Capítulo 33: O parceiro transparente — Fraude de identidade de funcionário ou empresário perante fornecedores

No mundo empresarial moderno, a confiança é a moeda de troca mais importante. É o óleo nas engrenagens do comércio internacional e local. Quando enviamos um pedido de compra a um fornecedor com quem trabalhamos há muito tempo, ou quando recebemos uma fatura de um prestador de serviços habitual, não paramos a cada vez para verificar a identidade do remetente. Confiamos no endereço de e-mail conhecido, no estilo de escrita e no histórico compartilhado. Mas é exatamente aqui, dentro do espaço de conforto dos "negócios como de costume", que espreita uma das ameaças mais sofisticadas e destrutivas da era digital: o golpe BEC (Business Email Compromise), focado na personificação dentro da cadeia de suprimentos.

Este não é apenas mais um vírus que bloqueia o computador e exige um resgate em Bitcoin. É uma arte de engenharia social, combinando coleta precisa de inteligência, paciência de caçador e capacidade de falsificação virtuosa. Neste capítulo, analisaremos o mecanismo pelo qual os criminosos penetram nas relações mais sensíveis da empresa, entenderemos as implicações jurídicas complexas de "quem é o culpado quando o dinheiro desaparece no caminho" e traçaremos as linhas de defesa que todo empresário e gerente financeiro deve conhecer.

O cenário a seguir é um exemplo educativo baseado em padrões comuns de fraude. Os personagens e eventos destinam-se apenas à ilustração.

A tempestade silenciosa da empresa "Techno-Logistics"

Amir orgulhava-se da empresa que fundou. A "Techno-Logistics" era estável e fornecia componentes eletrônicos complexos para fábricas em Israel, apoiando-se em uma rede estreita de fornecedores em Taiwan e na Alemanha. O coração do relacionamento com os fornecedores era Dana, a gerente de compras, que trabalhava com "Hans", o gerente de vendas do seu principal fornecedor alemão, há anos.

Tudo começou em uma terça-feira rotineira de outubro. Dana recebeu um e-mail de Hans. "Querida Dana," dizia a mensagem no seu habitual inglês educado, "estamos passando por um processo de auditoria anual de contas e alteramos os dados da conta bancária para recebimento de pagamentos em moeda estrangeira para fins de eficiência. Segue em anexo a fatura referente ao último envio (número 8892-G) com os novos dados bancários em Frankfurt. Por favor, confirme o recebimento."

Dana não suspeitou de nada. O endereço de e-mail parecia idêntico ao de Hans. O logotipo da empresa alemã estava estampado no topo da fatura, e os detalhes sobre o envio — quantidade de componentes, preço unitário e data de entrega — eram incrivelmente precisos. Ela encaminhou a aprovação do pagamento para Amir, que o assinou digitalmente, e o dinheiro — 120.000 euros — foi enviado para a nova conta.

Dez dias se passaram. O telefone no escritório de Amir tocou. Era Hans da Alemanha. "Amir, meu amigo, o que acontece com o pagamento do envio 8892? Já passamos uma semana do prazo de vencimento e meu sistema está bloqueando novos envios."

"O que você quer dizer?" perguntou Amir com uma sensação de angústia. "Pagamos a vocês há dez dias. Dana recebeu um e-mail seu com os novos dados bancários em Frankfurt."

Um silêncio caiu do outro lado da linha. "Amir," disse Hans em voz baixa, "eu nunca enviei tal e-mail. E não alteramos conta bancária na última década. E nosso banco fica em Munique, não em Frankfurt."

Naquele momento, o chão sob os pés de Amir tremeu. Ele entendeu que tinham sido vítimas de um golpe. O ataque começou meses antes. Hackers invadiram a caixa de e-mail e esperaram. Leram silenciosamente toda a correspondência, aprenderam o estilo de fala, conheceram os nomes dos funcionários e acompanharam a agenda de envios. Eles esperaram o momento em que sairia uma fatura grande o suficiente para justificar o "golpe", e pequena o suficiente para não levantar perguntas incomuns no departamento de conformidade do Banco Leumi.

Em situações como essa, buscar aconselhamento jurídico é feito com um sentimento de urgência. É possível examinar a responsabilidade do banco e as opções legais para reaver os fundos, mas é importante entender que a realidade jurídica e bancária é complexa e requer uma análise aprofundada das circunstâncias.

