O email parecia exatamente como deveria. Era do endereço real do seu CEO, em uma thread que fazia referência a um negócio real em andamento, pedindo ao seu controlador para transferir US$ 47.000 para um fornecedor até o final do dia porque um prazo era apertado e "estou em reuniões consecutivas, por favor, apenas faça." Nada nele parecia suspeito. O tom combinava. A urgência combinava. Os erros de digitação desapareceram — a era do inglês de phishing comicamente ruim acabou.
Vinte minutos depois, o dinheiro se foi, e o CEO nunca enviou aquele email.
Isso é comprometimento de email comercial, ou BEC (Business Email Compromise), e é agora a categoria de cibercrime mais cara relatada ao FBI — maior que ransomware, maior que violações de dados. Somente em 2025, o Centro de Reclamações de Crimes na Internet do FBI registrou quase 25.000 reclamações de BEC totalizando pouco mais de US 2,77 bilhões do ano anterior. Na última década, as perdas cumulativas relatadas por BEC ultrapassaram US$ 17 bilhões, um aumento de mais de dez vezes desde 2015. E, ao contrário de um cartão de crédito roubado, uma transferência bancária fraudulenta geralmente desaparece para sempre no momento em que é compensada — aproximadamente 86% das perdas de BEC ocorrem por meio de transferência bancária ou ACH, ambas se liquidam rapidamente e são brutalmente difíceis de recuperar depois que os fundos chegam à conta do fraudador e são novamente movimentados.
Pequenas e médias empresas estão desproporcionalmente expostas. Elas lidam com dinheiro real através das contas a pagar toda semana, mas raramente possuem os controles de verificação em camadas que um grande departamento de tesouraria empresarial considera garantidos. Essa lacuna — fluxo de caixa real, controles frágeis — é exatamente o que os golpistas de BEC são projetados para explorar.
Como o golpe realmente funciona
BEC não é realmente um problema de hacking. É um problema de confiança, e é isso que o torna tão eficaz contra pessoas bem-intencionadas e ocupadas. A mecânica geralmente se enquadra em um dos seguintes padrões:
Impersonificação de executivos. Uma mensagem que parece vir de um fundador, CEO ou CFO — às vezes de uma conta real, mas comprometida, às vezes de um domínio falsificado ou semelhante (suaempresa-inc.com em vez de suaempresa.com) — instrui alguém do setor financeiro a fazer uma transferência bancária urgente e confidencial. A estrutura de urgência e confidencialidade está fazendo o trabalho: elas desencorajam o destinatário a verificar com qualquer outra pessoa antes de agir.
Impersonificação de fornecedor. Um email que parece ser de um fornecedor real e existente informa à sua equipe de contas a pagar que "nosso banco mudou" e fornece novas instruções de transferência para o próximo pagamento de fatura. Esta variante é particularmente perigosa porque a própria fatura é frequentemente completamente legítima — valor real, trabalho real realizado — com apenas a conta de destino trocada. Sua equipe paga uma conta que realmente deve, apenas para o lugar errado.
Tomada de controle de conta comprometida. Em vez de falsificar um endereço de email, o invasor obtém acesso real a uma caixa de correio verdadeira — de um fornecedor, de um parceiro, às vezes de um funcionário — por meio de um ataque de phishing anterior ou vazamento de credenciais. De dentro de uma thread legítima e previamente confiável, eles inserem uma solicitação de pagamento ou redirecionam uma conversa de fatura em andamento. Como o email realmente se origina da conta real, as verificações técnicas de autenticação de email não o detectarão; apenas um processo humano o fará.
Desvio de folha de pagamento. Uma mensagem que se passa por um funcionário pede ao RH ou à folha de pagamento para atualizar os detalhes de depósito direto antes do próximo ciclo de pagamento, redirecionando discretamente um contracheque (ou vários) para uma conta que o funcionário não controla.
O que une todos esses pontos é que nenhum deles requer invadir seus sistemas. Eles exigem encontrar uma pessoa, em um dia agitado, que confie em um email o suficiente para pular uma etapa de verificação que de outra forma faria.
Os controles que realmente o impedem
A boa notícia: o BEC é derrotado quase inteiramente por processo, não por tecnologia. Uma pequena empresa não precisa de um centro de operações de segurança — ela precisa de uma lista curta de regras que são seguidas sempre, sem exceções abertas para "mas este parecia urgente e legítimo".
1. Verificação por retorno de chamada para qualquer alteração de detalhe de pagamento
Este é o controle de maior valor que você pode implementar, e não custa nada além de disciplina. Qualquer solicitação para alterar a conta bancária de um fornecedor, instruções de transferência ou contato de pagamento — não importa como chegue, não importa de quem pareça ser — deve ser verificada por telefone antes de ser atendida. Crucialmente, esse retorno de chamada deve ser feito para um número de telefone já arquivado em seus registros de fornecedores, nunca para um número fornecido no email ou texto que faz a solicitação. Se a única maneira de "confirmar" a alteração é respondendo à mesma thread de email ou ligando para o número na assinatura, você não verificou nada — você apenas pediu ao fraudador para se confirmar.
