Cibersegurança para pequenas empresas

Cibersegurança para pequenas empresas: 15 medidas práticas para 2026

“A minha empresa é demasiado pequena para ser atacada.”

Esta é uma das frases mais perigosas que um pequeno empresário pode repetir. Os criminosos não precisam de conhecer a empresa nem de a escolher manualmente. Grande parte dos ataques começa com campanhas automáticas, passwords já roubadas, plugins desatualizados, faturas falsas ou emails enviados para milhares de destinatários.

Um estudo realizado pela IDC para a Sage, com uma amostra dedicada de 100 PME em Portugal, concluiu que apenas 43% não registaram incidentes de cibersegurança no último ano. Na mesma amostra, 39% enfrentaram incidentes menores e 16% tiveram incidentes com perturbações significativas no negócio.

O dado não significa que 57% de todas as PME portuguesas tenham necessariamente sido atacadas, porque se trata de uma amostra. Mas é um aviso claro: o problema já não pertence apenas às grandes empresas.

Porque é que as pequenas empresas são alvos atrativos?

Uma PME pode ter menos dinheiro do que uma multinacional, mas continua a possuir ativos valiosos:

  • Acesso a contas bancárias;
  • Email de administração e faturação;
  • Dados de clientes e trabalhadores;
  • Credenciais de fornecedores;
  • Websites e lojas online;
  • Contas de redes sociais;
  • Documentos comerciais;
  • Relações de confiança que podem ser exploradas.

Além disso, muitas empresas pequenas têm pouco tempo, responsabilidades concentradas numa pessoa e ausência de processos formais. Um atacante procura precisamente o caminho mais fácil.

As ameaças mais comuns em Portugal

O Relatório Riscos & Conflitos 2025 do Centro Nacional de Cibersegurança destacou o aumento significativo de incidentes registados em 2024 e a relevância de phishing, smishing, engenharia social, exploração de vulnerabilidades, comprometimento de contas e ransomware.

Num inquérito do CNCS a profissionais de organizações, phishing e smishing foram o tipo de ameaça mais referido relativamente a 2024, seguido de ransomware e engenharia social. Estes valores medem a perceção dos inquiridos e não a percentagem de empresas vítimas, mas ajudam a identificar prioridades.

Para uma pequena empresa, os cenários mais prováveis incluem:

  • Email falso com fatura ou aviso de pagamento;
  • Roubo da password do Microsoft 365 ou Google Workspace;
  • Alteração fraudulenta de IBAN;
  • Mensagem do “gerente” a pedir uma transferência urgente;
  • Malware num anexo;
  • Website WordPress comprometido;
  • Roubo de sessão ou cookie;
  • Ransomware num computador ou servidor;
  • Fornecedor comprometido que envia uma mensagem aparentemente legítima;
  • Aplicação de IA ou extensão de browser que recolhe dados indevidamente.

A inteligência artificial tornou as burlas mais credíveis

Os erros ortográficos deixaram de ser um indicador seguro de fraude.

Com ferramentas generativas, um atacante consegue escrever português correto, adaptar o tom ao setor da empresa, criar documentos convincentes, imitar a voz de uma pessoa ou recolher informação pública para personalizar a mensagem.

Isto torna essenciais os processos de confirmação. Um email bem escrito continua a poder ser falso. Uma voz semelhante à do gerente continua a poder ser sintética.

15 medidas que qualquer pequena empresa pode implementar

1. Saiba o que precisa de proteger

Crie uma lista simples de ativos:

  • Domínios;
  • Website e alojamento;
  • Email;
  • Faturação e contabilidade;
  • Bancos e pagamentos;
  • Computadores e telemóveis;
  • Cloud e ficheiros;
  • Redes sociais;
  • Software de gestão;
  • Fornecedores críticos.

Registe o responsável, o administrador, a forma de recuperação e o impacto de uma indisponibilidade.

