Phishing, fraude do CEO e fraude de faturas

Módulo 1: Porque é que você é um alvo · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, você consegue reconhecer o modo de funcionamento do phishing, da fraude do CEO e da fraude de faturas (BEC), e criar um procedimento de pagamento com confirmação telefónica.
Conceitos-chave: phishing, spear phishing, fraude do CEO, fraude de faturas, Business Email Compromise, princípio dos quatro olhos, confirmação telefónica num número conhecido

Três formas do mesmo truque

Os três ataques desta lição funcionam com base no engano. Não se invade um computador; convence-se alguém a fazer algo por iniciativa própria: clicar numa ligação, preencher uma palavra-passe, transferir dinheiro. A isto chama-se engenharia social. Funciona porque explora reações humanas comuns: você quer ajudar o seu chefe, pagar um fornecedor a tempo, resolver rapidamente um problema.

A fraude do CEO e a fraude de faturas enquadram-se na designação inglesa Business Email Compromise (BEC): fraude em que o correio eletrónico profissional é indevidamente utilizado e um burlão se faz passar por outra pessoa.

Phishing e spear phishing

Phishing é uma mensagem que se faz passar por um remetente de confiança, para que você faça algo que de outra forma não faria. Trata-se geralmente de uma ligação para uma página de início de sessão falsificada, por exemplo de rneubanco.example (com "rn" em vez de "m"), ou de um anexo com software malicioso. O phishing comum é enviado para um grande número de pessoas em simultâneo, com uma história genérica.

No spear phishing, a mensagem é adaptada especificamente a si. O atacante utiliza o seu nome, a sua função, o nome de um colega ou fornecedor real, um projeto em que está a trabalhar. Encontra essa informação no seu site, no LinkedIn, no registo comercial ou numa caixa de correio anteriormente comprometida. Como a mensagem corresponde ao que se espera, passa muito mais despercebida.

Os erros ortográficos já não são um indicador fiável. Com programas de tradução e geradores de texto com IA, um burlão escreve textos sem erros. No módulo 3 vai aprender a reconhecer o phishing através de elementos que um burlão não consegue imitar: o domínio real de uma ligação e o remetente técnico de um e-mail.

Fraude do CEO

Na fraude do CEO, alguém que efetua pagamentos recebe uma mensagem que parece vir do diretor ou do proprietário. A polícia descreve as características habituais:

• Autoridade: é uma ordem, não um pedido.
• Confidencialidade: "não fale ainda sobre isto com mais ninguém, trata-se de uma aquisição."
• Pressão do tempo: tem de ser feito hoje, antes de o banco fechar.
• Um remetente quase correto: por exemplo direcao@example-com.example, que à primeira vista se parece com o próprio domínio, ou um endereço pessoal "porque estou a caminho".

Por vezes é envolvido um "advogado" ou "contabilista" que confirma a ordem; essa pessoa faz parte do esquema fraudulento. Também associações e pequenas empresas são abordadas desta forma: o tesoureiro recebe um e-mail do "presidente".

Porque é que funciona? Porque numa pequena empresa todos se conhecem e confiam uns nos outros. O colaborador quer ajudar, e a confidencialidade impede-o de verificar rapidamente com um colega. O segredo é precisamente o objetivo do burlão.

Fraude de faturas: só o IBAN é diferente

A fraude de faturas é mais difícil de reconhecer, porque a fatura é muitas vezes autêntica. Valor, número de encomenda, logótipo, formatação: tudo está correto. Só o número de conta foi alterado. Segundo a polícia, isso acontece de várias formas: a fatura é intercetada e alterada, surge uma carta à parte a informar "o nosso número de conta foi alterado", ou a própria empresa foi pirateada e o burlão envia o e-mail a partir da caixa de correio real.

Este último ponto é importante compreender. Se a caixa de correio do seu fornecedor fornecedor.example tiver sido comprometida, o e-mail chega mesmo a partir do endereço correto. Todas as verificações técnicas (SPF, DKIM, DMARC, do módulo 4) são bem sucedidas. Por vezes, o burlão acompanhou a caixa de correio durante semanas, sabe quais as faturas em aberto e envia a sua mensagem exatamente no momento certo, dentro da mesma conversa. Verificar o endereço do remetente não ajuda, portanto, neste caso.

Um pormenor doloroso: se pagou ao burlão, em princípio continua a dever o valor ao verdadeiro fornecedor.

