Conheça os golpes de phishing e engenharia social que miram administradores de servidor (falso suporte, falsa fatura, MFA fatigue) e como se proteger.
Para que serve
Muitas invasões de servidores não começam por uma falha técnica, e sim por phishing: alguém da equipe digita a senha do painel em uma página falsa, aprova um login que não pediu ou roda um comando copiado de uma mensagem. Administradores são alvos valiosos porque uma única credencial dá acesso a todas as VMs. Este artigo descreve os golpes mais comuns contra quem administra servidores e as defesas práticas para a sua equipe.
Pré-requisitos
- Lista de quem na empresa tem acesso administrativo (Proxmox, IPMI/iLO, painéis, DNS, área do cliente).
- Gerenciador de senhas e autenticação em dois fatores em uso (veja os artigos desta categoria).
Golpes de phishing mais comuns contra administradores
| Golpe | Como costuma aparecer | O que o golpista quer |
|---|---|---|
| Falso aviso do provedor | "Seu servidor será suspenso por abuso", "fatura em atraso", com link para "regularizar" | Login da área do cliente, cartão ou instalação de malware |
| Falso registro de domínio | "Seu domínio expira hoje", boleto de "renovação" de empresa desconhecida | Pagamento ou login no registrador e no DNS |
| Falso suporte | Ligação ou mensagem pedindo a senha do root, do iLO ou um código 2FA "para resolver o chamado" | Acesso direto ao servidor |
| Página de login clonada | Link para uma cópia do Proxmox, do cPanel ou do Microsoft 365 com domínio parecido | Senha e código TOTP em tempo real |
| Cansaço de MFA (MFA fatigue) | Dezenas de notificações push de aprovação, às vezes seguidas de mensagem "do TI" pedindo para aprovar | Que você aprove por engano |
| Comando ou pacote malicioso | "Rode este script para corrigir", tutorial falso, pacote com nome parecido no npm/PyPI | Execução de código no servidor |
| Fraude do executivo | "Aqui é o diretor, crie um acesso para este consultor agora" | Conta legítima criada por você |
Como reconhecer uma mensagem de phishing
- Urgência e ameaça: "em 2 horas", "último aviso", "suspensão imediata".
- Remetente e link não batem: passe o mouse sobre o link e leia o domínio de trás para frente a partir da primeira
/.login.exemplo.com.br.verifica-conta.toppertence averifica-conta.top. - Pedido fora do processo normal: senha por e-mail, código 2FA por telefone, pagamento em conta diferente.
- Anexos inesperados:
.zip,.iso,.html,.lnk, documentos pedindo para "ativar conteúdo".
Passo a passo: defesas para a sua equipe
- Nunca entre por link recebido. Acesse a área do cliente, o registrador e os painéis sempre pelo favorito salvo ou digitando o endereço. O gerenciador de senhas ajuda: se ele não oferece preencher a senha, o domínio não é o verdadeiro.
- Confirme por outro canal. Pedido estranho de "suporte", de cliente ou de diretor? Confirme pelo canal oficial já conhecido: ticket aberto na área do cliente, grupo de suporte já cadastrado ou telefone que você já tinha. Nunca pelo contato que veio na própria mensagem.
- Não compartilhe segredos por chat ou e-mail. Se alguém realmente precisa de acesso, crie um usuário próprio, temporário e com privilégio mínimo. Não informe códigos 2FA a ninguém, em nenhuma hipótese.
- Use 2FA resistente a phishing nas contas mais críticas: chaves FIDO2/WebAuthn para administradores do Proxmox, do gerenciador de senhas, do e-mail e do DNS. Se usar push, ative a confirmação por número.
- Trate notificação de 2FA não solicitada como incidente. Recusou um push que não pediu? Sua senha já vazou. Troque-a na hora.