2. Ative autenticação multifator

Ative MFA em todas as contas críticas, começando por:

  • Email;
  • Alojamento e cPanel;
  • WordPress;
  • Cloudflare e registo de domínios;
  • Bancos;
  • Redes sociais;
  • Google Business Profile;
  • Software de faturação;
  • Gestor de passwords.

Prefira aplicações autenticadoras, passkeys ou chaves de segurança. SMS é melhor do que não ter MFA, mas pode ser menos resistente a determinados ataques.

3. Use um gestor de passwords

Cada conta deve ter uma password longa e única. Não reutilize a password do email no WordPress, Facebook, fornecedor de alojamento ou loja online.

Um gestor de passwords permite criar e guardar credenciais fortes sem depender de memória ou folhas de cálculo partilhadas.

4. Crie contas individuais e aplique privilégio mínimo

Não use o mesmo utilizador para toda a equipa. Cada pessoa deve ter a sua conta e apenas os acessos necessários.

Quando alguém muda de função ou sai da empresa:

  1. Desative acessos;
  2. Revogue sessões;
  3. Recupere dispositivos;
  4. Altere credenciais partilhadas inevitáveis;
  5. Transfira propriedade de ficheiros e contas.

5. Atualize sistemas, plugins e equipamentos

Mantenha atualizados:

  • Windows e macOS;
  • Browsers;
  • Telemóveis;
  • Routers e firewalls;
  • WordPress, tema e plugins;
  • Software de faturação;
  • Aplicações cloud e integrações.

Remova software e plugins sem utilização. Cada componente instalado aumenta a superfície de ataque.

6. Proteja o email com SPF, DKIM e DMARC

SPF, DKIM e DMARC ajudam os servidores a validar mensagens enviadas em nome do seu domínio e reduzem a possibilidade de falsificação.

O CNCS recomenda estes mecanismos na prevenção de fraude de CEO e Business Email Compromise.

Uma implementação cuidadosa deve incluir:

  • Inventário de todas as plataformas que enviam email;
  • SPF sem múltiplos registos contraditórios;
  • DKIM ativo em cada serviço;
  • DMARC iniciado em modo de monitorização;
  • Análise dos relatórios;
  • Evolução gradual para quarantine ou reject quando tudo estiver validado.

Não publique uma política DMARC restritiva sem confirmar os emissores legítimos, porque pode bloquear mensagens válidas.

7. Faça backups 3-2-1 e teste a reposição

A regra 3-2-1 recomenda:

  • Três cópias dos dados;
  • Em dois tipos de suporte;
  • Com pelo menos uma cópia fora do ambiente principal.

Um backup ligado permanentemente ao mesmo computador pode ser cifrado pelo ransomware. Inclua cópias imutáveis ou offline quando possível.

O teste é tão importante como a cópia. Registe quando foi feita a última reposição completa de um ficheiro, caixa de email, base de dados e website.

8. Proteja computadores e telemóveis

Ative:

  • Firewall;
  • Proteção de endpoint ou antivírus;
  • Cifragem do disco;
  • Bloqueio automático;
  • PIN ou biometria;
  • Localização e apagamento remoto;
  • Atualizações automáticas;
  • Separação entre perfil pessoal e profissional quando possível.

Não permita que um computador sem suporte continue a aceder a dados críticos.

9. Forme a equipa com exemplos reais

Uma formação anual genérica é insuficiente se ninguém souber o que fazer na prática.

Ensine a equipa a reconhecer:

  • Pedidos urgentes e secretos;
  • Alterações de IBAN;
  • Links com domínios parecidos;
  • QR codes maliciosos;
  • Anexos inesperados;
  • Pedidos de MFA;
  • Falsas chamadas de suporte;
  • Vozes e vídeos gerados por IA.

Crie um canal simples para confirmar mensagens suspeitas sem receio de repreensão.

10. Confirme pagamentos por um segundo canal

Uma alteração de IBAN nunca deve ser aceite apenas por email.

