O business email compromise (BEC) é uma categoria distinta de crime financeiro e não uma variante de phishing que tem como alvo executivos por acaso. O phishing tem êxito ao levar alguém a clicar no que não devia. O business email compromise tem êxito sem nada desse mecanismo: todo o ataque é um e-mail bem investigado que pede a uma pessoa específica para fazer algo que se enquadra de forma plausível num dia normal de trabalho. Os maiores incidentes podem movimentar quantias de seis dígitos numa única transferência e, quando alguém se apercebe, o dinheiro normalmente já saiu do país.

Nenhum dos sinais que um filtro de phishing ou um funcionário bem treinado normalmente procuraria é detetado. É isso que separa o business email compromise do phishing vulgar, e é por isso que uma sensibilização geral sobre phishing não pode fazer muito para o impedir. Vamos mostrar-lhe como detetar o business email compromise e proteger a sua organização.

O que é o business email compromise?

O business email compromise é um ataque direcionado no qual um criminoso se faz passar por alguém de confiança do destinatário — normalmente um executivo sénior, um fornecedor ou um colega interno — e solicita uma transferência bancária, uma alteração nos detalhes de pagamento ou credenciais confidenciais.

Normalmente, não há malware(nova janela) nem qualquer ligação maliciosa envolvida. O que varia é a forma como a identidade do remetente é falsificada, e os atacantes têm mais opções do que a maioria das pessoas pensa:

  • Domínios semelhantes: o atacante regista um domínio quase idêntico ao real, trocando uma única letra ou adicionando um hífen, e conta com o facto de ninguém ler o endereço com atenção.
  • Mistificação do nome a apresentar: o nome a apresentar no campo “De” é definido para corresponder à pessoa de confiança — “John Smith” —, enquanto o endereço real é algo não relacionado. Por predefinição, muitos clientes de e-mail móveis mostram apenas o nome a apresentar, pelo que o endereço real nem sequer chega a aparecer no ecrã.
  • Mistificação de cabeçalho: o SMTP, o protocolo que encaminha o e-mail, não verifica o cabeçalho “De” por si próprio, pelo que um atacante pode enviar uma mensagem alegando provir do endereço real sem nunca o controlar. Se a mensagem chega à caixa de entrada depende das verificações de autenticação do domínio recetor.
  • Manipulação de responder a: o endereço “De” visível parece legítimo, mas é configurado nos bastidores um endereço Reply-To diferente, pelo que no momento em que o alvo clica em responder, a conversa é silenciosamente encaminhada para o atacante.
  • Comprometimento de conta: o atacante obtém acesso a uma conta de e-mail genuína e envia o pedido a partir do seu interior.

O último destes cenários, o comprometimento de conta, é o mais difícil de detetar, porque genuinamente não há nada de tecnicamente incorreto com o e-mail. Veio do endereço real, no domínio de e-mail personalizado real, e pode até dar continuidade a um tópico que o alvo já tinha visto anteriormente.

Como funciona a estratégia do business email compromise

Os ataques de business email compromise são construídos e não improvisados, e a preparação é geralmente onde se concentra a maior parte do esforço do criminoso.

Investigação

Tudo começa com o reconhecimento: os perfis do LinkedIn revelam quem ocupa cada cargo e quem responde a quem; os comunicados de imprensa da empresa anunciam fusões, rondas de financiamento ou novas relações com fornecedores; e uma resposta automática de ausência temporária pode dar ao atacante o detalhe de que ele mais necessita: a confirmação de que o executivo em questão está incontactável no momento.

Escolher um alvo

A partir daí, o atacante passa à seleção do alvo. Nem todos os funcionários são úteis para uma tentativa de business email compromise; o alvo tem de ser alguém com autoridade para movimentar efetivamente dinheiro ou alterar detalhes de pagamento, o que normalmente restringe o campo às finanças, contas a pagar, RH ou processamento de salários.

Começa a personificação

Assim que o alvo e uma narrativa plausível são escolhidos, segue-se a personificação, seja através de um domínio semelhante falsificado ou de uma caixa de correio genuinamente comprometida, adaptada ao tom, à assinatura e ao nível de formalidade que o remetente real utilizaria.

O contacto é estabelecido

O atacante interage com alguém dentro da empresa, fazendo um pedido ou exigência urgente. Pode tratar-se de uma aquisição que tem de ser concluída hoje, de um auditor que precisa dos números imediatamente ou de um colega em apuros que não consegue falar por telefone.

Normalmente, o pedido será uma transferência bancária, uma alteração de dados bancários ou um pedido de credenciais de início de sessão, apresentado como algo que simplesmente tem de acontecer e não como algo a ser questionado.

Quatro cenários comuns de business email compromise

Eis algumas das táticas mais comuns de business email compromise que os atacantes utilizam.

