Criar uma password segura é essencial para proteger a sua identidade e o acesso aos seus dados pessoais.

Deixamos algumas recomendações:

• garanta que o comprimento da sua password é de pelo menos 8 carateres
• utilize, na composição da sua password, carateres maiúsculos, minúsculos, numéricos e alfabéticos
• altere as suas credenciais de acesso periodicamente
• evite utilizar a mesma password para acesso a diferentes plataformas
• nunca partilhe as suas credenciais de acesso com terceiros
• após utilização, termine a sua sessão.

O phishing consiste num tipo de fraude através da qual um atacante, fazendo-se passar por pessoas ou entidades credíveis, tenta obter dados pessoais e/ou financeiros de um utilizador.

Estão a surgir, a nível internacional, novas formas de phishing que utilizam o SMS e o telefone (voz), com o objetivo de obter dados pessoais, a que se dá o nome de smishing e vishing, respetivamente.

Este tipo de ataque, embora cada vez mais direcionado, possui características que permitem a sua deteção:

• Domínio semelhante ao da entidade que o atacante se pretende fazer passar

É por isso necessário verificar cuidadosamente o domínio do remetente.

• Assunto apelativo e que incita a uma ação imediata

Normalmente o assunto dos emails é apelativo e incita a uma ação por parte do utilizador. Exemplos: indicação de bloqueio de conta ou o resgate de um prémio.

• Saudação genérica ou sem nome do destinatário

Geralmente a saudação que consta neste tipo de emails é demasiado genérica ou não indica o nome do destinatário (exemplo: "estimado cliente").

• Solicitação de dados ou clique em links

Por norma é pedido que o destinatário forneça com urgência algum tipo de dado pessoal/bancário ou que clique em links. Importante: as marcas do Grupo Ageas não pedem credenciais de acesso ou outro tipo de dados pessoais via email.

• Erros ortográficos ou de concordância

Muitos destes ataques são importados de outras partes do mundo, por isso, muitas vezes, os emails têm erros ortográficos ou de concordância de português.

• Ficheiros em anexo

Os emails de phishing são muitas vezes acompanhados de ficheiros em anexo. Não descarregue ficheiros desconhecidos, com nomes demasiado genéricos ou que sejam executáveis (ficheiro tipo .exe).

a) Exemplo de remetente malicioso:

b) Exemplo de documento malicioso que pede para aceder ao Office 365:

Para proteger a sua privacidade e garantir a sua segurança na utilização dos sites do Grupo Ageas Portugal recomendamos as seguintes práticas:

• Comece por proteger o seu equipamento

Instale um programa antivírus nos seus dispositivos, para deteção de possíveis ataques. Mantenha o seu sistema operativo atualizado e evite deixar o seu equipamento sem vigilância, bloqueando-o sempre que não estiver em uso.

• Evite utilizar conexões a redes públicas ou a redes Wi-Fi desconhecidas

Prefira sempre conexões a redes privadas para efetuar as suas operações online.

• Utilize credenciais de acesso seguras e complexas

Opte por usar credenciais seguras para aceder às suas contas e nunca faculte os seus dados de acesso a terceiros.

• Evite a navegação em páginas suspeitas

Evite navegar em páginas que não sejam de fornecedores credíveis, como páginas downloads ou passatempos, uma vez que pode expor o seu equipamento a ataques por malware.

• Não carregue em pop-ups ou anúncios suspeitos

Esse tipo de anúncios podem ter links que levam à instalação de ficheiros maliciosos ou à obtenção de dados pessoais. Se possível, instale um bloqueador de anúncios.

• Protocolo HTTPS

Sempre que acede a um site, valide se o mesmo é seguro, confirmando o endereço. Confirme também se o mesmo possui protocolo HTTPS (verificando o pequeno cadeado no início do endereço).

Com o aumento da utilização dos dispositivos móveis para acesso à internet, o número de ameaças focadas neste tipo de equipamentos tem crescido. Deixamos algumas recomendações:

• Ative o bloqueio automático

Ative uma forma de bloqueio automático no seu equipamento móvel e mantenha o seu equipamento seguro fisicamente.