- Leia antes de executar. Não rode
curl ... | bashde fontes que não sejam oficiais. Baixe o script, leia, e confira o endereço de onde ele veio. Copie comandos apenas da documentação oficial. - Proteja o seu domínio de e-mail contra falsificação com SPF, DKIM e DMARC. Isso dificulta que golpistas enviem mensagens em nome da sua empresa para os seus clientes. Comece com DMARC em modo de monitoramento:
Depois de analisar os relatórios, evolua para_dmarc.exemplo.com.br. TXT "v=DMARC1; p=none; rua=mailto:dmarc@exemplo.com.br"p=quarantineep=reject. - Separe a conta administrativa da conta do dia a dia. O e-mail e o navegador onde você lê mensagens não devem ser os mesmos em que você está logado como administrador do servidor.
- Treine com exemplos reais. Reserve alguns minutos por mês para mostrar à equipe golpes que chegaram. A Cartilha de Segurança para Internet do CERT.br tem fascículos gratuitos sobre golpes que servem de material.
- Defina como reportar. Um endereço ou canal interno onde qualquer pessoa avisa "cliquei em algo estranho" sem medo de punição. Quanto antes você souber, menor o estrago.
Se alguém caiu no golpe
- Troque imediatamente a senha exposta e as senhas iguais ou parecidas usadas em outros lugares.
- Encerre sessões ativas (no Proxmox, troque a senha; em painéis e e-mail, use "sair de todos os dispositivos") e revogue tokens de API.
- Revise logins recentes e alterações: usuários novos, chaves SSH adicionadas, regras de encaminhamento de e-mail, registros DNS alterados.
- Se foi executado algum arquivo ou comando, isole a máquina e investigue (veja o artigo sobre detecção de intrusão).
- Notifique a origem do golpe: o CERT.br publica orientações de como reportar incidentes e phishing.
Como saber se funcionou
- Todas as contas administrativas críticas têm 2FA, e as principais usam chave FIDO2.
- Existe um procedimento escrito de confirmação por segundo canal para pedidos de acesso, pagamentos e mudanças urgentes.
- Seu domínio publica registros SPF, DKIM e DMARC válidos (confira com
dig TXT _dmarc.exemplo.com.br +short). - A equipe sabe para onde reportar uma mensagem suspeita.
Problemas comuns
- "O e-mail veio do domínio certo": contas legítimas também são invadidas e usadas para enviar golpes. O que vale é o pedido fora do padrão.
- Equipe aprova push por hábito: troque para confirmação por número ou para chave FIDO2.
- DMARC em
rejectbloqueou e-mails legítimos: algum serviço (ERP, CRM, plataforma de e-mail marketing) envia em nome do domínio sem estar no SPF/DKIM. Volte parap=nonee ajuste.
Perguntas frequentes
O suporte do provedor pode pedir minha senha?
Pode, em alguns casos. A E-Consulters não faz gerência de servidor, mas ajuda clientes que pedem apoio, e às vezes isso exige acesso. Faça assim: o pedido de ajuda deve partir de você, num ticket aberto na Central do Cliente ou no seu grupo de WhatsApp já cadastrado; prefira criar um usuário temporário em vez de passar a senha principal; e troque a senha ou remova o usuário assim que o atendimento terminar. Se alguém pedir sua senha sem que você tenha aberto um chamado, desconfie e confirme pelos canais oficiais.
Um código TOTP protege contra página falsa?
Não totalmente: a página falsa pode repassar o código em tempo real. Chaves FIDO2/WebAuthn resistem a isso porque só respondem ao domínio verdadeiro.
Antivírus no computador do administrador ajuda?
Ajuda contra anexos maliciosos, mas não contra páginas falsas de login. Combine com 2FA e com o hábito de não entrar por links.
Leitura complementar
- Cartilha de Segurança para Internet (CERT.br)
- CISA: Phishing Guidance
- CERT.br: notificação de incidentes
Precisa de ajuda?
Se recebeu uma mensagem em nome da E-Consulters e tem dúvida se é legítima, não clique: abra um ticket pela área do cliente ou fale com o suporte 24/7 pelos canais que você já conhece.
