Cyberpediapor Brain
PTDEENESFRITNL

O comprometimento de caixa de correio profissional (BEC)

Como um atacante assume o controlo de uma caixa de correio profissional ou imita um remetente conhecido, e como verificar um pedido de pagamento.

Em 30 segundos

Onde acontece
No correio eletrónico, com uma mensagem que parece vir de um interlocutor conhecido, por vezes a partir da conta verdadeira de um colega pirateada23.
O que o atacante quer
Obter um pagamento não autorizado ou palavras-passe1.
O reflexo
Confirmar qualquer pedido de pagamento ou de alteração por um segundo meio de comunicação, usando contactos que já conhece e não os da mensagem14.
Se já o fez
Comunique-o de imediato, mesmo depois de ter clicado. Uma comunicação rápida limita os danos1.

Do que se trata

Num comprometimento de caixa de correio profissional, um atacante serve-se de um endereço de confiança para enganar um colega, um cliente ou um fornecedor. Assumiu o controlo de uma caixa de correio verdadeira, ou fabrica uma mensagem que imita o remetente. O colaborador recebe um pedido que parece normal, por exemplo um pagamento a efetuar. Ora, há atacantes que exploram os hábitos de trabalho de uma organização para obter pagamentos não autorizados1.

As fontes aqui citadas não tratam todas esta fraude pelo seu nome. Documentam as técnicas que a tornam possível: falsificação do remetente, contas comprometidas, regras de reencaminhamento ocultas, domínios mal protegidos. A ficha limita-se ao que elas dizem.

Perguntas diretas

O que é um comprometimento de caixa de correio profissional?

É uma fraude por correio eletrónico em que o atacante faz o papel de uma pessoa de confiança. As fontes indicam duas vias. Ou falsifica a identidade do remetente, o que a MITRE designa por «Email Spoofing»2. Ou compromete uma conta legítima e usa-a para escrever aos colegas da vítima3.

Como reconhecer a mensagem?

A CISA enumera sinais comuns: linguagem urgente ou emotiva, pedido de informações pessoais ou financeiras, endereços ou ligações incorretos, como amazan.com4. O mesmo texto precisa que a ortografia deficiente já não é um indício fiável, porque alguns e-mails têm agora uma gramática perfeita4.

Um endereço conhecido prova a identidade do remetente?

Não. A falsificação do remetente pode enganar o destinatário humano e as ferramentas de segurança automáticas2. Um atacante pode também entrar numa conversa já existente, o que a MITRE designa por «thread hijacking»2. E quando uma conta interna é realmente comprometida, o atacante explora a confiança depositada nessa conta para enganar mais pessoas3.

O que fazer se o pedido parecer verdadeiro?

Não clique em nenhuma ligação e não ligue para nenhum número que conste da mensagem. A CISA recomenda procurar outra forma de contactar a empresa ou a pessoa, por exemplo através de um número obtido num sítio verificado, ou ligar para um contacto cujo número já tenha4. O NCSC britânico acrescenta que os pedidos importantes recebidos por e-mail devem ser verificados por um segundo tipo de comunicação: SMS, chamada telefónica, acesso a uma conta, confirmação por carta ou pessoalmente1.

É preciso comunicar um clique por engano?

Sim. O NCSC pede que não se repreendam as pessoas que caem na armadilha, porque as que temem sanções não comunicam os seus erros a tempo, ou nunca o fazem1. Convida também as organizações a garantir que os utilizadores podem comunicar um e-mail, mesmo depois de terem clicado1.

1Na pele do atacante1 min

O atacante tem dois pontos de partida. O primeiro é uma conta roubada. Segundo a MITRE, uma conta legítima pode ser comprometida controlando o dispositivo do utilizador ou obtendo as suas credenciais, e o atacante usa-a depois para enganar outras pessoas da mesma organização3. Para roubar as credenciais, pode enviar uma ligação para um sítio que imita uma página de início de sessão3.

Uma vez dentro da caixa de correio, pode instalar aí uma regra de reencaminhamento. Esta permite-lhe vigiar a atividade da vítima, roubar informações e conhecer melhor a organização5. Pode também manter-lhe o acesso aos e-mails da vítima depois de os administradores redefinirem a palavra-passe5.

O segundo ponto de partida é a falsificação, que não exige qualquer acesso. O atacante informa-se então com o que é público. Segundo o NCSC, as informações do seu sítio e das suas redes sociais servem para tornar as mensagens dirigidas mais convincentes, nomeadamente para visar um dirigente num ataque dito «whaling»1. As pessoas que gerem fundos ou administram a informática interessam-lhe mais1.

