Já ouviu falar em CEO Fraud? Veja como pode proteger a sua empresa

Em Portugal, um dos exemplos mais recentes envolveu o Ministério da Educação, que acabou por transferir 2,5 milhões de euros para um IBAN errado após receber instruções que pareciam totalmente legítimas. Graças à rápida atuação do IGeFE, o valor foi recuperado, mas nem sempre há um final feliz.

Neste artigo, explicamos porque é que este tipo de fraude é tão difícil de detetar e como pode proteger a sua empresa antes que algo aconteça.

O que é CEO Fraud?

A fraude CEO acontece quando um atacante se faz passar por alguém com autoridade dentro da empresa (muitas vezes o próprio CEO, CFO ou diretor financeiro) para convencer um colaborador a fazer algo que, noutra circunstância, levantaria suspeitas. Pode ser uma transferência urgente, a alteração de um IBAN, o envio de dados de colaboradores ou o acesso a plataformas internas.

É um tipo de fraude empresarial que vive da manipulação psicológica. Não depende apenas de tecnologia, mas da capacidade de criar pressão, urgência e confiança. Por isso, enquadra-se dentro dos chamados ataques de spear phishing, whaling e outras variantes de engenharia social (social engineering).

O criminoso estuda a empresa, aprende a forma como comunica, identifica vulnerabilidades humanas e escolhe o momento certo para agir. E faz tudo isto com um nível de personalização que torna difícil acreditar que a mensagem não seja legítima.

Como identificar uma CEO Fraud?

Mesmo quando parecem totalmente legítimos, os ataques de CEO Fraud deixam quase sempre pequenas pistas. E são esses detalhes que podem evitar uma transferência incorreta ou a divulgação acidental de informação sensível.

Indicadores de e-mails suspeitos

O primeiro sinal está, quase sempre, na caixa de entrada. Um e-mail que parece legítimo pode, com atenção, revelar incoerências: domínios que se confundem com os reais, pequenas alterações no nome do remetente ou construções de frases que não correspondem ao estilo habitual da pessoa.

Muitas vezes, o próprio conteúdo denuncia o ataque. O tom pode ser mais urgente, menos cuidadoso ou demasiado direto para a posição do remetente. Há pedidos que não fazem sentido, instruções fora do procedimento habitual ou anexos inesperados que pedem acesso imediato.

Pedidos urgentes e confidenciais

A urgência é a arma favorita dos atacantes BEC. Quanto menos tempo o colaborador tiver para pensar, maior a probabilidade de cumprir a instrução sem levantar suspeitas.

Mensagens como “preciso disto agora”, “não posso falar, trata já” ou “o assunto é sensível, não envolvas mais ninguém” são sinais claros de alerta. Uma organização saudável raramente funciona assim e é precisamente por isso que este tipo de abordagem deve fazer soar alarmes internos.

Alterações de IBAN e dados bancários

Muitos ataques BEC - Business E-mail Compromise (um tipo de fraude que compromete o e-mail empresarial para pedidos falsos de dinheiro ou informação) começam com um pretexto muito simples: a mudança de conta bancária de um fornecedor. Parece legítimo, mas basta um detalhe falso para transformar uma rotina administrativa numa perda de milhares de euros.

Sempre que existe um pedido deste género, especialmente sem aviso prévio, a verificação por outro canal é obrigatória. Um telefonema rápido, uma videoconferência ou até uma validação interna podem evitar fraude com impacto real.

Tipos de ataques BEC mais comuns

Segundo o FBI, os ataques BEC são hoje uma das formas de fraude empresarial mais lucrativas e sofisticadas. E, embora cada caso tenha as suas particularidades, há padrões que se repetem e que ajudam a perceber como estes esquemas ganham forma.

Invoice fraud (fraude de faturas)

É uma das formas mais frequentes. O atacante imita um fornecedor real e envia uma fatura falsa ou pede a alteração do IBAN antes de um pagamento. Foi precisamente esta técnica que esteve na origem do ataque ao Ministério da Educação.

Attorney impersonation (falsificação de advogados)

Neste tipo de ataque, o criminoso finge ser um representante legal ou advogado da empresa e cria pressão com argumentos jurídicos, pedidos urgentes ou ameaças de prazos processuais.

Account compromise (compromisso de contas)

Aqui, o problema começa com a violação de um e-mail real dentro da empresa. A partir daí, o atacante envia mensagens totalmente legítimas (porque vêm de uma conta verdadeira) para pedir pagamentos, alterar dados ou aceder a sistemas internos.

Data theft (roubo de dados)

Nem sempre o objetivo é dinheiro imediato. Muitos ataques BEC procuram listas de contactos, ficheiros de colaboradores, dados financeiros ou informações técnicas que podem ser usadas para futuras fraudes ou vendidas a terceiros.