Fraude do CEO e Business Email Compromise – Um problema que já não é novo, mas que continua a apanhar empresas desprevenidas.
Nos últimos meses temos vindo a verificar um aumento significativo de contactos de clientes a reportar situações bastante semelhantes: A empresa recebeu por email uma fatura de um fornecedor habitual. O endereço do remetente parece correto, o documento apresenta o logótipo, a morada e os dados fiscais esperados e, à primeira vista, não existe qualquer motivo para desconfiar. A contabilidade efetua o pagamento e, alguns dias ou semanas depois, o fornecedor informa que o valor nunca chegou à sua conta.
Quando as duas partes comparam os documentos, descobrem que o IBAN existente na fatura recebida não corresponde ao IBAN utilizado pelo fornecedor. O dinheiro foi transferido para uma conta controlada por um agente fraudulento, algures na Lituânia, na Roménia ou em Chipre.
Noutros casos, o pedido não parte aparentemente de um fornecedor, mas sim de alguém com autoridade dentro da própria empresa. Um administrador, diretor ou superior hierárquico envia uma mensagem a solicitar uma transferência bancária urgente e confidencial. O colaborador, convencido de que está a cumprir uma instrução legítima, efetua o pagamento e só mais tarde percebe que foi enganado.
Estes cenários são infelizmente cada vez mais comuns estando já identificados e categorizados pelas autoridades de cibersegurança. O primeiro chama-se Business Email Compromise (BEC), ou Comprometimento de Email Empresarial. O segundo é a chamada CEO Fraud, ou Fraude do Presidente.
Em Portugal, a Polícia Judiciária e o Centro Nacional de Cibersegurança (CNCS) têm alertado repetidamente para o crescimento exponencial destes crimes. E, no entanto, continuam a apanhar empresas de surpresa, porque a mecânica do ataque é simples, credível e explora aquilo que nenhum antivirus ou firewall consegue corrigir: a confiança humana.
Este artigo existe para lhe explicar, sem utilizar termos muito técnicos, como estas fraudes funcionam na prática. Para lhe dar exemplos concretos que pode reconhecer no dia a dia da sua empresa. E, acima de tudo, para lhe dizer o que fazer para se proteger e o que fazer se, infelizmente, já for tarde demais.
O que é Business Email Compromise?
A Business Email Compromise, frequentemente identificada pela sigla BEC, é um tipo de fraude em que um atacante utiliza, compromete ou imita uma conta de email empresarial para induzir uma pessoa a efetuar uma transferência bancária, alterar dados de pagamento ou divulgar informação sensível.
Ao contrário de outros ataques informáticos, este tipo de fraude nem sempre depende de malware avançado ou da exploração de uma vulnerabilidade técnica complexa. Em muitos casos, o atacante obtém acesso a uma conta de email através de passwords anteriormente comprometidas, analisando posteriormente os conteúdos da caixa de correio e fluxo de trocas de e-mails de forma a encontrar momento certo para dar o golpe.
Na prática, isto traduz-se em situações muito concretas que temos visto repetidamente:
Uma empresa recebe, como recebe todos os meses, uma fatura do seu fornecedor de serviços. O email vem do endereço habitual. O PDF em anexo tem o logótipo do fornecedor, a morada fiscal, o número de contribuinte, o número de fatura na sequência correta. A única diferença, que ninguém nota à primeira vista, está no IBAN impresso no rodapé do documento. Em vez de começar por PT50, como sempre começou, começa por LT38. A contabilidade copia o IBAN, faz a transferência, e só semanas depois, quando o fornecedor liga a perguntar pelo pagamento, se descobre a fraude.
A pergunta que todos fazem é a mesma: “Mas como? Se o email veio do endereço correto do meu fornecedor, como é que o conteúdo pode estar diferente?”
A resposta, na esmagadora maioria dos casos, é que a conta de email de um dos intervenientes foi comprometida. Alguém tem a password dessa conta e está a operar a partir de dentro. Não é um email “falsificado” no sentido clássico. É um email genuíno, enviado de uma conta real, mas por mãos que não são as do dono legítimo.
