Quando o e-mail do chefe não é do chefe
Houve um caso em Portugal que devia servir de aviso a qualquer responsável financeiro. O Ministério da Educação transferiu 2,5 milhões de euros para um IBAN errado, depois de receber instruções que pareciam legítimas. O dinheiro acabou por ser recuperado. Nem sempre há final feliz.
Este tipo de fraude tem um nome. Chama-se Business Email Compromise, ou BEC, e não é apenas mais uma variante de phishing. O atacante não envia milhares de mensagens à espera que alguém carregue num link. Estuda a empresa, identifica quem autoriza pagamentos, acompanha conversas e espera pelo momento certo para dar uma instrução que ninguém estranhe.
Em 2025, as campanhas de BEC e CEO Fraud representaram 18% dos incidentes de engenharia social reportados ao CERT.PT, segundo os dados fornecidos para este artigo. Os prejuízos podem ir de alguns milhares a vários milhões de euros.
O problema não está necessariamente no servidor de e-mail, no firewall ou nos filtros de spam. Está na possibilidade de alguém receber uma mensagem convincente, reconhecer o nome de um superior ou fornecedor e fazer aquilo que lhe pedem. O ataque é informático, mas a última etapa pode ser uma transferência bancária perfeitamente normal, autorizada por uma pessoa que acredita estar a cumprir o seu trabalho.
O que é o Business Email Compromise e porque funciona tão bem
Imagine que o departamento financeiro recebe um e-mail do diretor-geral a pedir o pagamento urgente de uma fatura. O assunto é confidencial, o prazo termina nesse dia e o diretor está numa reunião. A mensagem não contém anexos suspeitos nem links estranhos. O colaborador conhece o nome, reconhece o contexto e trata do pagamento.
É precisamente esse o cenário que o BEC procura criar.
O atacante pode fazer-se passar pelo CEO, pelo CFO, por um fornecedor habitual ou até por um advogado envolvido numa operação comercial. O objectivo é conseguir uma transferência bancária, alterar os dados de pagamento de uma fatura, obter informação sobre colaboradores ou ganhar acesso a sistemas internos.
Ao contrário do phishing tradicional, em que a mesma mensagem é enviada indiscriminadamente a milhares de destinatários, o BEC é personalizado. O criminoso pode estudar o organograma publicado no site da empresa, consultar perfis profissionais nas redes sociais e descobrir quem trabalha na contabilidade. Com acesso a uma caixa de correio comprometida, pode ir muito mais longe e observar conversas reais durante dias ou semanas.
Os números apresentados no material de referência apontam para perdas globais acumuladas superiores a 55 mil milhões de dólares em mais de 180 países, com um prejuízo mediano de 137.200 dólares por incidente bem-sucedido. São valores que ajudam a perceber porque é que estas operações não precisam de ser numerosas para serem lucrativas.
A fraude já não chega necessariamente num e-mail isolado
Uma das técnicas mais difíceis de detetar é o thread hijacking. Em vez de aparecer numa mensagem nova, o atacante entra numa conversa de e-mail que já existe.
Pode acontecer depois de comprometer a conta de um fornecedor ou de um colaborador. O criminoso lê as mensagens, percebe o que está a ser negociado e responde no momento certo. A conversa parece legítima porque, em parte, é mesmo legítima. O que mudou foi quem está a controlar a conta.
Segundo os dados de referência, 28,1% dos ataques BEC analisados utilizavam thread hijacking ou conversas falsas. A inteligência artificial generativa facilita ainda mais a tarefa. Um atacante consegue reproduzir o tom de um colega, adaptar a linguagem ao contexto e construir uma sequência de mensagens plausível antes de introduzir um pedido de pagamento.
Ora, se o utilizador vê uma conversa com vários dias, conhece o assunto e reconhece os nomes envolvidos, é natural que baixe a guarda. Os filtros de e-mail também podem ter menos sinais evidentes para analisar.
A fraude de fornecedores merece atenção semelhante. Uma fatura aparentemente normal chega com os dados bancários alterados, ou o fornecedor informa que mudou de banco. O departamento financeiro actualiza o IBAN e o pagamento segue para a conta do atacante.
O material de referência atribui a esta variante, conhecida como Vendor Email Compromise, 58,6% das perdas associadas ao BEC e indica um crescimento de 67% em 2025. Independentemente dos valores exactos aplicáveis a cada sector, a lição é simples. Uma alteração de dados bancários não deve ser tratada como uma actualização administrativa banal.
Quando a voz já não serve para confirmar uma ordem
Durante anos, muitas empresas confiaram numa chamada telefónica para confirmar um pedido fora do habitual. O responsável financeiro ligava ao diretor, reconhecia-lhe a voz e avançava.
Essa verificação continua a ser útil, mas já não basta confiar apenas na voz ou na imagem. Os deepfakes permitem imitar superiores hierárquicos em chamadas de áudio e vídeo. O CNCS tem alertado para a evolução destas ameaças, e os dados fornecidos para este artigo indicam um aumento de 442% nos ataques de voice phishing entre o primeiro e o segundo semestre de 2024.
A solução não passa por desconfiar de todas as chamadas. Passa por verificar as instruções através de um canal independente e previamente conhecido.