• Proteja o seu smartphone/tablet com uma aplicação antivírus

Proteja o seu dispositivo móvel com uma aplicação antivírus e efetue as atualizações periódicas indicadas pelo fornecedor. Existem aplicações gratuitas nas stores oficiais.

• Realize as atualizações de segurança que os fornecedores disponibilizam

Esteja atento às atualizações de segurança que os fornecedores credíveis de software disponibilizam e aplique-as de acordo com as instruções fornecidas.

• Desative a opção de instalação de aplicações de origem desconhecida

Sempre que possível, desative a opção de instalação de aplicações de origem desconhecida nas definições de segurança do seu equipamento.

• Recorra sempre aos sites/stores oficiais para instalar uma aplicação

Antes de efetuar o download de uma aplicação, leia a opinião de outros utilizadores e verifique a que funcionalidades e permissões terá de dar acesso no seu equipamento (como leitura e envio de sms, acesso aos seus contactos, localização). 

• Não aceda a mensagens ou ficheiros de remetente desconhecido

Não aceda a mensagens/ficheiros por email ou SMS e não clique em links suspeitos. Além disso, não partilhe por SMS/email informações confidenciais.

• Evite utilizar conexões a redes públicas ou a redes Wi-Fi desconhecidas

Prefira sempre conexões a redes privadas para realizar as suas operações online.

• Faça backups periódicos da sua informação

Para salvaguarda em caso de perda, avaria, roubo ou caso necessite formatar o seu equipamento móvel.

• Desative o Bluetooth quando não precisar

O seu telemóvel ficará menos vulnerável a ciberataques e consumirá menos bateria.

Hash: SHA512

RFC 2350

1. Informação acerca deste documento
Este documento descreve o serviço de coordenação da resposta a incidentes de cibersegurança da entidade AGEAS PORTUGAL HOLDINGS, SGPS, S.A. (e suas entidades subsidiárias) de acordo com o RFC 2350.

1.1 Data da última atualização
Versão 1.0 publicada em 2022/09/10.

1.2 Listas de distribuição para notificações
Não existe um canal de distribuição para notificar alterações a este documento.

1.3 Acesso a este documento
A versão atualizada deste documento está disponível em https://www.grupoageas.pt/seguranca

1.4 Autenticidade deste documento
Este documento está assinado com a chave PGP do CSIRT Ageas Portugal.

2.Informação de contacto
2.1 Nome da equipa
CSIRT Ageas Portugal

2.2 Endereço postal
Praça do Príncipe Perfeito, Nº 2, Piso 7
1990-278 Lisboa
Portugal

2.3 Zona horária
Portugal/WEST (GMT+0, GMT+1 em horário de verão)

2.4 Telefone
+351 217 943 039 (horário normal de funcionamento - 09h00 – 18h00)

2.5 Faz
Não existente.

2.6 Outras telecomunicações
Não existentes.

2.7 Endereços de correio eletrónico
Correio eletrónico para notificação de incidentes de cibersegurança:
csirt@ageas.pt

2.8 Chaves públicas e informação de cifra
PGP User ID: CSIRT Ageas Portugal csirt@ageas.pt
PGP Key ID: 4B95C47B Tipo: ED25519
PGP Fingerprint: 72B2 6CA5 8032 3CD9 C175 A05F D2D6 2063 4B95 C47B
A chave está disponível nos repositórios públicos comuns (i.e.: pgp.mit.edu, keys.openpgp.org).

2.9 Membros da equipa
Coordenação: Ricardo Evangelista
Membros: Rui Água Boa, Luís Bairros

2.10 Outra informação
Mais informação sobre a entidade AGEAS PORTUGAL HOLDINGS, SGPS, S.A. pode ser encontrada em https://www.grupoageas.pt/.

2.11 Meios de contacto para utilizadores
O CSIRT Ageas Portugal dispõe dos meios de contacto elencados nas secções 2.2 e 2.4 a 2.7.

