Revisado em por Roberto Lima
Neste artigo
Empresa pequena raramente é alvo escolhido a dedo. Ela é alcançada por operações que rodam em escala, e o que decide se o golpe funciona não é a sofisticação técnica do ataque, é o momento. A mensagem chega justamente quando o pagamento está previsto, com o nome certo, o valor certo e o histórico da conversa embaixo. Quem paga não é ingênuo, é uma pessoa apressada em um dia normal.
Este artigo é organizado por casos, e não por técnica. A anatomia dos vetores está em outros textos, como o de engenharia social e técnicas de proteção e o panorama de golpes virtuais. Aqui a estrutura é a de quem opera o financeiro de uma PME: cinco situações recorrentes, com o sinal que denuncia cada uma, a defesa que efetivamente funciona e, no fim, o que fazer na primeira hora depois que o dinheiro já saiu.
Caso 1: a Conta Bancária que Mudou na Última Hora
Como acontece. Uma negociação em andamento com um fornecedor conhecido, com trocas de e-mail há semanas. Perto do vencimento, chega uma mensagem informando que o banco da empresa mudou e pedindo que o pagamento seja feito em uma conta nova. A mensagem está no mesmo fio da conversa, cita o número do pedido, tem a assinatura de sempre e nenhum erro de português.
O que está por trás. Em algum momento das semanas anteriores, uma caixa de e-mail foi comprometida, a sua ou a do fornecedor. O atacante não fez nada visível: leu a negociação, aprendeu o vocabulário, os nomes e o cronograma, e esperou. O pedido de troca de conta é a última etapa de um processo silencioso. Esse padrão é conhecido internacionalmente como comprometimento de e-mail corporativo, e figura de forma consistente entre as categorias de maior perda financeira nos relatórios anuais do centro de queixas de crimes na internet do FBI.
Por que a leitura atenta não salva. Não há o que reconhecer. O texto é bom porque foi escrito por quem leu a conversa inteira. Procurar por erro de português é uma defesa que envelheceu.
A defesa que funciona. Um procedimento, não uma percepção. Toda alteração de dados bancários de fornecedor exige confirmação por voz, em número que já constava do cadastro antes da mensagem, com uma segunda pessoa ciente. Sem exceção, sem urgência que justifique pular a etapa. É gratuito e resolve praticamente esse caso inteiro.
Caso 2: o Boleto com o Layout Perfeito
Como acontece. Chega o boleto do fornecedor, em PDF, com logotipo correto, valor correto e vencimento correto. O código de barras, esse, aponta para outro beneficiário.
A defesa que funciona, e leva cinco segundos. Ao ler o código de barras no aplicativo do banco, a tela mostra o nome do beneficiário antes da confirmação, e esse nome vem do sistema bancário, não do arquivo PDF. Se o beneficiário exibido não é o seu fornecedor, o boleto foi trocado, por mais perfeito que esteja o layout. Essa conferência é a única que importa, e ela dispensa qualquer ferramenta.
A regra de uma linha que resolve os dois primeiros casos
Confira o beneficiário na tela do banco, não no papel. O PDF é feito por quem enviou a mensagem. O nome que aparece no aplicativo depois de ler o código de barras vem do banco. Quando os dois divergem, quem manda é a tela do banco, sempre.
Caso 3: o WhatsApp do Sócio
Como acontece. Uma mensagem de um número desconhecido, com a foto do sócio no perfil, dizendo que trocou de aparelho e pedindo um pagamento urgente. Ou, em uma variação mais desconfortável, a mensagem vem do número real, porque a conta foi tomada com o código de verificação enviado por SMS.
Por que dá certo em empresa pequena. A hierarquia é curta e o contato entre sócio e financeiro é informal. Um pedido por mensagem é um pedido normal, e a urgência é uma pressão que funciona bem contra quem não quer contrariar o dono.
A defesa que funciona. São duas, e ambas custam zero. Primeira, ligar a confirmação em duas etapas do WhatsApp, que adiciona um PIN de seis dígitos exigido para registrar a conta em um aparelho novo. Isso torna a tomada de conta muito mais difícil, mesmo quando o golpista consegue o código por SMS. Segunda, uma regra combinada: pedido de pagamento por mensagem sempre é confirmado por voz, em número da agenda anterior à conversa. A regra precisa ser anunciada pelo próprio sócio, para que ninguém tenha receio de aplicá-la contra ele.
