--- id: CP-002 slug: spear-phishing-correio-dirigido-osint lang: pt title: "Spear-phishing: o phishing dirigido" description: O spear-phishing é um e-mail personalizado com informações públicas sobre si e a sua empresa. Como o reconhecer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Spear-phishing: o phishing dirigido», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ it: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ nl: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spear-phishing: o phishing dirigido O spear-phishing é um e-mail fraudulento enviado a uma pessoa, a uma empresa ou a um setor em concreto, e não a milhões de caixas de correio ao acaso [1][2]. O atacante usa o que sabe sobre si ou sobre a sua empresa para tornar a mensagem mais persuasiva e mais realista [2]. Uma mensagem destas pode mencionar o seu cargo, um fornecedor real ou um colega. Por isso, não se parece com os e-mails em massa que nos ensinam a reconhecer. ## Em 30 segundos - Onde acontece: no correio eletrónico profissional, mas também através das redes sociais [1][2]. - O que o atacante quer: na maior parte dos casos, fazer executar código malicioso no seu computador [1], ou obter uma palavra-passe, dados ou um pagamento [2]. - O reflexo: perante qualquer pedido fora do habitual (pagamento, palavra-passe, ficheiro), confirmá-lo por um canal que não seja o e-mail, por exemplo uma chamada telefónica ou uma conversa presencial [2]. - Se já aconteceu: avisar de imediato as pessoas competentes da organização, mesmo depois de um clique. Um colaborador que receia ser repreendido comunica mais tarde [2]. ## Perguntas diretas ### O que distingue o spear-phishing do phishing comum? A escolha do alvo. A MITRE descreve o spear-phishing como uma variante em que se visa um indivíduo, uma empresa ou um setor em concreto, por oposição às campanhas de spam malicioso sem alvo definido [1]. O NCSC britânico precisa que o atacante usa informações sobre os colaboradores ou sobre a empresa [2]. ### Como é que o atacante me conhece? Lê o que é público. Segundo o NCSC, aproveita as informações disponíveis livremente no sítio da empresa e nas redes sociais (a «pegada digital») para tornar as mensagens mais convincentes [2]. O NCSC acrescenta que os parceiros, subcontratados e fornecedores também podem revelar informações sobre uma organização na internet [2]. ### Porque é mais difícil de reconhecer? Os sinais habituais de phishing são uma saudação genérica como «Dear Valued Customer», uma assinatura sem contactos, erros ortográficos ou uma formatação incoerente [3]. Uma mensagem escrita para si pode evitar tudo isso. O NCSC escreve que reconhecer todos os e-mails de phishing é difícil e que os ataques de spear-phishing são ainda mais difíceis de detetar [2]. ### Os dirigentes são visados em primeiro lugar? São um alvo à parte. O NCSC chama «whaling» a uma forma de spear-phishing que visa um «big phish», por exemplo um membro do conselho de administração com acesso a ativos valiosos [2]. Inclui também entre os perfis de interesse as pessoas autorizadas a aceder a informações sensíveis, a gerir fundos ou a administrar os sistemas informáticos [2]. ### O que fazer se cliquei ou respondi? A CISA aconselha a comunicar a situação às pessoas competentes da organização, incluindo os administradores de rede, que poderão vigiar qualquer atividade invulgar. É preciso também alterar sem demora as palavras-passe divulgadas, e as de outras contas, se a mesma palavra-passe tiver sido usada nelas [3]. ## Na pele do atacante A MITRE classifica esta fase como reconhecimento: o phishing para obter informações procura que sejam divulgadas credenciais ou outros dados utilizáveis, e não executar código malicioso [4]. O atacante pode também trocar mensagens diretamente por e-mail ou por mensagens instantâneas, fazendo-se passar por uma fonte com motivo para pedir, ou enviando várias mensagens de aparência urgente [4]. A MITRE cita exemplos de grupos. O Kimsuky enviou e-mails à medida para recolher informações sobre as vítimas, incluindo listas de contactos usadas para identificar outros alvos [4]. O ZIRCONIUM visou colaboradores de uma campanha presidencial com e-mails de recolha de credenciais [4]. O Scattered Spider combinou phishing de credenciais e engenharia social para capturar códigos de utilização única (OTP) [4]. O NCSC descreve o que o atacante pode explorar no funcionamento interno: se os métodos de trabalho forem conhecidos (por exemplo, a forma como se fazem os pagamentos), pode imitá-los para obter uma palavra-passe ou um pagamento não autorizado [2]. ## O que vê no ecrã As fontes aqui citadas descrevem várias formas. Com um anexo, o atacante junta um ficheiro ao e-mail e conta, em geral, com a execução pelo utilizador, fazendo-se passar por uma fonte de confiança [5]. O grupo APT28 enviou e-mails com anexos Microsoft