CEO Fraud – como funciona?
A CEO Fraud é uma variante que, em vez de adulterar faturas, explora a hierarquia e a pressão psicológica. O CNCS descreve-a assim: um agente malicioso, fazendo-se passar por uma entidade ligada à organização (tipicamente o diretor executivo, um administrador, ou um superior hierárquico), envia emails ou mensagens de texto a colaboradores, geralmente do departamento financeiro, fazendo pedidos de natureza financeira. Invoca o carácter urgente ou reservado do pedido. E conduz a vítima a realizar uma transferência bancária para uma conta controlada pelo atacante.
Imagine isto: a responsável pela tesouraria de uma empresa média recebe, numa quinta-feira às 16h40, um email do administrador. “Estou numa reunião com os advogados para fechar a aquisição de que falámos na semana passada. Não posso atender o telefone. Preciso que transfiras 43.000 euros para este IBAN ainda hoje, antes das 18h. É confidencial, não comentes com ninguém. Envia-me o comprovativo quando fizeres.”
O email tem o nome do administrador. A assinatura está igual. O tom é o dele. Mas o endereço de remetente, se olharmos com atenção, tem uma letra trocada. Ou um domínio ligeiramente diferente. E a pressão da urgência, combinada com o apelo à confidencialidade e à autoridade hierárquica, faz com que a colaboradora não questione. Transfere. E o dinheiro desaparece.
O CNCS alerta ainda para uma evolução recente e particularmente inquietante: a nível internacional, têm sido identificados casos em que os criminosos recorrem a deep fakes (vídeos ou áudio sintéticos gerados por inteligência artificial) para simular a imagem e a voz de superiores hierárquicos em videochamadas ou mensagens de voz. Já não basta desconfiar de um email. É preciso desconfiar até de uma cara e de uma voz que parecem reais.
Como é que os criminosos conseguem fazer isto? As fases do ataque
O CNCS documenta que estes ataques, embora possam variar na execução, tendem a seguir uma sequência de fases relativamente previsível. Compreender esta sequência é o primeiro passo para a prevenção.
A primeira fase é o reconhecimento. Antes de qualquer contacto, os atacantes estudam a organização-alvo. Identificam quem são os colaboradores com acesso a pagamentos, quem são os principais fornecedores, quais os domínios de email utilizados, qual a estrutura hierárquica. Esta informação está frequentemente disponível em fontes abertas: o LinkedIn dos colaboradores, o site institucional da empresa, comunicados de imprensa, até fugas de dados de serviços terceiros. Quanto mais informação uma empresa expõe publicamente sobre a sua estrutura interna, mais fácil é para um atacante montar um ataque credível.
A segunda fase é preparar o acesso inicial. Aqui, os atacantes têm várias opções. Podem comprometer uma conta de email real, obtendo as credenciais através de phishing (o colaborador clica num link falso e introduz a sua password numa página que imita o webmail), através de passwords reutilizadas noutros serviços que foram previamente comprometidos, ou até comprando credenciais em fóruns de cibercrime. Alternativamente, podem recorrer a spoofing, falsificando o remetente do email sem nunca terem acedido à conta real, explorando fragilidades na configuração do domínio. Ou podem registar um domínio muito parecido com o da empresa-alvo, uma técnica chamada typosquatting.
O typosquatting merece uma explicação, porque é mais comum do que se pensa. Consiste em registar um domínio com uma pequena variação tipográfica em relação ao original. O CNCS dá exemplos concretos: se a empresa tem o domínio “exemplo.pt”, o atacante regista “exmplo.pt” (omissão de uma letra), ou “exemlpo.pt” (permutação de letras), ou “exempllo.pt” (duplicação), ou “exemplo.xyz” (manipulação da extensão). Num email, especialmente lido à pressa no telemóvel, estas diferenças passam completamente despercebidas.
