O que é examinado num anexo
- Antivírus: comparação com programas maliciosos conhecidos. Eficaz para o que já circula, menos para um ficheiro fabricado para uma única campanha.
- Macros Office: um documento Word ou Excel que contém código e que pede para «ativar o conteúdo» para o executar. É um esquema antigo, ainda utilizado.
- PDF: scripts, ligações escondidas, formulários que remetem para uma falsa página de início de sessão.
- Ficheiros HTML: um anexo que se abre no navegador e imita uma página de início de sessão, sem passar por um site que se pudesse bloquear.
- Imagens: um código QR que contém uma ligação, ou um texto escondido na imagem para escapar à análise do texto.
Quando um anexo é considerado perigoso, há duas saídas razoáveis: retirar o anexo e entregar a mensagem com uma nota que o explica, ou colocar toda a mensagem em quarentena. Em ambos os casos, o ficheiro não chega ao posto de trabalho.
As ligações: na entrega e, depois, no clique
Uma ligação é analisada na mensagem: reputação do endereço e do domínio, semelhança com uma marca conhecida, domínio criado recentemente. O código QR coloca um problema especial: faz passar a ligação do computador, protegido, para o telemóvel pessoal, que muitas vezes o está menos. Lê-lo na imagem traz essa ligação de volta para o controlo.
Mas uma ligação limpa às 9 horas pode estar armadilhada às 14 horas. Os burlões enviam primeiro uma ligação para uma página inofensiva e mudam a página depois de a mensagem ser entregue. É essa a razão da proteção no clique: a ligação é reescrita para passar por uma verificação no momento em que o utilizador clica. Se a página se tornou perigosa, o clique é travado, mesmo que a mensagem tenha sido entregue.
O caso das ligações de partilha
Cada vez mais mensagens maliciosas não contêm nenhum anexo: remetem para um documento colocado num serviço de partilha de ficheiros conhecido. O domínio da ligação tem então uma excelente reputação, já que é o de um grande serviço. A análise tem de incidir sobre o resto: o remetente é habitual, a mensagem parece uma campanha, a página aberta pede uma palavra-passe? É aí que a verificação no clique e a deteção dos comportamentos invulgares contam mais do que a lista dos domínios perigosos.
Ransomware: o que o gateway pode fazer e o que não pode
O Cybermalveillance.gouv.fr, dispositivo nacional francês de assistência às vítimas, descreve o ransomware como um ataque que bloqueia o acesso a um sistema ou cifra os dados, e por vezes ameaça divulgá-los, em troca de um resgate. O dispositivo nota que a intrusão passa geralmente por uma falha ou por um acesso remoto mal protegido, ou pelo comprometimento de uma conta ou de uma máquina através de phishing ou de um programa malicioso.
O correio eletrónico não é a única porta de entrada, mas a ANSSI designa-o como «o principal vetor de infeção do posto de trabalho» (tradução). O mesmo organismo cita «o envio de anexos maliciosos para explorar as vulnerabilidades de um posto de trabalho para fins de extorsão ou de espionagem» (tradução). É também uma porta de entrada que se pode filtrar antes de chegar à caixa de correio. O desenrolar típico por e-mail:
- uma mensagem com um anexo ou uma ligação;
- uma macro ativada, ou uma palavra-passe introduzida numa página falsa;
- um acesso à rede ou às contas;
- mais tarde, por vezes semanas depois, a cifragem dos ficheiros.
Exemplo, a título ilustrativo. Um colaborador recebe uma «fatura por pagar» em formato Word. O documento mostra uma faixa desfocada e pede para ativar o conteúdo para o ler. Se o fizer, a macro descarrega um programa que dá acesso ao posto de trabalho. Os ficheiros do servidor só serão cifrados mais tarde. Se o anexo for retirado à chegada, esta cadeia não começa; se passar, tudo depende do reflexo de não ativar a macro e, depois, da cópia de segurança.
O gateway atua na primeira etapa. Não vê uma intrusão através de um acesso remoto, nem uma conta já aberta com uma palavra-passe roubada noutro lado. Não restaura nada.
O Cybermalveillance.gouv.fr recomenda cópias de segurança regulares, cópias desligadas, restauros verificados e atualizações aplicadas sem demora. Recomenda também não pagar o resgate. Para os seus ficheiros, a questão é tratada em ransomware: proteger e restaurar a gestão documental.
O que continua a ser um gesto humano
- Não ativar as macros de um documento recebido por e-mail, mesmo que o peça educadamente.
- Não introduzir uma palavra-passe numa página aberta a partir de uma ligação recebida; usar o endereço habitual ou um marcador. O Cybermalveillance.gouv.fr aconselha também a verificar o endereço do site, onde um único carácter pode mudar.
