Autor
Ciberseguridad720
Editorial Team
O tecido empresarial espanhol enfrenta um problema de proporções industriais que está a pôr em xeque a sobrevivência de milhares de negócios. Não é um exagero de consultor para vender: os dados do Instituto Nacional de Cibersegurança espanhol (INCIBE) são um murro de realidade. Em 2024 foram geridos mais de 97 000 incidentes, um número que já nos parecia uma falha coletiva de segurança, mas em 2025 saltou para 122 223 casos, um aumento de 25% em apenas um ano. Este crescimento não é um acaso, mas o resultado de uma profissionalização extrema do cibercrime, que pôs as PME espanholas na mira, aproveitando o facto de muitas andarem sobrecarregadas com a gestão diária e descurarem o mais básico: a chave da sua casa digital.
A situação é especialmente grave nas redes sociais. O que antes era um simples ataque para publicar disparates num mural é hoje uma operação de sequestro financeiro. As contas de Facebook não são roubadas por gosto, mas para assumir o controlo do Meta Business Suite e esvaziar os cartões de crédito associados à publicidade. Para uma pequena empresa que depende dos seus anúncios para captar clientes, perder o acesso à conta empresarial significa entrar numa espiral que, em 60% dos casos, acaba com o encerramento definitivo do negócio em menos de seis meses. Neste relatório analisamos como os criminosos estão a acertar nos seus ataques e que erros estamos a cometer para que lhes seja tão rentável.
A Espanha consolidou-se como o terceiro país mais atacado do mundo, uma medalha de bronze que ninguém quereria exibir. O problema de fundo é que 60% das nossas PME não tem uma estratégia de cibersegurança definida e opera com a falsa sensação de que não é um alvo relevante. Pensar "sou demasiado pequeno para ser atacado" é o maior erro que um gestor pode cometer hoje; os criminosos não procuram apenas peixe graúdo, preferem pescar milhares de PME porque sabem que as suas defesas costumam ser de papel e que o impacto financeiro, embora menor por empresa, é massivo no conjunto.
O impacto não é apenas um número num balanço; é um efeito dominó que compromete todo o ecossistema. Uma PME atacada é muitas vezes a porta de entrada para atingir grandes empresas através da cadeia de abastecimento. Além disso, a interrupção do negócio não perdoa: cinco dias de paralisação podem significar 95 000 euros em perdas operacionais diretas e o cancelamento de contratos vitais para o futuro da organização. O dinheiro, às vezes, recupera-se, mas a reputação vai pelo cano abaixo assim que os seus clientes veem a sua conta oficial a promover burlas com criptomoedas ou produtos falsificados.
Os atacantes não vão às cegas: usam bots que analisam o Facebook à procura de páginas com publicidade ativa. Interessa-lhes qualquer negócio com um fluxo constante de anúncios, desde uma imobiliária na Costa del Sol até uma loja de peças em Madrid. Ter anúncios ativos confirma que existe um cartão de crédito ou uma linha de crédito associada à conta.
Depois de localizarem a empresa, investigam quem são os administradores. As PME cometem muitas vezes o erro de ter perfis pessoais muito expostos, com emails empresariais que já foram divulgados em violações de dados anteriores. Em Espanha, só em 2024, foram detetadas 3,8 milhões de combinações de emails e palavras-passe comprometidas na internet, o que significa que os criminosos só têm de cruzar dados para ver quem tem as chaves do castelo.
É aqui que os criminosos mostram que sabem vender gato por lebre melhor do que ninguém. O método preferido é o phishing, mas com um nível de sofisticação assustador. Em vez de emails toscos cheios de erros ortográficos, enviam notificações que parecem saídas do próprio gabinete de Mark Zuckerberg. A técnica mais perigosa usa funcionalidades legítimas da Meta para enviar emails a partir do domínio autêntico facebookmail.com.
Estas mensagens costumam explorar três sentimentos: medo, urgência ou ambição. O medo chega com avisos de que "a sua conta será suspensa por violar direitos de autor"; a urgência aparece com "verificação obrigatória nas próximas 24 horas"; e a ambição ativa-se com falsos convites para programas de créditos publicitários gratuitos ou acesso ao Meta Verified. O utilizador, normalmente com pressa e mil tarefas, vê um email oficial do Facebook, entra em pânico com a ideia de perder a sua ferramenta de vendas e clica sem pensar. É aí que o ataque começa a ganhar forma.
