A maioria das PMEs portuguesas perde horas semanais a gerir emails e documentos no Microsoft 365, mas os acessos dos directores são o alvo principal dos ataques phishing directores. Um novo serviço alugado, o VENOM, permite a criminosos roubar esses logins de executivos de topo em minutos, acedendo a emails confidenciais e ficheiros partilhados. Activar protecções básicas custa menos de 20€ por utilizador por mês.
O que é o VENOM e como rouba acessos de directores
O VENOM é uma plataforma de phishing-as-a-service, ou seja, um serviço pago onde criminosos comuns alugam ferramentas prontas para fingir páginas de login do Microsoft. Envia emails falsos que parecem vir de recursos humanos ou fornecedores, pedindo ao director para “verificar” credenciais.
Uma vez clicado, o director insere o email e password num site falso. O criminoso recebe os dados reais e usa-os para entrar na conta Microsoft verdadeira. Isso dá acesso a Outlook, OneDrive e Teams, onde estão contratos, facturas e planos estratégicos.
Para uma PME sem equipa de segurança, o impacto é directo: um roubo leva a leaks de dados de clientes, o que viola RGPD e gera multas de milhares de euros. Diferente de phishing antigo, o VENOM actualiza páginas falsas diariamente para escapar a filtros de email.
O que diferencia estes ataques das ameaças comuns
Até agora, os ataques phishing vinham de hackers isolados com ferramentas básicas, fáceis de detetar por antivírus standard. O VENOM muda isso: é um serviço profissional, alugado por 100-500€ por campanha, acessível a qualquer criminoso sem skills técnicas.
Enquanto soluções como filtros de spam bloqueiam 90% dos emails comuns, o VENOM foca directores com mensagens personalizadas, como “actualização de salário” ou “documento de auditoria”. Resultado: taxas de sucesso mais altas, com roubo de credenciais Microsoft em sectores como retalho e serviços.
Comparado a alternativas como ransomware, que exige pagamento, o phishing VENOM é silencioso: o criminoso vende os acessos em mercados negros por 50-200€ cada, gerando lucro sem alertar a vítima imediatamente. Para PMEs, significa menos tempo para reaccionar.
Como detalhado na reportagem da Bleeping Computer, estes ataques já atingiram empresas em finanças e manufacturing.
O que isto significa para PMEs portuguesas
Em Portugal, 70% das PMEs usam Microsoft 365 para operações diárias, segundo dados da ANACOM, expondo directores a estes ataques. Um incidente médio custa 15.000€ em recuperação e multas RGPD, mais perda de produtividade de 20 horas por director afectado.
Empresas com 10-30 colaboradores, como consultoras ou lojas online, beneficiam mais: activar autenticação multifactor (MFA) reduz riscos em 99%, sem necessidade de software extra. Tempo de implementação: 15 minutos por conta.
O erro que a maioria comete
A maioria das PMEs confia apenas em antivírus nos computadores dos directores, ignorando emails como vector principal. Resultado: acessos Microsoft roubados apesar de protecções nos PCs, com dados vazados e clientes perdidos. Como no nosso guia de cibersegurança para negócios digitais, a formação de 30 minutos mensal evita 80% destes lapsos.
Riscos e limitações
Estes ataques phishing directores ainda chegam apesar de MFA, se o director partilhar códigos por telefone falso. Não serve para PMEs sem controlo de emails partilhados ou directores que clicam em tudo. A versão actual do VENOM exige vigilância humana, pois ferramentas automáticas não cobrem 100% das variantes personalizadas. Para quem tem orçamentos abaixo de 100€ anuais, priorize MFA sobre alertas avançados.
No contexto de RGPD e privacidade de dados para marketers, um roubo assim invalida consentimentos e gera auditorias.
Directores ocupados subestimam emails “urgentes”, prolongando exposição. Soluções como password managers custam 2€/mês/utilizador, mas adoção baixa mantém riscos altos.
Veredito Descomplicar®
Vale a pena activar MFA em todas as contas Microsoft já amanhã se tem directores com acessos sensíveis. Para PMEs com menos de 20 colaboradores, foque nisso antes de ferramentas pagas. Ainda não para quem ignora formação básica, pois tecnologia sozinha falha.