3. Guião
3.1 Missão
O CSIRT Ageas Portugal tem como missão assegurar um serviço eficiente de resposta a incidentes de segurança da informação. Principais iniciativas:
- Manter uma estrutura organizacional adequada para identificar e classificar incidentes de segurança;
- Gestão e coordenação de incidentes de segurança;
- Implementação de iniciativas para prevenir ou minimizar o impacto de incidentes de segurança;
- Promoção de uma cultura de segurança informática através de ações de sensibilização e awareness.

3.2 Comunidade servida
O CSIRT Ageas Portugal responde a incidentes de segurança da informação no contexto da comunidade empresarial da AGEAS PORTUGAL HOLDINGS, SGPS, S.A. (e suas entidades subsidiárias), sistemas, aplicações e redes de comunicação.
As gamas de endereços IP públicos e domínios abrangidos no âmbito são:
- 13.93.117.69/32
- 13.94.224.223/32
- 23.97.198.9/32
- 40.113.129.17/32
- 40.118.107.61/32
- 40.68.113.14/32
- 52.178.25.39/32
- 185.2.85.0/26
- 185.2.85.64/27
- 185.2.85.96/28
- 185.2.85.128/27
- 185.2.85.160/27
- 213.13.178.112/28
- ageas.pt
- ageaspensoes.pt
- grupoageas.pt
- medis.pt
- ocidental.pt
- segurodirecto.pt

3.3 Filiação
O CSIRT Ageas Portugal é um serviço integrante da AGEAS PORTUGAL HOLDINGS, SGPS, S.A.

3.4 Autoridade
O CSIRT Ageas Portugal é um serviço integrante da AGEAS PORTUGAL HOLDINGS, SGPS, S.A., cuja competência de autoridade se encontra definida nas políticas internas.

4. Políticas

4.1 Tipos de incidente e nível de suporte
O CSIRT Ageas Portugal responde a todos os tipos de incidente de cibersegurança, nomeadamente aqueles que resultam numa violação de segurança dos seguintes tipos:
a) Código Malicioso
b) Disponibilidade
c) Fraude
d) Intrusão
e) Recolha de Informação
f) Segurança da Informação
g) Tentativa de Intrusão

O nível de suporte dado pelo CSIRT Ageas Portugal varia consoante o tipo, gravidade e âmbito dos incidentes em curso e os recursos disponíveis para o seu tratamento. Em condições de funcionamento normais é um objetivo do CSIRT Ageas Portugal dar uma resposta no espaço de um dia útil.

4.2 Cooperação, interação e política de privacidade
O CSIRT Ageas Portugal coopera com equipas de CSIRT e CERT nacionais e internacionais.
A política de privacidade e proteção de dados do CSIRT Ageas Portugal prevê que informação sensível pode ser passada a terceiros, única e exclusivamente em caso de necessidade e com a autorização prévia expressa do indivíduo ou entidade a quem essa informação diga respeito.

4.3 Comunicação e autenticação
Dos meios de comunicação disponibilizados pelo CSIRT Ageas Portugal, o telefone e o correio eletrónico não cifrado são considerados suficientes para a transmissão de informação não sensível. Para a transmissão de informação sensível é obrigatório o uso de cifra PGP.

5. Serviços

5.1 Resposta a incidentes
O CSIRT Ageas Portugal coordena e apoia na gestão de aspetos técnicos e organizacionais de cada incidente, fornecendo assistência e aconselhamento nas diferentes fases da gestão de incidentes.

5.2 Atividades proativas
O CSIRT Ageas Portugal conduz diferentes atividades a fim de reduzir o impacto de incidentes. Estas incluem:
- Evolução dos casos de uso para alarmística em tempo real
- Manutenção das fontes de informação para a monitorização eficaz do ambiente empresarial
- Execução de testes de segurança regulares
- Operacionalização de diversas soluções de segurança de forma a prevenir, ou assistir na recuperação e remediação de incidentes

6. Formulários de reporte de incidentes
Não existem disponíveis formulários para o efeito.

7. Salvaguarda de responsabilidade
Embora todas as precauções sejam tomadas na preparação da informação divulgada quer no portal Internet, quer através das listas de distribuição, o CSIRT Ageas Portugal não assume qualquer responsabilidade por erros ou omissões, ou por danos resultantes do uso dessa informação.