Comprometimento de Conta de Email (EAC): Como Hackers Sequestram Sua Caixa de Entrada
O Comprometimento de Conta de Email (EAC) ocorre quando invasores ganham acesso não autorizado a contas de email legítimas através de roubo de credenciais, engenharia social ou malware. Diferentemente do Comprometimento de Email Empresarial que visa executivos corporativos, o EAC afeta indivíduos e empresas de todos os tamanhos. De acordo com o Centro de Reclamações de Crimes pela Internet do FBI, o EAC resultou em perdas de mais de 2,7 bilhões de dólares em 2022, com perdas médias individuais chegando a 8 mil dólares por incidente. Uma vez dentro da conta, criminosos operam silenciosamente por dias ou semanas, estudando padrões de email, relacionamentos e transações financeiras. Eles procuram informações sensíveis incluindo documentos fiscais, senhas armazenadas em emails, extratos bancários e faturas comerciais. A conta comprometida se torna uma arma para lançar ataques contra os contatos da vítima, que tendem a confiar em emails de um remetente conhecido. A sofisticação dos ataques EAC aumentou dramaticamente. Invasores agora usam inteligência artificial para imitar estilos de escrita, criar threads de email convincentes respondendo a conversas existentes e cronometrar seus pedidos fraudulentos quando as vítimas estão viajando ou indisponíveis. O incidente típico de EAC dura entre 1 a 30 dias antes da detecção, durante o qual os invasores podem drenar contas bancárias, redirecionar transferências bancárias, registrar devoluções de imposto fraudulentas ou vender informações pessoais roubadas em marketplaces da dark web.
Táticas comuns
- •Coleta de credenciais através de páginas de login falsas: Invasores enviam emails se passando por serviços legítimos (Microsoft, Google, bancos) com links para páginas de login convincentes que capturam nomes de usuário e senhas quando inseridos.
- •Ataques de spray de senha: Criminosos tentam senhas comuns em milhares de contas de email, visando provedores com medidas fracas de segurança de conta ou usuários que reutilizam senhas em múltiplos serviços.
- •Sequestro de sessão através de WiFi público: Invasores monitoram conexões não criptografadas em redes públicas para interceptar cookies de sessão que permitem acesso a contas de email sem precisar de senhas.
- •Criação de regras de encaminhamento de email: Uma vez dentro, invasores criam regras de caixa de entrada ocultas que encaminham automaticamente cópias de todos os emails recebidos para endereços externos, permitindo vigilância contínua mesmo após mudanças de senha.
- •Spear phishing direcionado de contas de alto valor: Criminosos pesquisam vítimas em redes sociais e plataformas profissionais para elaborar emails personalizados contendo malware ou links de roubo de credenciais especificamente projetados para esse indivíduo.
- •Troca de SIM para contornar autenticação de dois fatores: Invasores convencem operadoras de telefone a transferir o número de telefone de uma vítima para um cartão SIM que controlam, interceptando códigos de autenticação enviados por SMS e ganhando acesso à conta.
Como identificar
- Notificações inesperadas de redefinição de senha ou alertas de segurança que você não iniciou, particularmente múltiplas tentativas de login falhadas de locais ou dispositivos desconhecidos mostrados no seu log de atividade da conta.
- Emails desaparecidos da sua caixa de entrada ou pasta de enviados, indicando que alguém deletou correspondência para esconder seus rastros, ou o aparecimento de emails marcados como lidos que você nunca abriu.
- Contatos relatando recebimento de emails estranhos do seu endereço, como pedidos urgentes de dinheiro, links suspeitos ou mensagens fora do seu padrão enviadas em horários inusitados.
- Regras de encaminhamento de email, filtros ou configurações de caixa de entrada desconhecidas que você não criou, particularmente regras que deletam ou redirecionam automaticamente tipos específicos de mensagens como notificações bancárias.
- Notificações de login de locais onde você nunca esteve, ou em horários quando você não estava usando seu dispositivo, visíveis nos logs de atividade de segurança fornecidos pela maioria dos serviços de email.
- Incapacidade de fazer login em sua conta com sua senha correta, ou descobrir que seu endereço de email de recuperação ou número de telefone foi alterado sem sua autorização, bloqueando seu acesso à recuperação de conta.
