A segurança do email no Microsoft 365 vem ligada de origem, mas foi desenhada para apanhar o que é claramente lixo: spam, vírus conhecidos, links já identificados como perigosos. Os ataques que hoje custam dinheiro às empresas portuguesas são outros. Chegam bem escritos, muitas vezes de uma caixa de correio legítima, e pedem uma coisa banal — pagar uma fatura ou “confirmar a sua palavra-passe”.
Segundo dados do Centro Nacional de Cibersegurança (CNCS) divulgados em 2026, o CERT.PT registou 3.864 incidentes em 2025, mais 40% do que no ano anterior. A fraude por email que se faz passar por um administrador ou fornecedor valeu, sozinha, 18% dos incidentes de engenharia social notificados.
O que a proteção de base faz — e o que não consegue fazer
O filtro do Microsoft 365 é bom naquilo para que foi feito: compara cada mensagem com o que já se sabe ser perigoso. Um vírus conhecido fica retido; um servidor de spam conhecido nem chega à caixa de entrada.
O que não consegue avaliar é a intenção. Um email enviado da conta real de um fornecedor a dizer “mudámos de banco” passa todos os testes técnicos: não tem vírus nem link suspeito, e vem de onde diz que vem.
Ataque 1: a fatura com o IBAN alterado
É o ataque mais caro e o mais simples: o criminoso entra na caixa de correio de um fornecedor (ou da sua própria empresa), lê as conversas durante semanas e espera por uma fatura grande. Nesse momento, responde no mesmo fio de conversa: “Atenção, a partir deste mês o pagamento deve ser feito para o novo IBAN em anexo.”
Variante frequente: um domínio com uma letra trocada. À pressa, ninguém repara.
O que trava este ataque não é tecnologia sofisticada. É uma regra escrita: nenhuma alteração de dados bancários é aceite por email. Confirma-se sempre por telefone, para um número que já estava na ficha do fornecedor — nunca para o que vem na mensagem. Explicámos o processo completo no artigo sobre fraude por email e faturas alteradas.
Ataque 2: a página falsa do Microsoft 365
Chega um email a dizer que há “um documento partilhado consigo” ou que “a sua caixa de correio está cheia”. O link abre uma página igual ao ecrã de entrada do Microsoft 365, com o logótipo e as cores certas. A pessoa escreve o email e a palavra-passe. Pronto: o criminoso tem a conta.
O passo seguinte é discreto: uma regra na caixa de correio que reencaminha para fora as mensagens com “fatura” ou “pagamento”, ou as esconde numa pasta que ninguém abre. É assim que nasce o ataque 1, a partir da sua própria empresa.
Em linguagem simples: a autenticação multifator é o segundo cadeado. Mesmo que alguém fique com a palavra-passe, precisa também do telemóvel do colaborador para entrar. É a medida que, sozinha, mais reduz o roubo de contas.
Ataque 3: o anexo ou o código QR
Como os filtros analisam cada vez melhor os links, os atacantes mudaram de formato: um PDF com um código QR “para assinar o documento”, uma imagem em vez de texto, um anexo protegido por palavra-passe que o filtro não consegue abrir.
O código QR leva a pessoa a abrir o link no telemóvel pessoal, fora das proteções da empresa. A página que se abre é, quase sempre, outra versão do ataque 2.
O que trava estes ataques
Nenhuma destas medidas exige comprar uma marca específica: são configurações do Microsoft 365 e regras internas.
| Medida | Que ataque trava | Em linguagem simples |
|---|---|---|
| Autenticação multifator em todas as contas | 2 e 3 | Palavra-passe roubada deixa de chegar para entrar. |
| Bloquear o reencaminhamento automático para fora | 1 e 2 | Uma conta comprometida não consegue enviar os seus emails, em silêncio, para o exterior. |
| SPF, DKIM e DMARC no seu domínio | 1 | Quem receber um email falso “da sua empresa” consegue detetá-lo e rejeitá-lo. |
| Confirmação por telefone de dados bancários | 1 | Nenhum IBAN muda por email. Ponto final. |
| Formação curta e regular | 1, 2 e 3 | As pessoas reconhecem o padrão: urgência, segredo, link para “confirmar”. |
Reencaminhamentos: não deixe a decisão ao sistema
No Microsoft 365, a política que controla o reencaminhamento automático para endereços externos vem, por defeito, em modo “automático, controlado pelo sistema”. A própria Microsoft recomenda definir explicitamente se está ligado ou desligado, porque o comportamento pode variar entre organizações. Para a maioria das PME, a resposta certa é desligado, com exceções aprovadas caso a caso.
