BIX Tech
Workshop · Segurança da informaçãoWorkshop · Information security

Segurança não é ferramenta.
É hábito.Security isn't a tool.
It's a habit.

Como reconhecer golpes, proteger suas contas e o que fazer se algo der errado.How to spot scams, protect your accounts and what to do if something goes wrong.

Lucas Menegazzo · BIX TechLucas Menegazzo · BIX Tech

AgendaAgenda

O que vamos ver hojeWhat we'll cover today

01 · Por que importa01 · Why it matters

Os números e por que o alvo é você, não o computador.The numbers and why the target is you, not the computer.

02 · Senhas e MFA02 · Passwords & MFA

As duas travas que mais protegem suas contas.The two locks that protect your accounts the most.

03 · E-mails e golpes03 · Emails & scams

Como reconhecer phishing e os golpes mais comuns no Brasil.How to spot phishing and the most common scams.

04 · Dispositivos e IA04 · Devices & AI

Os detalhes que fecham as portas e o cuidado com IA.The details that close the doors, and care with AI.

05 · Caí num golpe05 · I got scammed

O passo a passo para conter o estrago.The step-by-step to contain the damage.

06 · Quiz + checklist06 · Quiz + checklist

É golpe ou não? E o que fazer ainda hoje.Scam or not? And what to do today.

01 · Por que importa01 · Why it matters

O elo mais visado é a pessoa, não o computador.The most targeted link is the person, not the computer.

~60%

das violações de dados envolvem o fator humano: clique, credencial roubada ou erro.of data breaches involve the human element: a click, stolen credentials or an error.

2,26 mi

estelionatos registrados no Brasil em 2025, cerca de 4 por minuto.fraud cases reported in Brazil in 2025, about 4 per minute.

Golpes hoje no Brasil (est.)Scams in Brazil today (est.)0
US$ 3 bi

perdidos em 2025 com fraude de e-mail corporativo (o "fornecedor que mudou de conta").lost in 2025 to business email compromise (the "supplier who changed accounts").

#1

Phishing é o crime digital mais denunciado ao FBI.Phishing is the most reported cybercrime to the FBI.

Verizon DBIR 2025 · FBSP Anuário Brasileiro de Segurança Pública 2026 · FBI IC3 Internet Crime Report 2025

01 · Por que importa01 · Why it matters

Todo golpe puxa as mesmas quatro alavancas.Every scam pulls the same four levers.

UrgênciaUrgency

"Sua conta será bloqueada em 2 horas." Pressa desliga o senso crítico."Your account will be locked in 2 hours." Rushing switches off critical thinking.

AutoridadeAuthority

Chefe, banco, governo, TI. Ninguém quer contrariar quem manda.Boss, bank, government, IT. Nobody wants to push back on authority.

MedoFear

Conta invadida, multa, processo, compra que você não fez.Hacked account, fine, lawsuit, a purchase you didn't make.

VantagemReward

Prêmio, desconto, vaga fácil. Bom demais para ser verdade.Prize, discount, easy job. Too good to be true.

Sentiu pressa ou emoção forte? Esse é o sinal para parar.Feeling rushed or emotional? That's your cue to stop.
02 · Senhas02 · Passwords

Longa, única e guardada num gerenciador.Long, unique and kept in a password manager.

A regra nova do NIST (2025) aposentou "maiúscula + número + símbolo" e a troca a cada 90 dias. O que protege é comprimento e não reutilizar.NIST's 2025 guidance retired "uppercase + number + symbol" and 90-day changes. What protects you is length and no reuse.

Frase-senhaPassphrase

4+ palavras aleatórias, 15+ caracteres. Fácil de lembrar, difícil de adivinhar.4+ random words, 15+ characters. Easy to remember, hard to guess.

Gerenciador de senhasPassword manager

Cria e lembra uma senha diferente por site. Você decora só uma. Ex.: Bitwarden, 1Password, Google, Apple.Creates and remembers a different password per site. You memorize just one. E.g. Bitwarden, 1Password, Google, Apple.

