Capítulo 72: Mudança de conta de fornecedor: o e-mail falso que engana o setor financeiro

Bem-vindos à 11ª parte do livro. Se até agora tratamos principalmente do indivíduo — o aposentado cujas economias foram roubadas, o jovem tentado por um investimento fictício em criptomoedas ou alguém que teve sua conta bancária hackeada —, aqui subimos de nível. Entramos em um mundo onde as quantias de dinheiro não são medidas em milhares de shekels, mas em centenas de milhares e milhões. Este é o mundo dos negócios, um lugar onde a eficiência é um valor supremo, a velocidade é uma necessidade e a confiança entre parceiros comerciais é a cola que mantém o sistema funcionando. É exatamente nessas fissuras de confiança que se infiltram os golpistas mais sofisticados.

Fraudes contra empresas são um tipo diferente de crime digital. Elas exigem paciência, pesquisa aprofundada (intelligence gathering) e, muitas vezes, uma compreensão profunda dos processos de trabalho organizacionais. Neste capítulo, iniciaremos a parte voltada para empresas e nos concentraremos em uma das fraudes mais comuns e dolorosas: a fraude de "mudança de conta de fornecedor". Esta é uma história sobre um pequeno e-mail, aparentemente inocente, que consegue contornar firewalls, sistemas de segurança caros e procedimentos rígidos, apenas para desferir um golpe fatal no fluxo de caixa da empresa.

O cenário a seguir é um exemplo educacional baseado em padrões de fraude comuns. Os personagens e eventos destinam-se apenas à ilustração.

A calmaria antes da tempestade: a história da empresa "Gal-Or Logistics"

Maia sentou-se em seu escritório climatizado no 14º andar de um edifício comercial de luxo em Ramat Gan. Como contadora da "Gal-Or Logistics", uma empresa que importa componentes eletrônicos da China e da Alemanha, ela estava acostumada à pressão. O fim do mês estava se aproximando e a pilha de faturas em sua mesa só crescia. Maia é uma profissional qualificada, minuciosa, do tipo que não corta caminho. Ela conhece os fornecedores da empresa há anos e sabe quem segue as condições de pagamento 'corrente + 60' e quem começa a ligar depois de apenas duas semanas.

Naquela manhã de terça-feira, chegou à sua caixa de entrada uma mensagem de "Hans", gerente financeiro da 'Nordic Steel' — um antigo fornecedor alemão da Gal-Or. "Prezada Maia", dizia o e-mail em um inglês comercial fluente, "estamos passando por um processo de auditoria contábil interna e reestruturação. Consequentemente, a partir de hoje, todos os pagamentos em nome da Nordic Steel devem ser transferidos para nossa nova conta bancária na Polônia, em vez da antiga em Frankfurt. Segue em anexo um documento oficial assinado pela diretoria com os novos dados de IBAN. Por favor, confirme o recebimento do e-mail e atualize seu sistema para evitar atrasos no próximo pagamento de 280.000 euros".

Maia olhou para o relógio. Uma reunião da diretoria começaria em dez minutos. Ela abriu o arquivo anexo. O logotipo da empresa estava lá, o papel era oficial, a assinatura de Hans parecia exatamente como ela se lembrava de assinaturas anteriores. Ela até notou que o endereço de e-mail parecia perfeitamente correto: hans.schmidt@nordic-steel.de. Tudo parecia lógico. Muitas empresas europeias abrem contas em países como Polônia ou Lituânia para reduzir custos operacionais. Ela respondeu com um breve e-mail: "Recebido, obrigada Hans. Atualizarei o sistema e farei a transferência na quinta-feira".

Na quinta-feira, como prometido, Maia realizou a transferência. 280.000 euros (mais de um milhão de shekels) saíram da conta da empresa em um grande banco israelense a caminho de uma conta em Varsóvia. Ela sentiu satisfação — mais uma tarefa concluída, o fornecedor ficaria satisfeito e as mercadorias continuariam a fluir. Ela não sabia que, naquele momento, havia aberto as portas para o maior roubo da história da empresa.

A descoberta chocante e o abismo que se abre

Três semanas se passaram. Maia quase esqueceu o assunto, até que o telefone em sua mesa tocou. No visor, apareceu o nome de Hans da Alemanha. "Oi Maia", sua voz soava preocupada, "estamos aguardando o pagamento do último envio. Já está com duas semanas de atraso. Há algum problema com o fluxo de caixa?".

Um calafrio percorreu a espinha de Maia. "Hans, do que você está falando? Eu transferi o dinheiro para a sua nova conta na Polônia, como você solicitou por e-mail".

Houve um longo silêncio do outro lado da linha. "Polônia? Não temos nenhuma conta na Polônia, Maia. E nunca te enviei um e-mail desses. Nossa conta sempre foi e continua sendo em Frankfurt".

