Identificar correio electrónico fraudulento e esquemas de phishing

Aplica-se ao
Microsoft Office Outlook® 2003
Microsoft Outlook® 2000 e 2002

Detective Os burlões existem desde a origem dos tempos e agora que estamos na Idade da Internet instalaram-se na Web caçando consumidores online que não suspeitam destes esquemas. A fraude online está a aumentar e as técnicas para criar mensagens de correio electrónico e Web sites enganadores estão cada vez mais sofisticadas. Obtenha mais informações sobre o que pode fazer para ajudar a proteger-se contra a fraude online.

O que é a fraude online ou phishing?

O phishing (leia-se “Fishing”) é uma técnica de fraude online utilizada por criminosos para o convencer a divulgar informações pessoais. O phishing é o método de crime online em maior expansão utilizando para furtar finanças pessoais e praticar furto de identidade.

Os phishers utilizam várias tácticas para o engodar, incluindo mensagens de correio electrónico e Web sites que imitam marcas conhecidas e de confiança. Uma prática comum de phishing envolve enviar mensagens falsas semelhantes a mensagens enviadas por Web sites ou empresas conhecidas nas quais os destinatários poderão confiar, tal como uma empresa de cartões de crédito, banco, instituição de caridade ou Web site de comércio electrónico. O objectivo das mensagens falsas é convencer os consumidores a fornecerem as seguintes informações pessoais:

Os burlões utilizam estas informações de várias formas com objectivos financeiros. Por exemplo, uma prática comum consiste no furto de identidades, em que o criminoso rouba as suas informações pessoais, assume a identidade do utilizador e pode então executar o seguinte:

  • Candidatar-se e obter crédito em nome do utilizador.
  • Esvaziar a sua conta bancária e atingir o limite máximo dos seus cartões de crédito.
  • Transferir dinheiro das suas contas de investimento ou de linhas de crédito para a sua conta corrente e, em seguida, utilizar uma cópia do seu cartão de débito para retirar dinheiro da sua conta-corrente em caixas de multibanco em todo o mundo.

Para obter sugestões sobre como evitar ser vítima de fraudes online, consulte a secção Procedimentos recomendados para ajudar a proteger-se contra a fraude online, posteriormente neste artigo.

Exemplos de esquemas de phishing

Alguns exemplos de esquemas de phishing incluem:

  • Mensagens de correio electrónico falsas do que aparenta ser uma empresa com a qual faça negócios alertando-o para o facto de terem de verificar as suas informações de conta ou esta será suspensa.
  • Uma combinação entre sites de leilões fraudulentos e sites de custódia falsos. Isto ocorre quando itens são colocados à venda num leilão online legítimo actuando como chamariz para o fazer proceder a pagamentos num site de custódia falso.
  • As transacções de vendas online falsas, em que um criminoso se oferece para comprar algo ao utilizador e solicita que lhe paguem um montante bastante superior ao preço do item que estão a comprar. Como retribuição, pedem para lhes enviar um cheque com a diferença. O pagamento ao utilizador não é enviado, mas o seu cheque é descontado e o criminoso embolsa a diferença. Adicionalmente, o cheque enviado pelo utilizador indica o seu número de conta bancária, código de encaminhamento bancário, morada e número de telefone.
  • Instituições de caridade pedindo-lhe dinheiro. Infelizmente, muitos criminosos tiram partido da boa vontade do utilizador.

Existe muito mais esquemas de phishing. Para obter um relatório actualizado dos esquemas de phishing identificados pelas autoridades, visite o Web site do Grupo de Trabalho Anti-Phishing.

Como posso saber se uma mensagem de correio electrónico é uma fraude?

Infelizmente, à medida que os ataques de phishing se tornam cada vez mais sofisticados, torna-se bastante difícil para o utilizador normal determinar se uma mensagem é fraudulenta. É por isso que os esquemas de phishing são tão predominantes e bem sucedidos para os criminosos. Por exemplo, muitas mensagens de correio electrónico falsas utilizam logótipos de marcas conhecidas. Eis alguns detalhes aos quais pode estar atento:

