Como são verificados os anexos: o que existe e para que serve

Um anexo faz muito caminho antes de chegar aos teus olhos, e é ao longo desse caminho que se decide como são verificados os anexos. Passa pelos servidores do serviço de correio, atravessa controlos automáticos, às vezes é aberto numa sala fechada para se ver como se comporta e, quando o descarregas, encontra as defesas do programa que o abre e do sistema operativo. Quase tudo acontece em silêncio.

Conhecer esse percurso serve para duas coisas: deixar ativas as proteções que já tens, sem as desligar por comodidade, e perceber onde param. Nenhum controlo automático é infalível, e há sempre um último passo que cabe a uma pessoa.

Este artigo põe em fila as tecnologias envolvidas, com vantagens e limites reais, sem indicar produtos concretos. É o complemento tecnológico da recomendação sobre os anexos de origem desconhecida: a regra diz-te o que fazer, estas ferramentas mostram o que já está a ser feito por ti antes de lá chegares.

Nota de variante: este texto está em português europeu. Onde se lê ficheiro, no Brasil diz-se arquivo; definições são configurações e telemóvel é celular.

Como são verificados os anexos, função a função

As tecnologias estão organizadas em quatro funções, as mesmas usadas no artigo sobre o que fazer depois de um anexo suspeito:

• prevenção — evitar que um ficheiro nocivo chegue ou consiga agir;
• deteção — perceber que um ficheiro não é o que parece;
• resposta — isolar o problema e repor as coisas no lugar;
• governação — manter a ordem ao longo do tempo, sobretudo quando há mais de um dispositivo e mais de uma pessoa.

Para cada uma encontras o risco que reduz, as vantagens, os limites honestos e a complexidade de utilização.

Há uma ideia que atravessa toda a lista: estas defesas funcionam por camadas. Cada uma trava uma parte dos ficheiros perigosos; é a soma das camadas, e não um controlo isolado, que torna improvável que um anexo nocivo chegue até ao fim.

1. Tecnologias de prevenção

Filtros do serviço de correio

Os controlos que o serviço de correio aplica a cada anexo antes de o entregar na tua caixa.

• Risco reduzido: anexos com software malicioso (malware) já conhecido, formatos de ficheiro perigosos, mensagens de remetentes com má reputação.
• Vantagens: trabalham sobre todas as mensagens, sem teres de os ativar; comparam o ficheiro com as assinaturas dos programas maliciosos conhecidos (uma assinatura é a marca que identifica um programa nocivo já visto); muitos serviços recusam ficheiros executáveis, isto é, programas que arrancam com um duplo clique, mesmo dentro de um ficheiro comprimido; aprendem com as denúncias de quem usa o serviço.
• Limites: reconhecem melhor o que já foi visto; um ficheiro comprimido protegido por palavra-passe não pode ser inspecionado; se o «anexo» é uma ligação para um ficheiro alojado noutro sítio, na mensagem não há nada para analisar; uma mensagem vinda da conta comprometida de alguém que conheces herda a boa reputação dessa pessoa.
• Exemplo de uso: uma falsa fatura em formato executável nunca chega à tua caixa: o serviço bloqueia-a.
• Complexidade: básica (já está ativa).

Análise em ambiente isolado (sandbox)

Uma sandbox é um computador «descartável», separado de tudo o resto, onde o ficheiro é aberto para se observar o que faz. Se tentar descarregar mais alguma coisa ou alterar o sistema, é bloqueado antes de chegar a ti.

• Risco reduzido: ficheiros nocivos novos, que ainda não têm uma assinatura conhecida.
• Vantagens: julga o ficheiro pelo que faz, e não pelo que parece; deteta até ameaças nunca vistas; se alguma coisa correr mal, acontece num ambiente que depois é apagado.
• Limites: alguns ficheiros percebem que estão a ser observados e ficam quietos; a análise pode atrasar a entrega uns minutos; é mais comum nos serviços para empresas do que nas contas pessoais.
• Exemplo de uso: um documento de aspeto inofensivo, aberto na sandbox, tenta descarregar um programa; o serviço retém-no e mostra-te um aviso no lugar do anexo.
• Complexidade: básica para quem recebe, avançada para quem a gere.

Vista Protegida dos documentos

Alguns programas de documentos abrem os ficheiros recebidos da internet ou do correio em Vista Protegida: um modo só de leitura, com muitas funções desativadas. Uma barra no topo avisa que o documento vem de uma fonte externa.

