A factura que não é sua: como travar burlas por email
Uma factura com IBAN novo e prazo de horas é a burla mais cara de muitas PME. Confirme por um telefone que já tinha, não pelo email.
A burla mais cara para uma PME cabe num email. A mensagem parece a do fornecedor, traz uma factura em atraso e um IBAN diferente do costume. O prazo é de horas. O tom pede discrição. Quem paga, paga para uma conta que a empresa nunca mais vê.
O que estas mensagens têm em comum
- Pressa. "Tem de sair hoje" e "o director já aprovou, não o incomode".
- Um dado de pagamento novo. IBAN, beneficiário ou a plataforma onde se deve pagar.
- Um endereço quase certo. Uma letra a mais, um domínio novo, ou uma caixa gratuita a fazer-se passar pelo departamento financeiro de um parceiro antigo.
- Um ficheiro ou um link para "ver a factura", muitas vezes o único conteúdo da mensagem.
O remetente pode ser uma caixa controlada pelo burlão ou, pior, a caixa verdadeira de um fornecedor que foi invadido. Por isso o email "parecer mesmo dele" não chega como prova.
A confirmação faz-se fora da mensagem
Uma alteração de IBAN, de beneficiário ou de plataforma de pagamento só avança depois de um telefonema. O número é o da proposta, do contrato ou do site do fornecedor, marcado por si. Não é o número que vem no email, nem o da assinatura nova. Duas pessoas na empresa têm de concordar quando o destino do dinheiro muda. Uma só pessoa, sozinha e à pressa, é o desenho que a burla procura.
Se a mensagem trouxer um ficheiro inesperado, não se abre "só para ver". Confirma-se primeiro, pelo telefone, que aquele envio existiu.
Quando o prejuízo já saiu
Avise o banco no próprio momento e peça o bloqueio da operação. Guarde a mensagem, os cabeçalhos e a hora. Apresente queixa. Troque as palavras-passe das caixas de correio que possam ter sido lidas e confirme, no histórico de reencaminhamento, se alguém criou uma regra para esconder respostas. Avise o fornecedor pelo telefone que já tinha: a caixa dele também pode estar comprometida, e outros clientes recebem a mesma factura.
Quando a burla aparece no seu site
Há sites WordPress usados para mostrar aos visitantes um aviso falso de actualização do browser, a pedir que descarreguem um ficheiro. Se isso acontecer no seu endereço, o site está a servir a burla de outra pessoa. Tire-o do ar, reponha uma cópia anterior ao aviso, e troque as palavras-passe do painel, do alojamento e do correio de quem lá entra. Actualizar plugins por cima de um site já alterado não apaga o que foi metido lá dentro.
A lista curta de hábitos, incluindo cópias e acessos de quem saiu da equipa, está no artigo cinco hábitos de cibersegurança para uma PME.