Um agente abre um e-mail que lhe pede para revalidar seu acesso ao RH. O link leva a uma página idêntica à MaBoxRH, com o logotipo do grupo incluído. Exceto que o domínio na barra de endereço não corresponde a nada conhecido. Esse cenário afeta diretamente os usuários do GTm Extranet La Poste, e a convergência iniciada em 2024 entre MaBoxRH, GTm Extranet e o Portal Malin multiplicou os caminhos de conexão.
Resultado: os pontos de referência habituais estão confusos, e as campanhas de phishing exploram precisamente essa confusão.
Posto de trabalho e sessão bloqueada: a base antes da senha
A segurança de um extranet não se limita à senha. No GTm Extranet, o posto utilizado para se conectar é o primeiro elo a ser verificado. Um computador compartilhado sem bloqueio automático de sessão, um navegador que salva as credenciais em um perfil não protegido, um sistema operacional cujas atualizações de segurança estão atrasadas há semanas, tudo isso cria falhas muito antes da inserção da senha.
Concretamente, verificamos três pontos antes de cada conexão:
- O posto é um terminal profissional cujo sistema operacional e navegador estão atualizados (as correções de segurança corrigem regularmente vulnerabilidades exploradas por kits de phishing).
- A sessão do usuário é bloqueada assim que se sai do posto, mesmo que por alguns minutos, o que impede que terceiros acessem uma sessão GTm que permaneceu aberta.
- O gerenciador de senhas integrado ao navegador está desativado ou protegido por uma senha mestra, para evitar que um acesso físico ao posto dê acesso direto às credenciais do RH.
Um guia sobre a autenticação no gtm extranet La Poste também detalha os sites falsos de conexão e as técnicas de fraude comuns nesta plataforma.
Proteger o posto de trabalho reduz a superfície de ataque antes mesmo de falarmos sobre a senha. A CNIL, aliás, integra todas essas medidas em uma abordagem global de proteção de dados, não como gestos isolados.
Autenticação multifator no GTm Extranet: o que ela protege e o que ela não protege
A autenticação multifator (MFA) adiciona uma camada de verificação após a senha: um código temporário recebido por SMS ou gerado por um aplicativo. Poderíamos pensar que isso é suficiente para bloquear qualquer tentativa de fraude. Na prática, não é tão simples.
Uma página de login falsa bem construída pode capturar tanto a senha quanto o código MFA em tempo real. O usuário insere suas credenciais no site falso, o hacker as transmite instantaneamente para o verdadeiro portal, recupera o código MFA solicitado e se conecta antes da expiração. Esse tipo de ataque, chamado “phishing em tempo real”, torna o segundo fator ineficaz se o domínio não foi verificado previamente.
A MFA continua sendo uma medida de segurança relevante, mas faz parte de um dispositivo mais amplo. Ela nunca dispensa o controle da URL antes de qualquer inserção. No GTm Extranet, uma recomendação interna divulgada desde 2024 é clara: nunca acessar o GTm através de um motor de busca. Deve-se passar por um favorito salvo ou pelo intranet do grupo.
Verificar o domínio em três segundos
Antes de inserir qualquer coisa, olhamos para a barra de endereço do navegador. O domínio deve corresponder exatamente ao do portal oficial. Um caractere a mais, um hífen incomum, uma extensão diferente: fechamos a aba. Um certificado HTTPS válido (cadeado verde) não garante a legitimidade do site, pois os certificados SSL estão disponíveis gratuitamente, inclusive para sites fraudulentos.
Procedimento de resposta a incidentes após inserção em um site falso
Identificar uma tentativa de phishing é uma coisa. Saber como reagir após ter inserido suas credenciais em uma página duvidosa é outra. Preparamos esse procedimento antes que um incidente ocorra, não depois.
Aqui está a sequência a seguir se suspeitarmos de que inserimos nossas credenciais do GTm Extranet em um site fraudulento:
- Interromper imediatamente a sessão em andamento e não clicar em outros links da mesma página.
- Conectar-se ao portal oficial (via um favorito verificado) e alterar a senha sem esperar.
- Informar o serviço de TI ou o suporte interno do grupo La Poste para que possam monitorar conexões suspeitas na conta.
- Conservar a mensagem fraudulenta (e-mail, SMS) sem deletá-la: ela servirá como prova para a denúncia.
- Verificar as atividades recentes da conta do RH para identificar qualquer acesso ou modificação incomum.
Essa lógica de preparação para incidentes se alinha às recomendações publicadas pela CNIL em 2024: o gerenciamento de uma comprometimento deve ser planejado antes da fraude, não na urgência.
Denúncia organizada: quem avisar e por qual canal
Denunciar um site falso ou um e-mail de phishing não se limita a excluí-lo da caixa de entrada. Para que a denúncia seja útil, deve ser feita pelo canal correto.
Internamente, o primeiro reflexo é contatar o suporte de TI do grupo. Dependendo das estruturas, existe um formulário dedicado ou um endereço de denúncia. O objetivo: permitir que o serviço de segurança bloqueie o domínio fraudulento para todos os usuários e verifique se outras contas foram alvo.
Externamente, a plataforma oficial Pharos (denúncia de conteúdos ilícitos online) permite declarar um site de phishing. Os retornos variam quanto aos prazos de processamento, mas a denúncia alimenta uma base que acelera o bloqueio pelos navegadores e provedores de acesso.
Evitar armadilhas recorrentes relacionadas aos motores de busca
Páginas patrocinadas imitando o GTm Extranet podem aparecer no topo dos resultados de busca. Pesquisar “GTm Extranet La Poste” em um motor de busca é o vetor de ataque mais comum. O acesso deve sempre ser feito através de um link favorito salvo manualmente ou pelo portal intranet do grupo.
Uma senha robusta, um segundo fator ativado e um posto atualizado não servem de nada se forem inseridos na página errada. A segurança do acesso ao GTm Extranet depende de uma sequência de verificações simples, aplicadas sistematicamente, sem exceção para as conexões “rápidas” entre duas reuniões.