Ligue para um número já conhecido, não para o número indicado na mensagem. Para valores elevados, exija aprovação de duas pessoas.

Defina limites, lista de fornecedores e procedimento para pagamentos urgentes. Os controlos administrativos podem impedir perdas mesmo quando uma conta de email já foi comprometida.

11. Endureça o WordPress e o WooCommerce

Para websites WordPress:

  • Use alojamento com versões suportadas de PHP e base de dados;
  • Atualize WordPress, plugins e tema;
  • Elimine plugins inativos desnecessários;
  • Ative MFA para administradores;
  • Não utilize o nome “admin”;
  • Limite permissões e número de administradores;
  • Proteja wp-login e XML-RPC quando aplicável;
  • Utilize WAF e monitorização de ficheiros;
  • Faça backups externos da base de dados e uploads;
  • Teste a reposição num ambiente separado;
  • Monitorize utilizadores, encomendas e alterações críticas;
  • Não instale plugins nulled ou obtidos fora de fontes legítimas.

Uma loja WooCommerce deve ter atenção adicional a pagamentos, dados de clientes, webhooks, chaves API e contas de gestores de loja.

12. Reveja fornecedores e aplicações cloud

Um fornecedor pode tornar-se a porta de entrada.

Antes de contratar, confirme:

  • MFA e controlo de acessos;
  • Backups e recuperação;
  • Localização e proteção de dados;
  • Notificação de incidentes;
  • Subcontratantes;
  • Exportação dos seus dados;
  • Apoio em caso de comprometimento;
  • Forma de terminar o contrato e revogar acessos.

Revise integrações antigas, tokens API e aplicações com acesso ao Google Workspace, Microsoft 365, Meta ou WordPress.

13. Minimize e classifique os dados

Não pode perder o que não guarda.

Elimine dados sem utilidade ou prazo legal. Separe informação pública, interna, confidencial e sensível. Restrinja o acesso a listas de clientes, salários, documentos de identificação e informação financeira.

Evite introduzir dados pessoais ou secretos em ferramentas de IA não aprovadas.

14. Tenha um plano de resposta a incidentes

O plano deve caber numa página e responder:

  • Quem coordena?
  • Quem contacta o fornecedor de TI?
  • Como isolar um equipamento?
  • Como recuperar contas?
  • Quem avisa o banco?
  • Onde estão os backups?
  • Como comunicar com clientes e equipa?
  • Quando contactar o CERT.PT, CNPD, polícia, seguradora ou assessoria jurídica?

Guarde uma cópia offline. Um plano que só existe no servidor comprometido não ajuda.

15. Teste, registe e melhore

Realize periodicamente:

  • Teste de reposição de backups;
  • Revisão de administradores;
  • Simulação de phishing;
  • Verificação de MFA;
  • Teste de contacto de emergência;
  • Atualização do inventário;
  • Revisão de regras DMARC;
  • Simulação de indisponibilidade do website ou faturação.

A segurança é um processo, não uma compra pontual.

Checklist de 7 dias para uma empresa com menos de 10 pessoas

Dia 1 — Contas críticas

  • Listar email, domínio, banco, cloud, WordPress e faturação;
  • Confirmar proprietários e métodos de recuperação.

Dia 2 — MFA e passwords

  • Ativar MFA;
  • Implementar gestor de passwords;
  • Eliminar reutilização nas contas prioritárias.

Dia 3 — Atualizações

  • Atualizar computadores, telemóveis, WordPress e plugins;
  • Remover software sem suporte.

Dia 4 — Backups

  • Confirmar cópias externas;
  • Restaurar um ficheiro e uma cópia do website.

Dia 5 — Email e pagamentos

  • Rever SPF, DKIM e DMARC;
  • Criar regra de confirmação de IBAN e dupla aprovação.

