Principais conclusões
- As organizações de infraestruturas críticas não são alvos escolhidos por acaso. São selecionadas deliberadamente, uma vez que o e-mail é praticamente sinónimo de continuidade das atividades. As campanhas contra elas são operações de longo prazo, envolvendo vários intervenientes, que muitas vezes têm início através do e-mail.
- Os atacantes testam as suas cargas maliciosas contra as infraestruturas de segurança das empresas antes de as lançarem. Um ficheiro malicioso que passe pelo seu scanner não é prova de que o ficheiro esteja limpo; é possível que tenha sido concebido para passar pelo seu scanner.
- A segurança baseada na deteção tem uma vulnerabilidade estrutural face a um adversário bem preparado: não consegue reagir a algo com que nunca se tenha deparado anteriormente.
- A defesa em camadas do e-mail constitui a resposta estrutural. Cada camada deteta o que as outras não estão preparadas para detetar. O efeito combinado é simples: aumenta o custo da otimização prévia à implementação para o atacante.
Não se trata de um ataque por e-mail, mas sim de uma campanha
Nenhum profissional de segurança decide tratar as ameaças como eventos isolados. Isso acontece de forma gradual. As taxas de deteção mantêm-se estáveis, os incidentes são resolvidos dentro do prazo e as auditorias são aprovadas sem constatações significativas. Cada dado, por si só, faz sentido, mas, em conjunto, formam um quadro que é totalmente preciso e perigosamente incompleto.
Essa acumulação de confiança constitui, por si só, uma vulnerabilidade. E, no caso das organizações de infraestruturas críticas, trata-se de uma vulnerabilidade que os atacantes exploram deliberadamente, começando pela caixa de entrada, que continua a ser, até hoje, um dos principais vetores de riscos de segurança relacionados com o e-mail.
Quando um grupo patrocinado pelo Estado tem como alvo uma rede de energia, um hospital ou um fornecedor do setor da defesa, isso pode traduzir-se numa campanha que se prolonga por vários anos. Estas campanhas envolvem frequentemente centenas de iterações, tentativas de sondagem e ataques de diversão concebidos para mapear as defesas antes da chegada da verdadeira carga maliciosa. O seu objetivo é a perturbação sustentada, a exposição repetida e o máximo dano à reputação ao longo do tempo. O cálculo do resgate foi feito antes mesmo de enviarem o primeiro e-mail e, o que é pior, os atacantes já sabem que o seu alvo não pode arcar com o tempo de inatividade.
Os autores de ameaças têm motivações e perfis de ataque diferentes, mas têm uma coisa em comum: a escolha dos alvos. As organizações de infraestruturas críticas não são alvo de ataques fortuitos, são selecionadas, e as campanhas contra elas são processos de longo prazo que quase sempre começam por e-mail.
O primeiro passo consiste num anexo malicioso, num link malicioso ou numa tentativa de phishing de credenciais cuidadosamente pesquisada e personalizada, enviada a um engenheiro, a um operador ou a um executivo. E a razão pela qual o e-mail continua a ser o ponto de entrada preferido não é a sofisticação técnica, mas sim a simplicidade matemática. As organizações não conseguem bloquear ou restringir esta via sem perturbar as operações.
Um colaborador, um dia mau, um ficheiro aberto. É essa a condição necessária para o sucesso. Uma campanha que chega a milhares de caixas de entrada em simultâneo precisa apenas de um momento de fraqueza para ter sucesso, e quem defende tem de impedir cada um desses momentos.
Este modelo de campanha já é visível nas infraestruturas críticas dos EUA. Um comunicado conjunto da CISA, da NSA e do FBI confirmou que os autores do ataque «Volt Typhoon» permaneceram infiltrados em algumas redes de TI durante, pelo menos, cinco anos, a fim de se prepararem para potenciais ataques perturbadores ou destrutivos contra a tecnologia operacional.
Nenhum destes intervenientes irá reajustar a sua estratégia só porque um alvo aplicou uma correção mais rapidamente ou contratou mais analistas. Os ataques são uma manobra tática, na maioria das vezes parte de uma estratégia mais ampla.
A postura que daí decorre não é opcional. As organizações responsáveis por infraestruturas críticas devem operar partindo do pressuposto de que uma violação irá ocorrer e preparar-se em conformidade: defesas em camadas em todos os pontos de entrada e uma capacidade de resposta suficientemente próxima para que a contenção comece antes que os danos se agravem.
