Exemplo de phishing com boleto falso: como reconhecer
Chega como um aviso de um fornecedor: um boleto vencido, um valor exato e a ameaça de suspender o serviço. O anexo não é um PDF. É uma página que imita o login do e-mail e fica com a senha de quem abre.
Prezados,
O boleto nº 00018342, no valor de R$ 4.863,20, está em atraso há 15 dias. Se não for pago hoje até as 17h, o serviço será suspenso (Sinal 3) e haverá multa e juros.
O boleto segue em anexo. Para visualizá-lo, faça login com a sua conta de e-mail corporativo (Sinal 4).
Atenciosamente,
Departamento de Cobrança
Cinco sinais que denunciam o boleto falso
O domínio não é o do seu fornecedor
O nome exibido diz “Serviços Integrados”, mas o endereço termina num domínio parecido e desconhecido. Compare com boletos anteriores do mesmo fornecedor: o domínio real não muda de um mês para o outro.
Urgência no assunto
Letras maiúsculas, “vencido” e “suspensão” na mesma linha querem que você aja antes de pensar. Um fornecedor com um atraso real cobra, mas não dá horas para resolver.
Uma ameaça com prazo
O prazo de hoje às 17h existe para que você não confira. Se o serviço é crítico, ligue para o fornecedor no número que você já tem, não no que aparece no e-mail.
Um boleto que pede login
Um PDF abre sem senha. Se ver um boleto leva você a uma tela de login do e-mail, o alvo é a sua conta, não o pagamento.
A extensão dupla do anexo
“.pdf.html” é uma página da web disfarçada de PDF, com apenas 3 KB. Ao abrir, mostra um formulário de login falso que envia o que você digitar para outro servidor.
O que fazer se chegar até você
- Não abra o anexo nem responda ao e-mail.
- Procure o fornecedor no seu sistema de compras ou em boletos anteriores e ligue para um número que você já tenha.
- Reporte à segurança com o botão de reporte ou encaminhando como anexo, para que o remetente seja bloqueado em todas as caixas.
- Se o boleto parece real, peça que contas a pagar o processe pelo fluxo de sempre.
Se você já abriu o anexo
- Se digitou a senha, troque-a pelo portal de sempre (não pelo e-mail) e avise a TI para encerrar as sessões abertas.
- Avise a segurança mesmo que não tenha digitado nada: saber quem abriu o arquivo ajuda a revisar o equipamento a tempo.
- Se pagou por Pix, avise o banco na hora e peça a abertura do MED, o Mecanismo Especial de Devolução do Banco Central.
A mesma armadilha em outros canais
Com um boleto de verdade, mas adulterado
Em outra versão o PDF é real, mas o código de barras leva o pagamento para outra conta. Antes de confirmar, confira no app do banco se o nome do beneficiário é o do fornecedor.
Com um QR Code Pix
O aviso traz um QR Code Pix “para pagar com desconto”. A tela de confirmação do banco mostra quem recebe: se o nome não é o do fornecedor, não pague.
Pelo WhatsApp
O mesmo aviso de dívida chega a um número pessoal com um link para “baixar o boleto”. Para mostrá-lo, o link pede o usuário e a senha do e-mail corporativo.
Perguntas sobre boletos falsos por e-mail
Outros golpes para reconhecer
A sua equipe de contas a pagar abriria o anexo?
A Whalemate simula phishing por e-mail de forma nativa, com iscas de cobrança como esta em português, espanhol e inglês. Quem abre o anexo ou digita a senha recebe um treinamento curto sobre o sinal que não viu, e a analítica mostra quais áreas concentram o risco.