O seu domínio expirou? Alguém pode começar a receber os seus emails

Recuperações de password, faturas, notificações de login e outros dados sensíveis podem acabar nas mãos de terceiros. E nem sequer é preciso “hackear” nada.

Quando se fala em cibersegurança, a maioria das pessoas pensa em ataques sofisticados, malware ou roubo de passwords. No entanto, há um risco muito mais simples e muitas vezes ignorado que pode expor emails, contas e informação sensível: deixar um domínio expirar.

À primeira vista, parece apenas uma questão administrativa. Um site já não é usado, o projeto terminou ou a empresa mudou de nome, e o domínio deixa de ser renovado.

O problema é que esse domínio pode continuar associado a dezenas de contas, serviços e endereços de email criados ao longo dos anos. E quando volta a ficar disponível para registo, outra pessoa pode comprá-lo. A partir daí, o cenário torna-se preocupante.

Um risco real, sem qualquer “hack”

Recentemente, ao registar um domínio e ativar a receção de emails para esse domínio, começaram a chegar mensagens destinadas ao anterior titular. Entre elas estavam pedidos de recuperação de password, notificações de login, faturas e comunicações de serviços digitais importantes.

Isto significa que, mesmo depois de perder o domínio, o anterior utilizador continuava com várias contas online associadas a endereços desse domínio. Quem ficou com ele a seguir passou, na prática, a receber essas comunicações.

Não estamos a falar de invasão de sistemas nem de técnicas avançadas. Trata-se apenas de uma consequência lógica da forma como muitos serviços usam o email como prova de identidade e canal de recuperação de acesso. Se o email já não está nas mãos do utilizador original, o risco é óbvio.

Porque é que isto acontece?

Durante anos, muitas empresas e profissionais usam endereços como:

• geral@empresa.pt
• info@empresa.pt
• suporte@empresa.pt

Este tipo de emails acabam registados em múltiplas plataformas:

• redes sociais;
• ferramentas de faturação;
• lojas online;
• serviços cloud;
• newsletters;
• marketplaces;
• fornecedores;
• contas Apple, Google ou Microsoft;
• plataformas de publicidade e marketing.

O domínio pode deixar de ter site, pode já não representar um negócio ativo, mas continua a estar ligado à identidade digital de quem o utilizou. E esse é o verdadeiro problema: um domínio antigo pode continuar a abrir portas durante muito tempo.

Mais do que perder um website, há uma ideia errada bastante comum: achar que, se um domínio expirar, a única perda é o site deixar de estar online.

Na prática, um domínio pode estar ligado a muito mais:

• caixas de email;
• recuperação de passwords;
• notificações automáticas;
• documentos enviados por clientes ou fornecedores;
• acessos a plataformas críticas;
• contas internas de colaboradores;
• histórico digital da empresa.

Se outra pessoa registar esse domínio e criar um email com domínio próprio, pode começar a receber mensagens que nunca lhe eram destinadas. Em alguns casos, isso pode ser apenas incómodo. Noutros, pode transformar-se num problema sério de privacidade, segurança e reputação.

PME, freelancers e negócios locais estão especialmente expostos

Este tipo de risco não afeta apenas grandes empresas. Na verdade, muitas pequenas e médias empresas, freelancers e projetos temporários estão mais vulneráveis porque nem sempre têm processos definidos para gerir domínios, emails e acessos digitais.

É frequente acontecer isto:

• cria-se um domínio para um projeto ou empresa;
• usam-se emails personalizados durante anos;
• esses emails ficam associados a vários serviços;
• o projeto termina ou muda;
• o domínio deixa de ser renovado;
• ninguém faz um levantamento do que ainda dependia dele.

Meses ou anos depois, o domínio pode ser registado por outra pessoa, com consequências difíceis de prever.

Como evitar este problema?

A boa notícia é que este risco é fácil de reduzir, desde que exista atenção ao tema.

1️⃣ - Não deixe expirar domínios usados em emails importantes

Se um domínio foi usado para comunicação com clientes, acessos a plataformas ou recuperação de contas, o mais seguro é mantê-lo ativo.

2️⃣ - Faça um inventário das contas associadas

Antes de abandonar um domínio, convém confirmar onde esse endereço de email foi utilizado. Muitas empresas descobrem tarde demais que tinham contas críticas ligadas a domínios antigos.

3️⃣ - Atualize os emails de recuperação

Sempre que possível, altere os endereços associados a serviços importantes antes de descontinuar o domínio.

4️⃣ - Ative a renovação automática

Muitos problemas começam com um simples esquecimento. A renovação automática ajuda a evitar perdas acidentais.

5️⃣ - Trate o domínio como um ativo digital crítico

Um domínio não é apenas o nome do site. É parte da infraestrutura digital da empresa e deve ser gerido com o mesmo cuidado que o alojamento, o email ou os backups.

Renovar custa pouco. Recuperar pode custar muito

Na maioria dos casos, manter um domínio ativo tem um custo reduzido. Já resolver problemas relacionados com perda de acesso, exposição de dados ou receção indevida de comunicações pode sair muito mais caro.

Para empresas, sobretudo PME, este é um daqueles detalhes técnicos que parecem menores até ao dia em que deixam de o ser.

Se um domínio foi usado para emails, contas online, clientes ou serviços importantes, deixá-lo expirar pode criar uma vulnerabilidade silenciosa.

Não é preciso existir um ataque informático. Basta que outra pessoa registe esse domínio e passe a receber comunicações que ainda continuam ligadas à sua antiga presença digital.

Num tempo em que o email continua a ser o centro da identidade online, manter o controlo sobre um domínio antigo pode ser uma medida simples, mas essencial.