Cyber Gera
Cibersegurança na prática
Como proteger contas, dados de clientes e pagamentos no dia a dia da Gera Energia.
- Pix e boletos
Equipe • Regra do dia a dia
Pare. Confirme. Avise.
- 01
Pare
Pedido urgente de código, senha, documento ou Pix? Interrompa a conversa antes de agir.
- 02
Confirme
Ligue pelo número já salvo ou fale pessoalmente. Entre no app ou portal por um caminho conhecido.
- 03
Avise
Comunique o gestor ou a TI pelo canal interno seguro, mesmo se só recebeu a tentativa.
Um contato conhecido também pode estar com a conta invadida.
Exemplo simulado · E-mail
Como identificar um falso aviso
Seu e-mail será bloqueado
1 suporte@central-acesso.invalid
2 Você tem 15 minutos para evitar o bloqueio da sua caixa.
- 1
Remetente. Abra os detalhes e confira o endereço completo. O nome “Suporte” pode ser alterado.
- 2
Pressão. O prazo curto tenta impedir que você confirme o pedido.
- 3
Destino. Um botão com a marca pode abrir outro site. Entre pelo portal que você já usa.
- 4
Anexo. Deixe o arquivo fechado e valide o pedido com a TI por outro canal.
Exemplo simulado · WhatsApp
O código pode entregar a conta
1 Oi! Sou do suporte. Acabei de mandar um código de seis dígitos para validar seu número. Pode me passar?
2 Se preferir, escaneie o QR de pareamento que vou mandar. É rapidinho.
Vou verificar direto com a TI pelo contato que já tenho.
- 1
Código de registro. Use o código só no aplicativo oficial quando você iniciou o acesso. Nunca envie o código em conversa.
- 2
Pareamento. Um QR ou código fornecido por terceiros pode vincular o aparelho deles à sua conta. Confira Aparelhos conectados no celular.
Recebeu o código sem pedir? Ignore, preserve a evidência e informe ao responsável.
Equipe • WhatsApp e e-mail
No que não clicar
“Sua conta vai ser suspensa”, “confirme o login” ou “resgate seu acesso”. Abra o aplicativo ou portal oficial diretamente.
Endereço escondido, domínio com letras trocadas ou botão inesperado. Entre pelo favorito ou digite o endereço conhecido. O cadeado do site não comprova a origem.
“Nova proposta”, “segunda via” ou “lista de clientes”, inclusive PDFs e ZIPs. Confirme com quem enviou por outro canal antes de abrir.
“Valide seu WhatsApp” ou “escaneie para acessar o CRM”. Conecte um aparelho somente quando você iniciou o pareamento, no serviço oficial.
Evite instalar APKs, extensões ou apps de acesso remoto indicados por mensagens inesperadas.
Equipe • Anexos de clientes
Uma conta de luz pode ser a isca
↳ anexo interno: abrir_documento.bat
↳ botão “Acesse para ver a fatura”
- 1
Extensão disfarçada. Um nome que termina em
.exeou.batindica programa ou script do Windows. Exiba as extensões no Explorador de Arquivos. - 2
Anexo embutido. Um PDF real pode carregar outros arquivos, inclusive scripts ou executáveis. O Acrobat possui restrições para esses tipos. Mantenha os bloqueios do leitor.
- 3
Link ou QR dentro do PDF. Podem levar a um falso login ou download. Use o portal oficial ou confirme o documento com o cliente pelo telefone já salvo.
Deixe anexos inesperados fechados e acione a TI. PDFs maliciosos também podem explorar falhas do leitor. Mantenha-o atualizado. Em documentos do Office, evite habilitar macros solicitadas pelo arquivo.
Equipe • Configuração do WhatsApp
Proteja o WhatsApp.
O que fazer
- Em Configurações › Conta › Verificação em duas etapas, ative a proteção e cadastre um e-mail de recuperação protegido.
