Golpes de Comprometimento de Email Corporativo (BEC)

Táticas comuns

• • Falsificação de executivo via email falsificado: Criminosos criam endereços de email que imitam muito de perto o endereço real do CEO ou CFO, diferindo por apenas um ou dois caracteres ('[email protected]' em vez de '[email protected]'), ou comprometem uma conta de email interna legítima para enviar pedidos que parecem vir diretamente da liderança da empresa.
• • Enquadramento de pedido urgente com cenários fabricados: Criminosos pressionam funcionários alegando que a transferência bancária é necessária para uma aquisição confidencial, pagamento de fornecedor emergencial, acordo legal ou oportunidade comercial sensível ao tempo que não pode ser discutida com outros funcionários devido a preocupações de confidencialidade ou competitividade.
• • Reconhecimento e pesquisa antecipada: Antes de lançar o ataque, golpistas passam semanas ou meses estudando a estrutura organizacional da empresa-alvo, processos financeiros, nomes de funcionários e notícias recentes para elaborar pedidos que se alinhem com atividades comerciais normais e façam referência a cenários realistas.
• • Solicitação de transferência bancária para contas inesperadas: O golpista direciona o funcionário a enviar fundos para uma conta bancária diferente da conta normal do fornecedor, alegando que o fornecedor mudou temporariamente de banco, a empresa-mãe possui um novo portal de pagamento ou os fundos devem ir para uma conta de caução mantida por um escritório de advocacia.
• • Supressão de tentativas de verificação: Quando questionado, o executivo falso afirma estar em reuniões consecutivas, viajando internacionalmente, lidando com uma emergência pessoal ou não pode discutir detalhes por email, deliberadamente impedindo o funcionário de ligar para verificar o pedido através dos canais normais.
• • Urgência de acompanhamento e táticas de distração: Golpistas enviam emails de acompanhamento alegando que o negócio está desmoronando, concorrentes estão prontos para adquirir a empresa-alvo ou o fornecedor trabalhará com outra empresa a menos que o pagamento seja feito imediatamente, mantendo a pressão e impedindo reflexão.

Como identificar

• Pedido inesperado de transferência bancária da liderança corporativa alegando urgência ou confidencialidade: Executivos legítimos raramente usam email para solicitar transferências bancárias urgentes sem confirmação verbal de acompanhamento ou procedimentos de aquisição estabelecidos, especialmente para destinos de pagamento incomuns.
• Endereço de email que é semelhante mas não idêntico aos endereços de executivos conhecidos: Examine o endereço de email completo com cuidado—golpistas frequentemente mudam uma letra ou usam um nome de domínio semelhante que parece legítimo à primeira vista, mas difere do domínio conhecido da empresa.
• Pedido para enviar fundos para uma conta diferente do histórico de pagamentos estabelecido do fornecedor: Se um fornecedor regular de repente solicita pagamento para uma nova conta bancária, especialmente uma conta internacional, esta é uma bandeira vermelha importante que deve desencadear verificação independente.
• Pressão para contornar procedimentos de aprovação normal ou manter o pedido confidencial: Transações comerciais legítimas seguem fluxos de autorização estabelecidos; pedidos para contornar esses controles ou ocultar a transação de outros executivos indicam intenção fraudulenta.
• Linguagem vaga sobre o motivo da transferência combinada com recusa em discutir detalhes: Golpistas fornecem detalhes mínimos sobre o propósito da transferência e recusam elaborar, citando confidencialidade, enquanto pedidos comerciais legítimos tipicamente incluem ordens de compra detalhadas, faturas ou contratos.
• Estilo de comunicação inconsistente ou erros gramaticais em emails de executivos: Se emails de um executivo corporativo contêm fraseado incomum, erros gramaticais ou tom que difere do seu estilo de comunicação normal, isso pode indicar uma conta comprometida ou falsificada.

Como se proteger

• Estabeleça um protocolo de verificação de transferência bancária exigindo confirmação por voz: Antes de processar qualquer pedido de transferência bancária, exija que funcionários liguem para o solicitante usando um número de telefone do diretório interno da empresa (não um número fornecido no email) para verbalmente confirmar o pedido, valor e destino do pagamento.
• Implemente aprovação múltipla para transferências bancárias acima de um valor limite: Exija que pedidos de transferência bancária acima de um valor especificado (R$ 50 mil, R$ 125 mil ou superior dependendo do tamanho da empresa) sejam aprovados por pelo menos dois funcionários autorizados, com verificação conduzida independentemente por cada aprovador.
• Use tecnologias de autenticação de email: Implante SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance) para prevenir falsificação do seu próprio domínio, e treine funcionários para reconhecer quando essas proteções estão ausentes em emails externos.
• Conduza treinamento regular sobre táticas BEC para equipes de finanças, contabilidade e executivos: Forneça treinamento anual ou semestral de conscientização de segurança que inclua exemplos reais de golpes BEC, instruções sobre procedimentos de verificação e exercícios de simulação onde funcionários praticam identificar pedidos suspeitos.
• Mantenha uma lista atualizada de destinos de pagamento autorizados e verifique todas as alterações através de canais secundários: Mantenha uma lista documentada de todos os fornecedores regulares e suas informações de conta bancária autorizadas, e exija que qualquer alteração ao destino de pagamento seja verificada diretamente com o fornecedor usando um número de telefone conhecido antes de processar.
• Monitore falsificação de domínio e configure alertas de email para atividade suspeita: Use ferramentas de segurança de email que sinalizem emails de endereços externos que se assemelhem muito a endereços internos, e configure alertas para atividade de transferência bancária incomum, como transferências para novos beneficiários ou destinos internacionais não típicos para sua empresa.

Casos reais

Onde denunciar — Portugal / Brasil

Canais oficiais na sua região para denunciar este golpe.