Capítulo 73: Falsificação de CEO: Quando o chefe solicita uma transferência urgente

Ao longo dos anos de prática profissional de um advogado que acompanha vítimas de golpes complexos, é possível observar muitos padrões, mas parece não haver padrão mais sofisticado e humilhante do que o "Golpe do CEO" (CEO Fraud). Se nos capítulos anteriores tratamos de invasões tecnológicas ou fraudes ao consumidor, aqui entramos na arena da psicologia organizacional. É o lugar onde a hierarquia corporativa, o respeito ao gestor e o desejo de demonstrar eficiência se tornam armas nas mãos de um fraudador experiente.

A fraude do CEO não exige necessariamente um código de invasão complexo. Ela se baseia em uma compreensão profunda da natureza humana. Os fraudadores não "invadem" apenas o computador; eles tentam "invadir" a consciência do funcionário. Eles exploram a pressão, a urgência artificial e a autoridade para fazer com que uma pessoa realize uma ação que pode custar quantias vultosas à empresa. Em conversas com gerentes financeiros após um incidente desse tipo, a primeira frase ouvida é, geralmente: "Parecia tão real, eu não tinha motivos para suspeitar".

O cenário a seguir é um exemplo didático baseado em padrões de fraude comuns. Os personagens e os eventos destinam-se apenas à ilustração.

A manhã em que o céu caiu sobre a "Tecnologias do Futuro"

Quinta-feira, 16h30. Dana, gerente de contas na empresa "Tecnologias do Futuro" – uma empresa de médio porte que fabrica componentes para a indústria automotiva – já começara a encerrar a semana. Os escritórios começaram a esvaziar, e ela planejava sair mais cedo. Dana é uma funcionária minuciosa e perspicaz, que conhece bem as atividades financeiras da empresa.

O som de "ding" do e-mail interrompeu seus pensamentos. O remetente: "Eitan - CEO". Eitan é o fundador e CEO da empresa. Ele estava naquela semana em uma conferência profissional na Alemanha.

Assunto: Confidencial e urgente – Aquisição estratégica.

"Dana", dizia o e-mail, "estou no meio de uma negociação muito sensível aqui na Alemanha. Estamos prestes a fechar a aquisição de uma patente de uma pequena empresa local antes que nossos concorrentes coloquem as mãos nela. O assunto deve permanecer sob total confidencialidade até domingo, nem os vice-presidentes sabem. Preciso que você faça uma transferência urgente de 280.000 euros para a conta de custódia dos advogados alemães. Isso tem que sair hoje para que o negócio não fracasse. Não me ligue, estou em reuniões fechadas com o conselho deles. Confirme para mim quando estiver feito".

Dana hesitou. Por um lado, Eitan nunca lhe pediu algo assim por e-mail. Por outro lado, isso soava condizente com seu estilo – conciso e autoritário. O e-mail veio de um endereço que parecia idêntico ao dele, e os detalhes sobre a conferência na Alemanha eram precisos. Ela quis ligar para ele, mas ele escreveu expressamente "não me ligue".

Ela inseriu os detalhes da conta alemã no sistema bancário. O banco solicitou autorização. Ela olhou novamente para o e-mail e viu o logotipo reconhecido da empresa. Ela clicou em "Autorizar".

No domingo de manhã, Eitan entrou no escritório. "Como foi na Alemanha?", perguntou Dana, "Tudo certo com a aquisição?". Eitan olhou para ela com um olhar confuso. "Que aquisição, Dana? A conferência foi apenas profissional".

Naquele momento, o golpe foi revelado. "Esse não é o meu e-mail", disse ele. O endereço era quase idêntico, mas faltava uma letra. A assinatura era um print. A quantia em dinheiro desapareceu.

A anatomia do golpe: Por que funciona?

A análise desses casos mostra uma combinação de engenharia social (Social Engineering) e tecnologia simples. Às vezes, os fraudadores realizam uma coleta de dados preliminar: acompanham as redes sociais dos executivos, aprendem as datas de suas viagens, o estilo de escrita e compram um domínio (endereço de site) quase idêntico ao da empresa. Uma diferença de uma letra que um olho humano sob pressão pode não identificar.

O componente crítico é a autoridade e a urgência. Análises psicológicas mostram que os seres humanos podem suspender seu julgamento crítico quando recebem uma instrução de uma pessoa percebida como autoridade. Quando um CEO pede algo "urgente e confidencial", o funcionário pode se sentir parceiro do segredo e temer decepcionar ou atrasar um negócio importante.

O momento da fraude geralmente é nas tardes de quinta-feira ou vésperas de feriados. São momentos em que a concentração diminui e há pressão para terminar tarefas. Além disso, transferências internacionais no fim de semana podem dar aos fraudadores um tempo valioso antes que a empresa descubra o golpe.

A responsabilidade jurídica: Análise das opções

Quando ocorre dano financeiro, surge a questão da responsabilidade jurídica entre as partes envolvidas: a empresa, o banco e o funcionário.

1. Responsabilidade do banco: Dever de cuidado

Em muitos países, os bancos possuem um dever de cuidado para com seus clientes. Em uma análise jurídica geral, quando uma operação altamente incomum ocorre na conta – por exemplo, uma transferência de um valor alto para uma conta no exterior que não era conhecida anteriormente – pode-se verificar se o banco deveria ter identificado "sinais de alerta".

