Fraude de CEO: Como Golpistas se Passam por Executivos
Fraude de CEO, também chamada de Business Email Compromise (BEC), é um golpe sofisticado onde criminosos se passam por executivos da empresa para enganar funcionários e induzi-los a transferir fundos ou informações sensíveis. O golpista geralmente se concentra em departamentos de finanças ou funcionários com acesso a contas da empresa, criando uma falsa sensação de urgência para contornar procedimentos normais de verificação. De acordo com o FBI, esquemas de BEC custam às organizações mais de 2,7 bilhões de dólares anualmente, com o incidente médio resultando em perdas entre 50 mil e 200 mil dólares. Este golpe evoluiu significativamente desde 2013, quando surgiu pela primeira vez; variantes modernas agora incluem esquemas de desvio de folha de pagamento, fraude de pagamento de fornecedor e solicitações de transferência eletrônica disfarçadas como aquisições confidenciais. Ao contrário de ataques de phishing que atingem um grande número de pessoas, a fraude de CEO é altamente direcionada e pesquisada, com golpistas estudando hierarquias da empresa, relacionamentos entre funcionários e processos financeiros antes de lançar ataques.
Táticas comuns
- •Enviar emails de endereços de email falsificados ou semelhantes que imitam o endereço real do CEO ou CFO, frequentemente diferindo por um caractere ou usando nomes de domínio similares como 'empresanme.com' em vez de 'empresa.com'.
- •Criar urgência artificial afirmando uma aquisição confidencial, transferência eletrônica de emergência ou assunto comercial sensível ao tempo que requer ação imediata antes do horário comercial normal ou fora dos procedimentos de verificação padrão.
- •Solicitar transferências eletrônicas para contas bancárias recém-abertas, carteiras de criptomoedas ou contas offshore, frequentemente disfarçadas como pagamentos de fornecedor, bônus de funcionário ou taxas de liquidação que parecem plausíveis para a equipe de finanças.
- •Usar inteligência coletada do LinkedIn, sites da empresa e redes sociais para fazer referência a funcionários específicos, projetos ou detalhes financeiros que tornam o pedido parecer legítimo e bem informado.
- •Instruir vítimas a manter segredo absoluto e evitar discutir a transação com outros funcionários, alegando que o assunto é confidencial devido a discussões de aquisição, questões regulatórias ou assuntos legais.
- •Fazer seguimento com emails adicionais de pressão ou chamadas de 'advogados' ou 'contadores' se passando por terceiros que reforçam a urgência e legitimidade do pedido financeiro.
Como identificar
- Emails de executivos solicitando transferências eletrônicas incomuns, especialmente para novos fornecedores ou contas, ou pedindo para contornar processos de aprovação de pagamento padrão sem justificativa comercial clara.
- Endereços de remetente quase idênticos aos emails de executivos conhecidos, mas contendo variações sutis de grafia, extensões de domínio alternativas ou uso de serviços de email externos em vez de domínios da empresa.
- Solicitações marcadas como altamente confidenciais, urgentes ou sensíveis ao tempo com instruções para evitar discussão com departamentos de contabilidade, jurídico ou outros que normalmente verificariam tais transações.
- Inconsistências de gramática, tom ou formatação em emails de executivos, como fraseado incomum, falta de informações de contato ou ausência de assinaturas de email padrão normalmente usadas pela liderança da empresa.
- Solicitações de transferência eletrônica para fornecedores desconhecidos, novos beneficiários ou contas em diferentes países, particularmente quando o executivo solicitante normalmente se comunica por outros canais ou nunca havia solicitado transferências eletrônicas antes.
- Comunicações de acompanhamento de supostos advogados, contadores ou associados comerciais que adicionam pressão e legitimidade confirmando detalhes da transação ou fornecendo documentação legal falsa.
Como se proteger
- Estabelecer protocolos obrigatórios de verificação para todas as transferências eletrônicas e transferências de fundos acima de um limite especificado (R$ 50 mil+), exigindo confirmação verbal através de um número de telefone conhecido, não aquele fornecido no email.
