Skip to content
All writing
/phishing 10 min read

E se cada email tivesse um selo digital? Uma conversa amigável sobre prevenção de phishing por email

Uma ideia nova para prevenção de phishing por email: um selo digital em cada mensagem, um distintivo anti-phishing visível para o utilizador que pode mudar a segurança do email para sempre.

Imagina o seguinte: recebes um email importante do banco, da tua loja preferida ou até do teu chefe. Mas… será mesmo deles? Ou é mais uma tentativa de phishing à socapa? Já todos passámos por isso, a olhar de soslaio para o endereço no campo “De”, com aquela pulga atrás da orelha. Não seria fantástico se houvesse uma forma universal de qualquer pessoa, técnica ou não, perceber num instante se um email é mesmo legítimo? Há pouco tempo, a tomar café, dei por mim a divagar em voz alta sobre uma ideia maluca: um selo digital para cada email. Aqui fica o porquê de isto poder ser uma viragem total na segurança do email e como podíamos pô-lo de pé na prática: um sistema eficaz de prevenção de phishing por email.

O verdadeiro problema: o phishing é um pesadelo para toda a gente

Sejamos sinceros, o phishing está descontrolado. Todos os dias, milhões de emails fingem ser de quem não são. E sim, temos coisas como o SPF, o DKIM e o DMARC, mas quem é que, fora do mundo de IT, sabe o que isso significa? Gente normal, e até empresários experientes, caem em emails clonados todos os dias porque não há uma forma simples e clara de verificar se um email é mesmo verdadeiro. Se alguma vez ficaste a pensar duas vezes num email “urgente”, sabes exactamente do que estou a falar.

Então… e se os emails tivessem um selo de autenticidade visível?

Imagina agora isto: cada email legítimo que recebes, do banco, da tua loja online preferida ou até da escola do teu filho, traz um pequeno distintivo ou selo digital. Não é só um logótipo bonito. É um carimbo visual dinâmico, protegido por criptografia, que diz: “Sim, esta mensagem é mesmo a sério!” Podias clicar no selo ou introduzir um código simples para verificar de imediato o remetente, o conteúdo da mensagem e até se foi adulterada. Acabou-se o jogo da adivinha. Acabou-se a ansiedade do “será que é a sério?”.

Como é que isto funcionaria mesmo? (Vamos lá entrar em modo nerd por um bocado)

Aqui é que está a parte gira. A ideia base é simples, mas a tecnologia por trás? Mesmo fixe:

  • Cada empresa que queira proteger as suas mensagens adere a um serviço central (pensa em algo como o Google Search Console mas para quem envia emails).
  • Antes de enviarem uma campanha, os domínios são verificados (para que só a empresa real possa gerar selos para o seu domínio).
  • Para cada email enviado, é criado um token único, criptograficamente forte. Esse token está ligado ao remetente, ao destinatário e ao próprio conteúdo da mensagem.
  • O token vai dentro do email como um pixel, um distintivo especial ou até um código simples de três palavras.
  • Quando vês esse distintivo, sabes que é fresco (talvez com a mascote do dia ou uma marca de água com data) para que não possa ser copiado nem reutilizado por burlões.
  • Clica no distintivo ou visita uma página pública de validação e recebes na hora um “Certificado Válido” ou “Não, isto não bate certo”, com um resumo do remetente e da mensagem.
  • Se uma empresa alguma vez suspeitar de uma falha ou de um engano, pode revogar todos os selos em tempo real, avisando toda a gente de imediato.

É como um carimbo oficial que podes mesmo verificar, em vez de ficares só na esperança.

Porque é que isto é diferente de tudo o que já temos por aí?

É isto que me deixa genuinamente entusiasmado:

  • Visível para o utilizador: Não está escondido em cabeçalhos nem em logs de servidor, está ali, na tua caixa de entrada.
  • Imitação impossível: Cada selo é único para aquela mensagem, remetente e dia. Acabaram-se as burlas em copy-paste.
  • Funciona para todos: Desde os grandes bancos até ao café da esquina, qualquer um pode adoptá-lo. E os utilizadores? Só precisam de procurar pelo selo ou introduzir um código.
  • Revogação instantânea: Se algo correr mal, os selos podem ser retirados em segundos, sem esperar pelo IT.

Como é que isto pode mudar o jogo para empresas e clientes?

