Como o golpe funciona
O cliente recebe um e-mail que parece ser da sua empresa, com o seu nome, o seu logotipo e um boleto ou uma chave Pix. Ele paga, mas o dinheiro vai para o golpista. Às vezes o e-mail sai de um endereço parecido com o seu; às vezes sai do seu próprio domínio, porque ele não está protegido; e às vezes sai de uma conta verdadeira da empresa que foi invadida.
Mesmo quando a empresa não tem culpa direta, quem perdeu o dinheiro associa o prejuízo ao seu nome. E a confiança é o que mais demora a voltar.
SPF, DKIM e DMARC em linguagem simples
- SPF: uma lista pública de quais servidores podem enviar e-mail em nome do seu domínio.
- DKIM: uma assinatura digital em cada e-mail, que prova que ele saiu mesmo de você e não foi alterado.
- DMARC: a regra que diz ao provedor do cliente o que fazer quando um e-mail falha nas duas checagens acima (entregar, mandar para o spam ou rejeitar) e para onde enviar relatórios.
Sem esses três configurados, fica muito mais fácil alguém mandar e-mail "de" contato@suaempresa.com.br sem ter acesso à sua conta. Com DMARC em modo de rejeição, a maioria dos provedores grandes bloqueia essas mensagens.
Checklist para a sua empresa
- 01Verifique o seu domínio na ferramenta gratuita de segurança de e-mail e veja se SPF, DKIM e DMARC estão configurados.
- 02Configure o DMARC começando em modo de monitoramento e avance para quarentena e rejeição quando os relatórios estiverem limpos.
- 03Ative a verificação em duas etapas em todas as contas de e-mail da empresa.
- 04Revise quem tem acesso ao e-mail e aos sistemas que emitem boletos, e remova ex-funcionários.
- 05Avise os clientes, no site e nas cobranças, por quais canais você envia boletos e que nunca muda dados bancários por e-mail.
- 06Ofereça um canal oficial para o cliente confirmar um boleto antes de pagar.
Quando vale ir além
Se a sua empresa emite cobrança recorrente, tem portal do cliente ou já teve clientes vítimas desse golpe, vale um teste mais completo: o pentest verifica se o portal expõe dados de cobrança de outros clientes, se a segunda via pode ser manipulada e se há acessos demais à emissão de boletos.
Leia também
Fontes: DMARC.org — Overview