- Criar uma lista em toda a empresa de endereços de email e preferências de comunicação para todos os executivos, e treinar funcionários para verificar solicitações através de canais alternativos (chamada telefônica para número conhecido, verificação pessoal ou email secundário).
- Implementar autenticação multifatorial em todas as contas de email, particularmente aquelas com acesso financeiro, e habilitar padrões de autenticação de domínio de email (SPF, DKIM, DMARC) para evitar falsificação de email.
- Estabelecer uma política exigindo que solicitações de transferência eletrônica sejam sempre aprovadas por pelo menos dois funcionários em departamentos diferentes, com trilhas de aprovação documentadas separadas das comunicações por email.
- Realizar treinamento regular de conscientização sobre segurança focado especificamente em fraude de CEO, incluindo emails de phishing simulados e cenários que testam a capacidade dos funcionários de identificar comunicações falsificadas e seguir procedimentos de verificação.
- Monitorar atividade anômala de conta, como regras de encaminhamento de email, logins inesperados ou acesso de novo dispositivo a contas de executivos, que podem indicar comprometimento de conta antes da fraude ocorrer.
Casos reais
Um gerente de finanças em uma empresa de manufatura de médio porte recebeu um email do 'CEO' solicitando uma transferência eletrônica urgente de R$ 425 mil para uma nova conta de fornecedor para fechamento de aquisição confidencial naquele dia. O email veio de um domínio que diferiu por uma letra do domínio real da empresa e incluiu um pedido para manter o assunto privado. Dentro de poucas horas, o funcionário transferiu os fundos sem seguir o processo normal de aprovação de três pessoas da empresa. Quando o CEO real retornou de uma reunião com cliente e perguntou sobre a transferência, o dinheiro já havia sido movido através de várias contas internacionais e era irrecuperável.
Um diretor de RH em uma empresa de tecnologia recebeu o que parecia ser uma mensagem do CFO solicitando informações W-2 de funcionários e detalhes de depósito direto para 'atualizações do sistema de folha de pagamento.' O golpista ganhou acesso a informações pessoais de 240 funcionários, que foram posteriormente usadas em fraude de identidade e esquemas de restituição de impostos. O endereço de email usado era quase idêntico ao endereço real do CFO, mas usava um domínio ligeiramente diferente. A equipe de RH não verificou através de seus canais normais porque a solicitação veio de alguém que 'reconheciam' e envolvia processos comerciais padrão.
O departamento de contabilidade de uma startup recebeu vários emails ao longo de três dias do co-fundador da empresa solicitando transferências eletrônicas totalizando R$ 900 mil para despesas de relações com investidores e taxas de liquidação legal relacionadas a uma aquisição pendente. Os emails incluíam referência específica a membros do conselho e detalhes financeiros encontrados nos documentos privados de investidores da empresa. Chamadas de acompanhamento de alguém se apresentando como advogado da empresa reforçaram a urgência. A equipe de finanças fez as duas primeiras transferências antes de perceber que os emails eram fraudulentos quando a assistente real do co-fundador ligou para confirmar um pagamento completamente diferente.
Perguntas frequentes
Como posso saber se um e-mail do meu CEO ou CFO é realmente deles se o endereço de e-mail parece quase correto?
Quais são os maiores sinais de alerta de que uma solicitação de um executivo é na verdade uma fraude do CEO?
O que devo fazer se receber um e-mail suspeito alegando ser do meu CEO pedindo uma transferência urgente?
Se eu transferir fundos acidentalmente para a conta de um golpista, o banco pode reverter a transação?
Como minha empresa pode se proteger da fraude do CEO se os golpistas estão pesquisando nossos funcionários e operações?
Onde denunciar — Portugal / Brasil
Canais oficiais na sua região para denunciar este golpe.
Polícia Judiciária - Cibercrime (Portugal)
CibercrimeGabinete Cibercrime do Ministério Público — denúncias online.
Polícia Federal - DENARC (Brasil)
CibercrimeCanal de denúncia da Polícia Federal brasileira.
Acha que encontrou este golpe?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), fraude de ceo: como golpistas se passam por executivos is described at https://scamlens.org/pt/encyclopedia/ceo-fraud.