Os atacantes testam as suas cargas maliciosas antes de as lançarem
Esta prática é generalizada e está documentada. Quer se trate de grupos patrocinados pelo Estado, operadores de ransomware ou organizações criminosas sofisticadas, as cargas úteis passam por um processo de preparação antes de serem enviadas. Os adversários criam réplicas das infraestruturas de segurança das empresas, repetem o processo até que o ficheiro atinja uma pontuação de deteção «limpa» e só então o enviam.
Em 2025, uma operação internacional coordenada desmantelou o AVCheck, um dos maiores serviços de contra-antivírus do mundo, que permitia aos criadores de malware testar se os seus ficheiros seriam detetados antes da sua distribuição. O serviço existia porque a procura por testes de evasão pré-distribuição era suficientemente grande para sustentar uma operação comercial construída em torno dessa atividade.
A segurança baseada na deteção apresenta uma vulnerabilidade estrutural face a um adversário bem preparado. Foi concebida para reconhecer ameaças com as quais já se deparou anteriormente ou que se assemelham muito a algo que já consta do seu histórico. Uma carga útil especificamente concebida para não se enquadrar em nenhuma dessas categorias passa despercebida, uma vez que não fornece à camada de deteção qualquer motivo para agir.
Essa otimização não ocorre uma única vez. Ao longo de anos de iterações e centenas de tentativas de sondagem, cada quarentena e cada bloqueio constituem um feedback que o atacante utiliza para aperfeiçoar a tentativa seguinte. A campanha aprende com as vossas defesas de uma forma que estas não conseguem responder automaticamente. Esta é uma consequência lógica de adotar uma abordagem centrada na deteção contra um atacante que se preparou especificamente para a vossa deteção.
O que isso significa para a forma como constrói as suas linhas de defesa em matéria de segurança de e-mail
O atacante que tenta criar uma réplica da sua pilha de segurança para testar previamente a sua carga maliciosa não consegue replicar facilmente a combinação e a sequência exatas de várias camadas independentes. Essa é a lógica estratégica subjacente à defesa em camadas do e-mail: é mais do que uma cobertura adicional; é uma resposta estrutural que aumenta o custo do processo de otimização pré-implementação do qual o atacante depende.
Esta lógica faz sentido porque cada camada funciona segundo um princípio diferente e capta aquilo que as outras não estão preparadas para ver.
- A segurança Multiscanning aumenta a cobertura ao analisar os anexos em vários motores independentes em simultâneo, tornando insuficiente a otimização da carga útil contra um único motor.
- A função «Content Disarm and Reconstruction» (CDR) remove o conteúdo ativo de todos os ficheiros, independentemente de estes já terem sido analisados anteriormente, o que significa que uma carga útil concebida para contornar a deteção por assinatura continua a ser despojada dos seus componentes ativos.
- A técnica de «sandboxing» revela o comportamento durante a execução, detetando as cargas maliciosas especificamente concebidas para adiar o comportamento malicioso até depois da entrega.
- A análise do URL no momento do clique colmata a lacuna entre a entrega e a utilização maliciosa.
- A Prevenção da Perda de Dados (DLP) no correio eletrónico de saída e interno colmata a lacuna de visibilidade que os controlos aplicados apenas ao correio eletrónico de entrada deixam totalmente em aberto.
Nenhum componente isolado abrange tudo. O que acontece é que, à medida que se vão adicionando camadas, a combinação torna os testes prévios à vossa pilha estruturalmente mais complexos.
Uma ameaça detetada pode indicar apenas que o atacante ainda está a ajustar a sua estratégia. Encarem-na como um sinal, em vez de um indício de que as vossas defesas estão a aguentar. Agir partindo deste pressuposto é simplesmente uma resposta racional ao facto de terem sido alvo de vários tipos de atacantes que conduzem campanhas a longo prazo.
Uma proteção em camadas na porta de entrada do e-mail, medidas de resposta que contenham os danos antes que estes se propaguem e uma abordagem de melhoria contínua que encare cada incidente como informação útil sobre a campanha, em vez de um caso encerrado: é assim que se apresenta uma proteção eficaz para as organizações de infraestruturas críticas.
Agora imagine este tipo de ataque em escala industrial. Imagine que o atacante que antes passava semanas a otimizar uma carga útil para um alvo específico agora consegue fazê-lo para milhares de alvos em simultâneo, em poucas horas. O Relatório de Defesa Digital da Microsoft de 2025 citou um estudo independente que revelou que o phishing impulsionado por IA atingiu uma taxa de cliques de 54%, em comparação com os 12% das campanhas tradicionais, tornando-o 4,5 vezes mais eficaz. É isto que a IA já tornou possível, e é o tema do próximo artigo desta série.
Este blogue é a primeira parte da série «Made to Evade».
As partes 2 e 3 serão publicadas em breve.