- Em Aparelhos conectados, confira as sessões e desconecte as desconhecidas. Avise o gestor se encontrar uma.
- Atualize o app pela loja oficial e bloqueie a tela do celular.
O que não fazer
- Enviar código de SMS, PIN ou senha, mesmo a quem se apresenta como suporte ou gestor.
- Digitar código de pareamento pedido por mensagem ou compartilhar a tela para alguém ler um código.
- Deixar o WhatsApp Web conectado em computador público ou compartilhado.
Equipe • Senhas, e-mail e celular
O e-mail também recupera contas.
O que fazer
- Ative a autenticação em dois fatores. Use chave de acesso ou chave física onde a empresa oferecer, ou aplicativo autenticador conforme orientação da TI.
- Crie uma senha exclusiva por serviço com o gerenciador aprovado pela empresa.
- Mantenha o sistema atualizado e revise os meios de recuperação com a TI.
O que não fazer
- Aprovar uma solicitação de login que você não iniciou. Recuse e avise, mesmo se o pedido se repetir.
- Reutilizar ou compartilhar senhas e guardar códigos de recuperação em chats ou na própria caixa de e-mail.
- Enviar contas de luz, propostas ou documentos de clientes para contas pessoais ou links desconhecidos.
Equipe comercial e financeiro
Mudou o Pix? Pause.
Encaminhe a divergência ao financeiro pelo canal interno conhecido. Confira valor, nome e CPF/CNPJ do beneficiário com a cobrança oficial antes de orientar o cliente ou liberar pagamento.
Repassar QR, boleto, chave Pix ou “conta nova” recebidos no chat, inclusive se a foto e o nome do vendedor ou diretor forem conhecidos.
Avise o financeiro imediatamente. Quem fez o Pix deve acionar seu banco pelo app ou telefone oficial para contestar a fraude e solicitar o MED.
Equipe • Suspeita de golpe
Avise na hora.
Só recebeu
Evite interagir. Registre horário e remetente e tire uma captura sem senhas ou códigos. Avise o gestor ou a TI.
Só abriu o link
Feche a página. Diga se digitou dados, baixou arquivo ou autorizou algo para a TI avaliar a urgência.
Enviou código ou senha
Ligue imediatamente para a TI por outro canal. Se ainda tiver acesso, altere a senha pelo serviço oficial usando um aparelho confiável, com apoio da TI.
Instalou algo ou perdeu acesso
Se instalou, desligue Wi-Fi e dados móveis do aparelho e use outro para pedir ajuda. Se o chip ficou sem sinal de forma inesperada, acione também a operadora oficial.
Preserve a mensagem original. Evite encaminhar o link, apagar conversas ou formatar o aparelho antes da orientação da TI.
Equipe • Treino interativo
O que você faria?
“Aqui é do comercial. O boleto da instalação mudou. Escaneie este QR e pague ainda hoje para manter o desconto.”
Escolha uma resposta.
Uma pessoa se apresenta como suporte e pede o código de seis dígitos que acabou de chegar por SMS.
Escolha uma resposta.
Você recebe “nova proposta urgente” de um endereço parecido com o de um cliente. O anexo é um ZIP que você não esperava.
Escolha uma resposta.
Equipe • Checklist de bolso
Cinco hábitos para o dia a dia
- 1. Proteja a entradaAtive dois fatores no e-mail e a verificação em duas etapas no WhatsApp.
- 2. Revise o que está conectadoConfira as sessões abertas, bloqueie a tela e mantenha o sistema e os apps atualizados.
- 3. Guarde códigos e senhasUse senhas exclusivas. Recuse logins e códigos que você não pediu.
- 4. Confirme a cobrança pelo caminho oficialBoletos novos e mudanças de Pix passam pelo financeiro.
- 5. Avise assim que suspeitarUse o contato interno seguro e informe o que recebeu ou fez.