No entanto, a batalha jurídica contra o banco nesses casos é complexa. O banco pode alegar que o cliente autorizou a transferência por vontade própria, utilizando meios de identificação válidos. Para analisar a possibilidade de responsabilizar o banco, deve-se verificar se houve circunstâncias suspeitas que o banco ignorou. A análise jurídica de casos semelhantes mostra que o banco tem o dever de intervir quando há um receio real de fraude, mas o ônus da prova de negligência em casos de autorização expressa é uma questão jurídica de grande peso e o resultado depende das circunstâncias do caso.

2. Responsabilidade do funcionário

Em muitos casos, surge a questão se é possível responsabilizar o funcionário que realizou a transferência. A abordagem predominante no direito do trabalho é a proteção dos funcionários contra erros cometidos de boa-fé durante o trabalho. Um empregador geralmente não pode descontar do salário de um funcionário quantias de dinheiro devido a negligência, a menos que seja provado que o funcionário agiu com má-fé ou com extrema negligência. Nos casos de fraude em que o funcionário foi enganado, ele é geralmente visto como outra vítima do caso.

O enfrentamento com a seguradora

Durante o tratamento jurídico desses casos, examinam-se as apólices de seguro da empresa, como o seguro de "responsabilidade profissional" ou "riscos cibernéticos". As seguradoras podem, por vezes, alegar que se trata de erro humano e não de um evento cibernético coberto pela apólice. Existem apólices que incluem uma cláusula expressa de "Social Engineering Fraud". A capacidade de obter indenização depende muito da redação exata da apólice e das circunstâncias tecnológicas da falsificação.

O que pode ser feito no momento da descoberta? (Ações possíveis)

No caso de suspeita de fraude, cada segundo pode ser significativo:

1. Apelo ao banco remetente

Pode-se tentar solicitar um cancelamento (Recall) da transferência. Se o dinheiro ainda não tiver passado por toda a cadeia de bancos intermediários, existe uma certa chance de impedi-lo.

2. Denúncia às autoridades

A apresentação de um boletim de ocorrência na polícia é um passo necessário para lidar com os bancos e seguradoras.

3. Contato com o banco recebedor no exterior

Em certos casos, um contato direto com o departamento de compliance do banco recebedor no exterior e o alerta sobre a fraude pode levar ao congelamento temporário da conta.

4. Documentação

É importante guardar o e-mail, seus Headers (cabeçalhos) e qualquer outra informação digital que possa servir para investigação ou processo judicial.

Medidas preventivas recomendadas

Para reduzir o risco de ser atingido por essas fraudes, recomenda-se adotar procedimentos claros na organização:

• Procedimento de "confirmação por voz": Estabelecimento de uma regra segundo a qual qualquer transferência acima de um certo valor, ou alteração nos detalhes da conta, exige confirmação por voz em uma ligação de retorno para o número conhecido do solicitante.
• Assinatura dupla: Definição de requisito para autorização de dois signatários autorizados diferentes para cada transferência bancária.
• Marcação de e-mails externos: Configuração do sistema de e-mail para alertar sobre e-mails que chegam de fora da organização.
• Treinamento e simulação: Aumento da conscientização entre os funcionários sobre tipos de fraude e realização de treinamentos periódicos.

Conclusão e perspectiva jurídica

O golpe do CEO ilustra como a manipulação psicológica usa a tecnologia para alcançar resultados criminosos. Em processos judiciais nesta área, surge frequentemente a questão da "culpa concorrente". Os tribunais examinam se a empresa adotou um nível de cautela razoável e se as entidades financeiras agiram de acordo com os padrões esperados delas.

Em muitos casos, a recuperação total do dinheiro é um desafio significativo, especialmente em fraudes internacionais. A melhor defesa é uma combinação de procedimentos organizacionais rígidos, seguro adequado e consciência constante. No próximo capítulo, continuaremos examinando a arena de negócios e focaremos em ameaças adicionais aos sistemas de e-mail e pagamentos das empresas.

Sinais de alerta (Red Flags)

• Urgência extrema: Pressão para realizar uma ação imediatamente.
• Pedido de confidencialidade: Instrução para não compartilhar com outros elementos da empresa.
• Desvio do procedimento: Abordagem direta que ignora a cadeia de comando convencional.
• Endereço de e-mail com alteração mínima: Pequenas alterações difíceis de notar no endereço do remetente.
• Timing especial: Abordagem que ocorre quando o gestor está fora do escritório ou no exterior.

O que fazer imediatamente?

1. Interrupção do processo: Não responder ao e-mail suspeito.
2. Verificação por voz: Criação de contato telefônico proativo com o gestor no número conhecido.
3. Relatório interno: Atualização dos elementos de segurança, TI e finanças na organização.

Aspecto jurídico

Do ponto de vista jurídico, é possível examinar o dever de cuidado da instituição financeira e a cobertura do seguro do negócio. Em certos casos, pode-se explorar uma combinação de procedimentos legais contra o banco e a seguradora para esgotar as possibilidades de reparação do dano, de acordo com as circunstâncias específicas do caso.