PasskeyPasskey

Entrar com digital/rosto/PIN do aparelho. Não há senha para roubar nem para digitar em site falso.Sign in with your device's fingerprint/face/PIN. No password to steal or type into a fake site.

Empresa@2025
adivinhada na horaguessed instantly
P@ssw0rd!Mudar
padrão previsívelpredictable pattern
cavalo-nuvem-pastel-trilho
muito difícil de quebrarvery hard to crack

NIST SP 800-63B-4 (2025)

02 · Senhas02 · Passwords

Pequenos hábitos, grande diferença.Small habits, big difference.

FaçaDo

  • Senha diferente para cada serviço, principalmente e-mail e bancoA different password for every service, especially email and banking
  • Conferir se seu e-mail vazou em haveibeenpwned.comCheck if your email leaked at haveibeenpwned.com
  • Trocar a senha na hora se houver suspeita de vazamentoChange your password right away if you suspect a leak
  • Proteger o e-mail com o máximo cuidado: ele recupera todas as outras contasGuard your email the most: it recovers every other account

EviteAvoid

  • Datas, nomes de filhos e pets, nome da empresa + anoDates, kids' and pets' names, company name + year
  • Post-it no monitor, planilha "senhas.xlsx", bloco de notasSticky notes, a "passwords.xlsx" file, the notes app
  • Compartilhar senha por WhatsApp ou e-mail, nem com colegaSharing passwords over WhatsApp or email, not even with coworkers
  • Reaproveitar a senha do trabalho em sites pessoaisReusing your work password on personal sites
02 · Verificação em duas etapas (MFA)02 · Multi-factor authentication (MFA)

Senha vazou? Com MFA, ainda não entraram.Password leaked? With MFA, they're still locked out.

Ative em e-mail, banco, WhatsApp, redes sociais e em tudo do trabalho.Turn it on for email, banking, WhatsApp, social media and everything at work.

MELHORBEST

Passkey ou chave físicaPasskey or security key

Resistente a phishing: não funciona em site falso.Phishing-resistant: won't work on a fake site.

MUITO BOMVERY GOOD

App autenticadorAuthenticator app

Google/Microsoft Authenticator. Código muda a cada 30s.Google/Microsoft Authenticator. Code changes every 30s.

MELHOR QUE NADABETTER THAN NOTHING

Código por SMSSMS code

Vulnerável a clonagem de chip (SIM swap).Vulnerable to SIM swapping.

Regra de ouro: código de verificação é só seu. Ninguém legítimo pede. Chegou um "Aprovar login?" que você não pediu? Negue e troque a senha.Golden rule: a verification code is yours alone. No one legitimate asks for it. Got an "Approve sign-in?" you didn't request? Deny it and change your password.
Caso real · Uber, setembro de 2022Real case · Uber, September 2022

Um adolescente invadiu a Uber sem nenhum exploit.A teenager breached Uber without a single exploit.

1

Senha vazadaLeaked password

A senha de um prestador terceirizado já circulava após uma infecção por malware.A contractor's password was already circulating after a malware infection.

2

Enxurrada de MFAMFA flood

O atacante disparou pedidos de "Aprovar login?" no celular dele por mais de uma hora.The attacker spammed "Approve sign-in?" prompts to his phone for over an hour.

3

Falso suporte no WhatsAppFake IT on WhatsApp

Se passou pela TI da Uber: "aprove para as notificações pararem". Ele aprovou.Posed as Uber IT: "approve it and the prompts will stop". He approved.

4

Acesso a tudoAccess to everything

Achou uma senha de administrador na rede: Slack, AWS, Google Workspace. Anunciou a invasão no Slack da empresa.Found an admin password on the network: Slack, AWS, Google Workspace. Announced the breach on the company Slack.

Nenhuma falha técnica foi explorada. Bastou uma aprovação feita por cansaço e confiança. Notificação que você não pediu: negue e avise a TI.No technical flaw was exploited. It took one approval made out of fatigue and trust. A prompt you didn't request: deny it and tell IT.