Vale lembrar que as informações que tornam esse golpe convincente, quem são os sócios, quem cuida do financeiro, quem são os fornecedores, costumam estar públicas em redes profissionais. É um assunto que tratamos no artigo sobre segurança da presença digital de executivos em PME.
Caso 4: o Currículo que o RH Abriu
Como acontece. A empresa publica uma vaga. Chegam currículos, e alguém precisa abrir todos. Um deles traz um documento que solicita habilitar edição ou macros, ou um arquivo compactado com um executável disfarçado de PDF.
Por que funciona. É a inversão do treinamento. Todo mundo aprende a não abrir anexo de desconhecido, mas a função de quem recebe currículo é exatamente abrir anexo de desconhecido, o dia inteiro. O mesmo raciocínio vale para a caixa de contato comercial, para o e-mail de suporte e para o financeiro que recebe notas fiscais.
A defesa que funciona. Reduzir o alcance em vez de tentar mudar o comportamento. Direcione as candidaturas para um formulário que aceite apenas PDF, mantenha macros bloqueadas por política nas estações, use a visualização em navegador em vez do download quando a plataforma permitir, e concentre esse tipo de recebimento em contas com privilégio mínimo. Nenhuma dessas medidas depende de a pessoa desconfiar do arquivo.
Caso 5: a Renovação de Senha do E-mail
Como acontece. Uma mensagem informa que a senha corporativa expira em 24 horas e que a conta será desativada. O link leva a uma página idêntica à do Microsoft 365 ou do Google Workspace, hospedada em um domínio parecido com o da empresa.
Por que ele importa mais do que os outros. Este é o golpe de entrada, e não o golpe de saída. Ninguém rouba dinheiro aqui. Rouba-se a credencial que permite executar o caso 1 dali a três semanas, com todo o conhecimento da negociação. Boa parte das fraudes de pagamento que investigo começou com uma página falsa de senha meses antes.
A defesa que funciona. Autenticação multifator para todos, porque ela impede que a senha isolada dê acesso, e a Microsoft afirma que o segundo fator moderno bloqueia mais de 99% das tentativas de acesso não autorizado. Some a isso o bloqueio de encaminhamento automático para fora do domínio e a revisão periódica das regras de caixa de entrada, que é onde o atacante instala a escuta silenciosa. As três configurações estão detalhadas no artigo sobre segurança em Microsoft 365 e Google Workspace, e nenhuma delas exige licença adicional.
O Roteiro da Primeira Hora
Quando o pagamento já saiu, o resultado é decidido por velocidade, não por competência técnica. Tenha isto escrito em uma página, com nomes e telefones preenchidos, antes de precisar.
- Ligue para o banco agora. Peça o registro de ocorrência de fraude e o acionamento do procedimento de bloqueio. Em transações por Pix, existe o Mecanismo Especial de Devolução, criado pela Resolução BCB nº 147/2021, pelo qual o banco da vítima solicita a devolução ao banco do recebedor quando há indício de fraude. O prazo para abrir a solicitação é de até 80 dias a contar da transação, mas a chance efetiva de recuperação depende de o dinheiro ainda estar parado na conta de destino, o que raramente dura muito.
- Preserve as evidências. Não apague nada e não responda ao golpista. Exporte os e-mails originais com cabeçalho completo, salve as conversas e anote horários. E-mail encaminhado perde os cabeçalhos que provam a origem, então exporte, não encaminhe.
- Troque as senhas e encerre as sessões. Comece pela conta de e-mail envolvida, e não esqueça de revogar as sessões ativas e revisar as regras de caixa de entrada, porque trocar a senha sem encerrar as sessões deixa o atacante conectado.
- Avise quem mais pode ser alvo. Se a caixa comprometida foi a sua, os seus clientes e fornecedores estão na fila do mesmo golpe. Avisar rápido é uma decisão comercial tanto quanto técnica.
- Registre boletim de ocorrência. É necessário para a maioria dos procedimentos bancários, para eventual acionamento de seguro e para qualquer desdobramento jurídico.
- Verifique se houve dado pessoal exposto. Se o incidente atingiu dados de clientes ou funcionários, começa a contar o prazo de comunicação à ANPD, tratado no guia de LGPD para pequenas empresas.
