Capítulo 74: A Sombra na Caixa de Entrada: Fraude de Faturas e Comprometimento de E-mail Corporativo (BEC)

Ao longo dos anos, ao assessorar profissionalmente empresas, companhias e organizações, tornou-se evidente que o campo de batalha moderno não se encontra apenas entre as paredes dos tribunais, e nem mesmo na concorrência comercial agressiva das ruas. Ele está dentro da caixa de entrada de e-mail. Nos capítulos anteriores, lidamos com fraudes direcionadas diretamente à chefia — o golpe do CEO — ou com a alteração de dados de fornecedores em nível técnico. No entanto, este capítulo trata de uma ameaça sofisticada, que combina uma invasão tecnológica silenciosa com engenharia social: o Comprometimento de E-mail Corporativo (Business Email Compromise - BEC) e a fraude de faturas falsas.

Este é um mundo onde o criminoso não é apenas um impostor; ele se torna um "inquilino" secreto dentro da organização. Ele lê as correspondências, aprende o estilo de escrita, compreende a estrutura organizacional e aguarda o momento certo, quando uma quantia significativa de dinheiro está prestes a ser transferida, para desviá-la de seu curso. Neste livro, "Você caiu no golpe?", o objetivo é expor esse mecanismo, não apenas para alertar, mas para apresentar as ferramentas jurídicas e práticas para lidar com o evento no dia seguinte.

O cenário a seguir é um exemplo educativo baseado em padrões comuns de fraude. Os personagens e os eventos servem apenas para fins ilustrativos.

O silêncio antes da tempestade: um cenário educativo sobre a empresa 'Yessodot Eitanim'

Rina (nome fictício) era contabilista em uma empresa de construção civil de médio porte especializada em infraestrutura. Ela era considerada uma funcionária metódica que conhecia pessoalmente todos os fornecedores da empresa.

Em uma terça-feira, no início da tarde, Rina recebeu um e-mail que parecia ser do principal fornecedor da empresa. O e-mail era uma continuação direta de uma cadeia de correspondências existente sobre um projeto de infraestrutura em andamento. "Olá Rina", dizia o e-mail, "segue anexa a fatura atualizada referente à última remessa de aço. Observe que, devido a uma auditoria contábil interna em nossa empresa, alteramos temporariamente a conta de recebimento para a conta de nossa subsidiária. Segue em anexo uma confirmação oficial do banco. Obrigado, Gilad."

Rina abriu o arquivo anexo. A fatura parecia totalmente correta: o logotipo do fornecedor, o endereço correto e a descrição detalhada das mercadorias fornecidas. Até mesmo o número de pedido interno da empresa aparecia lá. Ela também viu a confirmação do banco — um documento que parecia ser uma confirmação oficial validando os dados da nova conta. O e-mail foi enviado de um endereço que parecia ser idêntico àquele por meio do qual eles se correspondiam nos últimos anos.

Ela inseriu os detalhes no sistema bancário do Bank Hapoalim. Uma quantia significativa de dinheiro foi transferida para a nova conta. Rina enviou um e-mail de retorno confirmando a transferência e recebeu uma resposta quase imediata agradecendo-lhe pelo atendimento rápido.

Duas semanas depois, em um telefonema de rotina com o fornecedor, ficou claro que o fornecedor não havia solicitado a alteração dos dados da conta e não havia recebido o pagamento. Em uma análise minuciosa do e-mail enviado duas semanas antes, descobriu-se uma mudança sutil no nome de domínio do remetente — uma alteração de um caractere que tornou o endereço um impostor. Os hackers "estavam" na linha, lendo as correspondências e aprendendo exatamente quando enviar a fatura falsa.

Neste tipo de cenário, o dinheiro geralmente é sacado minutos após a transferência e passa por uma série de contas de fachada, o que torna muito difícil sua recuperação imediata sem uma intervenção rápida.

A anatomia da invasão: como eles "se instalam" no e-mail corporativo?

Para entender como tal fraude ocorre, é importante compreender que organizações criminosas tecnológicas operam de forma sistemática. A fraude BEC geralmente se divide em quatro fases:

1. Fase de coleta e infiltração (Infiltration)

Os atacantes escolhem um alvo — geralmente uma empresa que realiza transferências bancárias em grandes quantias. A infiltração inicial ocorre geralmente por meio de "phishing" ou pela compra de senhas vazadas. Assim que têm acesso a uma caixa de e-mail na organização (ou na organização do fornecedor), eles podem permanecer ocultos para fins de coleta de informações.

2. Fase de aprendizado e monitoramento (Monitoring)

Esta é uma fase em que o atacante pode definir "regras de encaminhamento" na caixa de e-mail invadida. E-mails contendo certas palavras-chave são encaminhados automaticamente para o atacante, que estuda os contratos, os cronogramas e o estilo de comunicação entre as partes.

