Capítulo 76: Confirmação dupla e documentação: As regras que salvam dinheiro
Ao longo de muitos anos de trabalho jurídico, surgiram casos de empresários em seus momentos mais difíceis. Foi possível ver CEOs de empresas de tecnologia diante de uma situação em que quantias significativas desapareceram com o clique de um botão, e pequenos empreendedores que sentiram que todo o trabalho de suas vidas estava em risco por causa de um e-mail que chegou no momento errado. Se existe uma lição que se repete como um fio condutor em muitos casos, é que, no mundo digital acelerado em que vivemos, a "eficiência" tornou-se, por vezes, inimiga da segurança financeira.
Muitos funcionários são orientados a serem rápidos, responder e-mails em minutos, fechar pendências e pagar fornecedores para que o trabalho não pare. Mas é justamente nessa corrida, na santificação do "rápido e agora", que reside a brecha que os fraudadores procuram. Eles nem sempre buscam uma falha no antivírus; eles buscam o momento em que o departamento financeiro prefere um atalho a um procedimento estruturado. Este capítulo trata dos freios desse trem — a confirmação dupla e a documentação — as regras simples que são a linha divisória entre a empresa e um grave prejuízo financeiro.
O cenário a seguir é um exemplo educativo baseado em padrões comuns de fraude. Os personagens e eventos destinam-se apenas à ilustração.
O caso da empresa "Techno-Glob": Quando o silêncio é o maior sinal de alerta
Era uma manhã de terça-feira rotineira nos escritórios da "Techno-Glob", uma empresa familiar de importação de componentes eletrônicos. Michal, a experiente gerente financeira da empresa há muitos anos, era considerada o pilar da organização. Ela conhecia muitos fornecedores, prazos de pagamento e detalhes de contas bancárias. O CEO, Rami, costumava dizer que Michal era a memória organizacional da empresa.
Às 10h30, enquanto Michal trabalhava em tarefas de rotina, chegou à sua caixa de entrada um e-mail do principal fornecedor da empresa, a "Evergreen Components". O e-mail parecia absolutamente normal: o logotipo conhecido, a linha de assunto com o número do último pedido e até mesmo o estilo de escrita educado de Chang, seu contato habitual.
"Prezada Michal", dizia o e-mail, "em continuidade ao último pedido entregue esta semana, informo que, devido a uma auditoria contábil anual, alteramos a conta bancária destinada ao recebimento de pagamentos em dólares. Por favor, atualize em seu sistema os novos detalhes (documento oficial assinado em anexo) para o próximo pagamento de 380.000 dólares. Obrigado pela colaboração, Chang."
Michal examinou o documento anexo. Parecia oficial, com um carimbo do banco e uma cópia da confirmação de gestão de conta. Ela entrou no sistema ERP da empresa, atualizou os detalhes do beneficiário e enviou a transferência para a aprovação de Rami. Rami viu o alerta em seu telefone. "Isso é para a Evergreen?", perguntou a si mesmo. "Sim, o valor condiz com o pedido que recebemos ontem". Ele autorizou a transferência no aplicativo bancário.
Dez dias se passaram em silêncio. No 11º dia, o telefone na mesa de Michal tocou. Era o verdadeiro Chang. "Michal, está tudo bem? Não recebemos o pagamento do grande pedido, e precisamos liberar o próximo embarque."
O sangue fugiu do rosto de Michal. "Mas enviei o dinheiro na semana passada, para a nova conta em Singapura, como você pediu por e-mail."
"Que nova conta em Singapura?", perguntou Chang com a voz trêmula. "Nunca enviei um e-mail desses. Trabalhamos com o mesmo banco há anos."
Naquele momento, ficou clara a dimensão do erro. Uma verificação rápida revelou que o e-mail que Michal recebeu foi enviado de um endereço quase idêntico ao original, exceto por uma pequena letra que foi trocada: em vez de chang@evergreen-comp.com, o e-mail veio de chang@evergreen-conp.com. O 'm' tornou-se 'n'. Uma lacuna de um milímetro na tela que custou à empresa uma quantia astronômica.