  • Solicitações de informações pessoais numa mensagem de correio electrónico    A maioria dos negócios legítimos possui uma política segundo a qual não pedem informações pessoais por correio electrónico. Suspeite sempre de uma mensagem que peça informações pessoais mesmo que pareça legítima.
  • Fraseamento urgente    O estilo nas mensagens de correio electrónico de phishing é normalmente educado e amável em termos de tom. Tenta quase sempre aliciá-lo a responder à mensagem ou a clicar na hiperligação fornecida. Para aumentar o número de respostas, os criminosos tentam criar uma sensação de urgência para que as pessoas respondam imediatamente sem pensar. Normalmente, as mensagens de correio electrónico falsas NÃO são personalizadas, enquanto que as mensagens válidas do seu banco ou empresa de comércio electrónico são-no normalmente. Segue-se um exemplo de um esquema de phishing real:

Prezado membro bancário, chegou-nos à atenção que as informações da sua conta necessitam de ser actualizadas devido a membros inactivos, fraudes e comunicações de logros. A não actualização dos seus registos resultará na eliminação da conta. Por favor, siga a hiperligação abaixo apresentada para confirmar os seus dados.

Hiperligação mascarada

  • Tome cuidado com URLs que incluem o sinal @. No exemplo seguinte, o URL poderia levá-lo para a localização existente após o sinal @ e não para o Wood Grove Bank. Isto acontece porque os browsers ignoram todo o conteúdo do URL existente antes do sinal @:

https://www.woodgrovebank.com@nl.tv/secure_verification.aspx

A localização real, nl.tv/secure_verification.aspx, poderia ser perfeitamente um site não seguro.

  • Outra técnica comum que tem sido utilizada pelos criminosos é um URL que à primeira vista é o nome de uma empresa bem conhecida, mas se o analisar com cuidado verificará que está ligeiramente alterado. Por exemplo, www.microsoft.com poderia ser apresentado como:

www.micosoft.com

www.verify-microsoft.com

www.mircosoft.com

A Microsoft ganhou recentemente vários processos contra indivíduos que utilizaram estes tipos de URLs para utilizar de forma fraudulenta propriedades da Microsoft legítimas. No entanto, a prática permanece subtil, estando frequentemente protegida por regulamentações nacionais.

Outros tipos de imagens colocadas em mensagens de correio electrónico podem ligar ao servidor de um indivíduo mal intencionado e actuar como Web beacons (sinalizadores da Web) (Web beacon: referência externa como, por exemplo, uma imagem gráfica, ligada a um servidor Web externo, colocada numa mensagem formatada como HTML. Pode ser utilizada para verificar se o endereço de correio electrónico é válido quando a mensagem é aberta e são transferidas imagens.). Quando abre a mensagem de correio electrónico as imagens são transferidas e são transmitidas informações ao servidor. Estas informações são utilizadas para verificar se o endereço de correio electrónico é válido e assim receber novamente mensagens publicitárias não solicitadas. Por predefinição, o Outlook bloqueia automaticamente estes tipos de imagens externas. Para mais informações consulte Acerca de como proteger a sua privacidade bloqueando a transferência automática de imagens.

Como posso verificar se um Web site é uma fraude?

De modo semelhante às mensagens de correio electrónico fraudulentas, os Web sites falsificados contêm gráficos com logótipos e hiperligações convincentes. Isto não permite distinguir facilmente se são fraudulentos. A melhor estratégia consiste em não clicar em hiperligações existentes em mensagens suspeitas. Eis alguns aspectos a procurar, que os Web sites legítimos devem ter:

 Importante   Note que o https:// é por vezes falsificado nas hiperligações, tal como no exemplo de "hiperligação mascarada" apresentado na secção sobre Hiperligações Falsas.

certificado

Para obter mais informações sobre o certificado, clique no separador Detalhes. Se não estiver seguro de que um certificado é legítimo, não introduza quaisquer informações pessoais. Jogue pelo seguro e saia do Web site. Para descobrir outras formas para determinar se um site é seguro, consulte Como o Internet Explorer ajuda a manter a segurança dos seus dados.