Anatomia de uma fraude: como invadem o relacionamento

Para entender o lado jurídico, devemos primeiro entender a mecânica da fraude. Ao contrário de invasões puramente tecnológicas, aqui se trata do uso de uma identidade comercial existente para realizar ações aparentemente autorizadas. O atacante não rouba dinheiro diretamente da conta invadindo uma senha, mas convence o titular da conta a enviar o dinheiro de sua própria vontade para o endereço errado.

Existem três métodos principais pelos quais tal personificação é realizada perante fornecedores:

1. Tomada de controle total da conta de e-mail (Account Takeover)

O atacante obtém acesso total ao e-mail de um funcionário da empresa ou do fornecedor, geralmente por meio de phishing. A partir desse momento, ele monitora a atividade e define regras de encaminhamento automático (Forwarding rules) para que todo e-mail relevante seja encaminhado para uma caixa externa sob seu controle. Quando ele envia a solicitação de pagamento falsa, ela pode sair do servidor real, o que cria uma aparência absolutamente confiável para a parte receptora.

2. Falsificação de endereço (Look-alike Domains)

O atacante registra um domínio quase idêntico ao domínio original, com a alteração de um caractere ou uma letra. O olho humano, especialmente sob pressão de trabalho, tende a não notar a pequena alteração. Ele cria um perfil de usuário com o nome e a foto do contato conhecido e inicia a conversa.

3. "Homem no meio" (Man-in-the-Middle) na versão humana

O criminoso consegue se infiltrar na cadeia de correspondência e envia e-mails para ambas as partes personificando o outro. Ele gerencia o diálogo entre eles como um "filtro", intercepta faturas, altera os dados bancários e as envia ao cliente pagante.

A arena jurídica: quem é responsável quando o dinheiro desaparece?

Quando tal evento ocorre, é necessária uma análise jurídica para decidir entre duas partes aparentemente inocentes: o fornecedor que não recebeu o seu dinheiro e o cliente que pagou o valor total — mas para a parte errada.

A análise jurídica examina questões de responsabilidade e negligência. No direito contratual e no direito de responsabilidade civil, examina-se o conceito de "o evitador de danos mais barato". Ou seja, qual das duas partes poderia, com esforço razoável e medidas preventivas simples, ter evitado a ocorrência do caso?

Responsabilidade do cliente (pagador)

Pode-se analisar se o cliente tinha a obrigação de verificar os detalhes e se havia "sinais de alerta". Uma mudança repentina nos dados bancários, especialmente se a conta estiver em outro país, pode ser considerada uma bandeira vermelha. Se uma empresa realiza uma transferência sem verificar a alteração em um canal de comunicação separado e autenticado, seu nível de negligência pode ser examinado de acordo com as circunstâncias.

Responsabilidade do fornecedor (personificado)

Por outro lado, pode-se analisar se a invasão ocorreu nos servidores do fornecedor e se seu nível de segurança era adequado. Se ficar provado que o fornecedor não tomou medidas básicas de precaução que permitiram a criação da aparência enganosa, uma responsabilidade de sua parte pode surgir.

A questão da "agência aparente"

Em certos casos, examina-se a doutrina da "agência aparente" — se uma parte criou a aparência de que uma determinada pessoa era seu agente. No entanto, os tribunais tendem a ter muito cuidado ao aplicar essa doutrina a crimes cibernéticos, pois geralmente não há aqui uma vontade real do empresário de autorizar o hacker.

Responsabilidade dos bancos

Ao analisar a responsabilidade do Banco Hapoalim e de outras instituições financeiras, deve-se distinguir entre o banco remetente e o banco receptor. A lei de serviços de pagamento regula alguns desses aspectos, mas em transferências bancárias que o cliente autorizou por conta própria, o banco remetente pode argumentar que agiu de acordo com uma instrução explícita. A responsabilidade pode surgir se for provado que o banco ignorou suas obrigações profissionais ou procedimentos bancários adequados na verificação da conta receptora.

A dança triangular: o atacante, a vítima e o parceiro de negócios

Na representação jurídica em casos desse tipo, o desafio é frequentemente estratégico. Normalmente, ambas as empresas estão interessadas em continuar a cooperação comercial entre si, e procedimentos judiciais prolongados podem prejudicar o relacionamento.