• Risco reduzido: documentos que exploram funções ativas ou falhas do programa para executar código.
• Vantagens: lês o conteúdo sem lhe dares hipótese de agir; nos programas que a oferecem, costuma vir ativa por predefinição.
• Limites: basta um clique em «Ativar Edição» para sair dela, e os documentos nocivos são escritos precisamente para te convencer a fazê-lo; depende de uma etiqueta invisível que o sistema aplica aos ficheiros vindos de fora, e alguns passos, como a extração de certos ficheiros comprimidos, podem fazê-la perder-se.
• Exemplo de uso: lês em Vista Protegida um orçamento recebido por e-mail e, se não precisas de o alterar, não sais dela.
• Complexidade: básica.

Macros desativadas por predefinição

As macros são pequenos programas inseridos em documentos e folhas de cálculo para automatizar tarefas repetitivas. Úteis no trabalho, foram durante anos uma das formas mais usadas de esconder código nocivo num ficheiro comum.

• Risco reduzido: documentos que, uma vez abertos, põem a correr software nocivo através das macros.
• Vantagens: as versões recentes dos principais programas de escritório bloqueiam as macros nos ficheiros vindos da internet; quem não as usa não perde nada.
• Limites: em versões mais antigas o bloqueio pode resumir-se a um pedido de confirmação, e o documento traz instruções convincentes para te levar a dizer que sim; num escritório, alguém pode tê-lo aligeirado por causa de um modelo antigo.
• Exemplo de uso: uma «guia de remessa» em folha de cálculo pede para ativar as macros; o programa mantém-nas bloqueadas.
• Complexidade: básica.

Pré-visualização no browser

Muitos serviços de correio na web permitem ver o anexo em pré-visualização, dentro da página, sem o descarregar para o dispositivo.

• Risco reduzido: execução de conteúdos ativos no teu computador ou telemóvel.
• Vantagens: o documento é mostrado já convertido, por isso as macros não arrancam e o ficheiro não chega ao dispositivo; é a forma mais simples de olhar para um ficheiro de que não tens a certeza.
• Limites: nem todos os formatos têm pré-visualização; as ligações e os códigos QR continuam visíveis e podem levar a páginas falsas; se descarregares o ficheiro, voltas a depender das outras defesas.
• Exemplo de uso: vês em pré-visualização um PDF inesperado, percebes que é um lembrete genérico com uma ligação e apaga-lo sem o teres descarregado.
• Complexidade: básica.

2. Tecnologias de deteção

Proteção integrada no sistema

O programa de proteção que os sistemas operativos modernos já incluem: verifica os ficheiros quando são descarregados, abertos ou executados.

• Risco reduzido: ficheiros nocivos que escaparam aos filtros do correio.
• Vantagens: é gratuita e vem ativa por predefinição; além das assinaturas, observa comportamentos suspeitos, como um programa que altera muitos ficheiros em poucos segundos; atualiza-se sozinha.
• Limites: reconhece melhor o que já é conhecido; só funciona se se mantiver ativa e atualizada; não deve ser confundida com os falsos alertas de vírus — os avisos verdadeiros vêm do sistema, não de uma página web que pede para ligares para um número. A entrada de glossário sobre o antivírus ajuda a distinguir uns dos outros.
• Exemplo de uso: descarregas um anexo e o sistema, antes de o abrires, assinala-o e isola-o.
• Complexidade: básica.

Extensões dos ficheiros visíveis

A extensão é a parte final do nome de um ficheiro, depois do ponto, que indica de que tipo de ficheiro se trata. Muitos sistemas escondem-na por predefinição; torna-se visível nas opções de visualização dos ficheiros.

• Risco reduzido: ficheiros disfarçados, como um programa chamado fatura.pdf.exe que, com a extensão escondida, aparece como fatura.pdf.
• Vantagens: ativa-se uma única vez, em poucos segundos; torna evidente um disfarce que de outro modo não verias.
• Limites: o ícone pode continuar a enganar; é preciso saber que extensões correspondem a programas; no telemóvel, os nomes completos veem-se menos.
• Exemplo de uso: numa pasta de transferências reparas num curriculo.docx.js: o nome completo diz-te que não é um documento.
• Complexidade: básica.