Naquele momento, o escritório climatizado de Maia parecia estar desmoronando sobre si mesmo. Ela correu para o computador, abriu aquele e-mail. Ela olhou novamente para o endereço do remetente. Desta vez, com uma lupa imaginária de ansiedade, ela viu. O endereço não era @nordic-steel.de. Era @nordic-stee1.de. A letra 'l' minúscula foi substituída pelo número '1'. Uma diferença de um pixel. Uma diferença de um milhão de shekels.

Este é o momento em que o drama empresarial se transforma em um drama jurídico e humano. O CEO foi convocado, os advogados foram chamados e o banco foi solicitado a interromper a transferência — mas, nessas circunstâncias, em cenários semelhantes, às vezes descobre-se que o dinheiro já foi sacado da conta e disperso para várias contas de fachada ao redor do mundo.

Análise da tática: como funciona a fraude de "Business Email Compromise" (BEC)?

A fraude de mudança de conta de fornecedor é um subtipo do que é chamado no mundo da segurança da informação de BEC. Ao contrário das fraudes de "phishing" em massa, onde um golpista envia um grande número de e-mails esperando que alguém clique, aqui se trata de "Spear Phishing" — caça com lança. Os golpistas escolhem seu alvo com cuidado.

Na primeira etapa, os golpistas realizam a coleta de inteligência. Eles monitoram as redes sociais dos funcionários da empresa, aprendem quem cuida das finanças e quem são os principais fornecedores. Às vezes, eles invadem a caixa de e-mail de uma das partes meses antes, apenas para "ouvir" a correspondência. Eles aprendem o estilo de escrita do CEO, o horário de trabalho do contador e as datas fixas de pagamento.

Na segunda etapa, eles criam o "gatilho". Eles esperam pelo momento em que um grande pagamento está prestes a ser feito. Então, enviam o e-mail falso. Eles usam uma técnica de "Typosquatting" (registro de um domínio muito semelhante ao original) ou "Email Spoofing" (falsificação do cabeçalho do e-mail para que pareça idêntico ao original). Os documentos anexados são frequentemente obras-primas de design gráfico, incluindo assinaturas digitalizadas retiradas de cartas anteriores.

Esta fraude é bem-sucedida porque explora dois fatores: hierarquia e procedimento. Funcionários de nível médio às vezes temem questionar ordens que vêm "de cima" ou de fornecedores estratégicos. Além disso, no mundo digital, existe uma tendência de confiar no que aparece na tela como uma verdade absoluta.

O aspecto jurídico: quem pode ser responsabilizado pelo dano?

Quando o dinheiro desaparece, surgem questões jurídicas complexas sobre a responsabilidade das partes envolvidas: a empresa, o banco e o fornecedor. A batalha jurídica nesses casos exige uma análise profunda dos deveres de cuidado e dos contratos entre as partes.

1. Responsabilidade do banco: análise das possibilidades jurídicas

No sistema jurídico, há um desenvolvimento em relação ao papel do banco. Além de ser um "canal" para transferências de fundos, é possível examinar em certos casos se recai sobre o banco um dever de cuidado aumentado.

Dentro de uma análise jurídica geral, deve-se examinar se o banco poderia ter identificado "luzes vermelhas". Por exemplo, a transferência de uma quantia incomum para um destino novo pode levantar a questão de se o banco deveria ter verificado a transação. Da mesma forma, pode-se verificar se existe correspondência entre o nome do beneficiário no sistema e o titular real da conta. Em certas circunstâncias, a responsabilidade do banco pode ser examinada se for provado que ele não agiu de acordo com os padrões esperados na gestão de riscos na era digital.

2. O cliente e a questão da culpa concorrente

Por outro lado, pode surgir uma alegação sobre a responsabilidade da própria empresa. Se a empresa não implementou procedimentos básicos de trabalho — como a verificação por telefone de alterações nos dados bancários — pode ser-lhe atribuída uma culpa concorrente significativa. A análise jurídica se concentrará na questão de se a empresa tomou medidas razoáveis para proteger seu dinheiro nas circunstâncias do caso.

3. As relações com o fornecedor: repartição de riscos

Juridicamente, em regra, a obrigação de pagar ao fornecedor permanece, a menos que se possa demonstrar que a falha ocorreu nos próprios sistemas do fornecedor. Em casos onde a negligência do fornecedor na segurança da informação é comprovada, a divisão jurídica de riscos entre as partes pode mudar. Trata-se de questões contratuais e comerciais complexas que dependem das circunstâncias específicas de cada caso.

A psicologia da fraude: por que os funcionários podem não suspeitar?

Em muitos casos de acompanhamento profissional de empresas que foram vítimas de tal fraude, surge a pergunta sobre como o erro aconteceu. A resposta reside frequentemente no campo da engenharia social (Social Engineering).