Portanto, em muitos casos, a análise jurídica leva à gestão de riscos e à divisão de danos. O exame do nível de negligência de ambas as partes pode levar a soluções de compromisso e à divisão da responsabilidade entre elas.

O cenário a seguir é um exemplo educativo baseado em padrões comuns de fraude.

Em um cenário educativo baseado em casos semelhantes, uma empresa pagou a um fornecedor uma quantia significativa em uma conta bancária que pertencia aos criminosos. Após análise, verificou-se que, embora a invasão tenha ocorrido no fornecedor, o e-mail falso continha sinais suspeitos que deveriam ter chamado a atenção do pagador. Em tais casos, no âmbito da gestão de riscos, as partes podem chegar a um acordo que equilibra a responsabilidade de ambos os fatores e permite a continuidade da atividade comercial.

Defesa em várias camadas: prevenir o próximo golpe

Durante os anos de trabalho profissional, verifica-se que a solução mais eficaz combina procedimentos humanos com ferramentas digitais.

Verificação fora da banda (Out-of-Band Verification)

Esta é uma regra de ouro profissional. Não se deve confirmar uma alteração nos dados de pagamento com base apenas na confirmação por e-mail. Em qualquer caso de alteração de dados de conta bancária, deve-se realizar uma verificação telefônica com um contato conhecido, usando números de telefone autenticados que não aparecem no próprio e-mail suspeito.

Proteção tecnológica de caixas de e-mail

O uso de autenticação de dois fatores (MFA) é um passo essencial para prevenir invasões. Além disso, recomenda-se implementar protocolos de segurança avançados que ajudem os servidores de e-mail a identificar mensagens falsas.

Educação dos funcionários

Os funcionários dos departamentos financeiro e de compras devem passar por treinamento para identificar padrões de fraude e desenvolver uma suspeita saudável. Uma cultura organizacional que incentiva a re-verificação e a pergunta de questões é uma ferramenta de defesa significativa.

Arranjos contratuais

Recomenda-se incluir nos contratos com fornecedores cláusulas que definam antecipadamente os canais de comunicação autorizados para alteração de dados de pagamento e a divisão de responsabilidade em caso de incidente cibernético.

Sinais de alerta (Red Flags)

• Urgência incomum: pressão de tempo exercida para evitar uma verificação aprofundada.
• Alteração nos dados bancários: várias desculpas, como "auditoria de contas" ou "problemas técnicos" que exigem transferência para uma nova conta.
• Mudança leve no endereço de e-mail: sufixo diferente ou letra faltando no endereço do remetente.
• Linguagem e estilo: mudança no tom da abordagem ou erros gramaticais incomuns.
• Pedido de sigilo: instrução para não envolver outros fatores na correspondência.

O que fazer imediatamente quando o golpe é descoberto?

1. Parada imediata: contato urgente com o banco remetente solicitando o cancelamento da transferência (Recall).
2. Relatório ao banco receptor: tentativa de localizar o banco receptor e relatar a suspeita de fraude para fins de congelamento dos fundos.
3. Queixa na polícia: apresentação de uma queixa formal no departamento de crimes cibernéticos para documentar o incidente.
4. Documentação e preservação de provas: salvamento de todas as correspondências e informações técnicas associadas (cabeçalhos/Headers).
5. Verificação de sistemas: realização de uma verificação de segurança abrangente nos computadores da empresa para garantir que não haja acesso ativo de um agente hostil.

Aspecto jurídico final

Em casos de personificação perante fornecedores, a análise jurídica foca frequentemente no exame da "culpa contratual". Os tribunais podem esperar que as empresas demonstrem um nível de cautela compatível com os riscos digitais conhecidos.

É importante entender que é possível examinar opções para recuperar fundos, e a chance depende das circunstâncias específicas de cada caso. Se for possível provar que uma determinada parte violou seu dever de cuidado, uma abertura jurídica pode surgir para exigir indenização ou divisão de danos.

Neste cenário educativo, o resultado pode ser complexo. Após a análise jurídica das provas, pode ser provado que o banco receptor ignorou alertas, o que pode levar a um acordo de compromisso significativo. Ao longo dos anos, o escritório encontrou casos variados que ensinam que, no mundo digital, "confiança e verificação" são uma estratégia necessária para manter a estabilidade da empresa.