--- title: "O código do e-mail que libera a conta da empresa | Blog houseTI" description: "O golpe não precisa da senha. Ele faz a pessoa autorizar outro dispositivo achando que está só abrindo um PDF." canonical_url: "https://blog.houseti.com.br/codigo-do-email-que-libera-a-conta" meta: "og:description": "O golpe não precisa da senha. Ele faz a pessoa autorizar outro dispositivo achando que está só abrindo um PDF." "og:image": "https://cdn.sanity.io/images/v5qthlok/production/2550b49f9081b94155a022ca8f9754ff78ccb624-1280x720.jpg?rect=0,24,1280,672&w=1200&h=630&fit=crop&auto=format" "og:image:height": "630" "og:image:width": "1200" "og:title": "O código do e-mail que libera a conta da empresa | Blog houseTI" "twitter:image": "https://cdn.sanity.io/images/v5qthlok/production/2550b49f9081b94155a022ca8f9754ff78ccb624-1280x720.jpg?rect=0,24,1280,672&w=1200&h=630&fit=crop&auto=format" --- > Index of every page on this site: [llms.txt](https://blog.houseti.com.br/llms.txt) [Segurança](https://blog.houseti.com.br/category/seguranca) 10 de novembro de 2026 · 3 min de leitura # O código do e-mail que libera a conta da empresa O golpe não precisa da senha. Ele faz a pessoa autorizar outro dispositivo achando que está só abrindo um PDF. Tags: [Phishing](https://blog.houseti.com.br/tag/phishing), [Identidade](https://blog.houseti.com.br/tag/identidade) ![Notebook com e-mail de documento protegido e celular com código de verificação sobre a mesa.](https://cdn.sanity.io/images/v5qthlok/production/2550b49f9081b94155a022ca8f9754ff78ccb624-1280x720.jpg?w=1280&h=720&auto=format) Chega um e-mail com orçamento ou pedido urgente. Tem PDF ou link. A página diz que o documento está protegido e pede um código para liberar a leitura. A pessoa digita o código, faz o login da empresa e segue o expediente. Sem perceber, ela acabou de autorizar outro dispositivo na conta. Esse golpe circula no Brasil contra contas de trabalho. A senha não precisa vazar. O atacante usa um recurso legítimo de autorização — o *código de dispositivo* — e a vítima entrega o acesso achando que só está abrindo um arquivo. ## Como o golpe funciona O código de dispositivo existe para um caso real: configurar um aparelho ou um aplicativo que não abre a tela de login completa. O sistema gera um código curto. Quem tem a conta confirma esse código e libera o acesso. No golpe, a ordem se inverte. Enquanto a pessoa olha a página falsa do “documento protegido”, o atacante já pediu, no serviço oficial, um código para conectar o aparelho dele. Esse mesmo número aparece na página falsa. A vítima copia, confirma e, em seguida, entra com o login da empresa. Para o sistema, a autorização foi válida. Para a empresa, a caixa de e-mail, os arquivos e os chats ligados àquela identidade ficam abertos para quem não deveria. Por isso o aviso de “não clique em link estranho” ajuda pouco sozinho. O fluxo final pode cair no domínio certo. O erro está em tratar um código de autorização como se fosse só a chave de um PDF. ## O que muda na operação ### O que a equipe deve recusar E-mail de trabalho não pede código externo para abrir anexo. Se a mensagem manda digitar um número em outra página para “desbloquear” fatura, orçamento ou aviso de cartório, pare. Código que você não pediu, no celular ou na tela, para conectar um dispositivo novo também se recusa na hora. Na dúvida, abra o sistema digitando o endereço que a empresa já usa. Não use o atalho da mensagem. Um PDF legítimo pode pedir uma senha que a pessoa já conhece — CPF, por exemplo — *dentro* do próprio arquivo. Código gerado na hora, em página separada, para “validar a leitura” é o sinal de alerta. ### O que o admin confere Quem administra a identidade precisa enxergar login por código de dispositivo e sessão nova em aparelho desconhecido. Alerta nesse evento vale mais do que treinar só o clique no link. Se o provedor permitir restringir ou desligar esse fluxo quando a empresa não o usa no dia a dia, essa é decisão de arquitetura — não de cartaz na parede. A autenticação em dois fatores (MFA) — senha mais um código no celular — reduz o roubo simples de senha. Neste golpe ela não fecha o caso sozinha: a pessoa completa um login de verdade e autoriza o outro lado. O que corta o abuso é política clara sobre quem pode aprovar dispositivo, monitoramento de sessão e, quando fizer sentido, métodos de entrada mais difíceis de repassar a um site falso. ## O que decidir antes do próximo e-mail Combine três regras com quem usa a caixa corporativa. Ninguém digita código de autorização para abrir documento recebido por e-mail. Pedido de dispositivo novo só vale se a própria pessoa iniciou a configuração naquele minuto. Suspeita de conta liberada vira procedimento, não conversa no corredor. Se a conta já foi comprometida, a ordem prática é revogar sessões e dispositivos, trocar a senha, revisar regras de encaminhamento e avisar quem opera o e-mail e o login único da empresa. Anote horário e o que a pessoa clicou. Isso encurta a investigação e evita que o atacante continue com a sessão aberta enquanto a equipe só troca a senha no papel. > O código não abre o PDF. Ele abre a conta. Trate a autorização de dispositivo com o mesmo cuidado de um crachá novo na portaria. Sem esse hábito, o e-mail urgente continua sendo o caminho mais curto até a identidade da empresa.