A terceira fase é a engenharia social propriamente dita. Com o acesso preparado (seja uma conta comprometida, seja um domínio falso, seja um email com remetente falsificado), o atacante comunica com a vítima. O objetivo não é enganar o software, mas sim enganar a pessoa. Explora-se a confiança, a hierarquia, a urgência, o medo de desagradar ao chefe, a rotina de “sempre foi assim, sempre paguei àquele IBAN”. O atacante solicita a alteração de dados bancários, envia uma fatura com IBAN adulterado, ou pede uma transferência direta. Nalguns casos, junta documentos forjados que supostamente comprovam a alteração de conta bancária do fornecedor.
“O problema é do meu lado ou do lado do fornecedor?”
Esta é, de longe, a pergunta que mais ouvimos. E compreendemos a frustração. Quando uma empresa descobre que pagou uma fatura a um IBAN falso, a primeira reação é procurar um responsável. O fornecedor diz: “Eu enviei a fatura correta, o problema é na vossa receção.” O cliente diz: “Eu recebi o email com aquele IBAN, o problema é na vossa emissão.”
A verdade é que, sem uma investigação forense conduzida pelas autoridades, é muito difícil determinar com certeza absoluta de que lado a conta foi comprometida. E pode ser de qualquer um dos lados. Se a conta do fornecedor foi comprometida, o criminoso alterou a fatura antes de a enviar, ou enviou ele próprio uma fatura falsa a partir daquela conta. Se a conta do destinatário foi comprometida, o criminoso intercetou o email à chegada, substituiu o anexo por uma versão adulterada, e eventualmente apagou o original ou criou uma regra de encaminhamento para que a vítima nunca visse a versão verdadeira. Se o computador de um dos lados tem malware, a alteração pode ter sido feita localmente, antes do envio ou depois da receção.
A nossa recomendação, quando um cliente nos contacta com esta situação, é sempre a mesma: ambos os lados devem tratar o incidente como se a sua própria conta pudesse estar comprometida. Ambos devem alterar passwords e verificar a existência de malware nos seus computadores. Ambos devem cooperar para identificarem a origem do ataque e impedir que o criminoso continue a explorar esse esquema.
Qual é o papel e as limitações do servidor de email nestes esquemas?
Convém ser transparente sobre este ponto, porque é uma dúvida recorrente. O servidor de email é, em termos simples, um carteiro digital. A sua função é autenticar o acesso (verificar que quem entra na conta tem a password correta) e entregar as mensagens de um ponto A a um ponto B. Pode, e deve, ter mecanismos de proteção: passwords fortes, autenticação de dois fatores, filtros anti-spam, deteção de acessos anómalos, logs de atividade.
O que o servidor de email não pode fazer é inspecionar o conteúdo de um PDF anexado e validar se o IBAN lá impresso corresponde ao IBAN “verdadeiro” daquela empresa. Não tem como saber qual é o IBAN correto de cada fornecedor. Não pode impedir que o detentor legítimo de uma password (ou quem a roubou) envie o que quiser a partir daquela conta. Seria o equivalente a pedir ao carteiro que abrisse todas as cartas registadas e verificasse se o NIB escrito na fatura lá dentro corresponde ao NIB real do emitente. Não é tecnicamente viável, nem seria legalmente permissível.
O que recomendamos fazer quando um cliente nos reporta uma situação destas: alterar passwords das contas de e-mail, validar regras de reencaminhamento de e-mails ou filtros que tenham sido configurados sem o conhecimento do utilizador legítimo da conta de e-mail, configurar novas passwords e orientar o cliente para os passos seguintes. Mas a investigação forense e criminal propriamente dita, análise de logs, identificação do autor da fraude, o rasto do dinheiro, tudo isso é competência das autoridades.
Sinais de alerta: o que deve suspeitar?
Há padrões que se repetem em praticamente todos os casos que nos chegam. Conhecê-los não garante imunidade, mas reduz drasticamente a probabilidade de cair na armadilha.
