A primeira reação a um incidente de phishing costuma ser demasiado limitada: mudar uma password, apagar o email e voltar ao trabalho. Pode chegar quando ninguém introduziu uma password nem abriu um anexo. Não chega quando alguém pode ter entrado numa caixa de correio, conta cloud, processo de pagamento ou documentos partilhados. O objetivo não é criar pânico. É travar acessos adicionais, perceber o que mudou e decidir com clareza quem precisa de saber.

Comece por conter, mas a partir de um equipamento de confiança

Se alguém introduziu uma password, aprovou um início de sessão inesperado, descarregou um ficheiro ou autorizou uma aplicação desconhecida, trate a conta como potencialmente comprometida. A partir de um equipamento em que confia, altere a password da conta afetada e termine as sessões ativas na consola de identidade ou do serviço. Se a mesma password era usada noutro local, altere-a também aí. A CISA aconselha quem suspeita de phishing a mudar imediatamente as passwords das contas e a reportar a mensagem.

Não assuma que alterar a password fecha o assunto. Verifique o email de recuperação, número de telefone registado, métodos de autenticação multifator e equipamentos de confiança. Um atacante que adicionou o seu próprio método de recuperação, sessão ou autenticador pode voltar depois da alteração da password. Os controlos concretos diferem entre Microsoft 365, Google Workspace e outros fornecedores, mas a pergunta é a mesma: alguém ainda consegue recuperar ou usar esta conta sem o dono saber?

Guarde a evidência que ajuda a perceber o alcance real

Uma mensagem suspeita deve ser reportada através do controlo de phishing do serviço de email sempre que possível, e não reenviada repetidamente a colegas. Guarde a mensagem ou os respetivos cabeçalhos, endereço do remetente, ligação ou nome do anexo, hora da interação e uma nota curta sobre o que aconteceu. Registe se foi introduzida uma password, aprovada uma notificação multifator, aberto um download ou instalada uma extensão de navegador.

Depois reveja os inícios de sessão recentes, email enviado, itens eliminados, regras da caixa de correio, reencaminhamentos e aplicações ligadas à conta. Capturas de ecrã podem ajudar, mas registos e marcas temporais são mais úteis quando existem. A orientação atual do NIST para resposta a incidentes trata análise e recuperação como trabalho ligado: a informação recolhida durante o incidente deve melhorar a decisão de recuperação, e não ficar numa pasta que ninguém volta a abrir.

Verifique a que é que a conta podia aceder

Uma caixa de correio comprometida pode servir para ler conversas, enviar respostas convincentes, recuperar outras contas e redirecionar faturas. Comece pelas vias práticas que a conta tinha para entrar no negócio. Procure regras ou reencaminhamentos novos, consentimento para aplicações externas, envios anormais, instruções de pagamento alteradas, ficheiros cloud recentemente partilhados, mensagens de reposição de password e sinais de que um colega ou cliente recebeu algo inesperado.

O alcance pode ser menor do que se teme. Também pode ir além de uma caixa de entrada. Se a conta tinha acesso a finanças, dados de clientes, consola de administração ou gestor de passwords partilhado, envolva cedo a pessoa responsável. Reveja esses sistemas antes de restaurar o acesso normal. A equipa deve evitar mudanças indiscriminadas que interrompem todos os utilizadores, mas deve restringir depressa acessos com uma ligação credível ao incidente.

Diga às pessoas certas o que se sabe e o que ainda está a ser verificado

A comunicação interna deve ser factual. Indique que conta ou equipamento está envolvido, o que já foi contido, a que devem estar atentos e onde podem reportar mensagens suspeitas de seguimento. Se um atacante pode ter enviado email a partir de um endereço da empresa, avise rapidamente os destinatários mais prováveis e diga-lhes para não confiarem em novos dados de pagamento, pedidos de login ou ligações para ficheiros sem uma confirmação separada.

Se pode ter havido movimento de dinheiro, contacte de imediato o banco ou fornecedor de pagamentos. Se dados pessoais de clientes ou colaboradores podem ter sido expostos, procure aconselhamento adequado de privacidade e jurídico sem demora; as obrigações de comunicação dependem dos dados, da jurisdição e do que realmente aconteceu. O NCSC também aponta as organizações para canais formais de reporte de incidentes. Reportar não é admitir falha. Pode facilitar o apoio certo e ajuda os defensores a acompanhar campanhas ativas.

Termine a recuperação e reduza o drama da próxima vez

Antes de encerrar o incidente, remova métodos de autenticação desconhecidos, revogue acessos de aplicações desnecessários, atualize e analise o equipamento afetado e confirme que regras de email, reencaminhamentos e opções de recuperação voltaram ao estado previsto. Confirme que o utilizador consegue entrar com uma password forte e única e autenticação multifator. Se um equipamento esteve envolvido, avalie se precisa de ser reconstruído em vez de assumir que uma análise antivírus não encontrou nada.

Escreva um registo curto enquanto os detalhes estão frescos: o que aconteceu, que contas foram afetadas, que acessos foram removidos, quem foi avisado e o que precisa de mudar. Numa pequena empresa, a melhoria útil costuma ser modesta e concreta: uma via de reporte mais clara, MFA mais forte, uma regra de confirmação de pagamentos, melhores alertas na caixa de correio ou uma forma de contactar a equipa fora da rede. O objetivo não é um manual de incidentes espesso. É uma resposta que a empresa consiga executar com calma da próxima vez.

Fontes

Este artigo da brianda.cloud usa a orientação pública indicada abaixo. É orientação operacional prática, não substitui aconselhamento forense, jurídico, de privacidade ou regulatório específico para um incidente.

Fontes consultadas para esta análise:

  1. Phishing Guidance: Stopping the Attack Cycle at Phase OneCybersecurity and Infrastructure Security Agency (CISA) · 2025-03
  2. Phishing attacks: defending your organisationNational Cyber Security Centre (UK) · 2026
  3. SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk ManagementNational Institute of Standards and Technology (NIST) · 2025-04-03