Chega um email de um fornecedor habitual. Tem uma assinatura conhecida, refere uma encomenda e pede que a próxima transferência seja feita para uma conta diferente. A mensagem parece encaixar no trabalho daquele dia.
É um exemplo fictício, mas ajuda a colocar a pergunta certa: como confirma a equipa que o pedido é legítimo?
A proteção do email no Microsoft 365 é importante. Também importa ter um procedimento simples para os pedidos que envolvem dinheiro, palavras-passe ou documentos da empresa. A pessoa que recebe a mensagem precisa de saber o que verificar e a quem recorrer.
Uma mensagem convincente merece a mesma verificação que qualquer outro pedido sensível. O nome do remetente, o logótipo e a chegada à caixa de entrada não substituem essa confirmação.
1. O nome é conhecido. O pedido faz sentido?
O phishing procura levar alguém a entregar informação, credenciais ou dinheiro através de uma mensagem que aparenta ser legítima. Pode surgir como um documento partilhado, uma fatura ou um pedido de atualização da conta. A Microsoft descreve estes exemplos nas orientações sobre mensagens suspeitas no Outlook.
Antes de agir, vale a pena olhar para o endereço completo e para o contexto. Estava à espera daquele documento? O fornecedor costuma pedir alterações desta forma? O pedido exige uma decisão fora do procedimento habitual?
Mesmo um endereço correto não resolve todas as dúvidas: uma conta legítima pode ter sido comprometida e estar a ser usada por outra pessoa. A Microsoft descreve este uso de caixas de correio comprometidas em ataques a contactos internos e externos. Por isso, uma assinatura conhecida ou uma mensagem sem erros não bastam para validar um pedido sensível. Como uma conta comprometida pode ser utilizada.
No exemplo do fornecedor: a confirmação deve usar um contacto já conhecido pela empresa. Responder ao mesmo email ou ligar para um número indicado nessa mensagem pode deixar a verificação nas mãos de quem a enviou.
2. Uma regra simples para pedidos sensíveis
Uma pequena empresa pode começar por identificar os pedidos que exigem confirmação por outro meio: alterações de dados de pagamento, envio de documentos reservados ou pedidos inesperados de credenciais.
A orientação da Microsoft é verificar mensagens suspeitas através de contactos obtidos de forma independente e evitar as ligações e os anexos dessas mensagens. Consultar as recomendações para utilizadores empresariais.
Para transformar isso numa rotina, convém combinar quem confirma e onde fica registada a decisão. Assim, uma dúvida não fica dependente de a pessoa mais experiente estar disponível naquele momento.
| Pedido recebido | Verificação a combinar na equipa |
|---|---|
| Alteração de dados de pagamento | Confirmar com o contacto habitual, por um meio independente, antes de alterar os dados. |
| Documento inesperado que pede autenticação | Confirmar com o contacto habitual, por um canal independente, antes de abrir a ligação. Para entrar no serviço, usar o endereço ou a aplicação que já conhece. |
| Pedido urgente de informação reservada | Validar a finalidade, o destinatário e a autorização com o responsável interno. |
A tabela é uma proposta de organização. Cada empresa deve ajustá-la aos seus processos e às pessoas que podem autorizar cada operação.
3. O que convém verificar no Microsoft 365?
Os planos empresariais Basic, Standard e Premium incluem proteção de email contra spam, software malicioso e determinadas formas de phishing. O Business Premium acrescenta capacidades do Microsoft Defender for Office 365, incluindo proteção adicional de ligações e anexos, através de Safe Links e Safe Attachments. As funcionalidades disponíveis dependem do licenciamento. Comparar as capacidades de segurança documentadas pela Microsoft.
Uma revisão útil começa por perceber que proteção existe, a que pessoas se aplica e que exceções foram criadas. Convém também confirmar quem acompanha as mensagens reportadas e como são tratadas as mensagens legítimas que ficam retidas.
Por exemplo, se uma mensagem legítima de um fornecedor fica retida, a equipa deve saber quem a analisa. Uma exceção criada para resolver esse caso também precisa de uma justificação e de revisão posterior.
A proteção da conta merece atenção própria. A autenticação multifator é uma das medidas recomendadas pela Microsoft; o blog já tem um plano faseado para a preparar com a equipa.
4. A equipa sabe reportar uma mensagem?
O Outlook dispõe de uma função para reportar mensagens suspeitas. O administrador define se os relatos seguem para a Microsoft, para uma caixa de correio designada pela organização ou para ambos os destinos, conforme a documentação de proteção contra phishing.
Confirme o funcionamento na versão de Outlook usada pela equipa, o destino dos relatos e quem os acompanha. Se a opção não estiver disponível, a equipa deve ter um contacto interno definido para comunicar a suspeita.
Uma explicação curta pode chegar para começar: onde reportar, quem contactar quando há urgência e que informação indicar. A equipa deve sentir-se à vontade para pedir ajuda, mesmo quando já abriu a mensagem.
5. E se alguém já introduziu a palavra-passe?
A prioridade é avisar imediatamente o responsável técnico e explicar o que aconteceu: hora aproximada, mensagem recebida, ligação aberta e ações realizadas. Não é preciso ter a certeza de que houve um ataque para comunicar a suspeita.
Mudar a palavra-passe pode ser apenas uma parte da resposta. O responsável técnico precisa de avaliar o bloqueio da conta e a revogação das sessões de acesso, verificar como se inicia sessão e procurar alterações indevidas — por exemplo, regras que enviem cópias de emails para outro endereço ou aplicações com permissões que ninguém reconhece. A Microsoft inclui estas verificações no procedimento de resposta a uma conta comprometida.
Estas tarefas devem ser conduzidas por quem tem autorização e conhece o ambiente. Abrir uma ligação, introduzir credenciais e autorizar uma aplicação são acontecimentos diferentes; descrevê-los com precisão ajuda a orientar a resposta.
Uma checklist para conversar com a equipa
- Sabemos que pedidos exigem uma confirmação independente.
- Os contactos usados nessa confirmação já são conhecidos pela empresa.
- Está identificado quem pode autorizar alterações e partilhas sensíveis.
- A equipa sabe reportar mensagens e contactar o responsável técnico.
- Existe alguém a acompanhar os relatos e as configurações de proteção.
- Quem suspeita de um erro sabe que deve comunicá-lo de imediato.
Voltemos ao fornecedor do início. Uma chamada para o contacto habitual e uma decisão registada podem esclarecer aquele pedido. O objetivo é que esta verificação faça parte do trabalho, sem depender apenas da atenção de uma pessoa.
Se esta checklist levantar dúvidas sobre a proteção do email da sua empresa, pode partilhá-las comigo.
Fontes e data de verificação
Documentação oficial consultada em 19 de outubro de 2026.