No caso de faturas adulteradas, o sinal mais óbvio é um IBAN que mudou sem aviso. Se trabalha com um fornecedor há três anos e o IBAN dele sempre começou por PT50, e de repente aparece um IBAN a começar por LT (Lituânia), RO (Roménia), BG (Bulgária) ou CY (Chipre), pare tudo. Não pague. Ligue ao fornecedor através dos contactos oficiais do mesmo e confirme que efetivamente existiu uma alteração do NIB/IBAN da conta da empresa. Não contacte para um número que esteja no corpo ou assinatura do email que recebeu, uma vez que este pode ter sido também adulterado.
Adicionalmente, sempre que esteja a agendar um pagamento, deverá surgir no serviço homebanking da sua entidade bancária, o nome do titular da conta de destino, devendo validar se o mesmo coincide efetivamente com a entidade para quem pretende fazer a transferência.
Outros sinais: o número da fatura não segue a sequência habitual, ou a formatação do PDF tem pequenas diferenças em relação a faturas anteriores (tipo de letra, alinhamento, resolução do logótipo). O email insiste na urgência do pagamento. O endereço de remetente, quando inspecionado com atenção, tem uma letra trocada ou um domínio ligeiramente diferente.
No caso da CEO Fraud, desconfie de pedidos de transferência que chegam por email quando a norma seria um telefonema ou uma conversa presencial. Desconfie de instruções para “não falar com ninguém”. Desconfie de emails que chegam em horas estranhas (madrugada, fins de semana) com pedidos financeiros. Desconfie se o “tom” da mensagem está ligeiramente diferente do habitual daquela pessoa. O CNCS sublinha precisamente isto: pequenas diferenças de linguagem podem ser um indicador de fraude.
E, como já referimos, no contexto atual, desconfie até de videochamadas ou mensagens de voz que pareçam genuínas. Os deep fakes existem e estão ao alcance de criminosos cada vez mais sofisticados.
O que fazer para se proteger de Fraudes
A prevenção deste tipo de fraude não exige investimentos tecnológicos avultados. Exige, isso sim, procedimentos, hábitos e atenção. O CNCS publicou um conjunto de recomendações dirigidas a empresas, organismos públicos e cidadãos, que resumimos e contextualizamos aqui.
Proteja as contas de email. A medida mais simples e mais eficaz é a utilização de password únicas e seguras e ativação de medidas de autenticação de múltiplos fatores (2FA) em todas as contas de email da empresa. Um gestor de passwords (Bitwarden, 1Password, KeePass) elimina a tentação de usar a mesma password em dez serviços diferentes. E mantenha o antivírus e o sistema operativo atualizados em todos os computadores e dispositivos móveis.
Autentique as comunicações por email. Se tem domínio próprio, certifique-se de que estão configurados os registos SPF, DKIM e DMARC. Estes mecanismos permitem que os servidores de email de destino verifiquem que uma mensagem que diz vir do seu domínio vem realmente do seu domínio, e não de um impostor. Se não sabe o que isto significa, valide junto da entidade que lhe fornece consultoria e assistência informática. É uma configuração que demora minutos e dificulta enormemente o spoofing.
Limite a informação pública. Quanto menos informação sobre a estrutura interna da empresa estiver disponível publicamente, mais difícil é para um criminoso montar um ataque credível. Pense duas vezes antes de publicar organogramas completos, contactos diretos de todos os colaboradores, ou detalhes sobre quem trata de pagamentos. Sensibilize os colaboradores para os riscos de exporem informação profissional em redes sociais.
Implemente um procedimento de validação de pagamentos. Qualquer alteração de IBAN de um fornecedor deve ser confirmada por um canal alternativo (telefone para o número já conhecido, reunião presencial). O CNCS recomenda a criação de um “hold out period”: um período mínimo durante o qual a alteração de IBAN não é aplicada nem utilizada para pagamentos, até ser confirmada diretamente junto do fornecedor. Mantenha uma lista atualizada de fornecedores com pelo menos duas vias alternativas de contacto para cada um.
Segregue funções. Sempre que possível, a pessoa que inicia um pagamento não deve ser a mesma que o aprova. Transferências acima de determinado montante devem exigir dupla autorização. Parece burocrático, mas é uma barreira simples que pode impedir que um único email fraudulento resulte numa transferência efetiva.