Avisos do serviço de correio

As faixas que o serviço de correio mostra por cima da mensagem: «remetente externo», «este anexo não foi analisado», «mensagem semelhante a outras assinaladas como phishing».

• Risco reduzido: confiança automática em mensagens que imitam um contacto conhecido.
• Vantagens: aparecem no momento da decisão; assinalam também os ficheiros que o filtro não conseguiu abrir.
• Limites: a ausência de um aviso não quer dizer que o anexo seja seguro; tal como nos e-mails que se fazem passar pelo banco, o grafismo e os logótipos não provam nada.
• Complexidade: básica.

3. Tecnologias de resposta

Quarentena e análise completa

A quarentena é uma área isolada para onde a proteção do sistema move um ficheiro suspeito: não é apagado logo, mas deixa de poder agir. A análise completa verifica todo o dispositivo, e não só o ficheiro acabado de abrir.

• Risco reduzido: software nocivo que continua ativo ou que se copiou para outro lado.
• Vantagens: a quarentena é automática; a análise completa lança-se com poucos cliques.
• Limites: uma análise limpa reduz a dúvida mas não a elimina; demora e torna o dispositivo mais lento enquanto corre.
• Complexidade: básica.

Assinalar a mensagem

O botão «assinalar como phishing» ou «assinalar como spam» do serviço de correio.

• Risco reduzido: o mesmo anexo a chegar a outras pessoas.
• Vantagens: tira a mensagem da tua caixa e ajuda o filtro a reconhecer as parecidas, também nas caixas dos outros.
• Limites: não desfaz o que já aconteceu se o ficheiro foi aberto; se o remetente é um contacto real com a conta comprometida, convém avisá-lo também por outro canal, como explica a recomendação sobre as mensagens enviadas em teu nome.
• Complexidade: básica.

Recuperação dos ficheiros

As cópias de segurança (backup) e as «versões anteriores» dos ficheiros que muitos serviços na cloud e sistemas operativos guardam automaticamente.

• Risco reduzido: perda definitiva de documentos e fotografias depois de uma infeção, por exemplo por software de extorsão (ransomware), um programa que torna os ficheiros ilegíveis e pede um resgate.
• Vantagens: transforma o incidente num problema de tempo, e não de perda.
• Limites: tem de ser preparada antes; uma cópia sempre ligada ao dispositivo pode ser atingida juntamente com os originais. O tema tem recomendação própria: a cópia de segurança das fotografias e dos vídeos.
• Complexidade: básica para as versões automáticas, intermédia para um plano de cópias completo.

4. Tecnologias de governação

Contam quando os dispositivos não são só teus: família, gabinete profissional, associação, pequeno escritório.

Atualizações automáticas

Alguns documentos nocivos exploram uma falha do programa que os abre; as atualizações fecham essas falhas.

• Risco reduzido: ficheiros construídos para explorar vulnerabilidades já conhecidas e já corrigidas.
• Vantagens: tornam inúteis muitos anexos nocivos em circulação; atualizam também as assinaturas da proteção integrada.
• Limites: não cobrem as falhas ainda desconhecidas, como uma vulnerabilidade zero-day; um dispositivo esquecido durante muito tempo fica para trás. O princípio é o da recomendação sobre como manter o software atualizado.
• Complexidade: básica.

Regras comuns para a troca de ficheiros

Acordos simples sobre a forma como circulam os documentos: uma pasta partilhada em vez de anexos, nenhum ficheiro comprimido protegido aceite por e-mail, um telefonema de confirmação para os pedidos fora do habitual.

• Risco reduzido: anexos inesperados aceites porque «parecem de trabalho».
• Vantagens: o que sai da regra torna-se fácil de notar; ninguém tem de decidir sozinho.
• Limites: uma regra de que ninguém se lembra não protege; regras demasiado rígidas levam as pessoas a contorná-las.
• Complexidade: intermédia.

Formação e consciência

Percursos que explicam o porquê, e não só o como.

• Risco reduzido: o último clique, aquele que nenhum filtro consegue impedir.
• Vantagens: torna o comportamento estável ao longo do tempo; é o pilar em que assenta o Framework Cyber Welfare.
• Limites: exige continuidade; uma ação isolada tem efeito curto.
• Complexidade: básica.