Como se proteger
- Ative autenticação multifator (MFA) usando aplicativos autenticadores como Google Authenticator ou Microsoft Authenticator em vez de códigos SMS, que são vulneráveis a ataques de troca de SIM e oferecem proteção significativamente mais forte da conta.
- Crie senhas únicas e complexas com pelo menos 16 caracteres para sua conta de email usando um gerenciador de senhas como Bitwarden ou 1Password, e nunca reutilize esta senha em nenhum outro website ou serviço.
- Revise regularmente as configurações de segurança da sua conta de email pelo menos mensalmente, verificando regras de encaminhamento não autorizadas, dispositivos desconhecidos com acesso, contatos de recuperação desconhecidos e atividade de login recente de locais inesperados.
- Evite acessar contas de email em redes WiFi públicas sem usar um serviço VPN respeitável, ou se for necessário, nunca insira senhas e use apenas sessões autenticadas anteriormente com certificados de segurança atuais.
- Configure alertas de email para alterações críticas da conta incluindo modificações de senha, atualizações de informações de recuperação, criação de regras de encaminhamento e logins de novos dispositivos para detectar acesso não autorizado imediatamente.
- Crie um endereço de email separado exclusivamente para contas financeiras e redefinições de senha que você nunca divulga ou usa para compras online, redes sociais ou inscrições em boletins informativos, reduzindo sua exposição a violações de dados.
Casos reais
Uma proprietária de pequena empresa recebeu o que parecia ser um alerta de segurança do Microsoft 365 afirmando que atividade incomum havia sido detectada em sua conta. O email incluía um link para "verificar sua identidade" que levava a uma réplica convincente da página de login do Microsoft. Após inserir suas credenciais, invasores acessaram seu email e estudaram sua correspondência comercial por duas semanas. Eles então enviaram um email para sua contadora, usando uma thread de fatura existente, com instruções de transferência bancária atualizadas para um pagamento de R$ 235 mil, que foi enviado antes da fraude ser descoberta.
Um designer gráfico autônomo percebeu que não conseguia acessar sua conta do Gmail uma manhã. Quando tentou redefinir sua senha, descobriu que seu número de telefone de recuperação havia sido alterado. O invasor tinha usado credenciais compradas de uma violação de dados na dark web, acessou seu email e imediatamente alterou as configurações de segurança. Ao longo de cinco dias, o criminoso enviou emails de phishing para mais de 300 clientes do designer, resultando em 23 contas comprometidas antes do Google suspender a conta. O designer perdeu vários clientes de longo prazo que o culparam pela violação.
A conta de email de um casal aposentado foi comprometida através de uma rede WiFi pública no hotel durante suas férias. Os invasores criaram uma regra de encaminhamento oculta e monitoraram emails por três semanas. Quando o consultor financeiro do casal enviou seu resumo de investimentos trimestral, os criminosos interceptaram, criaram um email falso urgente sobre uma oportunidade de investimento com prazo determinado e convenceram o casal a transferir R$ 625 mil para uma conta fraudulenta. O crime não foi descoberto até o casal retornar para casa e contatar seu consultor real sobre o "investimento".
Perguntas frequentes
Como posso saber se minha conta de e-mail foi comprometida?
O que devo fazer imediatamente se descobrir que meu e-mail foi hackeado?
Como os invasores normalmente obtêm acesso às contas de e-mail?
Por quanto tempo um hacker pode ter acesso ao meu e-mail antes que eu perceba?
O que posso fazer para evitar que meu e-mail seja hackeado?
Onde denunciar — Portugal / Brasil
Canais oficiais na sua região para denunciar este golpe.
Polícia Judiciária - Cibercrime (Portugal)
CibercrimeGabinete Cibercrime do Ministério Público — denúncias online.
Polícia Federal - DENARC (Brasil)
CibercrimeCanal de denúncia da Polícia Federal brasileira.
Acha que encontrou este golpe?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), comprometimento de conta de email (eac): como hackers sequestram sua caixa de entrada is described at https://scamlens.org/pt/encyclopedia/email-account-compromise.