Procedimentos recomendados para ajudar a proteger-se contra a fraude online

  • Nunca responder a mensagens de correio electrónico que solicitem as suas informações pessoais    Suspeite sempre de qualquer mensagem por parte de uma empresa ou indivíduo que lhe solicite informações pessoais,  ou de uma mensagem que lhe envie informações pessoais e lhe peça para as actualizar ou confirmar. Em vez disso, utilize o número de telefone indicado num dos extractos para estabelecer contacto; não contacte um número listado na mensagem de correio electrónico. De modo semelhante, nunca divulgue informações pessoais a alguém que estabeleça consigo uma chamada não solicitada.
  • Não clique em hiperligações em mensagens de correio electrónico suspeitas    Não clique numa hiperligação de uma mensagem de correio electrónico suspeita. A hiperligação poderá não ser fidedigna. Em vez de o fazer, visite Web sites escrevendo o respectivo URL no browser ou utilizando a hiperligação de Favoritos. Não copie e cole hiperligações de mensagens para o browser.
  • Utilizar palavras-passe fortes e alterá-las com frequência     Se a conta o permitir, as palavras-passe fortes combinam letras em maiúsculas e minúsculas, números e símbolos, tornando-as mais difíceis de serem descobertas. Não utilize palavras reais. Utilize uma palavra-passe diferente para cada uma das suas contas e altere-as com frequência. É difícil memorizar todas estas palavras-passe. Para obter sugestões sobre como criar palavras-passe fortes, bem como memorizar e armazenar palavras-passe de forma segura, consulte Criar palavras-passe fortes.
  • Não enviar informações pessoais em mensagens de correio electrónico normais    As mensagens de correio electrónico normais não são encriptadas, sendo semelhantes ao envio de um postal. Se tiver de utilizar mensagens de correio electrónico para transacções pessoais, utilize o Outlook para assinar digitalmente e encriptar as mensagens utilizando a segurança S/MIME (S/MIME: as extensões de correio da Internet de múltiplas finalidades seguras (S/MIME) são uma norma da Internet para mensagens de correio electrónico assinadas digitalmente e encriptadas.). O MSN®, Hotmail®, Outlook Express, Microsoft Office Outlook Web Access, Lotus Notes, Netscape e Eudora suportam a segurança S/MIME.
  • Efectuar transacções apenas com empresas conhecidas e de confiança    Utilize empresas bem conhecidas e com uma reputação estabelecida em termos de serviços de qualidade. O Web site de uma empresa deve ter sempre uma declaração de privacidade que indique especificamente que a empresa não vai transmitir o seu nome e informações a terceiros.
  • Certificar-se de que o Web site utiliza encriptação    O endereço Web deve ser precedido por https://, em vez do normal http://, na barra de Endereço do browser. Para além disso, faça duplo clique no ícone de cadeado Ícone de cadeado na barra de estado do browser, para visualizar o certificado digital do site. O nome existente a seguir a Emitido para no certificado deverá corresponder ao site em que pensa que está. Se suspeitar do site onde se encontra, deixe o site imediatamente e comunique-o às autoridades. Não siga quaisquer instruções apresentadas no site.
  • Ajudar a proteger o computador    É importante utilizar uma firewall, manter o computador actualizado e utilizar software antivírus, especialmente se estabelecer a ligação à Internet através de um modem por cabo ou de um modem DSL (Digital Subscriber Line). Para obter informações sobre como o fazer, visite Proteger o seu PC. Para obter informações adicionais sobre protecção contra vírus, consulte Práticas recomendadas para protecção contra vírus e Práticas recomendadas para ajudar a proteger contra spam. Também deverá considerar a utilização de software anti-spyware. Pode transferir software anti-spyware da Microsoft ou utilizar um produto de terceiros disponível a partir do site de transferência e avaliação de software de segurança.
  • Monitorizar as transacções    Reveja as suas confirmações de encomendas e extractos do cartão de crédito e do banco assim que os receber para se certificar de que só está a pagar as transacções que efectuou. Comunique imediatamente quaisquer irregularidades nas suas contas ao marcar o número apresentado no extracto da conta. Se utilizar apenas um cartão de crédito para compras online está a facilitar o controlo das suas transacções.
  • Utilizar cartões de crédito para transacções na Internet    Na maior parte dos locais, a responsabilidade pessoal do utilizador no caso de alguém comprometer o seu cartão de crédito é significativamente limitada. Em contraste, se utilizar débito directo da sua conta bancária ou um cartão de débito, a sua responsabilidade pessoal constitui frequentemente o saldo total da sua conta bancária. Para além disso, um cartão de crédito com um limite de crédito pequeno é preferível para utilização na Internet, uma vez que limita o montante monetário que pode ser roubado no caso de o cartão ficar comprometido. Uma opção ainda melhor tem a ver com o facto de várias empresas de cartões de crédito de renome estarem actualmente a oferecer aos clientes a opção de efectuarem compras online com números de cartões de crédito de utilização única virtuais, que expiram no prazo de um ou dois meses. Para obter mais detalhes, solicite informações sobre números de cartões de crédito virtuais com um prazo limitado junto do seu banco.

