A maioria das pequenas e médias empresas em Portugal ainda acredita que o banco online é um ambiente seguro por defeito. Mas um novo trojan bancário, o Ousaban, está a provar o contrário — e já faz vítimas entre utilizadores portugueses. Esta campanha de cibercrime mostra que proteger contas bancárias empresariais deixou de ser uma preocupação exclusiva das grandes corporações.
O que é o Ousaban e como ameaça as contas bancárias empresariais
O Ousaban é um trojan bancário que tem vindo a evoluir desde que foi identificado pela primeira vez. Segundo os investigadores da Fortinet, a nova campanha está activa em Portugal e Espanha e foca-se em roubar credenciais de acesso a contas bancárias online. O malware instala-se discretamente no computador da vítima — muitas vezes através de um anexo de email ou de um download aparentemente inofensivo — e começa a monitorizar a actividade. Quando o utilizador acede ao site do banco, o Ousaban sobrepõe um ecrã falso, idêntico ao original, onde captura o nome de utilizador e a palavra-passe. Em alguns casos, consegue até interceptar mensagens SMS com códigos de autenticação de dois factores, contornando uma das principais barreiras de segurança.
Para uma PME, o perigo é duplo: não só o dinheiro pode ser transferido para contas fraudulentas, como os dados de acesso podem ser usados para fraudes futuras ou vendidos na dark web. E como muitas empresas usam o mesmo computador para aceder ao banco e para o trabalho diário — emails, navegação, redes sociais — a superfície de ataque é maior do que se imagina.
O que diferencia este ataque de outros esquemas de phishing
O phishing tradicional depende de um email falso que leva a vítima a um site clonado. O Ousaban vai mais longe: não precisa que o utilizador clique num link. Uma vez instalado, actua como um “espião digital” que observa tudo o que se passa no ecrã e no teclado. As sobreposições que cria são tão realistas que até um utilizador experiente pode ser enganado. Além disso, o trojan consegue manipular o tráfego de rede em tempo real, o que lhe permite injectar campos adicionais nos formulários legítimos do banco — por exemplo, pedir o número de telemóvel ou o PIN da aplicação — sem que o site verdadeiro alguma vez tenha solicitado esses dados.
Outra diferença crítica é a capacidade de persistência: o Ousaban esconde-se em processos legítimos do sistema e pode desactivar soluções de segurança. Isto significa que, mesmo que a empresa tenha um antivírus instalado, o malware pode passar despercebido durante semanas ou meses, tempo suficiente para causar danos financeiros significativos.
O que isto significa para PMEs portuguesas
Para uma empresa com 5 a 50 colaboradores, uma conta bancária empresarial comprometida pode representar a perda de fundos de tesouraria, atrasos em pagamentos a fornecedores e até a paralisação da actividade. Não é preciso ser uma grande corporação para estar na mira: os cibercriminosos sabem que as PMEs têm menos defesas e, muitas vezes, movimentam valores consideráveis sem os mesmos controlos de uma grande empresa.
Em Portugal, onde a digitalização da banca é elevada e muitas PMEs dependem exclusivamente do homebanking, o risco é real. A campanha identificada pela Fortinet está activa e em evolução. Medidas como a autenticação de dois factores (desde que não dependa apenas de SMS), a utilização de computadores dedicados para operações bancárias e a formação dos colaboradores para reconhecerem sinais de infecção (lentidão anormal, janelas inesperadas) são passos práticos e de baixo custo. Para uma abordagem mais estruturada, consulte o nosso guia de cibersegurança para negócios digitais.
O erro que a maioria comete
O erro mais comum entre as PMEs é assumir que um antivírus básico é suficiente para proteger as contas bancárias. A realidade é que trojans como o Ousaban são desenhados para contornar essas defesas. Outro equívoco frequente é pensar “somos demasiado pequenos para sermos um alvo”. Os atacantes não discriminam por dimensão — procuram oportunidades, e uma PME desprotegida é uma oportunidade fácil. Usar o mesmo computador para abrir emails, navegar na internet e aceder ao banco é como deixar a porta do cofre aberta enquanto se atende o público.
Riscos e limitações
Nenhuma solução é 100% eficaz contra ameaças em constante evolução. O Ousaban actualiza-se regularmente, e as técnicas de overlay estão cada vez mais sofisticadas. A autenticação de dois factores baseada em SMS já não é considerada segura, e mesmo as apps de autenticação podem ser comprometidas se o dispositivo estiver infectado. Para empresas com recursos muito limitados, a implementação de medidas avançadas — como isolamento de browser ou autenticação biométrica — pode ser financeiramente inviável. Além disso, a formação dos colaboradores exige tempo e consistência, e um único descuido pode deitar tudo a perder. Este tipo de protecção não é um projecto com fim, mas um processo contínuo.
Veredito Descomplicar®
Proteger contas bancárias empresariais não é um luxo — é uma necessidade operacional. A ameaça do Ousaban é real e está a afectar utilizadores portugueses. Mas não é preciso um orçamento de cibersegurança de grande empresa para reduzir o risco. Medidas simples, como separar o equipamento usado para a banca, activar autenticação de dois factores por app e formar a equipa para identificar comportamentos suspeitos, já fazem uma diferença significativa. Se precisa de ajuda para definir prioridades e integrar estas práticas no dia-a-dia da sua empresa, uma consultoria estratégica pode ser o primeiro passo para dormir mais descansado.