- Não ler um código QR recebido por e-mail para «iniciar sessão».
- Denunciar uma mensagem duvidosa em vez de a eliminar: a denúncia ajuda o filtro e avisa os colegas.
- Não libertar da quarentena uma mensagem que não se esperava, só para ver.
Os limites de qualquer análise
- O ficheiro cifrado pelo remetente: um arquivo protegido por uma palavra-passe indicada na mensagem é ilegível para o filtro. É uma técnica de evasão conhecida; trata-se com uma regra (quarentena, aviso) em vez de com a análise do conteúdo.
- O documento malicioso inédito, sem assinatura conhecida, pode passar o antivírus. Os outros sinais (remetente, contexto, macros) assumem então o controlo, sem garantia.
- A conta legítima comprometida que envia uma verdadeira fatura armadilhada beneficia da confiança no remetente.
- A ligação armadilhada a posteriori passa se ninguém voltar a verificar no momento do clique.
- A mensagem interna trocada entre duas caixas do mesmo serviço de correio, sem sair dele, não passa por um gateway colocado à frente: é o filtro do serviço de correio que a vê, ou ninguém.
A quarentena existe para os casos duvidosos: a mensagem não é entregue nem perdida. Ver Quarentena, falsos positivos e denúncias.
Perguntas frequentes
Um anexo retirado fica perdido?
A mensagem chega com uma nota que explica a remoção. Se o anexo era legítimo, o administrador ou o destinatário recorre à quarentena: ver Quarentena, falsos positivos e denúncias.
Um PDF pode mesmo ser perigoso?
Sim: pode conter scripts ou remeter para uma falsa página de início de sessão. É por isso que é inspecionado como um documento Office.
Porque é que uma ligação verificada ontem é bloqueada hoje?
A página mudou desde a entrega. A proteção no clique avalia a página no momento em que a abre.
Um gateway basta contra o ransomware?
Não. Reduz a entrada pelo correio eletrónico. As atualizações, os acessos remotos e a cópia de segurança fazem o resto. Ver ransomware: proteger e restaurar a gestão documental.
Onde se situa a Klytic
A repartição do Klytic MTA entre as suas duas ofertas, tal como está publicada:
| Análise | Essential | Advanced |
|---|
| Antivírus e quarentena cifrada | Sim | Sim |
| Macros Office e PDF armadilhados | Sim | Sim |
| Anti-phishing, usurpação de marca, códigos QR | Sim | Sim |
| Anexos perigosos retirados, com uma mensagem informativa | Sim | Sim |
| Libertação segura da quarentena e notificações | Sim | Sim |
| Ficheiros HTML armadilhados e texto escondido nas imagens | Não | Sim |
| Ligações reanalisadas no momento do clique | Não | Sim |
O Klytic MTA funciona à frente de qualquer serviço de correio, sem o Klytic Mail. Não substitui a cópia de segurança dos seus ficheiros e das suas caixas de correio: na Klytic, são as cópias de segurança dos próprios serviços, descritas na página segurança e cópia de segurança.
Fontes
Consultadas em outubro de 2026.
- Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?» (Ransomware: o que fazer se a sua organização for vítima de um ataque): definição, modos de intrusão (falhas, acessos remotos, phishing, programa malicioso), cópias de segurança desligadas e testadas, atualizações, não pagar. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (O que fazer em caso de phishing): verificar o endereço de uma ligação e do site antes de introduzir informações. cybermalveillance.gouv.fr
- Klytic, página Klytic MTA: análises dos anexos e das ligações nas ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX. klytic.com
- ANSSI, «Guide d’hygiène informatique» (Guia de higiene informática), versão 2.0, setembro de 2017, medida 24 «Protéger sa messagerie professionnelle» (Proteger o correio eletrónico profissional): «O correio eletrónico é o principal vetor de infeção do posto de trabalho» (tradução). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, referencial de medidas, medida «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Implementar uma solução antispam e antiphishing): «Os sistemas de correio são um dos principais vetores de ataque, por serem muito amplamente utilizados e estarem expostos na Internet» (tradução). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Recomendações relativas à interligação de um sistema de informação à Internet), ANSSI-PA-066, versão 3.0, 19 de junho de 2020, capítulo 5 «Sécurisation du service de messagerie électronique» (Proteção do serviço de correio eletrónico): o correio eletrónico «tornou-se um dos principais vetores de ataque informático» (tradução) (phishing, anexos maliciosos); § 5.2.3, mecanismos antispam e de deteção de conteúdo malicioso «devem ser implementados». messervices.cyber.gouv.fr
