Google alerta que os atacantes de retalhistas britânicos estão a voltar a atenção para os Estados Unidos

O que aconteceu

Em maio de 2025 a Google indicou que agentes ligados aos ataques contra grandes cadeias de retalho britânicas, como Marks & Spencer e Co-op, estavam a direcionar a sua atenção para empresas dos Estados Unidos, e destacou a utilização de técnicas de engenharia social como principal método de entrada.

Segundo a Google, o padrão habitual consistia em fazer-se passar por funcionários legítimos perante o help desk ou os serviços de suporte para conseguir a reposição de palavras-passe ou o registo de novos fatores de autenticação.

O que significa para uma média empresa

O aviso confirma que estes grupos não se limitam a um setor nem a um país: mudam de alvo quando encontram resistência. A técnica que utilizam não exige uma vulnerabilidade técnica, mas sim convencer uma pessoa com capacidade para repor acessos.

Isto transfere boa parte da responsabilidade pela segurança para os processos de suporte, internos ou externos, que devem verificar a identidade de quem liga com o mesmo rigor que exigiriam para conceder acesso de raiz.

O que convém rever

Medidas que reduzem a eficácia da engenharia social contra o suporte:

• Procedimento reforçado de verificação de identidade antes de repor palavras-passe ou fatores de autenticação.
• Formação específica das equipas de suporte sobre técnicas conhecidas de usurpação de identidade.
• Autenticação de dois fatores resistente ao phishing nos acessos administrativos e de suporte.
• Registo e revisão periódica dos pedidos de reposição de acesso.

Perguntas frequentes

¿Que grupos estão por detrás destes ataques?

A Google não atribuiu publicamente os ataques a um único grupo com detalhe suficiente para o identificar aqui; o aviso centrou-se na deslocação da atividade para empresas norte-americanas e no padrão de engenharia social.

¿Porque se fala de engenharia social e não de uma falha técnica?

Porque o acesso foi obtido convencendo elementos da equipa de suporte a repor credenciais, e não explorando uma vulnerabilidade de software.

¿O que pode fazer uma empresa que não seja um grande retalhista?

Aplicar o mesmo rigor na verificação de identidade no seu próprio suporte, seja interno ou subcontratado, e exigir autenticação de dois fatores resistente ao phishing.