Uber, comunicado oficial (set/2022) · relatos do atacante à imprensa

03 · E-mails03 · Emails

Antes de clicar, pare 10 segundos.Before you click, stop for 10 seconds.

De:From: Microsoft 365 <suporte@micros0ft-seguranca.com><support@micros0ft-security.com>1
Para:To: voce@empresa.com.bryou@company.com
Assunto:Subject: URGENTE: sua conta será bloqueada em 2 horasURGENT: your account will be locked in 2 hours2

Prezado usuário,Dear user,3

Detectamos atividade incomum. Para evitar o bloqueio, confirme seus dados agora.We detected unusual activity. To avoid suspension, confirm your details now.

Verificar minha contaVerify my account4

📎 Relatorio_Seguranca.pdf.exeSecurity_Report.pdf.exe5

Não responda este e-mail. Não ligue para o suporte.Do not reply. Do not call support.6

  1. Remetente falsoFake sender
    Nome diz Microsoft; domínio tem um zero no lugar do "o".Name says Microsoft; the domain has a zero instead of "o".
  2. Urgência e ameaçaUrgency & threats
    "2 horas", "bloqueio". Pressa é a arma nº 1."2 hours", "locked". Rushing is weapon #1.
  3. Saudação genéricaGeneric greeting
    Quem tem sua conta sabe seu nome.Whoever holds your account knows your name.
  4. Link escondidoHidden link
    Passe o mouse e veja o endereço real. Na dúvida, digite o site.Hover to see the real address. When in doubt, type the site.
  5. Anexo perigosoDangerous attachment
    .exe, .zip, .html, .iso ou "habilitar macros"..exe, .zip, .html, .iso or "enable macros".
  6. Impede a verificaçãoBlocks verification
    Quem pede para não confirmar quer que você não confirme.Anyone saying don't confirm wants exactly that.
03 · A regra mais importante03 · The most important rule

Pedido de dinheiro ou de troca de dados bancários?
Confirme por outro canal.A request for money or new bank details?
Confirm through another channel.

Ligue para o número que você já tinha, nunca para o que veio na mensagem. Isso sozinho evita a maioria das fraudes de pagamento.Call the number you already had, never the one in the message. That alone stops most payment fraud.

03 · Golpes mais comuns03 · Most common scams

O roteiro muda. A isca é sempre a mesma.The script changes. The bait is always the same.

"Troquei de número""I got a new number"

WhatsApp com a foto do chefe ou parente pedindo PIX urgente. Ligue para o número antigo.WhatsApp with your boss's or relative's photo asking for an urgent payment. Call the old number.

Falsa central do bancoFake bank call

Banco nunca pede senha, código ou transferência "de segurança". Desligue e ligue você.Banks never ask for passwords, codes or a "safety" transfer. Hang up and call them yourself.

PIX, boleto e QR codePIX, invoices & QR codes

Antes de confirmar, leia o nome e o CNPJ/CPF de quem recebe.Before confirming, read the recipient's name and tax ID.

Fornecedor que "mudou de conta"Supplier who "changed accounts"

Mudança de dados bancários só vale após confirmação por telefone com contato já cadastrado.Bank-detail changes only count after phone confirmation with a contact on file.

Voz e vídeo falsosFake voice & video

IA clona uma voz com segundos de áudio. Combine uma palavra-código com a família.AI clones a voice from seconds of audio. Agree on a code word with family.

Prêmio, vaga, entregaPrize, job, delivery

Pede pagamento antecipado ou dados para "liberar"? É golpe.Asks for an upfront payment or data to "release" something? Scam.

CERT.br · Febraban · Banco Central do Brasil

04 · Dispositivos, redes e IA04 · Devices, networks & AI

Os detalhes que fecham as portas.The details that close the doors.

Atualize sempreAlways update

Sistema, navegador e apps. Atualização fecha falhas já exploradas.OS, browser and apps. Updates close flaws already being exploited.

