O que fazer se você receber e-mails suspeitos do seu próprio e-mail

Receber um e-mail que parece ser do seu próprio endereço pode ser alarmante, mas, na maioria dos casos, isso não indica que sua conta foi acessada. Por trás disso, muitas vezes há uma técnica de representação do remetente (falsificação de e-mail) que explora vulnerabilidades de protocolo para fazer a mensagem parecer legítima quando não é.

Os criminosos cibernéticos usam esse método para chantagear, espalhar malware ou roubar dados apelando à urgência, à vergonha ou ao medo para fazer com que você pague em criptomoedas ou clique em links prejudiciais. Organizações como a INCIBE, a OCU e especialistas em segurança alertam que esses e-mails são fraudulentos e recomendam que não se ceda a chantagens ou que se forneçam informações pessoais. Nós mostraremos como. o que fazer se você receber e-mails suspeitos do seu próprio e-mail.

O que é falsificação de e-mail e por que você está recebendo e-mails de “você”?

A falsificação de e-mail é uma técnica que envolve falsificar o remetente modificando os cabeçalhos das mensagens para que pareçam vir de outra fonte. Como explicam especialistas em segurança cibernética, o invasor modifica campos como "De" ou o assunto para parecer ser alguém em quem você confia — até mesmo você — sem ter acessado sua conta.

Isso é possível porque o protocolo SMTP, que controla o envio de e-mails, não exige autenticação do remetente por conta própria. Assim, com ferramentas simples ou APIs, qualquer um pode definir qualquer endereço "De:" que desejar; os servidores enviam a mensagem, e o cabeçalho visível na sua caixa de entrada mostra o endereço que o invasor inseriu, mesmo que não seja o real.

Os cabeçalhos técnicos do e-mail (os cabeçalhos completos) revelam a verdadeira rota da mensagem, Como eles registram cada salto entre servidores em campos como Recebido:, a maioria dos usuários não verifica esses campos antes de interagir com o conteúdo.

Além do campo De:, os golpistas usam “Responder para” para redirecionar as respostas para outra conta que eles controlam, Portanto, mesmo que o e-mail pareça ter sido enviado por você ou por um contato, a resposta chega ao invasor.

Como esses golpes funcionam: do falso "hacking" à sextorsão

Um dos padrões mais comuns é a sextorsão por e-mail: o invasor alega ter infectado, gravado ou controlado sua câmera e ameaça distribuir vídeos íntimos se você não pagar em 48 horas, geralmente em Bitcoin. Essas mensagens geralmente afirmam que eles estavam monitorando você há semanas ou que usaram um software que "ligou seu microfone".

A INCIBE esclarece que, neste tipo de campanha, o invasor não acessou seus dispositivos nem possui vídeos reais, e que o objetivo principal é assustá-lo para obter pagamento ou seus dados. A OCU acrescenta que eles também buscam distribuir malware por meio de anexos ou links infectados.

Outra variante são os avisos falsos do “Pegasus” ou outros malwares “ultrapoderosos”, Com a alegação de que todos os seus dispositivos estão comprometidos e que somente o pagamento imediato evitará consequências graves. É um exemplo clássico de engenharia social baseada na urgência e no medo.

Os atacantes jogam com a vergonha para pressionar você, Eles costumam exigir criptomoedas porque são difíceis de rastrear. Às vezes, incluem senhas vazadas em vazamentos de dados para lhes dar maior credibilidade, embora isso não signifique que tenham controle real sobre suas contas.

Sinais para detectar e-mails de chantagem e phishing

Procure por indicadores típicos: demandas financeiras urgentes (especialmente em criptomoedas), ameaças de publicação de conteúdo íntimo e prazos de 24 a 48 horas. Essas pressões recorrentes são sinais comuns de phishing e chantagem.

Procure também por textos mal escritos, erros de ortografia ou frases “estranhas” que indiquem automação ou má tradução, bem como remetentes ou endereços disfarçados que não correspondem à entidade legítima.

Tenha cuidado com solicitações de informações pessoais ou bancárias por e-mail, links para “verificar sua conta” ou para baixar software, Principalmente se a mensagem parecer incomum ou imitar o contato do seu banco, fornecedor ou familiar. Confirme sempre pelos canais oficiais.

Se você receber uma mensagem supostamente de uma organização conhecida (como uma empresa de courier) solicitando um pagamento ou atualização por meio de um link, Lembre-se de que instituições legítimas não solicitam dados confidenciais por e-mail nem enviam anexos executáveis.

Como verificar de onde realmente veio um e-mail

Revisar todo o cabeçalho do e-mail permite confirmar sua origem real e o caminho que ele percorreu. Compare os campos técnicos com as informações visíveis em “De:”.