Como posso denunciar a fraude online e o roubo de identidade?

Se considerar que recebeu mensagens de correio electrónico fraudulentas ou que foi vítima de fraude online, poderá comunicar o problema aos seguintes grupos:

  • FBI    O FBI: IFCC (Internet Fraud Complaint Center) trabalha em cooperação com as autoridades policiais e a indústria, em todo o mundo, para fechar imediatamente sites de phishing e identificar os responsáveis pela fraude.
  • FTC     Se pensar que as suas informações pessoais foram comprometidas ou furtadas, deverá comunicar as circunstâncias ao FTC: National Resource for Identity Theft e visitar o site para obter informações sobre como poderá minimizar os prejuízos.
  • Anexar e enviar mensagens de correio electrónico falsificadas às autoridades     A comunicação de mensagens falsificadas às autoridades ajuda a combater os esquemas de phishing. O cabeçalho de uma mensagem de correio electrónico contém informações que os peritos técnicos utilizam para resolverem problemas de fraude ou abuso; sem estas informações, poderá não ser possível efectuar uma investigação. Siga os passos abaixo para enviar o cabeçalho original e completo da mensagem que pretende reportar. Alguns endereços de correio electrónico para os quais pode remeter correio suspeito são:

reportphishing@antiphishing.org remete para o Grupo de Trabalho Anti-Phishing, uma associação da indústria.

spam@uce.gov remete para o FTC.

abuse@msn.com remete para o MSN.

abuse@microsoft.com remete para a Microsoft.

Nestes passos, copia os cabeçalhos das mensagens problemáticas para uma mensagem nova. Também poderá anexar a mensagem problemática à mensagem nova.

  1. No Outlook, clique com o botão direito do rato na mensagem suspeita que pretende reportar e, em seguida, clique em Opções no menu de atalho.
  2. Para copiar os cabeçalhos completos, clique com o botão direito do rato no interior da caixa Cabeçalhos de Internet e, em seguida, clique em Seleccionar Tudo no menu de atalho.
  3. Para copiar o cabeçalho completo, prima CTRL+C e, em seguida, clique em Fechar.
  4. Abra uma nova mensagem e introduza o endereço de correio electrónico da empresa à qual está a reportar a mensagem problemática — por exemplo, reportphishing@antiphishing.org.
  5. Se o Microsoft Word for o seu editor de correio electrónico, clique na seta para baixo Imagem de botão junto de Inserir FicheiroImagem de botão e, em seguida, clique em Item. Se o Microsoft Word não for o seu editor de correio electrónico, no menu Inserir, clique em Item.
  6. Clique na mensagem que pretende reportar e, em seguida, clique em OK. Isto anexa a mensagem problemática à mensagem nova.
  7. Na linha Assunto, escreva Estou a reportar correio electrónico suspeito ou o que pensar que descreve melhor a acção que está a efectuar.
  8. No corpo da mensagem nova, para colar o cabeçalho que copiou no passo 3, prima CTRL+V.
  9. Clique em Enviar.

Sugestões sobre compras e transacções bancárias online mais seguras

Se pretender obter mais informações da Microsoft sobre como ajudar a proteger as suas informações pessoais enquanto efectua compras ou transacções bancárias online, visite o Web site Fraude Online. Tenha em mente que nem todos os ladrões de identidades são hackers altamente tecnológicos. Alguns utilizam métodos pouco tecnológicos, tais como "dumpster diving" (reaproveitamento de recursos deitados fora), para roubar informações pessoais. Adquira um triturador de documentos e destrua contas, ofertas de crédito pré-aprovadas e outros documentos com informações pessoais antes de os deitar fora ou de os reciclar.

Como o Outlook 2003 ajuda a protegê-lo contra esquemas de phishing

Para obter informações específicas sobre os modos como o Outlook 2003 ajuda a protegê-lo contra esquemas de phishing, consulte o artigo chamado Bloquear mensagens suspeitas e esquemas de phishing.

 
 
Aplica-se a:
Outlook 2003