SPF, DKIM e DMARC, explicados sem jargão
São três registos técnicos no seu domínio que provam que um email “da sua empresa” é mesmo da sua empresa.
Em linguagem simples: o SPF é a lista de quem está autorizado a enviar emails em seu nome. O DKIM é um selo que prova que a mensagem não foi alterada pelo caminho. O DMARC diz a quem recebe o que fazer quando algo não bate certo — rejeitar, pôr em quarentena ou só avisar — e envia-lhe relatórios de quem anda a usar o seu nome.
A Microsoft é clara: usar só uma parte destes métodos resulta numa proteção insuficiente. Faz-se por fases: primeiro inventariar todos os serviços que enviam email em seu nome (faturação, newsletter, CRM), depois apertar a política. Feito à pressa, o DMARC pode bloquear as suas próprias faturas.
A base de tudo é a autenticação multifator em todas as contas. E antes de comprar o que quer que seja, confirme que funções de segurança já inclui a sua licença do Microsoft 365.
DataRoad IT Unlimited
Fale com a DataRoad. Avaliamos a sua operação e propomos o plano certo.
Um caso real: 50 caixas de correio migradas para o Microsoft 365
A União das Freguesias de Massamá e Monte Abraão escolheu a DataRoad, por concurso público, para migrar cerca de 50 caixas de correio para o Microsoft 365 (Exchange Online). O projeto incluiu a transferência integral de emails, estrutura e dados, e a reconfiguração dos postos de trabalho e dos telemóveis, com validação no fim.
A lição: uma migração é o momento certo para deixar a segurança definida de raiz. Configurar 50 caixas de correio uma vez, com as regras certas, custa muito menos do que corrigi-las uma a uma depois de um incidente.
Por onde começar amanhã
Confirme que todas as contas — incluindo as partilhadas e as de administração — têm autenticação multifator. Peça a lista de reencaminhamentos ativos: qualquer regra para um endereço externo que ninguém saiba explicar é um alarme. Verifique em que modo está o DMARC do seu domínio, escreva a regra de confirmação por telefone e marque uma sessão para treinar as equipas contra phishing.
Perguntas frequentes
O Microsoft 365 não tem já proteção de email incluída?
Tem, e é boa para spam e malware conhecidos. Não trava emails legítimos enviados de contas comprometidas nem pedidos de pagamento bem escritos. Essas falhas fecham-se com configuração (autenticação multifator, reencaminhamentos, SPF, DKIM e DMARC) e com regras internas.
Preciso de comprar outra ferramenta de segurança de email?
Nem sempre. Em muitas PME, o maior ganho vem de configurar bem o que a licença já inclui. Ferramentas adicionais fazem sentido depois dessa base, consoante o risco e o setor.
Como sei se o meu domínio tem DMARC?
Pode pedir ao seu fornecedor de IT a leitura dos registos SPF, DKIM e DMARC do domínio. Se o DMARC não existir ou estiver apenas em modo de observação, qualquer pessoa consegue enviar emails que parecem vir da sua empresa com menos obstáculos.
Um colaborador introduziu a palavra-passe numa página falsa. O que fazer?
Mude a palavra-passe de imediato, termine todas as sessões ativas, confirme que a autenticação multifator está ativa e reveja as regras da caixa de correio e os reencaminhamentos criados nos últimos dias. Avise a contabilidade para suspender pagamentos com alterações recentes de IBAN.
Diagnóstico ao email Microsoft 365 em 5 dias úteis
Verificamos autenticação multifator, reencaminhamentos, regras de caixas de correio e SPF, DKIM e DMARC, e entregamos as correções por ordem de prioridade. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A gestão contínua está incluída nos planos IT Unlimited Premium e no serviço de Microsoft 365 para empresas, como parte da nossa cibersegurança gerida.
Fontes
- Renascença — Alerta do CNCS: fraude do “falso CEO” representou 18% dos incidentes de engenharia social notificados ao CERT.PT em 2025
- Lusa / DNoticias — Dados do CNCS: 3.864 incidentes registados pelo CERT.PT em 2025 (+40%)
- Microsoft Learn — Email authentication in Microsoft 365 (SPF, DKIM e DMARC)
- Microsoft Learn — Controlo do reencaminhamento externo de email no Microsoft 365
