Golpes de Falsificação de Fornecedores: Proteja seu Negócio

Táticas comuns

• • Enviar faturas com endereços de email levemente alterados (por exemplo, [email protected] em vez do domínio corporativo legítimo) ou usar nomes de domínio que imitam de perto a URL do fornecedor real, como alterar 'fornecedor.com' para 'forencedor.com' ou 'fornecedor-inc.com'.
• • Solicitar redirecionamento urgente de pagamento devido a 'mudanças de conta bancária', 'atualizações de sistema', 'questões de conformidade fiscal' ou 'atividades de fusão/aquisição' que criam pressão de tempo e contornam procedimentos normais de verificação.
• • Replicar comunicações legítimas de fornecedores copiando formatos reais de faturas, termos de pagamento, números de ordens de compra e preços de transações anteriores descobertas por meio de violações de email ou engenharia social.
• • Direcionar funcionários específicos por meio de e-mails de phishing direcionado que fazem referência a projetos reais, prazos ou executivos pelo nome, tornando a comunicação autêntica e urgente.
• • Usar métodos de pagamento legítimos como transferências ACH ou transferências bancárias para contas em nome do fornecedor, mas localizadas em diferentes países, tornando a recuperação extremamente difícil após a compensação dos fundos.
• • Fazer seguimento com múltiplos e-mails de lembrete ou chamadas de linhas falsas de suporte ao fornecedor, escalando pressão e urgência enquanto respondendo perguntas sobre a fatura falsa com detalhes surpreendentemente precisos sobre as operações da empresa.

Como identificar

• Pedidos de fatura com valores significativamente maiores que os pagamentos típicos ao fornecedor, ou solicitações para pagar múltiplas faturas de uma vez que diferem dos padrões ou frequência normais de faturamento do fornecedor.
• Endereços de email ou nomes de domínio quase idênticos aos fornecedores legítimos, mas contendo erros ortográficos sutis, extensões diferentes (.net em vez de .com), ou usando serviços de email gratuitos em vez de domínios corporativos.
• Solicitações repentinas para alterar métodos de pagamento, adicionar novos beneficiários à sua lista de fornecedores aprovados, ou redirecionar pagamentos para novas contas bancárias sem acompanhamento de papel timbrado oficial, ordens de compra ou aprovação de múltiplas partes do fornecedor.
• Comunicações que criam urgência artificial citando prazos apertados, janelas de manutenção do sistema ou oportunidades de pagamento único, especialmente quando contornam seus fluxos de trabalho de procurement estabelecidos.
• Valores de fatura que não correspondem aos valores históricos de transação com aquele fornecedor, incluem itens de linha inusitados ou carecem de descrições e discriminação detalhadas normalmente encontradas nas faturas legítimas daquele fornecedor.
• Cabeçalhos de email, metadados ou assinaturas digitais que parecem inválidos quando você encaminha e-mails para sua equipe de segurança de TI, ou solicitações enviadas para endereços genéricos de email da empresa em vez da pessoa de contato específica de contas a pagar que normalmente recebe comunicações de fornecedores.

Como se proteger

• Implementar protocolos de autenticação de email incluindo SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting and Conformance) para detectar e sinalizar e-mails falsificados de fornecedores ou endereços internos.
• Estabelecer um protocolo de verificação obrigatório exigindo que a equipe de finanças contate fornecedores diretamente usando números de telefone de sites oficiais da empresa ou faturas anteriores antes de processar qualquer solicitação de mudança de pagamento, integração de novo fornecedor ou redirecionamento de conta.
• Usar software de gerenciamento de fornecedores que centralize listas de fornecedores aprovados, contas de pagamento e informações de contato em um sistema seguro que exija autorização de múltiplos níveis antes que qualquer alteração seja registrada.
• Treinar pessoal de contas a pagar e finanças trimestralmente em táticas de falsificação de fornecedores, incluindo reconhecimento de phishing, técnicas de verificação de email e procedimentos para sinalizar comunicações suspeitas sem processar pagamentos primeiro.
• Implementar requisitos de aprovação dupla para qualquer novo fornecedor, transferências bancárias acima de valores-limite (normalmente 5 mil a 50 mil reais dependendo do tamanho da empresa), ou mudanças de método de pagamento, com aprovação secundária de um departamento ou gerente diferente.
• Monitorar contas bancárias e software de contabilidade para atividades incomuns incluindo pagamentos para novas contas, transferências para bancos internacionais ou valores de fatura significativamente fora dos intervalos normais, revisando transações sinalizadas dentro de 24 horas do processamento.

Casos reais

Onde denunciar — Portugal / Brasil

Canais oficiais na sua região para denunciar este golpe.