Gestão • Primeiras horas
Contenha o incidente hoje.
Referência de tempo para a direção, TI, comercial e financeiro a partir do primeiro relato.
- 0–15 min
Acionar
Direção. Nomeie responsável e substituto. Acione TI ou suporte do provedor e divulgue um canal alternativo já conhecido.
- 15–60 min
Conter
TI. Bloqueie o login do e-mail afetado e recupere a linha em paralelo. Preserve alertas e logs sem atrasar a contenção.
- 1–4 h
Proteger clientes
Comercial e financeiro. Pause cobranças suspeitas, mantenha atendimento por canal verificado e avise contatos possivelmente abordados.
- Até 24 h
Apurar
Direção, TI e privacidade. Registrem contas, dados e pessoas possivelmente afetadas. Avaliem comunicação e condições de retorno.
Gestão • Titular da linha e TI
Recupere o WhatsApp.
Se houver perda de sinal ou suspeita de troca de chip ou portabilidade, acione a operadora para bloquear a troca indevida e recuperar o número.
No app oficial, registre novamente o número com o código recebido por SMS ou ligação, quando solicitado. Use o código só no app. Se a verificação adicional impedir o acesso, siga o fluxo oficial e o prazo que o app indicar.
Encerre sessões desconhecidas e confira verificação em duas etapas, recuperação e mensagens recentes. Se a linha usa CRM ou Meta, a TI revisa acessos, integrações e envios. Valide a volta com um teste interno autorizado.
Gestão • Administrador do e-mail
Feche as sessões do e-mail.
Suspenda a conta ou bloqueie o login. Redefina a senha, revogue sessões, tokens e senhas de aplicativo. Se a conta for pessoal, ajude o titular a usar a recuperação oficial.
Preserve logs de login e envio. Revise regras, filtros, encaminhamentos, delegações, apps autorizados e meios de recuperação. Remova os acessos indevidos e verifique serviços vinculados.
Confirme o titular por outro canal, reconfigure o segundo fator e teste o acesso de um dispositivo confiável. Monitore novos alertas e confirme que as regras suspeitas não voltaram.
Gestão • Depois da contenção
Quando voltar a atender
- IdentidadeTitular e dispositivo verificados. Senha, segundo fator e recuperação revisados.
- SessõesAcessos indevidos revogados. Regras e encaminhamentos suspeitos removidos.
- OperaçãoTeste interno de envio e recebimento aprovado. Comercial e financeiro cientes.
- AcompanhamentoResponsável e próximo horário de revisão definidos. Novos alertas encaminhados.
Se algum item estiver pendente
Mantenha o atendimento no canal alternativo já verificado. Registre responsável, prazo e condição para reabrir.
Em caso de sinal de novo acesso ou envio suspeito, volte à contenção e reavalie a exposição de dados.
Gestão • Até 24 horas
Apure o que foi exposto.
Mapeiem contas, conversas, anexos e serviços acessíveis no período: propostas, contas de luz e dados de contato. Registrem o que foi confirmado e o que ainda está em apuração.
Se o incidente afetou dados pessoais, avaliem risco ou dano relevante e registrem a decisão. Quando a comunicação é obrigatória, a regra geral é até 3 dias úteis para informar ANPD e titulares, contados da ciência de que o incidente afetou dados pessoais. Verifiquem o regime aplicável.
Guardem cronologia, decisões, responsáveis e comunicações em acesso restrito. Se ainda houver informação incompleta, avaliem comunicação preliminar à ANPD no prazo aplicável.
Gestão • Boas práticas para PMEs
Comece pelas seis funções do NIST
Governar
Nomeie dono e substituto. Aprove regras curtas para acesso, cobrança e resposta a incidentes.
Identificar
Liste contas, dispositivos, fornecedores e dados críticos. Comece por e-mail, CRM e financeiro.
Proteger
Ative MFA, adote senhas únicas, atualize dispositivos e conceda apenas os acessos necessários.
