BEC: Como Evitar a Fraude do Falso Executivo

O que é Business Email Compromise (BEC) e por que ele preocupa tanto

Business Email Compromise, ou comprometimento de e-mail corporativo, é uma das fraudes digitais mais lucrativas do mundo — e uma das mais silenciosas. Diferente de ataques barulhentos como ransomware, o BEC não trava sistemas nem exibe telas de resgate. Ele funciona por meio de e-mails cuidadosamente construídos para se passar por um diretor, um fornecedor ou um parceiro de negócios, com um único objetivo: convencer alguém da empresa a transferir dinheiro ou entregar informações sensíveis por vontade própria. Segundo relatórios anuais do FBI (IC3), o BEC acumula prejuízos globais na casa dos bilhões de dólares por ano, superando com folga muitas categorias de crime cibernético mais conhecidas do grande público.

A variante mais famosa é a chamada "fraude do CEO" ou "golpe do falso executivo". O criminoso envia uma mensagem que aparenta vir do presidente ou do diretor financeiro da empresa, geralmente para alguém do financeiro ou do administrativo, solicitando uma transferência urgente e confidencial. O tom é de autoridade e pressa: "preciso que isso seja feito ainda hoje", "não comente com ninguém, é uma aquisição sigilosa". A vítima, querendo atender bem a liderança, executa o pagamento — e o dinheiro cai em uma conta controlada pelo golpista, muitas vezes pulverizada em minutos para outras contas e criptomoedas.

O que torna o BEC especialmente perigoso é que ele explora pessoas e processos, não apenas tecnologia. Um antivírus não detecta um e-mail sem anexo malicioso, sem link suspeito, escrito em português correto e assinado com o nome real do diretor. Por isso, a defesa contra BEC precisa combinar camadas técnicas, processos financeiros bem desenhados e treinamento constante da equipe.

Como o golpe funciona na prática: as principais variantes

O BEC raramente é um ataque impulsivo. Na maioria dos casos, os criminosos passam semanas estudando a empresa-alvo antes de enviar a primeira mensagem. Eles coletam informações públicas no site institucional, no LinkedIn e em redes sociais: quem é o CEO, quem cuida do financeiro, quais fornecedores a empresa usa, qual o padrão de assinatura dos e-mails. Em ataques mais sofisticados, o criminoso já invadiu de fato uma caixa de e-mail da empresa — geralmente por meio de phishing ou senha vazada — e passa a observar conversas reais para escolher o momento perfeito de agir.

As variantes mais comuns do golpe incluem:

• Fraude do falso executivo: o golpista se passa pelo CEO ou diretor e ordena uma transferência urgente, quase sempre invocando sigilo para impedir que a vítima confirme com colegas.
• Fraude do fornecedor (ou fraude de boleto/fatura): o criminoso se passa por um fornecedor real e informa uma "mudança de dados bancários". A empresa paga faturas legítimas, mas para a conta errada. Essa variante costuma demorar semanas para ser descoberta.
• Comprometimento real da caixa de e-mail: com acesso à conta de um funcionário, o golpista responde dentro de conversas verdadeiras, com histórico completo, tornando a fraude quase indistinguível de uma negociação legítima.
• Fraude de folha de pagamento: o criminoso se passa por um funcionário e pede ao RH a alteração da conta de depósito do salário.
• Roubo de dados: em vez de dinheiro, o alvo são informações — dados de funcionários, contratos, propostas comerciais — usados depois em outros golpes ou vendidos.

Um detalhe técnico importante: em muitos casos o golpista nem precisa invadir nada. Ele registra um domínio parecido com o da empresa — trocando uma letra, adicionando um hífen ou usando outra extensão — e envia o e-mail desse domínio "sósia". Em uma leitura rápida no celular, onde o cliente de e-mail costuma exibir apenas o nome do remetente, a diferença passa despercebida.

Sinais de alerta: como identificar um e-mail de BEC

Apesar do cuidado dos criminosos, os e-mails de BEC costumam carregar padrões reconhecíveis. Treinar a equipe para identificar esses sinais é uma das defesas mais eficazes e baratas que uma empresa pode implementar. O primeiro e mais consistente sinal é a combinação de urgência com sigilo: qualquer solicitação financeira que exija rapidez e, ao mesmo tempo, peça que você não comente com ninguém deve acender alerta máximo. Processos financeiros legítimos raramente proíbem verificação.

Outros sinais que merecem atenção imediata:

• Endereço do remetente com domínio ligeiramente diferente do oficial (ex.: "empresa-br.com" em vez de "empresa.com.br") ou uso de e-mail pessoal "temporário" do executivo ("estou sem acesso ao e-mail corporativo").
• Mudança repentina de dados bancários de um fornecedor conhecido, comunicada apenas por e-mail.
• Solicitações fora do padrão: valores atípicos, beneficiários novos, pagamentos internacionais sem histórico.
• Pressão para pular etapas de aprovação ("depois eu formalizo, pode pagar").
• Pequenas mudanças de tom ou de assinatura em relação aos e-mails habituais daquela pessoa.
• Resposta que chega em horário improvável ou pedido feito justamente quando o executivo está em viagem — informação que o golpista muitas vezes conhece pelas redes sociais.

Regra de ouro: nenhuma transferência ou alteração de dados bancários deve ser executada com base apenas em um e-mail. Sempre confirme por um segundo canal — telefone conhecido, WhatsApp já validado ou pessoalmente. Nunca use o número de telefone informado no próprio e-mail suspeito.

