rotineiras.

Por exemplo, pouco antes do Dia de Ação de Graças, a Microsoft Threat Intelligence detetou e bloqueou uma campanha de phishing de grande volume do Storm-0900 que visava dezenas de milhares de utilizadores nos EUA. O atacante cronometrava a operação para coincidir com um feriado em que as pessoas estavam distraídas e à espera de mensagens urgentes.

Os emails usavam iscos familiares, como multas de estacionamento, resultados médicos e referências ao Dia de Ação de Graças. Cada mensagem redirecionava as vítimas para um site controlado pelo atacante com um CAPTCHA deslizante falso, seguido de um pedido ClickFix.

A Microsoft interrompeu a campanha através de filtragem, proteção de pontos finais e bloqueio preventivo da infraestrutura do atacante. No entanto, a campanha é um exemplo claro de como os agentes de ameaça combinam padrões de experiência de utilizador de confiança, como os CAPTCHAs, com técnicas de execução pelo utilizador para contornar os controlos tradicionais.

Como mitigar ataques de CAPTCHA falso e ClickFix

Impor controlo de aplicações e restringir os caminhos de execução de comandos
Desativar ou restringir rigorosamente interfaces de linha de comandos desnecessárias
Reforçar as políticas de filtragem do navegador e de URLs
Reforçar os critérios de verificação dos utilizadores perante ações inesperadas
Monitorizar padrões invulgares de execução de comandos
Manter um design de contas com privilégios mínimos

Burlas de usurpação de identidade de suporte técnico

As pessoas viajam com dispositivos pessoais menos seguros, usam Wi-Fi de hotel e enfrentam mais problemas técnicos. Os atacantes tiram partido disso ao passar por pessoal de suporte para resolver problemas inexistentes. Estas burlas aumentam de forma consistente entre novembro e janeiro, sobretudo no caso de familiares mais velhos ou de pessoas com menos conhecimentos técnicos.

O MDDR de 2025 aponta as burlas de suporte técnico como uma das categorias de fraude global mais bem-sucedidas. Mais especificamente, a extorsão e o ransomware impulsionam metade de todos os ciberataques.

Os autores de ameaças recorrem cada vez mais a guiões gerados por IA, personagens telefónicas realistas e a aposentação de marcas para conferir credibilidade. O resultado é um pretexto convincente que pode levar à instalação de malware de acesso remoto, ao roubo de credenciais ou à tomada de controlo total da conta.

Para as equipas de defesa e para os executivos, estas burlas são especialmente preocupantes porque misturam risco pessoal e corporativo: um dispositivo pessoal comprometido numa rede Wi-Fi de hotel pode rapidamente tornar-se um ponto de partida para ataques mais amplos.

Como mitigar burlas de usurpação de identidade do suporte técnico

Reduzir a superfície de ataque com controlos rigorosos de acesso remoto
Reforçar a cultura de verificação em toda a organização
Formar os utilizadores para desconfiarem da urgência e de pedidos de ajuda
Reforçar a segurança dos dispositivos utilizados em viagem
Bloquear domínios semelhantes e sites de usurpação de identidade
Monitorizar abusos de ferramentas de acesso remoto e padrões invulgares no helpdesk
Disponibilizar canais de reporte claros e rápidos

Notificações falsas de envio e entrega

As compras de fim de ano transformam toda a gente numa máquina de rastrear encomendas. Os agentes de ameaça inserem-se nesse fluxo mental. Com tanta gente a acompanhar uma dúzia de envios, mais um email a alegar um atraso ou a necessidade de confirmar a morada não levanta suspeitas.

De acordo com o Digital Defense Report, o phishing temático de envios é uma das categorias de usurpação de identidade mais exploradas. A Microsoft Threat Intelligence regista picos previsíveis destes esquemas baseados em logística em todas as épocas festivas, com atacantes a fazerem-se passar por transportadoras conhecidas como UPS, USPS, FedEx, Amazon, DHL e serviços postais regionais. A marca é convincente, o timing é credível e as expectativas dos utilizadores nas semanas de maior volume de compras tornam estes ataques especialmente eficazes.

Como estas campanhas imitam fluxos de transação legítimos e muitas vezes incluem números de seguimento reais obtidos de fugas de dados ou de caixas de correio capturadas, torna-se cada vez mais difícil para os utilizadores distinguir notificações autênticas.

Como mitigar burlas com notificações falsas de envio e entrega

Reforçar as proteções de URL e de domínio para neutralizar tentativas de usurpação de identidade
Reforçar os comportamentos de verificação dos utilizadores durante os períodos de maior atividade de compras
Aplicar fricção de Acesso Condicional a ações financeiramente sensíveis
Adicionar deteção comportamental para criação de regras de email e anomalias de encaminhamento
Implementar proteção contra usurpação de identidade e políticas de autenticação do remetente

Burlas de instituições de solidariedade e de doações

Os picos sazonais de generosidade sobem no quarto trimestre, especialmente no Giving Tuesday, e os atacantes exploram isso. A IA já permite que os agentes de ameaça criem, em escala, sites de organizações sem fins lucrativos polidos, histórias emocionalmente apelativas e formulários de donativos persuasivos. Criam narrativas urgentes e comoventes sobre ajuda em catástrofes, campanhas comunitárias ou apelos de última hora para as festas, na esperança de combinar boa vontade com distração e pressão.

Como mitigar burlas de instituições de solidariedade e de doações

Reforçar a cultura de verificação, especialmente nas épocas de doações
Promover o uso de plataformas de doação verificadas
Bloquear e monitorizar domínios semelhantes ou recém-registados
Aplicar controlos de identidade resistentes a phishing e deteção de anomalias
Sensibilizar colaboradores e partes interessadas para as mudanças nas fraudes

Aproveite a época, mas com os olhos bem abertos

A segurança não deve retirar a alegria da época, mas a atenção é ainda mais importante em momentos de grande atividade e distração. As orientações da Microsoft ao longo do Kit Be Cybersmart alinham-se neste ponto: uma pausa, um passo de verificação ou uma segunda análise fazem muitas vezes a diferença entre manter-se em segurança e tornar-se vítima.