Fraude do CEO e Business Email Compromise, explicadas

Algumas das burlas mais caras não envolvem vírus nem intrusões informáticas. Assentam num truque simples: convencer um colaborador de que um pedido urgente vem de um chefe ou de um fornecedor de confiança. Chama-se fraude do CEO ou, de forma mais ampla, Business Email Compromise (BEC).

O que são a fraude do CEO e o BEC?

Business Email Compromise é uma burla em que um criminoso se faz passar por alguém em quem a sua empresa confia — um quadro superior, um fornecedor, um advogado ou um colega — para levar um colaborador a transferir dinheiro ou a partilhar informação sensível.

A fraude do CEO é a sua versão mais conhecida. O burlão finge ser o diretor-geral ou outro membro da direção e pede a alguém do quadro — muitas vezes das finanças ou dos recursos humanos — que faça um pagamento urgente ou envie dados confidenciais.

Ao contrário do phishing em massa, estes ataques são dirigidos e pessoais. Normalmente não há link nem anexo perigoso, e é precisamente por isso que escapam aos filtros de spam e apanham as pessoas desprevenidas.

Como decorre normalmente a burla

Os criminosos costumam fazer primeiro o trabalho de casa, lendo informação pública do vosso site, das redes sociais e dos comunicados de imprensa para soarem credíveis. Um ataque típico é assim:

• Chega um e-mail que aparenta ser do diretor-geral, com o seu nome e o seu estilo de escrita.
• Transmite urgência e sigilo: «Estou numa reunião, preciso que isto seja tratado depressa e com discrição.»
• O pedido é para transferir fundos, alterar os dados bancários de um fornecedor ou enviar documentos, como os dados salariais.
• As mensagens seguintes exercem uma pressão suave para que o colaborador não pare a confirmar.

A pressão para agradar a um superior, aliada a um prazo curto, é o que torna esta burla tão eficaz.

Variantes comuns

• Fatura falsa — falsifica-se o e-mail de um fornecedor para pedir pagamento para uma conta nova.
• Desvio do salário — uma mensagem finge ser de um colaborador que quer atualizar a conta onde recebe.
• Burla dos cartões-presente — um «chefe» pede que se comprem cartões-presente e se enviem os códigos.

Sinais de alerta

A maioria destes ataques apanha-se parando em alguns pormenores:

• Uma mudança de tom, expressões invulgares ou um endereço de e-mail ligeiramente diferente.
• Um pedido que contorna os procedimentos normais — «só desta vez, salta a aprovação habitual».
• Pressão para agir depressa e em silêncio, desencorajando qualquer confirmação com terceiros.
• Qualquer alteração de conta bancária ou de dados de pagamento, sobretudo à última hora.
• Um endereço de resposta que não corresponde bem ao remetente.

Hábitos simples que travam isto

A tecnologia ajuda, mas os bons hábitos são a sua defesa mais forte:

• Verifique por outro canal. Para qualquer pagamento ou alteração de dados bancários, confirme por telefone ou pessoalmente com um número conhecido — nunca respondendo ao e-mail.
• Adote a dupla aprovação. Exija a assinatura de uma segunda pessoa para pagamentos acima de um determinado valor.
• Abrande perante a urgência. Trate «urgente e confidencial» como motivo para verificar, não para correr.
• Confirme alterações de dados bancários com o fornecedor através de um contacto estabelecido.
• Torne seguro perguntar. Os colaboradores devem sentir-se à vontade para questionar um pedido, mesmo que pareça vir do topo.

Se algo parecer errado

Confie no instinto. É perfeitamente aceitável suspender um pagamento e confirmar antes de agir. Se suspeitar de burla, contacte de imediato as equipas financeira e de informática — e se o dinheiro já saiu, alerte já o banco: agir depressa por vezes permite recuperar os fundos.

Como ajuda a GottaPhish

A fraude do CEO e o BEC assentam na urgência e na personificação para levar colaboradores a autorizar pagamentos antes de verificarem — e é exatamente isso que a GottaPhish, com a nossa equipa de especialistas, ajuda a resolver. As nossas simulações realistas recriam as táticas de urgência e personificação que os criminosos usam de facto, para que as pessoas aprendam a parar e a confirmar antes de agir, com formação prática e painéis que mostram onde a organização está mais exposta. A nossa equipa de apoio e especialistas trabalha consigo para desenhar cenários credíveis, montar campanhas e interpretar os resultados, transformando um ponto cego caro numa equipa confiante e bem preparada.