Os golpistas usam técnicas de autoridade, urgência e consistência. Funcionários sob pressão de trabalho contínuo podem não notar pequenas alterações nos detalhes do e-mail. Trata-se de uma falha cognitiva natural que os golpistas exploram bem.

Além disso, em muitas organizações, existe uma cultura de execução rápida de tarefas. Um funcionário pode temer que atrasar um pagamento para uma verificação extra seja visto como um prejuízo à eficiência organizacional. Os golpistas exploram o desejo do funcionário de cumprir sua função da melhor maneira possível.

Alertas (Red Flags) para gestores financeiros

• Mudança repentina nos dados da conta bancária: um alerta significativo que exige verificação profunda.
• País diferente: um pedido de transferência de fundos para um país que não é o país de origem do fornecedor deve gerar suspeita.
• Linguagem e estilo: pequenas mudanças no estilo de escrita ou nos termos profissionais comuns.
• Urgência incomum: pressão incessante para a execução imediata da transferência.
• Pedido de sigilo: solicitações que pedem para ocultar o fato da transferência de outras partes da organização.

Como construir um "escudo protetor" organizacional?

A prevenção de tais fraudes baseia-se em grande parte na implementação de procedimentos claros na organização:

1. Verificação de dois canais (Out-of-Band Verification)

Recomenda-se estabelecer uma regra de que não se aprova a alteração de dados de conta bancária apenas por e-mail. Deve-se realizar uma verificação por voz com um ponto de contato conhecido e fixo no fornecedor, usando detalhes de contato verificados que não sejam retirados do novo e-mail.

2. Segregação de funções

Estabelecer um processo em que uma parte atualiza os dados e outra aprova o pagamento pode reduzir significativamente o risco de erros ou fraudes.

3. Verificação do "nome do beneficiário" no banco

Pode-se solicitar ao banco que realize uma verificação de correspondência entre o nome do beneficiário e o número da conta ao realizar transferências internacionais, na medida em que os sistemas permitam.

4. Treinamento de funcionários

Aumentar a consciência dos funcionários sobre a existência desse tipo de fraude é uma ferramenta central na prevenção.

Ações recomendadas ao descobrir uma suspeita de fraude

Em caso de suspeita de golpe, a velocidade de resposta pode ter grande importância:

1. Tentativa de interromper o pagamento: contato imediato com o banco para avaliar a possibilidade de cancelamento da transferência (Recall).
2. Contato com o banco receptor: uma abordagem rápida ao banco no exterior pode, por vezes, ajudar a congelar os fundos antes que sejam sacados.
3. Denúncia às autoridades: apresentação de uma queixa oficial à polícia e às unidades de crimes cibernéticos relevantes.
4. Documentação: preservação de todas as evidências digitais, incluindo e-mails e documentos.
5. Aconselhamento jurídico: avaliação das opções legais em relação às várias partes envolvidas na cadeia.

Conclusão e visão jurídica

A fraude de mudança de conta de fornecedor demonstra como lacunas nos procedimentos de trabalho podem levar a danos financeiros graves. Ao longo dos anos de prática profissional, pode-se ver como as empresas podem cair em um turbilhão jurídico após falhas de segurança, mesmo as mais pequenas.

Juridicamente, o dever de cuidado esperado tanto de entidades financeiras quanto de empresas está sob exame constante. Pode-se avaliar que, em caso de litígio, o grau de conformidade da empresa com os procedimentos de trabalho corretos e com a governança corporativa adequada na área de proteção de dados será examinado.

Nos próximos capítulos, continuaremos a examinar outros padrões de fraude contra empresas. O objetivo é aumentar o alerta e o conhecimento profissional, que constituem um pilar central na proteção da organização no mundo digital.

O que pode ser feito a curto prazo?

1. Estabelecimento de procedimento de verificação: definição da obrigação de verificação por telefone para qualquer alteração nos dados da conta do fornecedor.

2. Capacitação de equipes: treinamento para identificar sinais de alerta em endereços de e-mail e conteúdo de mensagens.

3. Verificação de seguro: análise da cobertura de seguro em caso de fraudes de engenharia social.

4. Coordenação com o banco: análise de mecanismos adicionais de aprovação para transferências incomuns.

Aspecto jurídico

Como parte de uma análise jurídica desses casos, a questão do "equilíbrio da negligência" entre as partes pode ser examinada. O resultado legal depende de muitas circunstâncias, incluindo a forma como o banco agiu e as medidas tomadas pelo cliente. Às vezes, uma divisão de responsabilidade entre as partes (culpa concorrente) pode ser determinada, portanto, adotar medidas preventivas é a maneira mais eficaz de reduzir a exposição a danos.