3. Criação do "domínio gêmeo" (The Doppelgänger)

O atacante cria um domínio que parece quase idêntico ao original. A alteração de um caractere ou uma extensão diferente pode não despertar suspeitas em um olho não treinado ou durante uma carga de trabalho elevada. Em alguns casos, são usadas técnicas mais avançadas para enviar e-mails a partir do endereço aparentemente real.

4. O momento do "golpe" (The Execution)

O atacante "sequestra" a cadeia de correspondência no momento em que uma fatura deve ser processada. A combinação de conhecimento sobre os detalhes da transação e uma falsificação gráfica de alta qualidade aumenta as chances de sucesso da fraude.

O aspecto jurídico: opções de exame de responsabilidade

Quando tal caso chega a uma análise jurídica, surge a questão da responsabilidade entre as partes envolvidas: a empresa vítima, o fornecedor, o banco remetente e o banco destinatário. A análise jurídica centra-se frequentemente no direito civil, nos contratos e na lei de serviços de pagamento.

Lei de Serviços de Pagamento, 2019

Esta lei estabelece a divisão de responsabilidade entre o cliente e o prestador de serviços de pagamento, como plataformas financeiras internacionais, a exemplo da Wise, em caso de "transação não autorizada". Em casos de BEC, por vezes surge uma dificuldade jurídica, uma vez que é o cliente quem efetuou a autorização propriamente dita. Portanto, o exame do caso concentrar-se-á na questão de saber se a autorização foi obtida de forma fraudulenta sob circunstâncias que deveriam ter despertado suspeitas por parte do prestador de serviços de pagamento.

Responsabilidade do prestador de serviços de pagamento (o banco)

Em alguns casos, pode-se examinar se o banco violou seu dever de cuidado para com o cliente. Os tribunais podem verificar se houve "sinais de alerta" que uma instituição financeira, como o Bank Leumi, deveria ter detectado, como uma transferência incomum para uma nova conta ou uma discrepância flagrante. A possibilidade de atribuir responsabilidade depende das circunstâncias específicas e da questão de saber se existia uma suspeita real de fraude que poderia ter sido evitada.

O conflito entre a empresa e o fornecedor

Outra questão complexa é a dúvida sobre quem é responsável pela própria invasão. Se o e-mail foi invadido do lado do fornecedor, pode surgir o argumento de que ele não tomou medidas de precaução adequadas. Por outro lado, o fornecedor pode alegar negligência da empresa por não ter verificado os dados da conta. Os tribunais analisam nesses casos quem, entre as partes, era o "evitador de danos mais barato" e podem determinar uma divisão de responsabilidade com base na "culpa concorrente".

Estratégias de defesa e gestão de riscos

Ao longo dos anos de atuação profissional de um advogado que trabalha na área, torna-se evidente que a prevenção é a ferramenta mais eficaz. É possível reduzir o risco de fraudes BEC adotando protocolos claros:

Verificação multicanal (Out-of-Band Verification)

Recomenda-se estabelecer um procedimento no qual não se deve confiar no e-mail como fonte exclusiva para alterações de dados de pagamento. Em qualquer caso de solicitação de alteração de conta bancária, deve ser realizada uma verificação telefônica junto a uma parte conhecida no número de telefone oficial do fornecedor.

Autenticação de dois fatores (MFA/2FA)

A ativação da autenticação de dois fatores em todas as contas de e-mail corporativas é uma etapa básica e necessária. Uma empresa que não aplica essas proteções pode ser considerada como não tendo tomado medidas de precaução razoáveis.

Treinamento de funcionários

Treinamentos periódicos para aumentar a conscientização entre os funcionários dos departamentos financeiros podem ajudar na identificação de sinais de alerta, como mudanças sutis de domínio ou formulações suspeitas.

Seguro cibernético e aspectos contratuais

Pode-se considerar a aquisição de apólices de seguro que cubram eventos cibernéticos e de engenharia social. Além disso, recomenda-se incluir nos contratos com fornecedores cláusulas que regulem a forma como as alterações nos dados de pagamento serão realizadas.

Resumo da análise jurídica

A legislação em Israel está passando por adaptações para a era digital, e a demanda pelo nível de cuidado dos bancos e das empresas está aumentando. Embora no passado houvesse dificuldade em atribuir responsabilidade a entidades financeiras, hoje é possível examinar sua responsabilidade de acordo com sua capacidade de detectar anomalias nos sistemas de pagamento.

As chances de recuperação dos fundos ou de recebimento de indenização dependem das circunstâncias do caso, do grau de negligência das partes e da rapidez da resposta após a descoberta da fraude. Questões como a origem da invasão, os procedimentos de identificação do cliente no banco destinatário e a conformidade com as normas básicas de segurança são as que determinarão o desfecho quando o tribunal for examinar a divisão de responsabilidade.

Em conclusão, a fraude BEC explora a confiança e o desejo de eficiência no mundo corporativo. Às vezes, o passo mais correto é parar, verificar e realizar uma confirmação humana simples antes de clicar no botão de transferência.