Tabela comparativa

Como escolher

Se usas os teus dispositivos só a título pessoal. Quase tudo já está ativo: a tua tarefa é não o desligar. Torna visíveis as extensões, deixa as macros bloqueadas, usa a pré-visualização para os ficheiros que não esperavas e mantém o sistema e os programas atualizados.

Se trabalhas por conta própria. Acrescenta as versões anteriores dos ficheiros na cloud que usas para trabalhar, uma conta sem privilégios de administrador (que não consegue instalar programas) para o dia a dia, e o hábito de ficar na Vista Protegida quando não precisas de alterar o documento. Para os documentos dos fornecedores, uma confirmação pelo canal que já conheces vale mais do que qualquer filtro.

Se usas sobretudo o telemóvel. Os nomes completos dos ficheiros veem-se pior e o ecrã pequeno esconde o endereço do remetente. Aqui a pré-visualização é a tua melhor aliada: vê o anexo dentro da aplicação de correio, sem o descarregar, e deixa para o computador os ficheiros que precisas mesmo de guardar.

Se geres um grupo ou um pequeno escritório. Confirma que o serviço de correio analisa os anexos, de preferência também em sandbox; define como circulam os ficheiros; mantém as macros bloqueadas e as atualizações automáticas em todos os dispositivos; junta uma formação curta e regular.

Uma regra prática. Nenhum filtro é infalível. A combinação que dá melhor resultado para o esforço que pede é proteções deixadas ativas + extensões visíveis + pré-visualização antes de descarregar. Mas se um anexo inesperado passar por todas as camadas, a última defesa continua a ser a pergunta «quem me manda isto, e porquê?».

Ligação ao Framework Cyber Welfare

Perceber como são verificados os anexos dá autonomia: sabe-se o que as ferramentas fazem sozinhas e o que fica do nosso lado.

Níveis de maturidade digital.

• FL1 – Básico. As proteções funcionam sem saberes que existem, e às vezes desligas alguma por incómodo, como quando carregas em «Ativar Edição» sem pensar.
• FL2 – Inicial. Sabes que o correio e o sistema verificam os anexos, e respeitas os avisos em vez de os contornar.
• FL3 – Autónomo. Configuras sem ajuda as extensões visíveis, o bloqueio das macros e as atualizações automáticas, e usas a pré-visualização para os ficheiros duvidosos.
• FL4 – Hábil. Conheces os pontos cegos de cada camada — ficheiros comprimidos protegidos, ligações para ficheiros externos, contas comprometidas — e compensa-los com hábitos.
• FL5 – Especialista-Guia. Ajudas uma família, um gabinete ou uma associação a combinar as camadas e a definir regras simples para a troca de ficheiros.

Nível de referência: FL3 – Autónomo. É o nível em que se percebe uma ferramenta o suficiente para a configurar sem ajuda e para ler corretamente os sinais que ela dá.

Lista breve

• ☐ As extensões dos ficheiros estão visíveis no computador que uso mais
• ☐ A proteção integrada no sistema está ativa e atualizada
• ☐ As macros continuam bloqueadas nos documentos vindos da internet
• ☐ Uso a pré-visualização para os anexos que não esperava
• ☐ Os meus ficheiros importantes têm versões anteriores ou uma cópia desligada

Conclusão

Os controlos sobre os anexos são um dos trabalhos mais silenciosos da segurança digital: grande parte dos ficheiros nocivos fica pelo caminho antes de chegar a ti. O teu contributo é pequeno mas decisivo: deixar as defesas ativas e não as saltar quando um documento te pede para o fazeres. Para medires o teu ponto de partida também noutras áreas, podes fazer a Autoavaliação de Resiliência Digital.

Ação recomendada. Ainda hoje, torna visíveis as extensões dos ficheiros no computador que usas mais e confirma que a proteção integrada no sistema está ativa e atualizada.

Conteúdos relacionados

• anexos de origem desconhecida — o hábito que nenhuma ferramenta substitui
• o que fazer depois de um anexo suspeito — como usar estas tecnologias quando alguma coisa já aconteceu
• software malicioso nos anexos de e-mail — as técnicas contra as quais estes controlos foram pensados
• sinais de um anexo perigoso — o que observar quando a tecnologia não chega

Recursos relacionados

Para completar com o glossário:

• ameaça informática — porque é que o último filtro é sempre uma pessoa
• antivírus — como trabalha a proteção automática do dispositivo

Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.