Um exemplo

A Padaria Example encomenda um forno novo junto de fornecedor.example. O orçamento, a confirmação de encomenda e a fatura chegam todos corretamente. Dois dias depois, surge na mesma conversa de e-mail:

Cara Sofia, devido a uma mudança de banco, o nosso número de conta foi alterado com efeito imediato. Pode transferir o valor da fatura do forno para o novo número? O número antigo será encerrado na próxima semana. Com os melhores cumprimentos, Miguel

O endereço está correto, o nome do Miguel está correto, o número de encomenda confere. A única coisa que denuncia a fraude é o próprio pedido: uma alteração do número de conta. Isso é sempre um momento para verificar, nunca um momento para confiar apenas no e-mail.

O procedimento de pagamento que a impede

Não é possível reconhecer todos os e-mails falsos. Mas é possível garantir que um e-mail falso não é suficiente para efetuar uma transferência de dinheiro. Consegue-se isso com algumas regras fixas.

1. Confirmar por telefone num número conhecido. Em qualquer alteração de número de conta, e em qualquer pedido de pagamento invulgar, telefone ao remetente. Não para o número indicado no e-mail ou na fatura, pois também pode ser falso, mas para um número que já tinha anteriormente: da sua própria contabilidade, do contrato ou do site oficial que você mesmo digita.
2. Não responder ao e-mail. Se quiser verificar por e-mail, escreva o endereço você mesmo. Ao usar "responder" pode acabar por contactar o burlão, por exemplo através de um Reply-To que aponta para outro endereço (lição 3.3).
3. O princípio dos quatro olhos. Pagamentos acima de um determinado valor, novos beneficiários e alterações de número de conta são verificados por duas pessoas. Numa empresa individual (unipessoal), isso significa: um período de espera fixo e uma confirmação telefónica antes de pagar.
4. Nenhuma exceção por e-mail ou chat. O diretor nunca pede por e-mail ou WhatsApp para saltar o procedimento. Combine isto, inclusive com o próprio diretor. Assim, toda a gente sabe: uma mensagem com "só desta vez, fora do procedimento normal" é, por definição, suspeita.
5. Registar os dados. O número de conta de um fornecedor está na sua contabilidade. Compare o número em cada fatura com o que já tinha registado. Desde outubro de 2025, os bancos na zona euro verificam, numa transferência, se o nome que você insere corresponde ao número de conta (em inglês, Verification of Payee). Leve a sério qualquer aviso resultante dessa verificação. Mas um resultado positivo apenas indica que o nome e a conta correspondem, não que o destinatário seja honesto.

Se, ainda assim, correr mal

Já pagou e já não confia na situação? Então cada hora conta.

• Telefone imediatamente para o seu banco e pergunte se o pagamento pode ser bloqueado ou recuperado.
• Denuncie o e-mail falso às autoridades e apresente queixa à polícia.
• Avise o fornecedor: se a caixa de correio dele foi comprometida, mais clientes receberão mensagens falsas.
• Se a mensagem veio da sua própria caixa de correio ou da de um colega, esta poderá ter sido comprometida. Altere a palavra-passe, termine sessões ativas e verifique regras de reencaminhamento (lições 2.5 e 3.5).

Resumo

• O phishing, a fraude do CEO e a fraude de faturas são engenharia social: você é convencido a fazer algo por iniciativa própria.
• O spear phishing é adaptado especificamente a si e é, por isso, muito mais convincente; os erros ortográficos já não são um bom indicador.
• A fraude do CEO explora a autoridade, a confidencialidade e a pressão do tempo.
• Na fraude de faturas, muitas vezes só o IBAN é diferente, por vezes a partir da verdadeira caixa de correio pirateada do fornecedor.
• Um procedimento de pagamento com confirmação telefónica num número conhecido e o princípio dos quatro olhos impede a maioria das fraudes, mesmo que não reconheça o e-mail falso.

Questionário

Exercício

Exercício A1.2: Reconheça a fraude. Vai receber seis mensagens curtas. Indique, para cada mensagem, se se trata provavelmente de phishing, fraude do CEO, fraude de faturas ou de uma mensagem normal, e que ação deve tomar. O programa corrige e indica, para cada mensagem, as características que poderia ter identificado.

Exercício D1.2: O seu próprio procedimento de pagamento. Escreva o procedimento de pagamento da sua empresa numa página A4: quando confirmar por telefone, para que número, quem faz uma segunda verificação e a partir de que valor. Discuta-o com todas as pessoas que efetuam pagamentos.

Para saber mais

Os passos descritos nos artigos de apoio da WebOké aplicam-se ao ambiente da WebOké; com outros fornecedores o processo é semelhante.

• Este e-mail é mesmo da WebOké? Como reconhecer phishing e utilizar o código promocional
• E-mails da ICANN ou do registo sobre o seu domínio: verdadeiras ou falsas, e o que deve fazer?
• Diretiva NIS2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• Comissão Europeia sobre a NIS2: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• ENISA: https://www.enisa.europa.eu/
• Reconhecer faturas falsas, números de conta alterados ou fraude do CEO