Fale com o seu banco. Algumas instituições bancárias permitem configurar mecanismos de verificação extra para transferências acima de certos valores, ou para contas de destino que nunca foram utilizadas antes. Informe-se sobre estas opções.
Forneça formação à sua equipa. A maioria destes ataques explora o fator humano, não uma falha técnica. Uma sessão de 30 minutos a cada seis meses, mostrando exemplos reais (como os que descrevemos neste artigo), pode prevenir prejuízos de dezenas de milhares de euros. Não precisa de ser uma formação técnica avançada. Basta explicar: “Se receberem um email a pedir uma transferência urgente e confidencial, mesmo que pareça vir do chefe, liguem-lhe primeiro. Se receberem uma fatura com IBAN diferente do habitual, não paguem sem confirmar por telefone.”
Desconfie de domínios recentes e de variações tipográficas. Se possível, configure filtros que sinalizem emails vindos de domínios registados há menos de 30 dias, ou de domínios com pequenas variações em relação aos dos vossos fornecedores e parceiros habituais.
O que fazer se já foi vítima de Fraude?
Se está a ler esta secção porque já aconteceu, lamentamos. E pedimos-lhe que aja com rapidez, porque as primeiras horas são críticas.
Pare qualquer pagamento em curso para aquele IBAN. Se ainda não transferiu, não transfira. Se já transferiu, não faça mais nenhuma operação para a mesma conta.
Ligue imediatamente para o seu banco. Não envie um email. Não preencha um formulário online. Ligue. Peça para falarem com o departamento de fraude. Reporte a transferência. Quanto mais cedo o banco for alertado, maior a possibilidade (não a garantia, mas a possibilidade) de conseguir contactar o banco de destino e bloquear os fundos antes de serem levantados. Tenha presente que, em muitos casos, o dinheiro é movimentado em minutos.
Altere todas as passwords. A da conta de email comprometida, a de qualquer outra conta que use a mesma password, a do homebanking por precaução. Ative a autenticação de dois fatores onde ainda não a tiver.
Verifique os computadores. Execute uma verificação completa com antivírus atualizado. Se possível, peça a um técnico que verifique programas instalados recentemente, extensões do browser, processos em execução, e regras de encaminhamento no webmail ou no cliente de email (Outlook, Thunderbird, Mail.app, etc.).
Verifique a conta de email. Procure regras de encaminhamento ou filtros que não tenha criado. Verifique a pasta de “Emails Enviados” à procura de emails que não se lembra de ter enviado. Veja se há sessões ativas em dispositivos que não reconhece.
Apresente queixa. Contacte a Polícia Judiciária, concretamente a UNC3T (Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica), através do email unc3t@pj.pt ou presencialmente. Contacte também o CERT.PT, a equipa de resposta a incidentes do CNCS, através de cert@cert.pt. Mesmo que ache que “não vale a pena” ou que o montante é pequeno, a queixa é essencial para a investigação, para a identificação de padrões e para eventuais processos de recuperação de fundos ou de seguro.
Documente tudo. Guarde o email original com os cabeçalhos completos (não basta o print, é preciso o email em formato .eml ou .msg com os metadados). Guarde o PDF adulterado. Guarde o comprovativo de transferência. Guarde toda a comunicação com o fornecedor sobre o assunto. Esta documentação será essencial para a queixa e para qualquer processo posterior.
Informe o outro interveniente. Contacte o seu fornecedor (ou o seu cliente, dependendo de quem enviou a fatura). Informem-se mutuamente. Ambos devem verificar as suas contas e equipamentos. A cooperação entre as partes acelera a identificação do ponto de comprometimento.
Perguntas Frequentes
“O servidor de email não devia ter impedido isto?”
Não. O servidor apenas autentica acessos e faz a gestão da receção e entrega de e-mails, não sendo tecnicamente possível este inspecionar o conteúdo de anexos para validar dados bancários. A responsabilidade pela segurança da password e pela integridade dos equipamentos será sempre do utilizador e da empresa.
“Posso recuperar o dinheiro?”