Dia 6 — Pessoas

  • Fazer uma sessão de 30 minutos sobre phishing, fraude de CEO e IA;
  • Definir o canal para reportar suspeitas.

Dia 7 — Incidentes

  • Escrever contactos e passos de resposta;
  • Realizar uma simulação curta.

O que fazer se suspeitar de um ataque

  1. Não apague provas nem formate imediatamente o equipamento;
  2. Isole o dispositivo da rede quando existir risco de propagação;
  3. Contacte o responsável técnico através de um canal seguro;
  4. Altere credenciais a partir de um equipamento limpo;
  5. Revogue sessões e tokens;
  6. Avise rapidamente o banco em caso de fraude financeira;
  7. Preserve emails, cabeçalhos, logs, datas e screenshots;
  8. Avalie obrigações de comunicação relacionadas com dados pessoais, contratos ou setores regulados;
  9. Reporte incidentes relevantes ao CERT.PT;
  10. Comunique de forma factual, sem esconder nem especular.

Se existir violação de dados pessoais suscetível de criar risco para os direitos e liberdades das pessoas, a organização deve avaliar com urgência a notificação à CNPD nos termos do RGPD. O prazo pode ser de 72 horas após conhecimento do incidente, consoante o enquadramento.

Quanto deve uma pequena empresa gastar?

Não existe uma percentagem universal. O investimento deve ser proporcional à dependência tecnológica e ao impacto de uma paragem.

Comece por medidas de elevado impacto e baixo custo:

  • MFA;
  • Gestor de passwords;
  • Backups testados;
  • Atualizações;
  • Contas individuais;
  • Confirmação de pagamentos;
  • Formação;
  • Plano de incidente.

Depois avalie serviços geridos, proteção de endpoints, monitorização, WAF, testes e seguro cibernético.

Conclusão

Cibersegurança não é ausência total de risco. É a capacidade de reduzir a probabilidade de um incidente, limitar o impacto e recuperar rapidamente.

Uma pequena empresa que ativa MFA, usa passwords únicas, atualiza sistemas, autentica o domínio de email, testa backups e confirma pagamentos já elimina uma parte significativa dos ataques mais comuns.

Comece esta semana. O objetivo não é ficar perfeito; é deixar de estar exposto aos erros mais fáceis de explorar.

Perguntas frequentes

Uma pequena empresa precisa mesmo de cibersegurança?

Sim. Email, contas bancárias, website, faturação e dados de clientes tornam qualquer empresa dependente de sistemas digitais. Muitos ataques são automáticos e não escolhem vítimas pela dimensão.

Qual é a primeira medida a implementar?

Ative MFA no email e nas contas críticas. Em seguida, use passwords únicas num gestor, confirme backups e atualize os sistemas.

Um antivírus é suficiente?

Não. O antivírus é apenas uma camada. Não impede todas as fraudes por email, roubo de contas, alterações de IBAN, passwords reutilizadas ou plugins vulneráveis.

SPF, DKIM e DMARC impedem todo o phishing?

Não. Ajudam a autenticar o domínio e reduzem falsificação, mas um atacante pode usar um domínio parecido ou comprometer uma conta legítima. Formação e confirmação de pagamentos continuam necessárias.

Devo pagar um resgate de ransomware?

Não existe uma resposta universal, mas pagar não garante recuperação e pode criar riscos adicionais. Isole o incidente, preserve provas e procure imediatamente apoio técnico, jurídico e das autoridades competentes.

Onde posso reportar um incidente em Portugal?

O CERT.PT, serviço do Centro Nacional de Cibersegurança, aceita reportes voluntários de incidentes. Em situações de fraude financeira, contacte também o banco e as autoridades policiais com urgência.

Quem posso contactar para ajuda a minha empresa?

Pode contactar com a Shadow Domain (shadow-domain.pt), São especilstas em serviços para WordPress. Têm um enfoque acentuado na Cibersegurança Preventiva.

Artigos relacionados

Fontes