Cyberpediapor Brain
PTDEENESFRITNL

Spear-phishing: o phishing dirigido

O spear-phishing é um e-mail personalizado com informações públicas sobre si e a sua empresa. Como o reconhecer.

Em 30 segundos

Onde acontece
No correio eletrónico profissional, mas também através das redes sociais12.
O que o atacante quer
Na maior parte dos casos, fazer executar código malicioso no seu computador1, ou obter uma palavra-passe, dados ou um pagamento2.
O reflexo
Perante qualquer pedido fora do habitual (pagamento, palavra-passe, ficheiro), confirmá-lo por um canal que não seja o e-mail, por exemplo uma chamada telefónica ou uma conversa presencial2.
Se já aconteceu
Avisar de imediato as pessoas competentes da organização, mesmo depois de um clique. Um colaborador que receia ser repreendido comunica mais tarde2.

Do que se trata

O spear-phishing é um e-mail fraudulento enviado a uma pessoa, a uma empresa ou a um setor em concreto, e não a milhões de caixas de correio ao acaso12. O atacante usa o que sabe sobre si ou sobre a sua empresa para tornar a mensagem mais persuasiva e mais realista2.

Uma mensagem destas pode mencionar o seu cargo, um fornecedor real ou um colega. Por isso, não se parece com os e-mails em massa que nos ensinam a reconhecer.

Perguntas diretas

O que distingue o spear-phishing do phishing comum?

A escolha do alvo. A MITRE descreve o spear-phishing como uma variante em que se visa um indivíduo, uma empresa ou um setor em concreto, por oposição às campanhas de spam malicioso sem alvo definido1. O NCSC britânico precisa que o atacante usa informações sobre os colaboradores ou sobre a empresa2.

Como é que o atacante me conhece?

Lê o que é público. Segundo o NCSC, aproveita as informações disponíveis livremente no sítio da empresa e nas redes sociais (a «pegada digital») para tornar as mensagens mais convincentes2. O NCSC acrescenta que os parceiros, subcontratados e fornecedores também podem revelar informações sobre uma organização na internet2.

Porque é mais difícil de reconhecer?

Os sinais habituais de phishing são uma saudação genérica como «Dear Valued Customer», uma assinatura sem contactos, erros ortográficos ou uma formatação incoerente3. Uma mensagem escrita para si pode evitar tudo isso. O NCSC escreve que reconhecer todos os e-mails de phishing é difícil e que os ataques de spear-phishing são ainda mais difíceis de detetar2.

Os dirigentes são visados em primeiro lugar?

São um alvo à parte. O NCSC chama «whaling» a uma forma de spear-phishing que visa um «big phish», por exemplo um membro do conselho de administração com acesso a ativos valiosos2. Inclui também entre os perfis de interesse as pessoas autorizadas a aceder a informações sensíveis, a gerir fundos ou a administrar os sistemas informáticos2.

O que fazer se cliquei ou respondi?

A CISA aconselha a comunicar a situação às pessoas competentes da organização, incluindo os administradores de rede, que poderão vigiar qualquer atividade invulgar. É preciso também alterar sem demora as palavras-passe divulgadas, e as de outras contas, se a mesma palavra-passe tiver sido usada nelas3.

1Na pele do atacante1 min

A MITRE classifica esta fase como reconhecimento: o phishing para obter informações procura que sejam divulgadas credenciais ou outros dados utilizáveis, e não executar código malicioso4. O atacante pode também trocar mensagens diretamente por e-mail ou por mensagens instantâneas, fazendo-se passar por uma fonte com motivo para pedir, ou enviando várias mensagens de aparência urgente4.

A MITRE cita exemplos de grupos. O Kimsuky enviou e-mails à medida para recolher informações sobre as vítimas, incluindo listas de contactos usadas para identificar outros alvos4. O ZIRCONIUM visou colaboradores de uma campanha presidencial com e-mails de recolha de credenciais4. O Scattered Spider combinou phishing de credenciais e engenharia social para capturar códigos de utilização única (OTP)4.

O NCSC descreve o que o atacante pode explorar no funcionamento interno: se os métodos de trabalho forem conhecidos (por exemplo, a forma como se fazem os pagamentos), pode imitá-los para obter uma palavra-passe ou um pagamento não autorizado2.

2O que vê no ecrã2 min

As fontes aqui citadas descrevem várias formas.

Com um anexo, o atacante junta um ficheiro ao e-mail e conta, em geral, com a execução pelo utilizador, fazendo-se passar por uma fonte de confiança5. O grupo APT28 enviou e-mails com anexos Microsoft Office e RAR maliciosos8.