Quer testar como a sua equipe reage antes que o golpista teste?
Fazemos simulação controlada de phishing e revisão dos procedimentos de pagamento com o seu financeiro, com relatório do que passou, do que foi barrado e do que precisa virar regra escrita.
Falar sobre Prevenção a FraudesPerguntas Frequentes
Ligue imediatamente para o banco e peça o registro da ocorrência de fraude. No caso de Pix, existe o Mecanismo Especial de Devolução do Banco Central, criado pela Resolução BCB nº 147/2021, que permite ao banco da vítima solicitar o bloqueio e a devolução dos valores quando há indício de fraude, com prazo de até 80 dias a contar da transação para abrir a solicitação. A devolução depende de o dinheiro ainda estar na conta do recebedor, por isso a primeira hora decide o resultado. Em paralelo, registre boletim de ocorrência e preserve os e-mails originais com cabeçalho completo.
Confira o beneficiário na tela do aplicativo do banco antes de confirmar. Boletos de cobrança registrada exibem o nome do beneficiário quando o código de barras é lido, e esse nome vem do banco, não do arquivo PDF que chegou por e-mail. Se o nome exibido não é o do seu fornecedor, o boleto foi trocado, independentemente de o layout e o logotipo estarem perfeitos. Essa checagem leva cinco segundos e não depende de nenhuma ferramenta.
Habilite a confirmação em duas etapas do WhatsApp, que adiciona um PIN de seis dígitos exigido para registrar a conta em um aparelho novo. Sem ele, quem obtém o código enviado por SMS assume a conta. Combine também uma regra simples com a equipe e com os fornecedores: nenhum pedido de pagamento, alteração de conta bancária ou envio de documento é aceito por mensagem sem confirmação por um canal diferente, usando um número que já estava na sua agenda antes da conversa.
Não. A troca de dados bancários é a etapa final de um processo que costuma começar semanas antes, com o comprometimento de uma caixa de e-mail, sua ou do fornecedor. O atacante lê a negociação, aprende o vocabulário, os nomes e o cronograma, e só então envia a mensagem com a conta nova, no momento em que ela é esperada. Por isso o texto não tem erro de português, o histórico da conversa está lá e o valor confere. A defesa não é reconhecer a mensagem, é ter um procedimento que exija confirmação por voz em número previamente cadastrado sempre que dados bancários mudarem.
Sim, e é o controle com melhor relação entre custo e efeito nesse cenário. A maioria desses golpes começa com uma credencial roubada por página falsa, e a autenticação multifator impede que a senha sozinha dê acesso à caixa de e-mail. A Microsoft afirma que a autenticação multifator moderna bloqueia mais de 99% das tentativas de acesso não autorizado. Combinada com o bloqueio de encaminhamento automático externo e a revisão de regras de caixa de entrada, ela elimina a fase silenciosa do golpe, que é quando o atacante lê a negociação sem ser notado.
Conclusão
Os cinco casos têm um traço comum: nenhum deles é vencido por atenção. Quem paga boleto trocado, transfere para a conta nova ou abre o currículo com macro não está distraído, está fazendo o trabalho dele. O que muda o resultado são regras curtas e verificáveis, escritas antes de precisar: confirmar beneficiário na tela do banco, confirmar mudança de conta bancária por voz em número cadastrado, PIN de seis dígitos no WhatsApp, canal restrito para receber anexo de desconhecido e segundo fator em todas as contas de e-mail. São cinco linhas que cabem em uma folha e que custam menos do que uma única fatura paga para o golpista. Escreva a folha hoje e deixe o telefone do gerente do banco preenchido nela, porque na hora em que ela for usada ninguém vai ter cabeça para procurar o número.
- Banco Central — Resolução BCB nº 147/2021, Mecanismo Especial de Devolução do Pix
- Banco Central — perguntas frequentes sobre segurança e devolução no Pix
- FBI IC3 — relatórios anuais sobre comprometimento de e-mail corporativo
- WhatsApp — confirmação em duas etapas com PIN de seis dígitos
- Microsoft — Digital Defense Report 2025, ataques a identidade e eficácia de MFA
- CERT.br — Cartilha de Segurança, capítulo sobre golpes na internet
- Febraban — orientações de segurança bancária e cobrança registrada