Fraude do CEO

Um e-mail parece vir do CEO, diretor-geral ou outro líder sénior, pedindo a um membro da equipa financeira para processar um pagamento urgente e, muitas vezes, confidencial. A aparente senioridade do remetente faz a maior parte do trabalho neste caso, uma vez que poucos funcionários se sentem à vontade para questionar um pedido que parece vir da liderança.

Fraude de faturas

Um fornecedor com o qual a empresa já trabalha parece notificar uma alteração de dados bancários, geralmente planeada para chegar pouco antes do vencimento de uma fatura real. Como já existe uma relação comercial genuína e um pagamento genuíno, esta versão é frequentemente a mais difícil de detetar por uma equipa financeira e representa algumas das maiores perdas individuais comunicadas pelas empresas.

Redirecionamento de salários

Um e-mail que se faz passar por um funcionário, ou ocasionalmente pelos próprios RH, pede ao departamento de vencimentos para atualizar os dados bancários antes do próximo processamento de salários. O pedido é suficientemente pequeno e rotineiro para raramente levantar suspeitas, e é exatamente por isso que funciona.

Falsificação de identidade do apoio ao cliente de TI

Uma mensagem que se faz passar pelo departamento de TI interno ou pelo suporte técnico pede a um funcionário para confirmar uma palavra-passe ou aprovar um pedido de início de sessão antes de uma atualização do sistema. Ao contrário dos outros três cenários, este não procura dinheiro diretamente. Procura as credenciais que tornam qualquer outra forma de business email compromise mais fácil de executar.

O custo real do business email compromise

As perdas decorrentes de business email compromise são comunicadas de forma diferente das fraudes comuns com cartões, o que explica em parte por que razão a dimensão do problema é facilmente subestimada. O Internet Crime Complaint Center do FBI registou 2,77 mil milhões de dólares(nova janela) em perdas por business email compromise em 21.442 incidentes comunicados em 2024, e a sua contagem global estima as perdas expostas em mais de 55 mil milhões de dólares(nova janela) ao longo da última década. No entanto, as médias ocultam a história real. Os casos que foram notícia mostram o que um único e-mail bem construído pode movimentar.

Entre 2013 e 2015, um burlão lituano lesou o Facebook e a Google num total de 121 milhões de dólares(nova janela) utilizando faturas falsas de uma empresa que se fazia passar pela Quanta Computer, um fornecedor de hardware que ambas as empresas utilizavam genuinamente. Como as faturas se enquadravam numa relação comercial existente, as equipas de contabilidade pagaram-nas e continuaram a pagá-las durante dois anos.

Em 2016, a fornecedora aeroespacial austríaca FACC foi atingida por um e-mail a fazer-se passar pelo seu então CEO, solicitando a transferência de cerca de 50 milhões de euros(nova janela) para um suposto projeto de aquisição — exatamente o pretexto descrito no início deste artigo. A empresa conseguiu travar parte da transferência após descobrir a fraude, mas o restante nunca foi recuperado.

Estes casos descrevem uma categoria de crime que se comporta de forma diferente da maioria das estatísticas de phishing. O phishing é medido em volume: milhões de e-mails quase idênticos, a maioria intercetada por um filtro antes de qualquer pessoa os ver.

O business email compromise é medido em incidentes individuais, cada um construído em torno de um único alvo e de um único pagamento, e cada um capaz de causar mais danos numa só tarde do que mil e-mails de phishing bloqueados alguma vez conseguiriam.

Qualquer organização que tenha transferido dinheiro por transferência bancária ou alterado os dados bancários de um fornecedor no passado deve encarar isto como um risco financeiro real e comunicar incidentes suspeitos ao seu centro nacional de denúncia de fraudes — o IC3 do FBI nos Estados Unidos, a Action Fraud no Reino Unido e entidades equivalentes noutros países.

Os controlos que realmente travam o business email compromise

Como o business email compromise contorna os sinais de alerta técnicos em que a formação sobre phishing se baseia, os controlos que o travam também são diferentes. A sensibilização ajuda, mas as defesas que realmente funcionam são procedimentais e técnicas, não sendo apenas uma questão de os funcionários lerem os e-mails com mais atenção.

Autorização dupla

A autorização dupla em qualquer pagamento acima de um determinado limite deve ser obrigatória, e não uma cortesia concedida quando alguém se lembra de pedir. A aprovação de uma única pessoa nunca deve ser suficiente para movimentar uma quantia significativa de dinheiro, independentemente do quão sénior ou urgente o pedido pareça ser.

Verificação por chamada telefónica

A verificação por chamada telefónica fecha o ciclo que o e-mail não consegue fechar sozinho. Qualquer pedido de alteração de dados bancários ou de libertação de um pagamento deve ser confirmado por telefone, utilizando um número já registado nos ficheiros e nunca um fornecido no próprio e-mail, uma vez que um número fornecido pelo atacante apenas volta a ligar o alvo ao atacante.