Com uma ligação, evita as defesas que inspecionam os anexos6. As ligações podem parecer inofensivas, mas imitar um sítio legítimo com caracteres especiais (ataque conhecido como «IDN homograph»), ou ocultar o endereço aproveitando particularidades da sintaxe dos URL6. Uma ligação pode também pedir uma autorização OAuth 2.0: se o utilizador aceitar, uma aplicação maliciosa obtém direitos de acesso à conta e pode agir em nome do utilizador6.

Através de um serviço de terceiros, a mensagem chega fora do correio da empresa: redes sociais, correio pessoal na web. A MITRE observa que estes serviços têm mais frequentemente uma política de segurança menos rigorosa do que a de uma empresa7. O atacante cria contas falsas e propõe, por exemplo, uma oferta de emprego7. Isso dá-lhe um motivo plausível para fazer perguntas sobre o software utilizado7. Pode também ganhar a confiança do alvo e depois enviar um ficheiro para o correio pessoal que este consulta no posto de trabalho7. Esse ficheiro contorna então restrições da conta profissional7.

Outras variantes: o atacante insere-se numa conversa já existente («thread hijacking»)1, ou a mensagem convida a ligar para um número onde a vítima é guiada para um URL malicioso, um software malicioso ou uma ferramenta de administração remota1. A CISA assinala também endereços de remetente que se parecem com os de uma empresa conhecida, alterando ou omitindo alguns caracteres, e ligações cujo texto apresentado não corresponde ao destino quando se passa o rato por cima3.

Ilustração neutralizada, sem ligação real:

Excerto
De: [nome próprio de um colega ou de um fornecedor conhecido] <nome@empresa-exemplo[.]invalid>
Assunto: [menciona um projeto real do seu departamento]
Corpo: [pedido para rever um documento; paráfrase]
Ligação: hxxps://login-empresa[.]invalid/[página de início de sessão imitada]
3Por baixo do capôEquipas de TI1 min

Falsificação do remetente: o atacante pode forjar a identidade do remetente para enganar tanto o destinatário como as ferramentas de segurança automáticas1. As contramedidas citadas são o SPF (validade do domínio do remetente), o DKIM (integridade da mensagem) e o DMARC, que permite à organização aplicar estes controlos1. O NCSC acrescenta que o DMARC impede os autores de phishing de falsificar o domínio de uma organização e que os e-mails legítimos desta têm mais probabilidade de chegar às caixas de entrada2.

Domínio semelhante: as fontes referem endereços próximos do original (caracteres alterados ou omitidos)3 e caracteres especiais que imitam um sítio legítimo6. Um endereço que parece correto à vista pode, portanto, não o ser.

Recolha: a página fraudulenta serve para recolher credenciais, e o anexo ou a ligação para instalar código14. Num teste, uma equipa de avaliação da CISA e da NSA entrou por phishing numa conta de utilizador final com direitos de administração e comprometeu um domínio em menos de um dia útil9.

Contornar a autenticação de dois fatores: noutro teste, a equipa conhecia as credenciais de um utilizador, mas a autenticação multifator bloqueava as suas ligações. Fez-se passar pelo suporte informático e obteve o código por telefone9. Algumas formas de autenticação multifator são vulneráveis ao phishing e ao «push bombing»9.

4AutópsiasCasos reais1 min

2016: o Comité Nacional Democrata dos Estados Unidos

O APT28 terá comprometido em 2016 a campanha de Hillary Clinton, o Comité Nacional Democrata (DNC) e o Comité de Campanha Democrata para o Congresso (DCCC), na tentativa de influenciar a eleição presidencial norte-americana8. Segundo a MITRE, o grupo usou credenciais roubadas por um e-mail de spear-phishing para entrar na rede do DCCC e serviu-se depois desse acesso para comprometer a do DNC8.

Fevereiro de 2024: os acessos à nuvem do grupo APT29

Um aviso publicado a 26 de fevereiro de 2024 pelo NCSC britânico e pelos seus parceiros descreve os métodos do grupo APT29, avaliado como fazendo quase certamente parte do SVR russo10. O aviso não trata do spear-phishing em si, mas da etapa seguinte, quando uma palavra-passe já é conhecida: descreve um contorno da autenticação multifator por «MFA bombing» ou «MFA fatigue», em que o agente envia pedidos repetidos até a vítima aceitar10. Recomenda limitar a duração das sessões e autorizar apenas o registo de dispositivos autorizados10.

Ficha

Identificador
CP-002
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
cr-002
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
10 fontes verificadas em 3 de novembro de 2026
Fontes10 fontes
  1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)
  2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)
  3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultado em 3 de novembro de 2026)
  9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 de outubro de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultado em 3 de novembro de 2026)
  10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de fevereiro de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Spear-phishing: o phishing dirigido», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/

BibTeX 
@misc{brain_cp002_pt_2026,
  author = {Brain},
  title = {Spear-phishing: o phishing dirigido},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/spear-phishing-correio-dirigido-osint/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0