Phishing no trabalho: um plano de resposta para outubro

O que os números realmente dizem

A Comissão publicou o resumo do Eurobarómetro em 30 de setembro e atualizou-o em 1 de outubro de 2026: três em quatro trabalhadores da UE encontraram mensagens ou ligações suspeitas; 39% reportaram phishing. Sobre perceções, 83% consideraram graves as consequências de ciberataques e 48% disseram conseguir reconhecer um vídeo falso gerado por IA.

São respostas dos inquiridos, não uma taxa medida de intrusões. O resumo não permite atribuir estes resultados a Portugal; esta peça não indica uma amostra ou período de recolha que não verificou.

Faça do mês uma oportunidade operacional

A ENISA apresenta o Mês Europeu da Cibersegurança como campanha anual de sensibilização para cidadãos e organizações. Na leitura da Velqory, outubro é útil para rever uma tarefa concreta, não apenas distribuir um cartaz.

Uma fatura urgente não valida um novo IBAN

Regra interna proposta pela Velqory: uma alteração de dados bancários merece uma verificação separada do pedido recebido. É uma recomendação operacional, não uma obrigação legal ou um resultado medido.

A adaptação Velqory é suspender a alteração ou pagamento e telefonar para um contacto do fornecedor já registado antes da mensagem. Não use o número incluído no pedido suspeito. Confirme o beneficiário, a alteração e o documento com alguém autorizado; registe quem respondeu e qual foi a conclusão.

Proponha uma segunda verificação para alterações bancárias, separada de quem introduz os dados. Se o fornecedor não puder ser confirmado, mantenha o pagamento suspenso e encaminhe a exceção para o responsável financeiro. Uma voz ou imagem familiar não deve dispensar o procedimento.

Reporte sem voltar a expor a equipa

A ficha oficial do NIST SP 800-61 Rev. 3, publicado em abril de 2025, enquadra preparação, deteção, resposta e recuperação na gestão do risco. O percurso abaixo é uma adaptação original da Velqory, não uma transcrição do referencial: comece por um canal interno fácil de encontrar, com destinatário e substituto conhecidos.

Indique remetente, hora, assunto, ação já realizada e se houve introdução de credenciais ou aprovação de uma autenticação. Use o mecanismo seguro definido pela organização para preservar a mensagem e os cabeçalhos; não a encaminhe para colegas curiosos.

Quem recebe o reporte deve confirmar a receção e dizer qual é a próxima ação. O trabalhador não precisa de provar que houve ataque. Valorize o aviso rápido e evite expor nomes em classificações públicas de erros.

Se houver suspeita de acesso à conta

Este procedimento é uma recomendação operacional Velqory, não o relato de um incidente. Se introduziu credenciais numa página suspeita ou aprovou um pedido inesperado, contacte imediatamente a equipa responsável por um canal confiável.

A equipa deve avaliar a suspensão do acesso, revogar sessões e acessos suspeitos quando tecnicamente possível, preservar registos e verificar métodos de recuperação, regras de reencaminhamento e permissões concedidas. Altere credenciais expostas a partir de um equipamento confiável e confirme o recenseamento dos fatores.

Se executou um anexo ou há suspeita de malware, encaminhe também o dispositivo para avaliação técnica; mudar uma palavra-passe pode não resolver esse problema. Se houve pagamento, avise o responsável financeiro e contacte o banco por canal conhecido. Não prometa recuperação de fundos.

Autenticação resistente, recuperação controlada

A CISA, na ficha de outubro de 2022, recomenda MFA resistente a phishing, incluindo FIDO/WebAuthn. Distingue-a de códigos e notificações suscetíveis a phishing e recomenda migração faseada.

Como proposta Velqory, comece pelas contas de administração, correio e pagamentos. Confirme compatibilidade, apoio ao utilizador e alternativa segura para perda do autenticador. Não desative proteção existente enquanto prepara a migração.

Teste a recuperação com uma conta de exercício e identidade confirmada por procedimento independente. Proteja autenticadores de reserva e documente exceções com prazo e responsável. Resistência a phishing não é imunidade a fraude, malware ou abuso de uma sessão; o processo financeiro continua necessário.

Uma matriz de 30 dias para o empregador

Os dias seguintes são metas internas propostas pela Velqory, não prazos legais. Execute o plano com cenários autorizados, sem recolher palavras-passe reais nem enviar pagamentos de teste.

Meça capacidade, não culpados

Na revisão final, observe se o reporte encontrou um destinatário, se a decisão financeira ficou registada e se a recuperação dependeu de um canal confiável. Um número maior de reportes pode significar maior participação; isoladamente, não prova mais ataques nem melhor proteção.