A triagem de phishing começa com o e-mail original em mãos: sem o cabeçalho completo, os links e o anexo, qualquer análise vira palpite. O fluxo enxuto para um SOC pequeno tem quatro movimentos — preservar a mensagem como evidência, extrair os indicadores, validar autenticação e intenção e só então decidir a resposta: bloquear remetente e URLs, purgar as cópias que ainda estão nas caixas de outros destinatários e trocar credenciais quando houve interação. O phishing é uma das principais vias de acesso inicial contra organizações e aparece mapeado no MITRE ATT&CK como a técnica T1566, cobrindo mensagens com anexos maliciosos, links e até instruções para a vítima ligar para um número de telefone, conforme a página oficial da técnica.
Fluxo de triagem passo a passo
- Preserve a mensagem original em formato.eml ou.msg, com os cabeçalhos inteiros. Se a denúncia chegou como print ou texto colado, peça o e-mail anexado — o encaminhamento como anexo preserva os metadados que a cópia destrói.
- Confirme o remetente real nos campos Return-Path e na cadeia Received do cabeçalho. O nome exibido no cliente de e-mail é trivialmente falsificável e não serve como evidência.
- Extraia todos os indicadores da mensagem: endereço de envio, domínios e URLs já registrados na forma defanged (hxxps://), hash do anexo e número de telefone citado no corpo, comum em golpes de cobrança falsa.
- Detone o anexo somente em sandbox isolada, nunca na estação do analista, e registre o comportamento observado: download de segundo estágio, tentativa de persistência e conexões de saída.
- Correlacione no SIEM: quantos destinatários receberam a mesma mensagem, quem acessou o domínio do golpe e se apareceram autenticações incomuns nas contas desses usuários depois do clique.
- Classifique o caso com a matriz de decisão abaixo e execute as ações registrando a evidência que motivou cada decisão.
O que extrair do e-mail
Três blocos sustentam a investigação. O primeiro é o cabeçalho: a cadeia de Received mostra o caminho real percorrido pela mensagem, e o campo Authentication-Results resume o veredito de SPF, DKIM e DMARC. Falha de autenticação não prova malícia — regras mal configuradas geram resultados negativos para remetentes legítimos —, mas um veredito aprovado com alinhamento de domínio reduz o espaço de falso alarme. O segundo bloco é o corpo da mensagem: URLs completas depois de expandir os encurtadores, domínios visualmente próximos dos oficiais e qualquer número de “suporte urgente”. O terceiro é o anexo: calcule o hash SHA-256, consulte bases de reputação e só então detone o arquivo em ambiente controlado.
Sinais comuns de golpe
Antes de classificar, compare a mensagem com os sinais típicos documentados pela CISA: linguagem urgente ou de apelo emocional, pedidos de dados pessoais e financeiros, URLs encurtadas não confiáveis e endereços de e-mail ou links incorretos, parecidos com os originais. A agência também observa que, na era da inteligência artificial, erros de gramática deixaram de ser um sinal confiável — mensagens impecáveis continuam sendo phishing. Para o usuário final, a recomendação oficial é resistir, reportar e excluir: não clicar, denunciar pelo botão do cliente de e-mail e só depois apagar a mensagem. Para o SOC, esse relato é a matéria-prima da triagem — quanto mais cedo a denúncia chega, menor a janela entre o envio da campanha e a resposta da equipe.
Matriz de decisão e resposta
A resposta precisa crescer junto com a evidência. Um guia conjunto de CISA, NSA, FBI e MS-ISAC organiza a defesa contra phishing em orientações para defensores de rede aplicáveis a qualquer organização, com uma seção dedicada a pequenas e médias empresas — leitura necessária antes de consolidar o playbook da equipe. A matriz abaixo resume os cenários mais comuns do dia a dia.
| Cenário | Evidência que sustenta | Resposta mínima |
|---|---|---|
| Usuário digitou credencial no site falso | Log de proxy ou do provedor de identidade mostrando envio de dados ao domínio do golpe | Troca de senha, revogação de sessões ativas, revisão dos métodos de MFA e caça a acessos da mesma conta |
| Link clicado, sem envio de dados | Registro de proxy com acesso ao domínio, sem tráfego posterior suspeito | Bloqueio do domínio no proxy e no filtro de e-mail, purga das cópias pendentes e observação da conta |
| Anexo executado na estação | Alerta de EDR com criação de processo a partir do arquivo baixado | Isolamento do host, coleta de artefatos, varredura completa e tratamento como incidente confirmado |
| Mensagem sem interação | Nenhum registro de clique ou execução | Bloqueio preventivo de remetente e indicadores, purga da caixa e registro para acompanhar tendência |
Esta matriz é um modelo para adaptar à realidade da equipe, não uma garantia de resultado: os limiares de resposta dependem dos logs disponíveis, da criticidade dos ativos e da tolerância a falso positivo de cada ambiente.
Quando a credencial já vazou
O cenário mais grave também é o mais frequente: o usuário digitou a senha em uma página falsa. Trocar a senha e revogar as sessões é o primeiro passo, mas não encerra o caso. MFA reduz o impacto, porém não é blindagem — análises publicadas aqui no site mostram ransomware que realiza bypass de MFA antes da criptografia. Com a credencial em jogo, o próximo movimento do atacante costuma ser o movimento lateral interno, que pode ser perseguido com as técnicas de detecção de pass-the-hash aplicadas ao ambiente. Feche o ciclo registrando o caso: indicadores bloqueados, decisões tomadas e lições para o filtro de e-mail. Cada triagem bem documentada alimenta a regra da próxima campanha e transforma a fila de denúncias em melhoria contínua, em vez de trabalho repetitivo.