É aqui que muitos se confundem. Está demonstrado que os atacantes já não procuram apenas a sua palavra-passe; procuram a sua sessão. Estão a lançar campanhas de malvertising que promovem ferramentas de IA ou extensões de browser que prometem funcionalidades milagrosas para os seus anúncios. Ao instalar estas extensões, o malware não lhe pede a palavra-passe: rouba os cookies de sessão do seu browser.
O roubo de cookies é o golpe de mestre. Ao obter esse token, o atacante clona a sua sessão ativa no seu próprio computador. O Facebook vê que o utilizador legítimo tem sessão iniciada e não pede palavras-passe nem códigos de segundo fator (2FA). É como se lhe roubassem a chave do carro com o motor a trabalhar: não precisam do código do imobilizador porque o carro já está ligado. Uma vez lá dentro, os criminosos movem-se à velocidade da luz: adicionam novos administradores fantasma, alteram os emails de recuperação e expulsam-no da sua própria empresa digital.
Quando uma PME espanhola perde o acesso à sua conta, o criminoso não perde tempo. O objetivo é rentabilizar o acesso antes de os sistemas automáticos da Meta detetarem algo estranho. O primeiro passo costuma ser esvaziar os fundos publicitários. Os atacantes criam novas campanhas com orçamentos inflacionados, por vezes milhares de euros por dia, para promover burlas de terceiros, como falsos investimentos na bolsa ou produtos milagrosos.
O rombo financeiro é imediato. Os criminosos aproveitam o cartão guardado para gastar o máximo possível no menor tempo, muitas vezes camuflando estes anúncios entre os legítimos da empresa para que o dono não note o aumento da despesa se não verificar o Business Manager todos os dias. Num caso documentado, uma empresa viu a sua fatura de publicidade multiplicar-se por dez num único fim de semana enquanto o suporte da Meta não dava sinal de vida.
Mas o dinheiro dos anúncios não é a única coisa que procuram. Uma conta empresarial com milhares de seguidores é um ativo de confiança enorme. Os atacantes usam a conta roubada para enviar mensagens diretas aos seguidores a pedir dinheiro, a oferecer descontos falsos ou a solicitar dados bancários sob a aparência de uma promoção especial. Para o cliente, a mensagem vem da loja de móveis ou do restaurante a que vai sempre; a confiança é total e as vítimas caem como moscas. O dano à marca é tão profundo que muitas empresas nunca recuperam o nível de vendas anterior ao ataque.
Ao analisar casos reais em Espanha, vemos que a maioria dos ataques não se deve a uma falha de segurança do Facebook, mas a erros humanos básicos que se repetem vezes sem conta. A cibersegurança não é um software que se compra; é a atitude de fechar à chave a porta do armazém todos os dias.
Muitos empresários ficam tranquilos porque têm ativado o código que chega ao telemóvel por SMS. Erro. O SMS é hoje uma das formas menos seguras de segundo fator: os criminosos podem intercetar essas mensagens ou, como vimos, contorná-las por completo roubando os cookies de sessão. Continuar a confiar apenas no SMS é como instalar uma fechadura de segurança e deixar a chave debaixo do tapete.
Outro erro de manual é ter um único administrador ou privilégios em excesso. Em muitas PME, o dono é o único com acesso total e, se lhe roubarem a conta, o negócio morre. Ou o contrário: dá-se acesso de administrador a agências externas, estagiários ou colaboradores que já não trabalham na empresa, criando dezenas de portas traseiras que ninguém vigia. Uma conta comprometida de um antigo colaborador pode ser o fim do seu Business Manager se não tiver limpo os acessos a tempo.
É aqui que muitos escorregam: usam o mesmo computador, e até o mesmo browser, para gerir o Business Manager da empresa e para que os filhos descarreguem jogos ou software pirata. Um único trojan no equipamento pessoal pode capturar os cookies de todas as contas da empresa em segundos, e por isso a falta de separação entre o pessoal e o profissional é um convite ao desastre.
Não é preciso ser um génio da informática para evitar este tipo de situações. A maioria dos ataques trava-se com três ou quatro medidas de implementação simples que qualquer PME pode pôr em prática hoje mesmo.