Depende da rapidez com que agir e da jurisdição da conta de destino. Se a conta for em Portugal e agir nas primeiras horas, há alguma possibilidade de bloqueio. Se for no estrangeiro, a recuperação é muito mais difícil e depende de cooperação policial internacional. Apresente queixa de qualquer forma. É o primeiro passo obrigatório.
“Como é que sei se a conta comprometida é a minha ou a do fornecedor?”
Sem uma investigação forense, não sabe com certeza. E, na prática, essa determinação compete à Polícia Judiciária. O que recomendamos é que ambos os lados ajam como se a sua própria conta pudesse estar comprometida. Verifiquem logs, alterem passwords, verifiquem equipamentos. Não se trata de encontrar um culpado (isso é para as autoridades), mas de fechar a porta por onde o criminoso entrou.
“Isto é crime?”
Sim. Burla informática, acesso ilegítimo a sistema informático, interceção de comunicações. São crimes previstos no Código Penal e na Lei do Cibercrime. A queixa na PJ é o passo certo.
Recursos úteis
Para aprofundar este tema, recomendamos a consulta dos seguintes recursos:
Centro Nacional de Cibersegurança (CNCS):
- Contexto atual da CEO Fraud em Portugal: https://www.cncs.gov.pt/pt/contexto-atual-ceo-fraud/
- Documento sobre Business Email Compromise: https://www.cncs.gov.pt/docs/ceofraudbec.pdf
- Boas práticas de prevenção: https://www.cncs.gov.pt/docs/ceofraud_boas_praticas.pdf
- Alerta sobre campanhas ativas de CEO Fraud e BEC: https://dyn.cncs.gov.pt/pt/detalhe/art/136004/campanhas-de-ceo-fraud-e-de-business-email-compromise-fraud
Polícia Judiciária:
- Alerta “Empresas estão na mira da Fraude do CEO”: https://www.policiajudiciaria.pt/
- Contacto UNC3T: unc3t@pj.pt
Leitura complementar (em português):
- Microsoft: “O que é Business Email Compromise (BEC)”: https://www.microsoft.com/pt-pt/security/business/security-101/what-is-business-email-compromise-bec
- Cloudflare: “Business Email Compromise (BEC) explicado”: https://www.cloudflare.com/pt-br/learning/email-security/business-email-compromise-bec/
- Proton: “Como identificar e evitar emails de phishing”: https://proton.me/pt/business/mail/phishing-email
Em caso de incidente:
- CERT.PT (equipa de resposta a incidentes do CNCS): cert@cert.pt
- Polícia Judiciária (UNC3T): unc3t@pj.pt
Para concluir
Sabemos que descobrir que se foi vítima de uma fraude gera frustração, raiva e uma sensação de impotência. Queremos que saiba que isto pode acontecer a qualquer empresa, independentemente do tamanho, do setor ou da sofisticação tecnológica. Os criminosos não atacam só sistemas, mas também pessoas. E as pessoas, por mais atentas que sejam, têm dias em que estão com pressa, em que confiam, em que não olham duas vezes para um IBAN num PDF.
A prevenção está, em grande medida, nas suas mãos e nas da sua equipa. Partilhe este artigo internamente. Imprima as recomendações e afixe-as junto ao posto de trabalho de quem trata de pagamentos. Faça daquela chamada de confirmação ao fornecedor um hábito inegociável, mesmo que pareça “excesso de zelo”. Estabeleça o princípio de que nenhuma alteração de IBAN entra em vigor sem confirmação por voz.
Os criminosos contam com a pressa, com a rotina, com o “sempre foi assim”. Contam com a hierarquia que impede um colaborador de questionar um pedido do chefe. Contam com a confiança cega no email como canal infalível.
Não lhes dê essa vantagem. Uma chamada de dois minutos pode poupar-lhe dezenas de milhares de euros.
Este artigo tem carácter informativo e não constitui aconselhamento jurídico. Em caso de fraude, contacte as autoridades competentes e, se necessário, consulte um advogado.
Se é nosso cliente e suspeita de uma situação destas, contacte-nos. Estamos cá para ajudar no que estiver ao nosso alcance.
