--- id: CP-017 slug: comprometimento-correio-eletronico-empresarial-bec lang: pt title: O comprometimento de caixa de correio profissional (BEC) description: Como um atacante assume o controlo de uma caixa de correio profissional ou imita um remetente conhecido, e como verificar um pedido de pagamento. canonical_url: https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «O comprometimento de caixa de correio profissional (BEC)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ it: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ nl: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # O comprometimento de caixa de correio profissional (BEC) Num comprometimento de caixa de correio profissional, um atacante serve-se de um endereço de confiança para enganar um colega, um cliente ou um fornecedor. Assumiu o controlo de uma caixa de correio verdadeira, ou fabrica uma mensagem que imita o remetente. O colaborador recebe um pedido que parece normal, por exemplo um pagamento a efetuar. Ora, há atacantes que exploram os hábitos de trabalho de uma organização para obter pagamentos não autorizados [1]. As fontes aqui citadas não tratam todas esta fraude pelo seu nome. Documentam as técnicas que a tornam possível: falsificação do remetente, contas comprometidas, regras de reencaminhamento ocultas, domínios mal protegidos. A ficha limita-se ao que elas dizem. ## Em 30 segundos - Onde acontece: no correio eletrónico, com uma mensagem que parece vir de um interlocutor conhecido, por vezes a partir da conta verdadeira de um colega pirateada [2][3]. - O que o atacante quer: obter um pagamento não autorizado ou palavras-passe [1]. - O reflexo: confirmar qualquer pedido de pagamento ou de alteração por um segundo meio de comunicação, usando contactos que já conhece e não os da mensagem [1][4]. - Se já o fez: comunique-o de imediato, mesmo depois de ter clicado. Uma comunicação rápida limita os danos [1]. ## Perguntas diretas ### O que é um comprometimento de caixa de correio profissional? É uma fraude por correio eletrónico em que o atacante faz o papel de uma pessoa de confiança. As fontes indicam duas vias. Ou falsifica a identidade do remetente, o que a MITRE designa por «Email Spoofing» [2]. Ou compromete uma conta legítima e usa-a para escrever aos colegas da vítima [3]. ### Como reconhecer a mensagem? A CISA enumera sinais comuns: linguagem urgente ou emotiva, pedido de informações pessoais ou financeiras, endereços ou ligações incorretos, como amazan.com [4]. O mesmo texto precisa que a ortografia deficiente já não é um indício fiável, porque alguns e-mails têm agora uma gramática perfeita [4]. ### Um endereço conhecido prova a identidade do remetente? Não. A falsificação do remetente pode enganar o destinatário humano e as ferramentas de segurança automáticas [2]. Um atacante pode também entrar numa conversa já existente, o que a MITRE designa por «thread hijacking» [2]. E quando uma conta interna é realmente comprometida, o atacante explora a confiança depositada nessa conta para enganar mais pessoas [3]. ### O que fazer se o pedido parecer verdadeiro? Não clique em nenhuma ligação e não ligue para nenhum número que conste da mensagem. A CISA recomenda procurar outra forma de contactar a empresa ou a pessoa, por exemplo através de um número obtido num sítio verificado, ou ligar para um contacto cujo número já tenha [4]. O NCSC britânico acrescenta que os pedidos importantes recebidos por e-mail devem ser verificados por um segundo tipo de comunicação: SMS, chamada telefónica, acesso a uma conta, confirmação por carta ou pessoalmente [1]. ### É preciso comunicar um clique por engano? Sim. O NCSC pede que não se repreendam as pessoas que caem na armadilha, porque as que temem sanções não comunicam os seus erros a tempo, ou nunca o fazem [1]. Convida também as organizações a garantir que os utilizadores podem comunicar um e-mail, mesmo depois de terem clicado [1]. ## Na pele do atacante O atacante tem dois pontos de partida. O primeiro é uma conta roubada. Segundo a MITRE, uma conta legítima pode ser comprometida controlando o dispositivo do utilizador ou obtendo as suas credenciais, e o atacante usa-a depois para enganar outras pessoas da mesma organização [3]. Para roubar as credenciais, pode enviar uma ligação para um sítio que imita uma página de início de sessão [3]. Uma vez dentro da caixa de correio, pode instalar aí uma regra de reencaminhamento. Esta permite-lhe vigiar a atividade da vítima, roubar informações e conhecer melhor a organização [5]. Pode também manter-lhe o acesso aos e-mails da vítima depois de os administradores redefinirem a palavra-passe [5]. O segundo ponto de partida é a falsificação, que não exige qualquer acesso. O atacante informa-se então com o que é