Office e RAR maliciosos [8]. Com uma ligação, evita as defesas que inspecionam os anexos [6]. As ligações podem parecer inofensivas, mas imitar um sítio legítimo com caracteres especiais (ataque conhecido como «IDN homograph»), ou ocultar o endereço aproveitando particularidades da sintaxe dos URL [6]. Uma ligação pode também pedir uma autorização OAuth 2.0: se o utilizador aceitar, uma aplicação maliciosa obtém direitos de acesso à conta e pode agir em nome do utilizador [6]. Através de um serviço de terceiros, a mensagem chega fora do correio da empresa: redes sociais, correio pessoal na web. A MITRE observa que estes serviços têm mais frequentemente uma política de segurança menos rigorosa do que a de uma empresa [7]. O atacante cria contas falsas e propõe, por exemplo, uma oferta de emprego [7]. Isso dá-lhe um motivo plausível para fazer perguntas sobre o software utilizado [7]. Pode também ganhar a confiança do alvo e depois enviar um ficheiro para o correio pessoal que este consulta no posto de trabalho [7]. Esse ficheiro contorna então restrições da conta profissional [7]. Outras variantes: o atacante insere-se numa conversa já existente («thread hijacking») [1], ou a mensagem convida a ligar para um número onde a vítima é guiada para um URL malicioso, um software malicioso ou uma ferramenta de administração remota [1]. A CISA assinala também endereços de remetente que se parecem com os de uma empresa conhecida, alterando ou omitindo alguns caracteres, e ligações cujo texto apresentado não corresponde ao destino quando se passa o rato por cima [3]. Ilustração neutralizada, sem ligação real: ```text De: [nome próprio de um colega ou de um fornecedor conhecido] Assunto: [menciona um projeto real do seu departamento] Corpo: [pedido para rever um documento; paráfrase] Ligação: hxxps://login-empresa[.]invalid/[página de início de sessão imitada] ``` ## Por baixo do capô Falsificação do remetente: o atacante pode forjar a identidade do remetente para enganar tanto o destinatário como as ferramentas de segurança automáticas [1]. As contramedidas citadas são o SPF (validade do domínio do remetente), o DKIM (integridade da mensagem) e o DMARC, que permite à organização aplicar estes controlos [1]. O NCSC acrescenta que o DMARC impede os autores de phishing de falsificar o domínio de uma organização e que os e-mails legítimos desta têm mais probabilidade de chegar às caixas de entrada [2]. Domínio semelhante: as fontes referem endereços próximos do original (caracteres alterados ou omitidos) [3] e caracteres especiais que imitam um sítio legítimo [6]. Um endereço que parece correto à vista pode, portanto, não o ser. Recolha: a página fraudulenta serve para recolher credenciais, e o anexo ou a ligação para instalar código [1][4]. Num teste, uma equipa de avaliação da CISA e da NSA entrou por phishing numa conta de utilizador final com direitos de administração e comprometeu um domínio em menos de um dia útil [9]. Contornar a autenticação de dois fatores: noutro teste, a equipa conhecia as credenciais de um utilizador, mas a autenticação multifator bloqueava as suas ligações. Fez-se passar pelo suporte informático e obteve o código por telefone [9]. Algumas formas de autenticação multifator são vulneráveis ao phishing e ao «push bombing» [9]. ## Autópsias ### 2016: o Comité Nacional Democrata dos Estados Unidos O APT28 terá comprometido em 2016 a campanha de Hillary Clinton, o Comité Nacional Democrata (DNC) e o Comité de Campanha Democrata para o Congresso (DCCC), na tentativa de influenciar a eleição presidencial norte-americana [8]. Segundo a MITRE, o grupo usou credenciais roubadas por um e-mail de spear-phishing para entrar na rede do DCCC e serviu-se depois desse acesso para comprometer a do DNC [8]. ### Fevereiro de 2024: os acessos à nuvem do grupo APT29 Um aviso publicado a 26 de fevereiro de 2024 pelo NCSC britânico e pelos seus parceiros descreve os métodos do grupo APT29, avaliado como fazendo quase certamente parte do SVR russo [10]. O aviso não trata do spear-phishing em si, mas da etapa seguinte, quando uma palavra-passe já é conhecida: descreve um contorno da autenticação multifator por «MFA bombing» ou «MFA fatigue», em que o agente envia pedidos repetidos até a vítima aceitar [10]. Recomenda limitar a duração das sessões e autorizar apenas o registo de dispositivos autorizados [10]. ## Fontes 1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026) 2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) 3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultado em 3 de novembro de 2026) 9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 de outubro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultado em 3 de novembro de 2026) 10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de fevereiro de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.