Vale reforçar esse último ponto: golpistas frequentemente incluem no e-mail um telefone "para confirmação", que obviamente é atendido por um cúmplice. A verificação só tem valor quando feita por um canal que a empresa já conhecia antes da solicitação.

Defesas técnicas: SPF, DKIM, DMARC e autenticação forte

A camada técnica não resolve o BEC sozinha, mas reduz drasticamente a superfície de ataque. O ponto de partida é a autenticação de e-mail do próprio domínio, composta por três protocolos complementares. O SPF (Sender Policy Framework) define quais servidores estão autorizados a enviar e-mails em nome do seu domínio. O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica que comprova que a mensagem não foi alterada no caminho. E o DMARC (Domain-based Message Authentication, Reporting and Conformance) amarra os dois anteriores, instruindo os servidores de destino sobre o que fazer com mensagens que falham na verificação — e, com política "reject", impede que golpistas enviem e-mails falsificados usando exatamente o seu domínio.

Além da autenticação de domínio, um conjunto de medidas técnicas deve fazer parte do padrão mínimo de qualquer empresa:

1. MFA (autenticação multifator) em todas as contas de e-mail, sem exceção. A maioria dos comprometimentos de caixa postal começa com uma senha vazada; o MFA bloqueia esse caminho na maior parte dos casos.
2. Regras de alerta para e-mails externos: banner visual do tipo "este e-mail veio de fora da organização" ajuda a desmascarar remetentes que se passam por colegas.
3. Detecção de domínios parecidos: filtros anti-impersonation, disponíveis no Microsoft 365 (Defender for Office 365), identificam remetentes com nomes de exibição ou domínios similares aos de executivos e parceiros cadastrados.
4. Monitoramento de regras de caixa de entrada: golpistas que invadem uma conta costumam criar regras para esconder respostas (movendo mensagens para pastas obscuras ou apagando-as). Auditar criação de regras é um dos melhores detectores de comprometimento em andamento.
5. Bloqueio de encaminhamento automático para domínios externos, outro artifício clássico de quem quer espionar uma caixa comprometida.

Empresas que usam Microsoft 365 já dispõem de boa parte dessas proteções nas licenças que contratam — o problema é que muitas vezes elas não estão configuradas ou estão em modo apenas de monitoramento. Uma revisão de postura de segurança do tenant costuma revelar lacunas importantes com correção rápida e sem custo adicional de licenciamento.

Processos e pessoas: o controle que a tecnologia não substitui

Como o BEC ataca a confiança e a rotina, o processo financeiro é a última e mais importante linha de defesa. A recomendação central é simples de enunciar e exige disciplina para manter: toda transferência acima de um valor definido e toda alteração de dados bancários exigem dupla aprovação e confirmação por segundo canal. Esse controle, sozinho, teria evitado a imensa maioria dos casos de BEC registrados — inclusive os que envolveram valores milionários em empresas com equipes de segurança maduras.

O treinamento da equipe completa esse quadro. Não basta um comunicado anual: simulações periódicas de phishing e discussões de casos reais mantêm o tema vivo. É fundamental que a liderança participe e deixe claro que questionar uma ordem de pagamento suspeita nunca será punido — o golpe do falso executivo só funciona porque a vítima tem medo de contrariar o "chefe". Empresas onde o funcionário se sente autorizado a ligar para o diretor e perguntar "foi você mesmo que pediu?" são empresas muito mais difíceis de fraudar.

Por fim, tenha um plano de resposta pronto. Se uma transferência fraudulenta for identificada, cada minuto conta: acione imediatamente o banco para tentar bloquear ou reverter a operação, registre boletim de ocorrência, preserve os e-mails originais (com cabeçalhos completos) e inicie a investigação do possível comprometimento de contas. Bancos conseguem reverter parte das operações quando avisados nas primeiras horas — depois de alguns dias, as chances caem para perto de zero.

Como a Duk protege sua empresa contra BEC

Montar essa defesa em camadas — autenticação de domínio, proteção avançada do e-mail, MFA, monitoramento e processos — exige conhecimento técnico e acompanhamento contínuo. É exatamente esse o papel de um parceiro de TI. A Duk Informática & Cloud atua há mais de 18 anos protegendo o ambiente digital de empresas brasileiras, com mais de 550 clientes atendidos e a qualificação de Microsoft Gold Partner, o que garante domínio profundo das ferramentas de segurança do Microsoft 365 e do Exchange Online.

Na prática, a Duk implementa e mantém SPF, DKIM e DMARC corretamente configurados, ativa políticas anti-impersonation e MFA em todo o tenant, monitora sinais de comprometimento de contas e apoia a empresa na definição de processos seguros de aprovação financeira. Tudo isso com suporte 24/7 com SLA e uma equipe que fala a língua do seu negócio, traduzindo risco técnico em decisões claras para a gestão.

O BEC não vai desaparecer — ele evolui, inclusive com uso de inteligência artificial para redigir e-mails cada vez mais convincentes e até clonar vozes em ligações de "confirmação". A boa notícia é que empresas preparadas raramente caem. Se você quer avaliar o quanto sua operação está exposta hoje, fale com a Duk e solicite um diagnóstico de segurança do seu ambiente de e-mail corporativo.