• Gmail: Abra a mensagem, toque nos três pontos verticais e selecione “Mostrar original”. Você verá o código completo e a linha From: authentic, além de verificações de autenticidade.
• Outlook: abra a mensagem, clique com o botão direito e “Opções de mensagem”. Verifique o “Cabeçalho da Internet” para verificar Recebido:, De:, Responder para:, e copie o cabeçalho se precisar analisá-lo.
• E-mail do Yahoo: Abra a mensagem, toque nos três pontos e selecione “Exibir fonte da mensagem”. Examina as entradas Recebidas e o IP do remetente original para detectar possíveis inconsistências.

O Outlook exibe um “?” na imagem do remetente quando não consegue verificar a identidade, Sugerindo cautela. Se um contato regular não costuma aparecer com esse símbolo e de repente aparece, pode estar sendo personificado.

Outra pista é que se o endereço “De:” for diferente daquele no cabeçalho, Você poderá ver o remetente autêntico sublinhado, o que ajudará a identificar e-mails falsos.

O que fazer se você receber um e-mail “do seu próprio e-mail”

1) Não responda, clique em links ou abra anexos. Responder confirma que sua caixa de entrada está ativa e pode facilitar ataques futuros. Pagar apenas alimenta a chantagem, sem resolver nada.

2) Exclua ou marque a mensagem como spam. Isso ajudará a melhorar os filtros do seu provedor e reduzir o aparecimento de campanhas semelhantes.

3) Reforce a segurança das suas contas: altere sua senha para uma forte e única e ative a verificação em duas etapas. Se você usa a mesma senha em várias plataformas, altere-a em todas elas para evitar violações anteriores.

4) Revise os logins e atividades recentes em suas contas principais. Se você não detectar nenhum acesso suspeito, provavelmente é uma representação falsa sem intrusão real.

5) Se você já fez pagamentos ou forneceu dados, reúna evidências (capturas de tela, transações, mensagens) e denuncie às autoridades, como a Polícia ou a Guarda Civil. Não se comunique mais com o agressor e guarde todas as evidências da tentativa de extorsão.

Como denunciar, filtrar e bloquear com base no seu serviço

Gmail: marcar como phishing/spam e bloquear

No Gmail, você pode denunciar uma mensagem como spam ou phishing e bloquear o remetente para evitar futuros e-mails indesejados. Quando um e-mail é movido para Spam, o Google recebe uma cópia para melhorar a detecção geral.

• Marcar como spam na web: selecione a mensagem, clique no ícone “!” ou use Shift+1; O Gmail confirmará a ação.
• No telemóvel: Selecione a mensagem, toque nos três pontos e escolha "Denunciar como spam". Você também pode usar o aplicativo no Android ou iOS.
• Bloquear remetente: Abra o e-mail, toque em “Mais” (três pontos) e selecione “Bloquear”. Opcionalmente, marque também como spam.
• Filtros: em Configurações > Filtros e endereços bloqueados > Criar filtro. Defina regras para gerenciar ou excluir determinados e-mails.

Outlook/Hotmail: Gerenciar spam e bloquear remetentes

• Marcar como “Spam”: selecione a mensagem e clique em “Spam”. Você pode decidir se deseja relatar isso à Microsoft ou não; o e-mail será movido para sua pasta de spam.
• Bloquear remetente: Na mensagem, clique em “Spam” e depois em “Bloquear Remetente”. Para reverter o bloqueio, vá em Ferramentas > Preferências de Lixo Eletrônico.
• Melhore os filtros de spam: em Configurações > Ver todas as configurações > E-mail > Lixo eletrônico. Ative opções para bloquear links, anexos ou imagens suspeitos.

Apple Mail e iCloud

• Do iPhone/iPad: Abra o e-mail, toque na bandeira e selecione “Mover para Lixo Eletrônico”. Você pode bloquear contatos em Configurações > E-mail > Bloqueados.
• No Mac: Selecione a mensagem e toque em “Lixo Eletrônico” ou arraste-a para a pasta apropriada. Configure filtros em Preferências > Spam.
• Em iCloud.com: Abra a mensagem e toque na bandeira, depois em “Mover para Lixo Eletrônico” ou arraste-a para essa pasta.

Thunderbird

• Ative os controles anti-spam: Menu > Opções > Configurações da conta > “Configurações de spam”. Marque “Ativar controles".

Boas práticas para reduzir spam e evitar cair em armadilhas

Pense antes de compartilhar seu e-mail e evite publicá-lo em sites ou fóruns abertos, onde bots e spammers podem coletar. Use aliases ou contas descartáveis para registros não confiáveis.