Se chegar um e-mail a pedir a alteração de um IBAN, a confirmação deve ser feita através de um número de telefone que já conste dos registos da empresa, não do número indicado na própria mensagem. Se houver um pedido urgente do diretor-geral, deve existir um procedimento para o validar sem depender exclusivamente da mensagem recebida.
Parece burocracia. Mas há burocracias que existem precisamente para evitar que um erro de segundos custe meses de trabalho.
O que está em risco numa PME
A primeira consequência é financeira. Uma única transferência pode comprometer a tesouraria de uma pequena empresa e obrigar a adiar pagamentos a fornecedores ou salários. Recuperar o dinheiro pode ser difícil, sobretudo quando os fundos são transferidos rapidamente entre contas.
Depois há os dados. Uma conta de correio electrónico comprometida pode dar acesso a contratos, documentos de identificação, dados de clientes e informação dos colaboradores. Dependendo das circunstâncias, uma violação de dados pessoais pode desencadear obrigações de notificação à autoridade de controlo no prazo de 72 horas, nos termos do RGPD.
Há ainda o impacto na relação com clientes e parceiros. Quando uma empresa paga uma factura falsa ou divulga informação confidencial, a questão deixa de ser exclusivamente técnica. Passa a envolver procedimentos internos, responsabilidades contratuais e reputação.
É por isso que o BEC não deve ficar entregue apenas ao departamento de informática. A equipa de TI pode configurar sistemas e monitorizar acessos, mas não deve ser a única responsável por impedir que uma transferência seja autorizada sem verificação.
Como fechar as portas que o BEC utiliza
Do lado técnico, convém começar pelas contas de correio electrónico. A autenticação multifactor é uma medida essencial, mas nem todos os métodos oferecem a mesma protecção. Sempre que possível, deve privilegiar-se autenticação resistente a phishing, baseada em FIDO2 ou WebAuthn, em vez de depender exclusivamente de códigos enviados por SMS.
O domínio da empresa também precisa de estar correctamente configurado. SPF e DKIM ajudam a validar mensagens, enquanto o DMARC permite definir como devem ser tratadas as mensagens que falham as verificações. Uma política DMARC em p=reject, depois de devidamente testada e implementada, reduz o risco de alguém falsificar o domínio legítimo da organização.
Há, no entanto, um detalhe que convém não esquecer. Estas medidas não impedem que um atacante utilize um domínio parecido com o verdadeiro ou uma conta legítima que tenha sido comprometida. Por isso, é necessário monitorizar acessos suspeitos, regras de encaminhamento inesperadas e alterações nas configurações das caixas de correio. Os convites de calendário também merecem atenção, sobretudo quando incluem instruções para ligar para números desconhecidos ou instalar ferramentas.
A tecnologia reduz o risco, mas a defesa decisiva está nos procedimentos financeiros.
Nenhuma transferência excepcional, alteração de IBAN ou pedido de pagamento confidencial deve ser executado apenas com base num e-mail. A confirmação deve ser feita por outro canal, recorrendo a contactos previamente registados. Sempre que o valor ou o risco o justifique, deve existir uma segunda autorização independente.
O procedimento tem de funcionar mesmo quando o pedido parece vir do administrador da empresa. Se a regra deixar de se aplicar porque alguém escreveu «urgente» ou «confidencial», então não é uma regra. É uma recomendação que o atacante pode contornar com duas linhas de texto.
Também é necessário formar os colaboradores com exemplos concretos. Mostrar uma mensagem de phishing genérica não chega. A equipa financeira precisa de reconhecer pedidos de alteração de IBAN, conversas comprometidas e instruções que tentam contornar os procedimentos habituais. E quem suspeita de uma fraude deve poder reportá-la sem receio de ser repreendido por ter questionado um superior.
Verificação rápida. A sua empresa está preparada?
Antes de considerar o assunto resolvido, confirme se o domínio tem DMARC configurado com uma política adequada, se as contas críticas utilizam autenticação resistente a phishing e se existem alertas para acessos ou regras de encaminhamento suspeitos.
Verifique também se todas as alterações de IBAN são confirmadas por um canal independente, se os pagamentos excepcionais exigem dupla autorização e se os contactos dos fornecedores estão registados fora das próprias mensagens de e-mail.
Por fim, confirme que os colaboradores sabem como reportar uma mensagem suspeita e que existe um procedimento para contactar imediatamente o banco, bloquear operações quando possível, revogar sessões comprometidas e repor credenciais. Em caso de fraude, a rapidez da resposta pode fazer a diferença entre recuperar os fundos e ficar apenas com o registo da transferência.
O problema não é o e-mail. É o processo de pagamento.
O Business Email Compromise vai continuar a explorar uma característica normal das empresas. As pessoas trabalham com base na confiança, comunicam por e-mail e precisam de tomar decisões sem transformar cada tarefa numa investigação.
Não é necessário desconfiar de todos os colegas ou fornecedores. É necessário garantir que uma instrução financeira importante não depende apenas da identidade que aparece no ecrã.
O atacante pode imitar uma assinatura, entrar numa conversa real e reproduzir a voz de um diretor. Pode até conhecer o número da factura e o valor exacto do pagamento. O que não deve conseguir fazer é contornar um procedimento de verificação independente.
A pergunta que interessa já não é apenas se o próximo e-mail fraudulento vai passar pelos filtros de segurança. É se, quando passar, a empresa tem mecanismos para impedir que o dinheiro saia da conta errada.