Rever os procedimentos de aprovação de pagamentos

As revisões regulares dos procedimentos de aprovação de pagamentos também ajudam a reduzir o risco de business email compromise ao longo do tempo. À medida que as empresas crescem, as exceções temporárias e os atalhos informais tornam-se frequentemente parte das operações diárias sem que ninguém questione se continuam a ser adequados. Rever quem pode autorizar pagamentos, como as alterações de dados bancários são aprovadas e que transações requerem verificação adicional ajuda a garantir que os controlos financeiros continuam a corresponder ao nível de risco atual da organização. Mesmo os procedimentos bem concebidos perdem eficácia se não forem revistos à medida que a empresa evolui.

Autenticação de e-mail

A autenticação técnica de e-mail é um componente essencial da segurança de e-mail e tem aqui uma importância que não tem na maior parte do phishing, porque o business email compromise baseia-se frequentemente na mistificação da identidade do próprio domínio de uma organização para personificar os seus executivos.

O DMARC, em conjunto com o SPF e o DKIM, indica aos servidores de e-mail recetores o que fazer com as mensagens que não passam na autenticação do seu domínio, o que torna significativamente mais difícil para um atacante enviar um e-mail que pareça vir do seu próprio CEO.

Cultura de segurança aberta

Nada disto funciona sem uma norma cultural subjacente: é sempre aceitável colocar em pausa e verificar um pedido, independentemente de quem aparente estar a fazê-lo. Os funcionários que têm receio de parecer obstrutivos ou desconfiados em relação a uma figura sénior são exatamente aqueles que uma tentativa de business email compromise foi concebida para apanhar, e esse receio só desaparece quando a liderança deixa claro, repetidamente, que questionar um pedido invulgar é algo esperado e não um ato de deslealdade.

Como detetar os sinais de alerta de uma tentativa de business email compromise

O business email compromise raramente se manifesta através de avisos técnicos óbvios. O e-mail pode vir de um endereço familiar, fazer referência a um projeto real e utilizar uma linguagem que corresponde a conversas anteriores. É por isso que o contexto em torno do pedido é muitas vezes mais importante do que o próprio e-mail.

Vários padrões surgem repetidamente nas investigações de business email compromise. Um pedido que contorne os procedimentos normais de aprovação deve sempre levantar suspeitas. O mesmo se aplica a instruções inesperadas para manter um pagamento confidencial, alterações aos dados bancários de um fornecedor pouco antes do vencimento de uma fatura ou pedidos que chegam enquanto um executivo sénior está em viagem e incontactável. Os atacantes escolhem deliberadamente situações em que é menos provável que os funcionários verifiquem o pedido através de outro canal.

Pequenas alterações no estilo de comunicação também podem fornecer pistas. Um executivo que normalmente delega aprovações financeiras pode subitamente solicitar um pagamento de forma pessoal. Um fornecedor que habitualmente comunica através de um gestor de conta pode enviar instruções bancárias a partir de um contacto diferente. Nenhum destes sinais prova um ataque por si só, mas devem motivar uma verificação adicional antes de transferir dinheiro ou alterar os detalhes da conta.

A abordagem mais segura é tratar pedidos financeiros invulgares como exceções de processos empresariais e não como situações que exigem decisões urgentes. Uma breve chamada telefónica através de um número de confiança, ou uma confirmação através de um canal de comunicação interna estabelecido, pode evitar uma perda que, de outra forma, levaria semanas ou meses a recuperar.

De que forma as credenciais facilitam o business email compromise?

Nem todas as tentativas de business email compromise assentam num domínio semelhante falsificado. Por vezes, começam com uma conta de e-mail genuinamente comprometida, na qual o atacante simplesmente iniciou sessão utilizando uma palavra-passe que já tinha sido exposta noutro local.

Uma vez lá dentro, não precisam de falsificar nada. Podem ler tópicos antigos, reproduzir com exatidão o tom e a formatação e enviar o pedido fraudulento a partir de um endereço que passa em todas as verificações de autenticação, porque se trata mesmo da própria conta do remetente.

É aqui que a higiene das palavras-passe e a prevenção de business email compromise se cruzam diretamente. O Data Breach Observatory da Proton monitoriza a frequência com que as credenciais empresariais surgem em bases de dados criminosas muito antes de alguém dentro da empresa afetada se aperceber, e o comprometimento de conta é exatamente o resultado que esses dados possibilitam.

Um e-mail profissional seguro, palavras-passe únicas em todas as contas, combinados com a autenticação multifator (MFA), garantem que uma palavra-passe divulgada numa fuga não possa ser reutilizada para aceder a uma caixa de correio e lançar uma tentativa de business email compromise a partir do interior.

Um gestor de palavras-passe profissional como o Proton Pass for Business torna este padrão realista de manter em toda a organização, em vez de depender de funcionários individuais lembrarem-se de não reutilizar uma palavra-passe. Quando as credenciais são geradas e armazenadas adequadamente, as vulnerabilidades a violações de dados e a apropriações de contas são significativamente reduzidas.

Proteja as contas da sua empresa contra comprometimentos com um gestor de palavras-passe profissional seguro.