2. Aprovação dupla para pagamentos de saída acima de um limite
Nenhuma pessoa — independentemente do cargo — deve ser capaz de originar e aprovar unilateralmente uma transferência bancária acima de um valor monetário definido. Um segundo par de olhos independente sobre os detalhes do pagamento antes da liberação detecta o padrão de fraude quase sempre, porque o segundo revisor não está operando sob a mesma urgência fabricada da pessoa que recebeu a solicitação original. Defina o limite baixo o suficiente para ser relevante para o tamanho da sua empresa; uma transferência de US$ 47.000 é exatamente o tipo de valor de médio porte e aparência plausível que os golpistas de BEC favorecem, pois é compensado facilmente sem acionar um escrutínio bancário extra.
3. Trate a urgência e a confidencialidade como sinais de alerta, não como instruções
"Lide com isso discretamente", "não envolva mais ninguém", "preciso que isso seja feito antes do meu voo" — essas frases também existem na comunicação empresarial legítima, e é exatamente por isso que os golpistas se apoiam nelas. Treine sua equipe para tratar a pressão para contornar o processo normal como um motivo para desacelerar e verificar, não como um motivo para agir mais rápido. Um executivo legítimo que está realmente com pressa não ficará chateado por você ter confirmado uma transferência bancária por telefone antes de enviá-la.
4. Restrinja as alterações nos cadastros de fornecedores
Alterações nos registros de pagamento de seus fornecedores — nova conta bancária, novo endereço de remessa, novo contato principal — merecem o mesmo escrutínio que os próprios pagamentos. Exija um segundo aprovador para qualquer edição no cadastro de fornecedores e considere um curto período de carência entre o registro de uma alteração e sua efetivação para a próxima rodada de pagamentos, dando tempo a um segundo revisor para identificar algo errado.
5. Observe o domínio, não apenas o nome
Treine sua equipe para verificar o domínio de envio real em qualquer comunicação envolvendo dinheiro, não apenas o nome de exibição (que é trivial de falsificar). Uma mensagem de "John Smith, CEO" merece uma segunda olhada se o endereço subjacente for john.smith@yourcompany-corp.com em vez de john.smith@yourcompany.com. Do lado técnico, certifique-se de que seu próprio domínio tenha SPF, DKIM e DMARC configurados — isso não impede que alguém o falsifique, mas impede que atacantes falsifiquem seu domínio com sucesso para fraudar seus próprios fornecedores e clientes.
6. Construa uma cultura de "se movimenta dinheiro, é verificado" — e torne-a fácil
Os controles acima só funcionam se as pessoas realmente os seguirem sob pressão, o que significa que a etapa de verificação precisa ser rápida e normalizada, não um desvio irritante. Mantenha uma lista de contatos de fornecedores atualizada e de fácil acesso com números de telefone verificados. Torne a etapa de retorno de chamada uma parte normal e esperada do fluxo de trabalho de pagamento, em vez de algo que pareça acusar um colega de ter sido enganado. As empresas mais atingidas são geralmente aquelas onde o processo tecnicamente existia no papel, mas ninguém o seguiu na única vez em que realmente importava.
O que fazer se já aconteceu
Se uma transferência fraudulenta for efetuada, a velocidade é a única alavanca que lhe resta. Entre em contato com o departamento de fraudes do seu banco imediatamente e solicite a recuperação ou retenção da transferência — os bancos podem, às vezes, interceptar fundos que ainda não foram totalmente liquidados ou compensados pela instituição recebedora, mas apenas em uma janela estreita. Registre uma queixa junto ao Internet Crime Complaint Center (IC3.gov) do FBI o mais rápido possível; a Equipe de Recuperação de Ativos do IC3 tem, em alguns casos, ajudado a congelar e recuperar fundos quando notificada rapidamente. Cada hora importa — quanto mais cedo o relatório, maiores as chances de interceptar o dinheiro antes que ele seja movimentado novamente.
Faça do seu livro-razão um controle, não apenas um registro
Cada um desses controles depende da capacidade de responder a perguntas básicas rapidamente: quem aprovou este pagamento, quais eram os dados bancários do fornecedor antes da "alteração" e esta transação corresponde a um padrão que já pagamos antes. Isso é muito mais difícil quando seus livros são uma mistura de exportações bancárias, planilhas e aprovações meio lembradas — e muito mais fácil quando cada transação reside em um local auditável e com controle de versão.
Beancount.io mantém seu histórico completo de pagamentos em um livro-razão de texto simples com um histórico de alterações completo, então verificar o registro de pagamento real de um fornecedor — em vez de confiar em qualquer e-mail que acabou de chegar — leva segundos, não uma busca frenética por extratos antigos. Comece gratuitamente e dê ao seu processo de contas a pagar o rastro documental que torna a fraude BEC fácil de detectar e difícil de esconder.