Bloqueie a telaLock your screen

Saiu da mesa? Win + L (Windows) ou Ctrl + Cmd + Q (Mac).Leaving your desk? Win + L (Windows) or Ctrl + Cmd + Q (Mac).

Wi-Fi públicoPublic Wi-Fi

Evite banco e sistemas da empresa em rede aberta. Use 4G/5G ou VPN.Avoid banking and company systems on open networks. Use mobile data or VPN.

Pen drive achadoFound USB drive

Não conecte. Entregue para a TI. É isca clássica.Don't plug it in. Hand it to IT. Classic bait.

IA generativa (ChatGPT, Gemini, Claude…): não cole dados de clientes, contratos, senhas ou dados pessoais em ferramentas que a empresa não aprovou. Pode violar a LGPD.Generative AI (ChatGPT, Gemini, Claude…): don't paste customer data, contracts, passwords or personal data into tools your company hasn't approved. It may breach data-protection law.
05 · Caí num golpe, e agora?05 · I got scammed. Now what?

Sem vergonha. Velocidade é tudo.No shame. Speed is everything.

1

Avise a TI / Segurança na horaTell IT / Security right away

Clicou, digitou senha, abriu anexo? Incidente avisado em minutos é muito mais fácil de conter.Clicked, typed a password, opened an attachment? An incident reported in minutes is far easier to contain.

2

Troque senhas e encerre sessõesChange passwords, sign out everywhere

Comece pelo e-mail. Use "sair de todos os dispositivos" e confira o MFA.Start with email. Use "sign out of all devices" and check MFA.

3

Fez PIX? Ligue para o bancoSent a payment? Call your bank

Peça o MED (Mecanismo Especial de Devolução) o quanto antes para bloquear o valor.In Brazil, ask for the PIX MED (Special Return Mechanism) ASAP to freeze the funds.

4

Registre um B.O.File a police report

Pode ser online, na delegacia virtual. Ajuda no ressarcimento.Usually online. It helps with reimbursement.

5

Alerte quem pode ser o próximoWarn whoever is next

Clonaram seu WhatsApp ou e-mail? Avise contatos e colegas.WhatsApp or email hijacked? Warn contacts and coworkers.

06 · Quiz06 · Quiz

É golpe ou não é?Scam or not?

6 mensagens do dia a dia. Levante a mão: 🚩 golpe ou ✅ legítimo?6 everyday messages. Raise your hand: 🚩 scam or ✅ legit?

Quiz · 1 de 6Quiz · 1 of 6

É golpe ou não é?Scam or not?

WhatsApp · número novo (foto do seu gestor)WhatsApp · new number (your manager's photo)
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
🚩 É GOLPE🚩 SCAMAutoridade + urgência + canal novo. Ligue para o número antigo do gestor antes de pagar qualquer coisa.Authority + urgency + a new channel. Call your manager's old number before paying anything.👔 Autoridade👔 Authority⏰ Urgência⏰ Urgency
Quiz · 2 de 6Quiz · 2 of 6

É golpe ou não é?Scam or not?

Slack da empresa · canal oficial #avisosCompany Slack · official #announcements channel
# avisos248 membros248 members
TI
Equipe de TIIT Team9:02

Lembrete: sexta às 18h teremos manutenção programada no servidor de arquivos. Nenhuma ação necessária. Dúvidas, chame no canal #suporte.Reminder: Friday at 6pm we'll have scheduled maintenance on the file server. No action needed. Questions? Ping #support.

👍 12✅ 4
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
✅ LEGÍTIMO✅ LEGITCanal oficial da empresa, sem link, sem pedido de senha ou ação, aponta um canal interno conhecido.Official company channel, no link, no password or action request, points to a known internal channel.
Quiz · 3 de 6Quiz · 3 of 6

É golpe ou não é?Scam or not?

