Phishing em gestor de tráfego: o e-mail que parece o Ads Manager

O e-mail chega às sete da manhã, no celular do plantão. Assunto familiar: método de pagamento recusado, anúncio rejeitado, verificação de identidade pendente. O logo está no lugar. O botão azul também. O gestor abre, entra senha e o código do autenticador, e volta a dormir. Às nove a BM já não é da agência. Phishing contra time de tráfego pago não precisa de exploit. Precisa de urgência e de um layout que o olho já treinou a confiar.

Este texto não ensina a montar golpe. Ensina o rito da mesa que opera contas de cliente: o que o e-mail falso imita, por que o gestor clica, o que a página rouba além da senha, e o que fazer na primeira hora sem transformar o Slack em teatro. Isolar perfil reduz o raio do dano. Não impede o clique.

Por que o gestor de tráfego é alvo fácil

O cargo junta três coisas que o atacante quer no mesmo corpo. Acesso a gasto. Acesso a identidade de empresa. Hábitos de plantão. Quem pausa campanha no domingo já está treinado a reagir a notificação. Quem vive de SLA já está treinado a não deixar o cliente sem anúncio. O golpe só precisa parecer o Ads Manager um pouco mais rápido do que o roteiro.

Há volume. Uma agência de publicidade com dezenas de BMs recebe dezenas de e-mails reais de plataforma por semana. Pagamento, restrição, convite, comentário, fatura. O filtro mental do time é “parece oficial, então é oficial”. Esse filtro funciona no Gmail da casa. Não funciona quando o display name é “Meta Business Support” e o domínio é um primo de três letras.

Há também o canal errado. O mesmo alerta chega no e-mail compartilhado, no WhatsApp do grupo, no Slack com print. Cada cópia perde cabeçalho. Cada cópia ganha um “abre aí, o cartão caiu”. O atacante não precisa vencer o filtro de spam se um colega encaminhou o corpo. Encaminhar é higiene ruim. Encaminhar com o botão intacto é entregar o golpe pronto.

Por fim, há o privilégio. O gestor sênior entra como admin. O coordenador entra em várias BMs. O plantão entra em tudo que estiver no ar. Um único login bem-sucedido vale mais do que mil tentativas em conta pessoal. O time trata isso como produtividade. O atacante trata como lista de alvos.

Anatomia do e-mail que parece o painel

O corpo copia o que o time já viu cem vezes. Logo, faixa colorida, número de conta truncado, tom de cobrança. Os lances clássicos na mesa brasileira são pagamento recusado, verificação de identidade, restrição temporária, convite pra BM e “detectamos atividade incomum”. Todos existem de verdade. Por isso funcionam de mentira.

O que muda é o destino. O botão não leva ao host da plataforma. Leva a uma página que imita o login. Às vezes o caminho começa num encurtador. Às vezes num formulário de “suporte” com HTTPS e cadeado. Cadeado só diz que o transporte é TLS. Não diz quem opera o servidor.

O display name mente. O From verdadeiro mora no cabeçalho. Quem não abre “mostrar original” não vê o domínio. Times que só olham o preview do celular perdem exatamente a camada que denuncia. Treine o time a desconfiar do preview. O preview foi desenhado pra caber, não pra autenticar.

Há variantes sem e-mail. SMS com link. Mensagem no Messenger. Comentário em anúncio com URL. PDF de “fatura” com campo de login. QR no WhatsApp “do financeiro do cliente”. O rito não muda: autenticação de conta de anúncio não começa em mídia recebida. Começa no bookmark da operação, no perfil daquela identidade.

Um detalhe chato que o time ignora: o número da conta no e-mail. Golpe bom coloca dígitos que batem com uma BM real, colhidos de print antigo ou de colaborador. Golpe ruim inventa. Os dois pedem o mesmo comportamento. Não valide o e-mail pelo número. Valide pelo caminho de entrada.

O que a página falsa quer — senha é só o começo

A página pede e-mail e senha. Muita gente para aí no diagnóstico. O dano maior costuma ser o segundo passo: o código de 2FA, o cookie da sessão, o token que permanece depois da troca de senha.