público. Segundo o NCSC, as informações do seu sítio e das suas redes sociais servem para tornar as mensagens dirigidas mais convincentes, nomeadamente para visar um dirigente num ataque dito «whaling» [1]. As pessoas que gerem fundos ou administram a informática interessam-lhe mais [1]. ## O que vê no ecrã A mensagem chega de um nome conhecido e exige uma ação rápida. Os sinais descritos pela CISA são a urgência, o pedido de informações financeiras e um endereço ligeiramente falso [4]. Um domínio parecido pode bastar: a MITRE nota que o grupo Leviathan enviou e-mails com ligações usando muitas vezes um domínio «lookalike» fraudulento e uma imagem de marca roubada [6]. O texto é por vezes irrepreensível. O NCSC cita um caso em que um falso e-mail de fatura que «needed urgent attention» estava bem escrito, sem erros de ortografia nem de gramática [1]. O nome apresentado não diz tudo. Na campanha descrita mais abaixo, o e-mail parecia vir de um endereço usaid.gov, quando o endereço de envio real pertencia ao serviço de envio em massa utilizado, com um endereço de resposta (Reply-To) também em usaid.gov [7]. A ilustração seguinte é inventada e neutralizada. Mostra a forma típica de um pedido suspeito. ```text Ilustração inventada, sem valor real De: [nome de um dirigente] Assunto: [pagamento urgente] Corpo: [pedido para pagar já uma fatura, manter o assunto confidencial e não falar com ninguém] ``` ## Por baixo do capô Três mecanismos repetem-se nas fontes. O primeiro é o roubo de credenciais por phishing, visto acima. Contra ele, o NCSC recomenda a autenticação multifator: com um segundo fator, um atacante não consegue aceder a uma conta apenas com a palavra-passe roubada [1]. A CISA dá o mesmo conselho aos particulares [4]. O segundo é a regra de reencaminhamento. As regras podem ser criadas a partir de uma aplicação local, de uma interface web ou de uma linha de comandos, e enviar as mensagens para destinatários internos ou externos sem limite [5]. O atacante pode também ocultar a regra alterando as suas propriedades através da API MAPI da Microsoft, o que a torna invisível no Outlook, no OWA e na maioria das ferramentas de administração do Exchange [5]. No Exchange, as regras de transporte podem até aplicar-se a todo o correio de uma organização [5]. A MITRE aconselha a desativar o reencaminhamento externo, a auditar regularmente as regras e a configurar alertas fora de banda sobre envios invulgares, como os reencaminhamentos em massa [5]. O terceiro é o controlo do domínio de envio. A MITRE recomenda o SPF para verificar o domínio do remetente e o DKIM para a integridade das mensagens, e nota que uma política como o DMARC ajuda os destinatários a filtrar da mesma forma [2]. O NCSC precisa que o DMARC impede os fraudadores de falsificar o seu domínio, e que, se o remetente tiver uma política DMARC de quarentena ou de rejeição, o destinatário deve aplicá-la quando a validação falha [1]. A MITRE reconhece aliás que o e-mail interno armadilhado é difícil de bloquear com controlos preventivos, porque assenta no abuso de funções normais [3]. ## Autópsias ### 28 de janeiro de 2021: a campanha NOBELIUM, primeiras vagas A Microsoft acompanha desde janeiro de 2021 uma campanha de e-mails maliciosos conduzida pelo NOBELIUM, o ator por trás dos ataques contra a SolarWinds [7]. Começa a 28 de janeiro de 2021: o ator envia primeiro apenas a parte de seguimento da mensagem, para identificar os alvos que clicam, sem entregar qualquer carga maliciosa [7]. Este caso visa a instalação de software malicioso e não um pagamento. Mostra, ainda assim, o método: testar, observar quem reage, adaptar [7]. ### 25 de maio de 2021: um remetente de confiança imitado em grande escala A 25 de maio de 2021, o NOBELIUM utiliza o serviço legítimo de envio em massa Constant Contact para se fazer passar por uma organização americana de desenvolvimento [7]. Visa cerca de 3000 contas em mais de 150 organizações [7]. Num exemplo, o e-mail parece vir da USAID, com um endereço de envio autêntico terminado em @in.constantcontact.com e um endereço de resposta em usaid.gov [7]. A ligação conduz primeiro ao serviço legítimo, depois à infraestrutura do atacante, que entrega um ficheiro ISO malicioso [7]. Os sistemas automáticos bloquearam a maioria dos e-mails e classificaram-nos como spam, mas algumas das primeiras mensagens podem ter sido entregues [7]. A Microsoft recomenda a autenticação multifator para limitar o efeito de credenciais comprometidas [7]. ## Fontes 1. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultado em 3 de novembro de 2026) 4. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026) 7. Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 de maio de 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.