Capítulo 3 — E-mail, fraude e pessoas

Capítulo 3 — E-mail, fraude e pessoas

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["3.1 Sinais de phishing"]
  N1["3.2 Fraude de faturas"]
  N2["3.3 A regra em ação"]
  N3["3.4 Treinamento curto"]
  N4["3.5 Comunicação sem culpa"]
  N5["Conceitos — sinal, canal e relato"]
  N6["Dados — uma tentativa de pagamento e o ritmo do trei"]
  N7["Fluxo de decisão — uma mensagem pede dinheiro ou um"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["3.1 Sinais de phishing"]
  N1["3.2 Fraude de faturas"]
  N2["3.3 A regra em ação"]
  N3["3.4 Treinamento curto"]
  N4["3.5 Comunicação sem culpa"]
  N5["Conceitos — sinal, canal e relato"]
  N6["Dados — uma tentativa de pagamento e o ritmo do trei"]
  N7["Fluxo de decisão — uma mensagem pede dinheiro ou um"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX055"]

[3.1 Sinais de phishing]
    |
    v
[3.2 Fraude de faturas]
    |
    v
[3.3 A regra em ação]
    |
    v
[3.4 Treinamento curto]
    |
    v
[3.5 Comunicação sem culpa]
    |
    v
[Conceitos — sinal, canal e relato]
    |
    v
[Dados — uma tentativa de pagamento e o ritmo do trei]
    |
    v
[Fluxo de decisão — uma mensagem pede dinheiro ou um]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) reconhecer o phishing e a fraude de faturas; (2) definir uma regra de verificação de pagamentos; (3) criar um hábito curto e sem culpa de comunicação.

3.1 Sinais de phishing

O Sr. Nowak mostra à turma os sinais comuns de phishing: um endereço de remetente que não corresponde ao nome mostrado, uma urgência inesperada, um link cujo destino real difere do texto e pedidos de senhas ou pagamentos. Sofia escolhe três e-mails recentes da caixa de entrada da clínica sobre os quais a equipe tinha perguntado e os examina com a equipe da recepção. Um alegava vir de uma transportadora e levava a um endereço parecido. O Sr. Nowak insiste que nenhuma lista pega tudo, por isso o hábito de parar e conferir importa mais do que decorar os sinais.

3.2 Fraude de faturas

As pequenas empresas são alvos frequentes de mensagens que alegam que um fornecedor mudou os dados bancários. A Hollybank paga um distribuidor de medicamentos, um laboratório e vários fornecedores de equipamentos. Sofia combina uma regra com a Dra. Moss: qualquer pedido de mudança de dados bancários é conferido ligando para o fornecedor num número já cadastrado, nunca num informado na mensagem, e uma segunda pessoa aprova a mudança. O Sr. Nowak explica que essa única regra impede a maior parte das fraudes de faturas, seja qual for a aparência do e-mail, porque o criminoso não consegue atender o telefone no escritório do fornecedor verdadeiro.

3.3 A regra em ação

Duas semanas depois, o escritório recebe um e-mail aparentemente do fornecedor de equipamentos, com um número de fatura correto e o pedido de pagar numa conta nova antes do fim do dia. A assistente do escritório segue a regra e liga para o fornecedor no número que consta nos registros da clínica. O fornecedor não enviou mensagem alguma e diz que sua própria caixa postal pode ter sido comprometida. A clínica não paga nada à conta nova. Sofia registra a tentativa, encaminha o e-mail ao fornecedor e agradece à assistente na frente da equipe.

3.4 Treinamento curto

Sofia conduz uma sessão de dez minutos na reunião semanal da equipe, usando dois exemplos sintéticos parecidos com os e-mails da clínica, um sobre uma encomenda e outro sobre um pedido de reembolso de seguro para animais. A equipe encontra os sinais em conjunto e combina o que fazer. O Sr. Nowak desaconselha treinamentos anuais longos para uma clínica desse tamanho; sessões curtas, regulares e relevantes são mais lembradas. Sofia planeja um tema curto por mês, escolhido entre as perguntas que a equipe fez, e mantém uma lista dos temas tratados para que os novos funcionários possam se atualizar na primeira semana.

3.5 Comunicação sem culpa

Sofia cria um único meio de comunicar qualquer coisa suspeita: encaminhar para ela ou avisá-la no balcão. A Dra. Moss diz à equipe que ninguém será criticado por clicar num link ou cometer um erro, desde que comunique depressa, porque as comunicações precoces tornam os problemas menores. Em uma semana, uma recepcionista comunica que digitou a senha numa página que parecia estranha. Sofia redefine a senha na mesma manhã e confere a conta, sem encontrar uso indevido. O Sr. Nowak observa que o segundo fator também teria bloqueado uma entrada com aquela senha.

Exemplo resolvido

Sofia ensina os sinais de phishing, define uma regra de ligação de volta que barra uma tentativa sintética de fraude de faturas, conduz sessões mensais de dez minutos e recebe uma comunicação rápida e sem culpa de uma senha digitada.

Caso sintético. Os e-mails e os fornecedores são sintéticos.

Erros e limites

Ligar para o número de uma mensagem suspeita leva ao criminoso, e não ao fornecedor.

Conceitos — sinal, canal e relato

Um e-mail suspeito não é um único truque. A Hollybank separa a aparência da mensagem, o canal autorizado a mudar dinheiro e o modo como uma pessoa relata um erro.