Para as empresas, isto vai muito além da tecnologia. É uma forma de proteger a tua marca e os teus clientes, tudo num só passo. Em vez de andares na esperança de que os teus clientes não caiam em esquemas, dás-lhes uma ferramenta real e visível para se protegerem a si próprios. Imagina as chamadas de apoio ao cliente a cair, os custos com fraude a baixar e a reputação da marca a subir porque as pessoas voltam a confiar nos teus emails.

Da minha experiência:
Já vi pessoas perspicazes caírem em emails falsos só porque “tinham boa cara”. Se houvesse um distintivo universal e fácil de verificar, essas burlas teriam falhado na hora.

O que nos está a travar? (E porque é que agora pode ser o momento perfeito)

A verdade é que isto ainda não existe… por enquanto. Mas o phishing só está a piorar e toda a gente, desde bancos a retalhistas e consumidores do dia a dia, anda desesperada por uma resposta melhor. As peças estão todas lá: criptografia, tecnologia cloud e o facto de já estarmos habituados aos selos de “verificado” nas redes sociais. Ainda não existe um grande “selo de autenticidade” confiável para emails,… por enquanto. A primeira equipa a resolver isto e a construir confiança pode definir o novo padrão global.

O que seria preciso para isto acontecer?

  • Construtores técnicos: Pessoas que adorem desenhar soluções seguras e escaláveis.
  • Parceiros de negócio: Gente pronta para levar isto ao mercado e desenhar parcerias.
  • Early adopters: Empresas com vontade de mostrar aos seus clientes que se importam mesmo com confiança e segurança.

Se estás a ler isto a pensar “Olha, eu adorava ajudar!”, honestamente, fala comigo. Ideias como esta precisam de uma comunidade para se tornarem reais.

Como é que isto pode ajudar o teu negócio

Trazer um selo digital para os teus emails podia:

  • Tranquilizar os teus clientes na hora (menos confusão, mais confiança).
  • Reduzir a fraude ligada a phishing e as dores de cabeça de suporte.
  • Dar-te uma vantagem competitiva como marca que se preocupa genuinamente com segurança.
  • Tornar o onboarding e a integração num passeio: pensa em API, dashboard ou até plugins para as plataformas que já usas.

E sejamos francos: qualquer coisa que poupe dinheiro, tempo e reputação de marca merece um olhar a sério.

Dica de profissional:
Se queres já reforçar a segurança do teu email, há fornecedores óptimos a trazer funcionalidades anti-phishing visíveis para o utilizador directamente para a caixa de entrada. Proofpoint (proofpoint.com) destaca-se com banners de aviso em tempo real e um botão simples de “reportar phishing” embutido nos emails. Microsoft Defender for Office 365 (microsoft.com) adiciona “dicas de segurança” visíveis e sinais vermelhos para mensagens suspeitas no Outlook. BIMI (redsift.com) permite mostrar o logótipo oficial ao lado das mensagens autenticadas, dando aos utilizadores uma pista visual de confiança. Mimecast (mimecast.com) e Sophos Email (sophos.com) oferecem detecção avançada de ameaças e inserem alertas ou avisos para que os utilizadores saibam se um email parece arriscado, mesmo antes de clicarem em algo. Estas ferramentas ainda não são o selo digital universal com que andamos a sonhar, mas mostram que a indústria caminha para uma prova visível de confiança, fácil de usar, em cada caixa de entrada.

FAQ

Vamos fazer de advogado do diabo por um momento. Se andamos a sonhar com um sistema novo em folha para resolver o phishing, temos de fazer as perguntas mais difíceis! Aqui ficam algumas das mais espinhosas, e das mais comuns, sobre a ideia do selo digital, respondidas com a maior honestidade e simplicidade possível.

P: Isto não é só mais uma camada de complexidade para empresas e utilizadores?
R: Boa pergunta! O objectivo é, na verdade, simplificar as coisas para o utilizador final: em vez de ferramentas de segurança misteriosas a correr nos bastidores, as pessoas veriam um selo ou código claro, fácil de verificar, mesmo no email. Para as empresas, o onboarding podia ser tão simples como adicionar um registo de DNS e ligar-se a uma API, mais ou menos como configurar o DKIM ou o Google Search Console.