Se o gestor cola senha e o código do app, o atacante entra como se fosse ele. Trocar a senha depois, sem revogar sessão, deixa o ladrão dentro. Se o gestor já estava logado e a página pede “reconhecer este dispositivo”, o que sai da máquina pode ser cookie. Cookie exportado é sessão viva. Sessão viva abre a BM sem senha nova.

Há páginas que instalam extensão. “Atualize o pixel”, “habilite o comprovante de identidade”, “baixe o conector do Ads”. Extensão maliciosa lê cookie de todos os painéis abertos naquele Chrome. Nesse ponto o incidente deixou de ser phishing de uma conta. Virou malware na máquina de mídia. O laptop do plantão, o notebook de casa e o Chrome da agência com doze BMs amplificam o raio.

Não ensine o time a “testar o link com cuidado”. Testar é clicar. Clicar em máquina de produção é o erro. Se precisa inspecionar, use uma máquina que não tenha sessão de cliente. A maioria das agências não tem essa máquina. Então a regra é mais simples: não inspeciona no calor. Abre o painel pelo caminho conhecido e vê se o alerta existe lá dentro.

Por que gente experiente clica

Não é falta de inteligência. É desenho do trabalho. Verba no ar. Cliente no WhatsApp. Plantão com sono. E-mail que usa as palavras que o Ads Manager realmente usa. O sênior clica mais rápido que o estagiário porque o sênior já perdeu conta por atraso de cartão de verdade.

Há o hábito de atalho. O time não abre o Ads pelo perfil isolado. Abre pelo Gmail, pelo Slack, pelo print. Cada atalho treina o músculo de seguir o botão. O golpe só precisa ocupar o mesmo músculo.

Há o e-mail compartilhado. midia@agencia recebe fatura, convite e spam no mesmo rio. Ninguém é dono da caixa. Ninguém lê cabeçalho. O primeiro que vê o vermelho de “pagamento recusado” clica pra “resolver”. Caixa compartilhada sem dono é superfície, não ferramenta.

Há o cliente. O anunciante encaminha o e-mail que ele próprio recebeu. O gestor confia no cliente. O cliente não sabe ler cabeçalho. Confiança não autentica origem. O rito vale pra mensagem que veio do CEO do anunciante. Principalmente pra essa.

Rito de verificação antes do clique

O procedimento cabe em cinco linhas. Se não couber, o time não segue.

Um: nenhum login de BM, MCC, Seller ou painel de anúncio começa em link recebido. Bookmark, perfil da identidade, URL digitada. Os três valem. O botão do e-mail não vale.

Dois: se o alerta parece urgente, abra a conta pelo caminho conhecido e procure o mesmo alerta lá. Pagamento recusado de verdade aparece no gerenciador. Restrição de verdade aparece no gerenciador. E-mail sem correspondente no painel é suspeito até prova. Prova não é o logo.

Três: no computador, mostre o original. From, Return-Path, host do link. Se o time não sabe onde fica isso no cliente de e-mail, o treino é esse, não um PDF de conscientização.

Quatro: no celular, não siga o botão. Se o plantão só tem o telefone, a regra é não autenticar. Acorda quem tem o perfil da operação. SLA de plantão que obriga login a partir de SMS é SLA que compra incidente.

Cinco: reporte. Um e-mail falso que ninguém registra vai voltar com outro assunto na semana seguinte. Um que entra no canal de segurança vira amostra. Amostra treina o filtro mental. Teatro no Slack não treina.

Esse rito não compete com o comercial. Compete com o reflexo. Escreva na parede da mesa. Coloque no onboarding. Repita depois de cada quase-clique. Quase-clique é evento. Trate como evento.

Primeira hora depois do clique

Assuma comprometimento. Não discuta se a página “parecia demais” pra ser falsa. A discussão é pro postmortem. A hora zero é corte.

Revogue a senha da conta atingida. Revogue sessões ativas onde a plataforma deixa. Troque 2FA: novo app, novos códigos de recuperação, SMS antigo fora. Se o código foi digitado na página, o autenticador daquele fator está queimado pra aquele uso. Não recicle.