As palavras-passe tradicionais são um passador. A grande recomendação para 2026 é usar passkeys (chaves de acesso). A Meta já permite configurá-las no Centro de Contas: em vez de uma palavra-passe que alguém lhe pode roubar com um email falso, usa a biometria do telemóvel (impressão digital ou rosto) ou o PIN do dispositivo. Isto é imune ao phishing porque não há nada que possa escrever num site fraudulento; a chave está fisicamente no seu telemóvel.
Se o seu negócio depende do Facebook, gaste 50 euros numa chave de segurança física como a YubiKey: um dispositivo USB em que tem de tocar fisicamente para autorizar o início de sessão. Nem o hacker mais esperto do mundo conseguirá entrar na sua conta a partir da Rússia ou do Vietname sem esse pedaço de plástico ligado ao computador dele. É, de longe, a medida mais robusta para proteger os administradores principais do Business Manager.
De nada serve ter a melhor tecnologia se alguém abrir a porta por dentro. Por isso é preciso formar a equipa para perceber que a Meta NUNCA vai pedir palavras-passe por chat ou por telefone. Se chegar um email de "conta suspensa", a regra de ouro é: não clique no link; abra o browser, escreva o próprio o endereço do Business Manager e verifique se há avisos reais no painel de controlo. Se o aviso for verdadeiro, aparecerá lá.
Se já foi vítima, prepare-se para um processo que é uma verdadeira dor de cabeça. O suporte da Meta para pequenas empresas é conhecido por ser um muro de respostas automáticas que muitas vezes não resolvem nada. Muitos empresários passam meses a enviar fotografias do cartão de cidadão e de escrituras da empresa para depois um bot lhes fechar o pedido sem explicações.
A primeira coisa a fazer é entrar em facebook.com/hacked e tentar recuperar o acesso através de emails alternativos ou números de telefone que o atacante se possa ter esquecido de apagar. Mas atenção: se o criminoso tiver ativado o seu próprio 2FA, ficará bloqueado para sempre, a menos que consiga falar com um humano na Meta, algo que por vezes só se consegue pagando a subscrição do Meta Verified para ter suporte prioritário, e nem assim há garantia de sucesso. A dura realidade é que é mil vezes mais barato investir uma tarde a configurar a segurança do que passar seis meses a tentar que o Facebook lhe devolva a sua vida digital.
Não podemos baixar a guarda, porque os criminosos não o fazem. Para 2026, esperamos que os ataques de usurpação de identidade utilizem deepfakes de voz para ligar aos colaboradores das PME fazendo-se passar pelo suporte técnico da Meta ou até pelo próprio dono da empresa. A inteligência artificial está a tornar o phishing cada vez mais difícil de detetar a olho nu.
A única defesa real é a ciber-resiliência: assumir que vão tentar atacá-lo e ter planos de contingência testados. Isto inclui fazer cópias de segurança dos seus dados, não depender de um único canal de vendas e, sobretudo, manter uma cultura de saudável desconfiança perante qualquer coisa na internet que cheire a urgência. Na Ciberseguridad 720 sabemos que, para uma PME, a segurança não é uma opção: é a diferença entre continuar a abrir as portas todas as manhãs ou tornar-se mais uma estatística nos relatórios do INCIBE.
Vai continuar a confiar o seu negócio a uma palavra-passe de oito caracteres e a um SMS que qualquer pessoa pode intercetar, ou vai pôr uma verdadeira fechadura no seu Business Manager antes que seja tarde?
Equipa Ciberseguridad 720
Continue a explorar o mesmo tema com mais leituras práticas já disponíveis no blog.
Uma checklist de cibersegurança gratuita e prática para PME: palavras-passe fortes, 2FA, atualizações, cópias de segurança, phishing, cifra e privilégio mínimo.
Ciberseguridad720
Editorial Team
O chatbot da Chevrolet que "vendeu" um carro por um dólar mostra o risco real da prompt injection. Porque as PME precisam de governação de IA.
Ciberseguridad720
Editorial Team
Palavras-passe repetidas, cliques em phishing, shadow IT, atualizações adiadas: os 10 erros humanos por trás da maioria dos incidentes nas PME e como evitá-los.
Ciberseguridad720
Editorial Team