P: O que é que impede os atacantes de copiar o selo ou de o falsificar?
R: A magia está nos detalhes: cada selo está criptograficamente ligado ao remetente, ao conteúdo e até ao destinatário, e ainda muda regularmente (como mascotes diárias ou códigos únicos). Se copiares um selo de uma mensagem, ele simplesmente não vai funcionar para nenhuma outra. E qualquer alteração ao conteúdo ou ao remetente invalida o selo na hora.

P: Os burlões não podiam criar os seus próprios selos “falsos”?
R: Qualquer um pode meter uma imagem dentro de um email, mas só remetentes verificados conseguem criar selos que passem na validação em tempo real. O nosso serviço teria uma página pública de certificados, ou uma verificação instantânea: se o código ou distintivo não validar, o utilizador sabe que é falso. É como a diferença entre um distintivo de brincar e uma credencial oficial da polícia.

P: Isto vai funcionar com todos os clientes de email e dispositivos?
R: Esse é o plano! O selo podia ser um distintivo clicável para a maior parte das apps de email modernas, com um código simples de três palavras como alternativa para clientes em texto simples ou para necessidades de acessibilidade. A ideia é cobertura universal, não interessa o aparelho ou a app que estás a usar.

P: Isto substitui o SPF, o DKIM ou o DMARC?
R: De maneira nenhuma, funciona em conjunto com eles! O SPF, o DKIM e o DMARC são fantásticos para autenticação “por baixo do capô”. O selo digital traz uma prova visível e amigável para o utilizador final.

P: E quanto à privacidade e ao armazenamento dos dados do destinatário?
R: Armazenamento mínimo, com privacidade em primeiro lugar, é um objectivo central. Só os metadados essenciais (como um hash do conteúdo ou da informação do remetente) seriam guardados. Sem PII desnecessária, e qualquer coisa associada ao destinatário seria encriptada e totalmente conforme com o RGPD/CCPA.

P: Isto vai abrandar a entrega dos emails ou torná-los mais pesados?
R: Nada de significativo. O selo é apenas uma pequena imagem ou um código curto, peso mínimo. A verificação acontece de imediato através de uma API pública ou de uma página de validação. O impacto na velocidade e no tamanho seria mínimo, sobretudo comparado com o ganho em segurança.

P: Não há o risco de os burlões tentarem fazer DDoS ou abusar do sistema de validação do selo?
R: Sem dúvida, e é por isso que rate limiting, monitorização e detecção de abuso fazem parte do desenho base. Pensa nisto como segurança para um site público, com muitas salvaguardas para manter as coisas a correr de forma suave e segura.

P: E se um selo for comprometido ou se uma campanha tiver de ser revogada?
R: A revogação em tempo real está integrada! As empresas podem retirar qualquer selo ou campanha de imediato, e a página de validação passa a mostrar a mensagem como “revogada” ou “inválida” para toda a gente.

P: Isto pode mesmo vir a ser adoptado como padrão, ou é só pensamento mágico?
R: Toda a grande mudança começa com uma ideia. Se forem muitas as empresas, fornecedores de email e utilizadores finais a ver o valor, os organismos de normalização podem entrar em campo. Tal como o HTTPS ou o DMARC, o “bom de ter” de hoje pode ser o “obrigatório” de amanhã.

Se tens mais perguntas difíceis, vamos continuar a conversa! É assim que as boas ideias ficam ainda melhores.

Recursos úteis e discussões da comunidade sobre phishing por email e segurança

1. Perceber o phishing e porque é que funciona

2. Autenticação de email (SPF, DKIM, DMARC, spoofing)

3. Exemplos recentes de phishing e prevalência

Queres um developer de confiança para te ajudar a ficar à frente?

Se tens curiosidade sobre onde esta tecnologia pode chegar, ou se queres ajuda para reforçar a segurança do teu próprio email, diz alguma coisa! Tenho todo o gosto em pôr-te em contacto com developers e parceiros de confiança (incluindo alguns com quem trabalho), através da Codeable, uma plataforma que considero a minha casa.

Quero falar com um especialista sobre isto!

Aviso de afiliação:
Este é um link que te leva à Codeable, uma plataforma onde trabalho há quase 10 anos, e confio em todos os especialistas que ela acolhe. Por isso, fica à vontade para abrir a tua tarefa e fazer a tua pergunta, o link atribui-me esta tarefa como referenciador da plataforma.