Olhe o que a sessão pode ter tocado. A mesma senha em outra BM. O mesmo e-mail em MCC. O cookie de outras abas no mesmo Chrome. Extensão nova. Download novo. Se o clique foi no laptop do plantão, todas as identidades que passaram por aquele laptop no dia entram na lista de suspeitas. Isolar depois não apaga o que já saiu.

Avise o cliente com fato, não com teoria. “Houve tentativa de acesso a partir de e-mail falso. Cortamos sessão e fator. Estamos auditando gasto e permissão.” Não prometa que nada foi visto. Não esconda pra “não assustar”. Assustar depois, quando o criativo muda sozinho, é pior.

Gaste e permissão. Veja campanhas novas, cartões novos, admins novos, export de público, troca de e-mail de recuperação. O atacante que só quer a BM pra revenda se mexe diferente do que só quer o cartão. Os dois precisam de olho humano na primeira hora. Alerta automático ajuda. Não substitui.

Se houver dúvida sobre malware, a máquina sai de produção. Formatar depois de “só um e-mail” parece excesso. Operar BM de cliente em disco que baixou extensão desconhecida parece economia. Escolha o excesso.

O que isolamento de perfil faz — e o que o e-mail ignora

Perfil isolado limita o blast radius. Cookie da BM A não deveria estar na mesma jarra que o da BM B. Extensão instalada num perfil não deveria ler o outro. Isso é higiene de organização de contas. Vale. Não é antiphishing.

O gestor autenticado a partir do link entrega exatamente a identidade daquele perfil. Isolamento não lê cabeçalho de e-mail. Não impede colar o 2FA. Não impede o plantão de abrir o Gmail no perfil da operação. Se o time mistura caixa pessoal e Ads no mesmo ambiente, o golpe entra pela porta que o procedimento deixou aberta.

Há um ganho real: depois do incidente, você sabe qual identidade foi exposta. Perfil nomeado, dono, proxy, histórico de abertura. Chrome único com vinte abas vira adivinhação. Adivinhação atrasa. Atraso deixa o atacante mais tempo dentro.

Não use o incidente pra vender milagre de browser. Use pra fechar o atalho. Bookmark. Perfil. Sem login a partir de mensagem. Sem extensão de origem duvidosa. Sem senha no grupo pra “o plantão resolver o e-mail”.

Treino que cabe na reunião de segunda

Não faça palestra anual. Faça cinco minutos com um e-mail real sanitizado. Mostre o display name. Mostre o From. Mostre o host. Pergunte quem clicaria. A resposta honesta treina mais do que o cartaz.

Separe papéis. Quem lê e-mail de plataforma. Quem tem permissão de admin. Quem é plantão. O estagiário que só vê relatório não precisa de admin pra “checar o pagamento”. Quanto menor o conjunto que pode autenticar, menor o conjunto que o golpe compra.

Teste o rito. Simule um alerta de cartão. Cronometre quanto tempo o time leva pra abrir o painel pelo bookmark em vez do botão. Se o bookmark não existe, o procedimento não existe. Se o plantão não tem o perfil da identidade no fim de semana, o plantão vai clicar no celular. Isso é desenho, não falha de caráter.

Documente o canal de reporte. Um único lugar. Sem deboche. Quase-clique conta. Clique conta. Encaminhamento do cliente conta. Cultura que ridiculariza quem quase caiu garante o próximo clique em silêncio.

Jurídico e comercial entram depois da contenção, não no meio. O e-mail pro cliente sai com fato. O contrato pode falar de acesso e log. Este artigo não é cláusula. É o hábito que impede a cláusula de ser testada no sábado.

O e-mail que parece o Ads Manager vai continuar chegando. A plataforma vai continuar mandando o verdadeiro no mesmo formato. A diferença operacional não é um filtro perfeito. É recusar autenticar a partir da mensagem. Quem opera conta de cliente não clica pra resolver. Abre o painel que já conhece e vê se há o que resolver.