A regra do telefonema não depende de quão convincente é o texto. O criminoso consegue copiar um número de fatura. O criminoso não atende o telefone do fornecedor real. Ligar para o número impresso na mensagem derruba a regra, porque esse telefone é do remetente da fraude.

Dados — uma tentativa de pagamento e o ritmo do treinamento

Fluxo de decisão — uma mensagem pede dinheiro ou um segredo

flowchart TD
  A["Uma mensagem pede dinheiro, uma conta nova ou uma senha"] --> B{"O pedido é uma mudança de dados bancários?"}
  B -->|Sim| C["Não use nenhum número escrito na mensagem"]
  C --> D["Telefone ao fornecedor no número que já está guardado"]
  D --> E{"O fornecedor confirma a mudança?"}
  E -->|Não| F["Não pague. Registre a tentativa. Avise o fornecedor. Agradeça quem ligou"]
  E -->|Sim| G["Uma segunda pessoa aprova. Depois escreva a mudança no log"]
  B -->|Não| H{"Alguém já digitou uma senha ou abriu o link?"}
  H -->|Sim| I["Redefina a senha na mesma manhã e confira a conta"]
  H -->|Não| J["Encaminhe a mensagem a Sofia ou avise no balcão"]
  I --> K["Sem crítica. O relato rápido é o sucesso"]
  J --> K

Exemplo resolvido — o laboratório muda de conta numa terça

Na terça, um e-mail cita uma fatura real do laboratório e diz que a conta bancária muda hoje. A auxiliar do escritório quase liga para o celular da assinatura. Sofia interrompe essa ligação. O número guardado é o da mesa de contas do laboratório, tirado do extrato do mês passado. A mesa diz que não enviou mudança alguma. A clínica paga a conta original e nada à conta nova. Uma segunda pessoa estava pronta para aprovar, e não aprova. Sofia escreve a tentativa no log e agradece a auxiliar na sessão de dez minutos seguinte, usando o episódio como tema do mês.

Caso sintético. A mensagem de terça e a mesa do laboratório são inventadas. A regra é a mesma do episódio do fornecedor de equipamentos.

Aplicar

• EX055 — Ligação de terça. Qual número pode ser usado, o que a segunda pessoa pode aprovar e quanto se paga antes da ligação ao número guardado? Rubrica: 3 = só o número já guardado; a segunda pessoa não aprova nada até essa ligação confirmar a mudança; nada é pago antes da ligação;; 2 = o número guardado e o pagamento zero;; 1 = um desses;; 0 = nenhuma.
• EX056 — Senha digitada, mesma manhã. Liste as três ações que seguem um relato rápido de senha digitada e o que a Dra. Moss prometeu. Rubrica: 3 = redefinir naquela manhã, conferir a conta, lembrar que o segundo fator bloquearia uma entrada posterior; sem crítica porque o relato foi rápido;; 2 = redefinir e conferir, sem a promessa;; 1 = uma ação;; 0 = nenhuma.

Exercícios

• EX027 — Quatro sinais. Cite dois sinais de phishing. Rubrica: 3 = remetente que não corresponde, urgência, link estranho, pedido de senha ou pagamento;; 2 = dois;; 1 = um;; 0 = nenhuma.

• EX028 — E-mail da transportadora. Para onde levava o link do e-mail da transportadora? Rubrica: 3 = um endereço parecido;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX029 — Hábito principal. O que importa mais do que decorar os sinais? Rubrica: 3 = parar e conferir;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX030 — Regra bancária. Qual é a regra para mudanças de dados bancários? Rubrica: 3 = ligar para um número conhecido, segunda aprovação;; 2 = as duas;; 1 = uma;; 0 = nenhuma.

• EX031 — Por que funciona. Por que a regra da ligação de volta impede a fraude? Rubrica: 3 = o criminoso não atende o telefone do fornecedor verdadeiro;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX032 — Fatura falsa. De qual fornecedor o e-mail falso se fazia passar? Rubrica: 3 = o fornecedor de equipamentos;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX033 — Desfecho. Quanto a clínica pagou à conta nova? Rubrica: 3 = nada; o pedido foi recusado depois da ligação;; 2 = nada, sem dizer por quê;; 1 = errado;; 0 = sem resposta.

• EX034 — Duração do treinamento. Quanto dura cada sessão com a equipe? Rubrica: 3 = dez minutos;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX035 — Origem dos temas. Como são escolhidos os temas mensais? Rubrica: 3 = pelas perguntas da equipe;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX036 — Via de comunicação. Como a equipe comunica algo suspeito? Rubrica: 3 = encaminha a Sofia ou a avisa;; 2 = parcialmente correto;; 1 = parcial;; 0 = nenhuma.

• EX037 — Promessa da dona. O que a Dra. Moss prometeu à equipe? Rubrica: 3 = nenhuma crítica para comunicações rápidas;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX038 — Senha digitada. O que Sofia fez sobre a senha digitada? Rubrica: 3 = redefiniu-a e conferiu a conta;; 2 = os dois;; 1 = um;; 0 = nenhuma.

Continue estudando — aula 03 (capítulo 03 de 04)

← Capítulo 02 · Índice das aulas · Capítulo 04 →

Continue para a próxima aula já escrita.