Neste cenário, a atmosfera na empresa foi difícil. Michal sentiu uma grave quebra de confiança, e Rami percebeu que a empresa estava em perigo devido ao fluxo de caixa afetado. Na questão profissional "como isso aconteceu?", a resposta é geralmente simples: a tecnologia foi mal utilizada, e o fator humano ignorou a etapa em que se verifica se a realidade dos dados digitais corresponde à realidade humana.
A muralha intransponível: O que é a confirmação dupla (Out-of-Band Verification)?
No mundo da segurança da informação, o termo "confirmação dupla" ou "verificação fora de banda" (Out-of-Band - OOB) é considerado uma ferramenta crítica. A ideia básica é simples: não se deve confiar em apenas um canal de comunicação para a realização de operações que envolvam riscos financeiros ou operacionais significativos.
Se for recebida uma instrução para alterar dados bancários por e-mail — o e-mail é o primeiro canal de comunicação. Para verificar esta instrução, pode-se considerar o uso de um canal de comunicação diferente, um que não tenha sido afetado pela mesma possível invasão que trouxe o e-mail falso. Este canal pode ser um telefonema para o número conhecido da pessoa de contato, ou uma reunião presencial.
Por que isso é crítico? Porque em fraudes do tipo BEC (Comprometimento de E-mail Corporativo), os fraudadores podem obter acesso à caixa de entrada de e-mail do fornecedor ou do funcionário. Nesse caso, um diálogo dentro do mesmo canal (o e-mail) pode estar ocorrendo com o agente hostil. Apenas um contato fora do espaço digital contaminado — para o mundo físico das chamadas de voz — pode ajudar a expor a fraude.
Os três pilares possíveis da confirmação dupla:
- Separação de canais: Se a informação chegou por e-mail, recomenda-se que a confirmação seja feita por telefone. Se a informação chegou pelo WhatsApp, é recomendável que a confirmação seja por chamada de voz ou vídeo.
- Verificação da identidade do autorizador: No telefonema, recomenda-se não ligar para o número que aparece na assinatura do e-mail recebido naquele momento. Pode-se usar o número constante nos contatos habituais, no site oficial da empresa ou no contrato original.
- Documentação do procedimento de verificação: Recomenda-se documentar quem realizou a verificação, com quem, a que horas e o que foi dito na conversa. Esta documentação pode servir como prova significativa em caso de apuração futura.
O aspecto jurídico: O dever de cuidado e a responsabilidade da empresa
Em casos jurídicos que tratam do tema, a questão central pode ser quem agiu com negligência que permitiu a ocorrência do dano. Aqui é analisada a relação entre a empresa, o banco e o terceiro.
No Estado de Israel, a Lei de Serviços de Pagamento, de 2019, regula parte da responsabilidade em casos de transações de pagamento não autorizadas. No entanto, quando se trata de uma empresa que autorizou ela mesma a transferência (mesmo que com base em uma falsa declaração), a situação jurídica exige um exame aprofundado. A análise jurídica geral aponta que os tribunais tendem a examinar o "dever de cuidado" do pagador.
Quando uma empresa recebe um aviso sobre a alteração de uma conta bancária de um fornecedor, pode surgir a obrigação de examinar as informações. Se a empresa altera os dados do beneficiário e transfere um valor significativo sem realizar um procedimento de verificação, pode ser arguida contra ela a alegação de "culpa concorrente".
Por outro lado, também se pode examinar o dever de cuidado imputado ao banco. Existe uma possibilidade jurídica de argumentar que os bancos não são apenas um "canal" para a transferência de fundos. Se for uma operação muito atípica, pode surgir a expectativa de que o banco realize uma verificação adicional. No entanto, as chances desse argumento dependem das circunstâncias e dos acordos com o banco, que muitas vezes incluem cláusulas de isenção de responsabilidade quando a operação foi realizada conforme instrução do cliente.
A documentação mencionada anteriormente é de grande importância. Na análise de possibilidades jurídicas, uma empresa que demonstrou ter realizado um procedimento de verificação razoável pode melhorar sua posição ao argumentar que não foi negligente e que a responsabilidade deve ser dividida entre outros fatores.