2O que vê no ecrã1 min

A mensagem chega de um nome conhecido e exige uma ação rápida. Os sinais descritos pela CISA são a urgência, o pedido de informações financeiras e um endereço ligeiramente falso4. Um domínio parecido pode bastar: a MITRE nota que o grupo Leviathan enviou e-mails com ligações usando muitas vezes um domínio «lookalike» fraudulento e uma imagem de marca roubada6.

O texto é por vezes irrepreensível. O NCSC cita um caso em que um falso e-mail de fatura que «needed urgent attention» estava bem escrito, sem erros de ortografia nem de gramática1.

O nome apresentado não diz tudo. Na campanha descrita mais abaixo, o e-mail parecia vir de um endereço usaid.gov, quando o endereço de envio real pertencia ao serviço de envio em massa utilizado, com um endereço de resposta (Reply-To) também em usaid.gov7.

A ilustração seguinte é inventada e neutralizada. Mostra a forma típica de um pedido suspeito.

Excerto
Ilustração inventada, sem valor real
De: [nome de um dirigente] <[email protected]>
Assunto: [pagamento urgente]
Corpo: [pedido para pagar já uma fatura, manter o assunto
        confidencial e não falar com ninguém]
3Por baixo do capôEquipas de TI2 min

Três mecanismos repetem-se nas fontes.

O primeiro é o roubo de credenciais por phishing, visto acima. Contra ele, o NCSC recomenda a autenticação multifator: com um segundo fator, um atacante não consegue aceder a uma conta apenas com a palavra-passe roubada1. A CISA dá o mesmo conselho aos particulares4.

O segundo é a regra de reencaminhamento. As regras podem ser criadas a partir de uma aplicação local, de uma interface web ou de uma linha de comandos, e enviar as mensagens para destinatários internos ou externos sem limite5. O atacante pode também ocultar a regra alterando as suas propriedades através da API MAPI da Microsoft, o que a torna invisível no Outlook, no OWA e na maioria das ferramentas de administração do Exchange5. No Exchange, as regras de transporte podem até aplicar-se a todo o correio de uma organização5. A MITRE aconselha a desativar o reencaminhamento externo, a auditar regularmente as regras e a configurar alertas fora de banda sobre envios invulgares, como os reencaminhamentos em massa5.

O terceiro é o controlo do domínio de envio. A MITRE recomenda o SPF para verificar o domínio do remetente e o DKIM para a integridade das mensagens, e nota que uma política como o DMARC ajuda os destinatários a filtrar da mesma forma2. O NCSC precisa que o DMARC impede os fraudadores de falsificar o seu domínio, e que, se o remetente tiver uma política DMARC de quarentena ou de rejeição, o destinatário deve aplicá-la quando a validação falha1. A MITRE reconhece aliás que o e-mail interno armadilhado é difícil de bloquear com controlos preventivos, porque assenta no abuso de funções normais3.

4AutópsiasCasos reais1 min

28 de janeiro de 2021: a campanha NOBELIUM, primeiras vagas

A Microsoft acompanha desde janeiro de 2021 uma campanha de e-mails maliciosos conduzida pelo NOBELIUM, o ator por trás dos ataques contra a SolarWinds7. Começa a 28 de janeiro de 2021: o ator envia primeiro apenas a parte de seguimento da mensagem, para identificar os alvos que clicam, sem entregar qualquer carga maliciosa7. Este caso visa a instalação de software malicioso e não um pagamento. Mostra, ainda assim, o método: testar, observar quem reage, adaptar7.

25 de maio de 2021: um remetente de confiança imitado em grande escala

A 25 de maio de 2021, o NOBELIUM utiliza o serviço legítimo de envio em massa Constant Contact para se fazer passar por uma organização americana de desenvolvimento7. Visa cerca de 3000 contas em mais de 150 organizações7. Num exemplo, o e-mail parece vir da USAID, com um endereço de envio autêntico terminado em @in.constantcontact.com e um endereço de resposta em usaid.gov7. A ligação conduz primeiro ao serviço legítimo, depois à infraestrutura do atacante, que entrega um ficheiro ISO malicioso7.

Os sistemas automáticos bloquearam a maioria dos e-mails e classificaram-nos como spam, mas algumas das primeiras mensagens podem ter sido entregues7. A Microsoft recomenda a autenticação multifator para limitar o efeito de credenciais comprometidas7.

Ficha

Identificador
CP-017
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
cr-007
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
  1. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultado em 3 de novembro de 2026)
  4. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026)
  7. Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 de maio de 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «O comprometimento de caixa de correio profissional (BEC)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/

BibTeX 
@misc{brain_cp017_pt_2026,
  author = {Brain},
  title = {O comprometimento de caixa de correio profissional (BEC)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/comprometimento-correio-eletronico-empresarial-bec/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0