SMS · CorreiosSMS · Postal service
+55 21 99318-4402Mensagem de textoText Message · Hoje 09:14Today 9:14 AM
CORREIOS: Sua encomenda BR8823 está retida por taxa pendente de R$ 9,90. Regularize em até 24h: correios-rastreio-br.com/pagarPOST: Your parcel BR8823 is on hold for a pending R$ 9.90 fee. Pay within 24h: post-tracking-br.com/pay
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
🚩 É GOLPE🚩 SCAMValor baixo para você não pensar, prazo curto e domínio falso. O alvo é o seu cartão.A small amount so you don't think, a short deadline and a fake domain. The target is your card.⏰ Urgência⏰ Urgency😨 Medo😨 Fear
Quiz · 4 de 6Quiz · 4 of 6

É golpe ou não é?Scam or not?

Ligação · "Central de segurança do seu banco"Call · "Your bank's security team"
Chamada recebidaIncoming call
Central de SegurançaSecurity Center0800 591 2040
O que a pessoa diz:What the caller says:"Identificamos uma compra de R$ 4.800 no seu cartão. Para cancelar, vou enviar um código por SMS e preciso que você me informe.""We detected a R$ 4,800 purchase on your card. To cancel it, I'll text you a code and need you to read it back."
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
🚩 É GOLPE🚩 SCAMBanco nunca pede código por telefone. Esse código é justamente o que libera sua conta.Banks never ask for codes by phone. That code is exactly what unlocks your account.😨 Medo😨 Fear👔 Autoridade👔 Authority
Quiz · 5 de 6Quiz · 5 of 6

É golpe ou não é?Scam or not?

E-mail · financeiro@fornecedor.com (fornecedor conhecido)Email · billing@supplier.com (known supplier)
Atualização de dados bancários · Fatura 4471Bank details update · Invoice 4471Caixa de entradaInbox
F
Financeiro · Fornecedor LtdaBilling · Supplier Ltd <financeiro@fornecedor.combilling@supplier.com>para mimto me ▾
10:47
Prezados, mudamos de banco. A partir desta fatura, favor pagar na nova conta abaixo. Pedimos agilidade, a fatura vence hoje.Dear team, we've changed banks. From this invoice on, please pay into the new account below. It's due today.
Dados_bancarios_atualizados.pdfUpdated_bank_details.pdfPDF · 84 KB
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
🚩 É GOLPE🚩 SCAMMesmo vindo do e-mail "certo", a caixa do fornecedor pode ter sido invadida. Confirme por telefone.Even from the "right" address, the supplier's mailbox may be hacked. Confirm by phone.⏰ Urgência⏰ Urgency👔 Autoridade👔 Authority
Quiz · 6 de 6Quiz · 6 of 6

É golpe ou não é?Scam or not?

Aviso dentro do app do banco (que você abriu)Notice inside your bank app (you opened it)
Seu BancoYour Bank

Ative sua chave de acessoSet up your passkey

Você ainda não ativou a chave de acesso (passkey). Ative em Configurações > Segurança para entrar sem senha.You haven't set up a passkey yet. Turn it on in Settings > Security to sign in without a password.

Ativar agoraTurn on
E aí, o que você faz?So, what do you do?
🚩 Golpe🚩 Scam✅ Legítimo✅ Legit
✅ LEGÍTIMO✅ LEGITEstá no app oficial que você abriu, sem link externo, sem pedir dados. E vale a pena ativar!It's in the official app you opened, no external link, no data request. And worth turning on!
06 · Checklist06 · Checklist

Faça hoje. Leva menos de 1 hora.Do it today. It takes less than an hour.

0/8
BIX Tech

Obrigado.Thank you.

Perguntas?Questions?

QRMaterial completo:Full material:
bix-seguranca.pages.dev

Lucas Menegazzo · lucas.menegazzo@bix-tech.comLucas Menegazzo · lucas.menegazzo@bix-tech.com

←/→ navegar · F tela cheia · G índice · L idioma←/→ navigate · F fullscreen · G index · L language

ÍNDICEINDEX