Detectar
Monitore logins suspeitos, mudanças de administrador e encaminhamentos. Defina quem recebe e apura os alertas.
Responder
Tenha um canal alternativo. Treine contenção, preservação de evidências e comunicação com clientes.
Recuperar
Proteja as cópias de segurança e teste a restauração. Combine quanto tempo a operação pode ficar parada.
Gestão • Primeiros 30 dias
Quatro controles para testar
Contas e fornecedores
Use MFA e contas individuais. Separe acesso de administração, limite permissões dos prestadores e retire acessos no desligamento.
Valide: confira a cobertura das contas críticas e teste a revogação.
Computadores e celulares
Habilite atualizações, proteção contra malware e bloqueio de tela. Mantenha leitor de PDF, Office e navegador atualizados.
Valide: confira a cobertura e trate aparelhos sem atualização.
E-mail e documentos
Ative filtros de phishing e anexos. A TI revisa SPF, DKIM e DMARC do domínio corporativo, começando pelo inventário de remetentes legítimos.
Valide: confira a autenticação das mensagens legítimas e teste o canal de denúncia com um exemplo inofensivo.
Backups e continuidade
Automatize cópias dos dados críticos. Mantenha uma cópia protegida, desconectada ou bloqueada contra alteração, com acesso separado.
Valide: restaure uma amostra em ambiente seguro, registre o tempo e corrija falhas.
Gestão • Dias 2 a 7
Proteja os acessos críticos.
- Dia 2 · TI
Fechar o inventário
Liste e-mails, linhas de trabalho, CRM, Meta e arquivos. Registre titular, administrador, proteção e recuperação.
Evidência: lista revisada por cada gestor.
- Dia 4 · TI
Proteger contas críticas
Exija autenticação multifator para administradores e financeiro. Priorize chave de acesso ou chave física quando disponível.
Meta: 100% cobertas e recuperação testada.
- Dia 7 · TI e gestores
Proteger a equipe
Ative dois fatores no e-mail e no WhatsApp de trabalho. Revise sessões, adote um gerenciador e atribua prazos a exceções.
Evidência: cobertura conferida por conta, sem coletar senhas ou códigos.
Gestão • Dias 8 a 30
Teste a rotina antes do próximo golpe.
- Dia 14 · Comercial e financeiro
Validar cobranças
Use cobranças emitidas pelo financeiro. Mudança de dados bancários exige confirmação por canal conhecido, segundo aprovador e registro.
Evidência: teste bloqueia um Pix divergente.
- Dia 21 · TI e liderança
Revisar acessos
Use contas individuais, permissões por função e alertas de login. Retire os acessos de quem sair da empresa.
Evidência: testar retirada de acesso e alerta com conta de teste.
- Dia 30 · Gestores
Treinar e medir
Simule link, código e Pix falsos. Revise cobertura e acessos mensalmente.
Metas propostas: 100% da equipe treinada e primeiro relato em até 15 minutos na simulação.
Gestão • Comunicação
Avise por um canal seguro.
Preencha os campos, confira os fatos e envie pelo canal oficial já conhecido pelo destinatário.
Para a equipe
Equipe Gera, estamos apurando tentativas de acesso indevido. Se receber pedido de código, QR de verificação, link inesperado ou alteração de Pix, pause e ligue para [gestor ou TI e telefone interno]. Informe o que aconteceu e o horário, mesmo se só recebeu a mensagem.
Para clientes possivelmente abordados
Olá, aqui é a Gera Energia. Estamos verificando mensagens suspeitas que podem ter sido enviadas em nosso nome. Se recebeu novo boleto, chave Pix ou pedido de dados, suspenda a ação e confirme pelo telefone da Gera que você já conhece ou pelo contato publicado no nosso site. Se já fez um Pix suspeito, fale imediatamente com seu banco e nos avise.
Referências • Novembro de 2026