Não interaja com mensagens suspeitas: não abra arquivos, clique em links ou cancele a assinatura de e-mails suspeitos, Isso confirma que seu endereço de e-mail está ativo e pode agravar o problema. Para newsletters legítimas, sim, você pode cancelar a assinatura a qualquer momento.

Mantenha seu sistema, navegador e aplicativos atualizados e use um antivírus com proteção para web e e-mail, para evitar o download de arquivos maliciosos e a entrada em sites fraudulentos.

Ative a autenticação em duas etapas nos seus principais serviços, para que, mesmo que uma senha vaze, eles não consigam acessá-la sem seu segundo fator de segurança.

Se você lida com muitos e-mails, considere instalar um filtro de spam adicional, que fornece uma segunda camada de proteção contra mensagens indesejadas.

Como saber se seus dados ou senhas foram revelados

Verifique se suas contas de e-mail ou senhas foram divulgadas em vazamentos públicos, usando sites confiáveis como haveibeenpwned.comSe você detectar exposição, altere as senhas afetadas e ative o MFA.

Se você acredita que conteúdo sensível com seu nome está circulando em sites ou redes, pesquise suas informações e, se encontrar material que viole sua privacidade, solicita sua remoção da plataforma. Na União Europeia, você tem o direito de ser esquecido e pode solicitar essa retirada quando apropriado.

Verificação de comunicações de organizações de base

Algumas empresas implementaram medidas antifraude, como códigos de verificação em seus sites oficiais. Se você receber um e-mail suspeito de uma empresa de encomendas solicitando pagamento ou dados, valide as informações no site oficial ou entre em contato com o atendimento ao cliente.

Lembre-se: organizações confiáveis não solicitam credenciais, dados bancários ou arquivos executáveis por e-mail ou SMS, E se você não estiver esperando uma entrega, a coisa mais segura a fazer é ignorar e excluir essa mensagem suspeita.

Como identificar melhor o spam com essas dicas práticas

Por favor, verifique o endereço completo do remetente, não apenas o nome que aparece no campo visível, para detectar domínios incomuns ou que não correspondem à entidade declarada.

Desconfie de mensagens com tom “URGENTE” ou “ação imediata”, bem como mensagens genéricas como “Prezado cliente”. Mensagens legítimas geralmente usam seu nome e exibem um tom mais formal.

Preste atenção a erros de ortografia ou pontuação e frases não naturais, que geralmente são sinais de tradução automática ou modelos automatizados.

Tenha muito cuidado com anexos desconhecidos ou links encurtados. Passe o mouse sobre os links para verificar o destino ou copie e analise a URL em uma ferramenta de reputação sem clicar na mensagem.

Caso comum: “Eles me escrevem do meu e-mail e até me respondem.”

Usuários com contas do Outlook ou Hotmail receberam e-mails que parecem ser de “Pegasus” ou esquemas de extorsão exigindo criptomoedas, E, surpreendentemente, algumas pessoas realmente respondem a essas respostas, mesmo que não tenham necessariamente controle da conta.

Se você tiver a verificação em duas etapas ativada e seu registro de atividades não mostrar nenhum login bem-sucedido, É um sinal de que eles não conseguiram acessar sua conta. É melhor não responder, marcar como spam, fortalecer sua senha e manter o MFA ativo. Além disso, um antivírus atualizado adiciona proteção contra arquivos potencialmente maliciosos.

Por que o e-mail permite esses golpes e como o cliente protege você

O protocolo SMTP, usado para enviar e-mails, foi projetado sem autenticação forte do remetente, permitindo que um remetente malicioso defina um endereço “De:” arbitrário que os servidores aceitam e encaminham.

A cada salto entre servidores, o corpo da mensagem é registrado no “Recebido”: do cabeçalho técnico, facilitando o rastreamento da fonte original para análise forense ou detecção de personificação.

Clientes modernos, como o Outlook, exibem alertas visuais quando não confirmam a identidade do remetente, por exemplo, um ponto de interrogação ou diferenças em endereços, para nos ajudar a identificar remetentes falsificados.

Quando e como escalar o problema

Se você receber ameaças confiáveis, detalhes específicos sobre você ou tentativas de extorsão envolvendo criptomoeda, salva todas as evidências (cabeçalhos, capturas e transações) e reportar às forças de segurança.

Relate também o incidente ao seu provedor de e-mail e à instituição representada (banco, transportadora, etc.). fornecendo toda a documentação coletada.

A chave para se proteger é reconhecer phishing, ignorar chantagens e ativar os mecanismos de defesa apropriados: marcar como spam, bloquear remetentes, verificar cabeçalhos, fortalecer senhas, manter o MFA e usar antivírus. Se você quiser continuar aprendendo sobre práticas como essa para evitar cair nelas, recomendamos a leitura de outros artigos, como este sobre Como remover malware do meu celular.