Segurança no e-mail da empresa: regras simples para a equipe

Para a maioria dos ataques contra pequenas empresas, tudo começa em uma caixa de entrada. Uma mensagem falsa de fornecedor, um pedido de pagamento urgente do “chefe”, uma conta de e-mail invadida que passa a enviar golpes aos clientes. Com algumas regras claras e poucas configurações, você reduz muito esse risco.

Por que o e-mail é o alvo preferido

O e-mail é a identidade digital da empresa: é nele que chegam notas fiscais, boletos, contratos, senhas redefinidas e acessos a sistemas. Quem invade uma conta consegue:

• Pedir redefinição de senha de outros serviços (banco, sistema, redes sociais).
• Ler conversas com clientes e fornecedores para montar golpes sob medida.
• Enviar mensagens em nome da empresa, com credibilidade.
• Alterar dados de pagamento em boletos e faturas.

Por isso o e-mail merece mais cuidado do que quase qualquer outro sistema.

Regra 1: contas individuais e com domínio próprio

Se ainda não tem, comece por aqui:

1. Use e-mail com o domínio da empresa (nome@suaempresa.com.br), em vez de contas pessoais. Veja e-mail profissional com domínio próprio.
2. Dê uma conta para cada pessoa. Nada de uma senha compartilhada por todos. Caixas coletivas, como vendas@ ou contato@, podem existir, mas com acesso controlado.
3. Separe os administradores: quem gerencia o e-mail deve usar uma conta de administração diferente da conta do dia a dia.
4. Anote quem tem acesso a quê, e revise a lista a cada poucos meses.

Regra 2: verificação em duas etapas obrigatória

A senha sozinha não basta, porque pode vazar ou ser enganada por phishing. Ative a verificação em duas etapas em todas as contas de e-mail da empresa, de preferência com aplicativo autenticador ou chave de segurança, em vez de SMS. Veja verificação em duas etapas: o que é e como ativar. Se o seu provedor permite exigir a verificação para todos, ative a exigência.

Regra 3: confirme pedidos de dinheiro por outro canal

A fraude do falso chefe ou do falso fornecedor causa prejuízo grande a empresas pequenas. Ela segue um padrão:

• Chega uma mensagem do “dono” ou do “financeiro” pedindo uma transferência urgente e confidencial.
• Ou um fornecedor avisa que mudou de conta bancária e envia novo boleto.
• Há pressão para não conversar com mais ninguém.

Defesas simples:

1. Ligue para um número que você já tinha, nunca para o que consta na mensagem.
2. Exija dupla aprovação para pagamentos acima de um valor combinado e para qualquer mudança de dados bancários.
3. Compare o endereço de e-mail com atenção: letras trocadas (como um “rn” no lugar de “m”) enganam.
4. Desconfie da pressa. Nenhum pagamento legítimo some se você esperar dez minutos para confirmar.

Regra 4: reconheça phishing e anexos perigosos

Ensine a equipe, com exemplos reais, a reconhecer:

• Remetente estranho ou endereço diferente do nome que aparece.
• Urgência e ameaças (“sua conta será bloqueada”).
• Anexos inesperados, principalmente arquivos compactados, executáveis e documentos pedindo para ativar macros.
• Links que levam a páginas de login. Passe o mouse para ver o destino e digite o endereço você mesmo.
• Pedidos de senha ou código por e-mail, que nenhum serviço legítimo faz.

Combine uma saída simples: se alguém desconfiar, não clica e avisa o responsável. Ninguém deve ter vergonha de ter caído, e sim de esconder. Veja phishing: o que é e como identificar.

Regra 5: configure SPF, DKIM e DMARC

Esses três registros ficam no DNS do seu domínio e protegem a reputação da empresa:

• SPF informa quais servidores podem enviar e-mails em nome do seu domínio.
• DKIM assina as mensagens, para o destinatário saber que não foram alteradas.
• DMARC diz aos provedores o que fazer com mensagens que falham nas verificações e envia relatórios.

Com eles, fica mais difícil alguém falsificar o remetente com o seu domínio, e seus e-mails têm menos chance de cair no spam. Quem cuida do domínio ou da hospedagem pode configurar, e o provedor de e-mail costuma ter instruções. Um bom começo é o DMARC em modo de monitoramento, que só gera relatórios, e depois endurecer a política conforme os resultados. Se não tem certeza, peça ajuda a um profissional.

Regra 6: revise regras e acessos

Quando uma conta é invadida, muitas vezes o criminoso cria uma regra de encaminhamento que envia cópia de tudo para um endereço dele, ou apaga os avisos de segurança. Verifique periodicamente:

1. Regras e filtros da caixa de entrada. Veja filtros do Gmail: como criar para entender como eles funcionam.
2. Encaminhamento automático para endereços externos.
3. Aparelhos e sessões conectados à conta, e encerre os que você não conhece.
4. Aplicativos de terceiros com acesso ao e-mail.
5. Respostas automáticas e assinaturas alteradas.

Quando alguém sai da empresa

• Desative a conta no mesmo dia. Não a apague de imediato; mantenha para recuperar informações e redirecione o e-mail.
• Troque senhas de contas compartilhadas que a pessoa conhecia.
• Retire o acesso a sistemas, nuvem, redes sociais e grupos.
• Recolha aparelhos com e-mail configurado.

Se uma conta for invadida

1. Troque a senha de outro aparelho e encerre todas as sessões.
2. Ative ou revise a verificação em duas etapas.
3. Revise regras de encaminhamento e aplicativos conectados.
4. Avise clientes e fornecedores que receberam mensagens suspeitas.
5. Troque a senha de serviços ligados àquele e-mail.
6. Avalie a LGPD: se houve acesso a dados de clientes, procure orientação jurídica.

Comece hoje pelo básico: ative a verificação em duas etapas nas contas de e-mail e combine com a equipe que qualquer mudança de dados bancários será confirmada por telefone.