O phishing é uma técnica em que pessoas mal-intencionadas se fazem passar por marcas confiáveis, incluindo a sua, para induzir as pessoas a compartilharem informações confidenciais, como senhas, detalhes de pagamento ou credenciais de contas.
Como os clientes da Duda criam e gerenciam sites para seus próprios clientes, os ataques de phishing no ecossistema Duda podem atingir vários níveis: você diretamente ou seus clientes por meio da representação de sua empresa. Este guia fornece etapas práticas para proteger sua conta Duda e seus clientes
Os sistemas da Duda não foram comprometidos. Essas campanhas de phishing são conduzidas por agentes externos que usam informações comerciais disponíveis publicamente para se passar por clientes da Duda. Este guia é fornecido apenas para fins informativos e não constitui uma suposição de qualquer responsabilidade ou obrigação por parte da
-
A Duda nunca solicitará a senha da sua conta por e-mail, telefone ou chat.
-
A Duda nunca solicitará informações de pagamento por meio de links de e-mail.
-
A Duda nunca entrará em contato com você ou seus clientes por meio dos formulários ou das ferramentas de CRM do seu site.
Se você receber uma mensagem que contenha alguma das opções acima, ela não é da Duda.
-
Verifique o endereço de e-mail do remetente. Procure erros de ortografia, caracteres extras ou domínios que imitem endereços legítimos (por exemplo,
support@dudda.coem vez de@duda.co). -
Fique atento à urgência ou às ameaças. Mensagens pressionando você a “agir imediatamente” ou avisando sobre a suspensão da conta são táticas comuns
-
Passe o mouse antes de clicar. Visualize os destinos dos links sem clicar — se o URL não apontar para um domínio que você reconhece, não clique nele.
-
Verifique de forma independente. Se uma mensagem alegar ser da Duda, faça login diretamente na sua conta Duda (não por e-mail) para confirmar
-
Use o SSO, se disponível, para centralizar o gerenciamento de acesso e aplicar as políticas de segurança da sua organização.
-
No mínimo, habilite autenticação de dois fatores (2FA) em sua conta Duda e em todos os serviços associados — e-mail, registrador de domínio, hospedagem e provedores de pagamento.
-
Use senhas fortes e exclusivas para cada serviço. Troque-os imediatamente se você suspeitar que eles possam estar comprometidos.
-
Audite as permissões do usuário regularmente e remova o acesso de qualquer pessoa que não precise mais dele.
A autenticação de e-mail configurada corretamente é uma das formas mais eficazes de impedir que invasores enviem e-mails que parecem vir do seu domínio:
-
SPF (Sender Policy Framework) — especifica quais servidores de e-mail estão autorizados a enviar e-mails para seu domínio.
-
DKIM (DomainKeys Identified Mail) — assina criptograficamente os e-mails enviados para que os destinatários possam verificar se eles realmente vieram do seu domínio.
-
DMARC (Autenticação, Relatórios e Conformidade de Mensagens Baseadas em Domínio) — instrui os servidores de e-mail destinatários sobre como lidar com mensagens que falham nas verificações SPF/DKIM e oferece visibilidade sobre remetentes não autorizados.
Revise seus relatórios DMARC regularmente para detectar o uso não autorizado do seu domínio.
-
Mantenha os sistemas operacionais, navegadores e plug-ins atualizados.
-
Use um software antivírus ou de proteção de terminais confiável.
-
Ative a criptografia de disco em todos os dispositivos usados para gerenciar sites de clientes.
-
Limite as extensões do navegador às confiáveis e necessárias — extensões maliciosas são um vetor comum de roubo de credenciais.
Como os ataques de phishing podem atingir seus clientes fingindo ser sua empresa, recomendamos:
-
Diga aos seus clientes o que você fará e o que não fará. Informe a eles que você nunca solicitará senhas ou informações de pagamento por e-mail.
-
Incentive os clientes a verificarem antes de agir. Se receberem um e-mail inesperado que pareça vir da sua empresa, eles devem entrar em contato diretamente com você usando um número de telefone ou e-mail conhecido, não por meio de links na mensagem suspeita.
-
Peça aos clientes que encaminhem e-mails suspeitos para que você possa avaliar, denunciar e alertar outros clientes, se necessário.
-
Altere todas as senhas das contas afetadas imediatamente.
-
Entre em contato com seu registrador de domínio para proteger o acesso ao domínio e ativar bloqueios no nível do registrador.
-
Execute uma verificação completa de malware/antivírus em qualquer dispositivo que possa ter interagido com o conteúdo de phishing.
-
Notifique os clientes afetados e aconselhe-os a monitorar contas e entrar em contato com suas instituições financeiras.
-
Informe à Duda em [e-mail/formulário de phishing dedicado] para que possamos acompanhar a campanha e ajudar.
-
Registre uma denúncia junto às autoridades relevantes (por exemplo, FBI IC3 em ic3.gov, FTC em reportfraud.ftc.gov ou seu equivalente local).
Este guia é fornecido apenas para fins informativos como um recurso para clientes da Duda. Não constitui aconselhamento jurídico, de cibersegurança ou profissional. A Duda não faz representações ou garantias em relação à integridade ou eficácia dessas recomendações e não assume nenhuma responsabilidade pelas ações de agentes de ameaças terceirizados ou por quaisquer perdas decorrentes de campanhas de phishing, acesso não autorizado