Construindo um protocolo de "confirmação dupla" na organização: O guia prático
Durante anos de trabalho profissional, surgiu a necessidade de implementar um "procedimento de alteração de beneficiários" como parte da cultura organizacional. Esta é uma ferramenta gerencial que define as ações necessárias para cada alteração de detalhes de pagamento.
Etapa 1: Verificação inicial
No momento em que chega um e-mail solicitando alteração de dados bancários, uma solicitação de pagamento atípica ou atualização de dados de contato, recomenda-se suspender a operação até a conclusão da verificação completa.
Etapa 2: Estabelecimento de contato físico
Pode-se instruir o gerente financeiro a entrar em contato telefônico com o contato conhecido do fornecedor e realizar uma verificação explícita dos novos dados e do nome exato do beneficiário.
Etapa 3: Verificação cruzada
Durante a chamada, podem ser feitas perguntas que apenas a outra parte deveria saber, para garantir que não se trata de uma falsificação na linha telefônica.
Etapa 4: Supervisão e controle
Pode-se determinar que a atualização dos dados da conta no sistema seja realizada por uma pessoa e a aprovação da atualização seja feita por outro agente, ressaltando o fato de que foi realizada uma verificação telefônica documentada.
Etapa 5: Transferência de teste
Em casos de transações com altos valores, pode-se considerar a realização de uma transferência de um valor pequeno e receber a confirmação do fornecedor de que o dinheiro chegou ao seu destino, e só então transferir o saldo.
A importância da documentação: O significado probatório
Do ponto de vista profissional, uma ação que não foi documentada pode ser difícil de provar no futuro. Uma documentação organizada pode servir como uma ferramenta de defesa contra seguradoras ou alegações de negligência.
Componentes possíveis para documentação:
- Documentação da solicitação original: Salvamento do e-mail que solicita a alteração.
- Registro de chamadas: Documentação da ligação para o número oficial do fornecedor.
- Anotação interna: Resumo breve do conteúdo da chamada de verificação e identidade do autorizador por parte do fornecedor.
- Confirmação dupla no sistema: Prova de controle interno sobre a alteração do beneficiário.
Esta documentação pode ajudar a provar que a empresa agiu como um "empresário razoável e prudente", reduzindo assim a exposição jurídica.
Sinais de alerta (Red Flags) que exigem confirmação dupla
Existem casos em que o risco de fraude pode ser maior. Nessas situações, recomenda-se cautela extra:
- Alteração repentina nos dados da conta bancária.
- Pressão de tempo e pedidos incomumente urgentes.
- Pedido para manter a operação em sigilo.
- Pequenas mudanças no endereço de e-mail ou no endereço do site de onde a mensagem foi enviada.
- Pedido de transferência de fundos para um país diferente da sede do fornecedor.
Opções de ação em caso de suspeita de transferência fraudulenta
Se surgir a suspeita de que os fundos foram enviados para uma conta errada, existem medidas que podem ser analisadas com urgência:
- Contato com o banco remetente: Análise da possibilidade de cancelamento ou interrupção da transferência.
- Contato com o banco receptor: Relatório de suspeita de fraude para tentativa de bloqueio dos fundos.
- Relatório às autoridades: Apresentação de queixa e obtenção da documentação apropriada para fins de processos futuros.
- Assessoria jurídica: Análise de opções para obtenção de ordens judiciais de arresto ou bloqueio de fundos.
- Verificação de cobertura de seguro: Análise de apólices relevantes para fraudes cibernéticas ou financeiras.
Conclusão: A segurança está na responsabilidade humana
Sistemas de proteção tecnológica são importantes, mas em muitos casos a proteção mais significativa de uma empresa é a sua cultura organizacional e seus procedimentos de trabalho.
Em um cenário possível, o desfecho de um caso de fraude pode ser complexo. Nem sempre é possível recuperar todos os fundos, mas por meio de análise jurídica é possível examinar opções de recuperação parcial ou acordos em casos em que foi comprovada a responsabilidade de outros fatores. A lição importante é que ferramentas simples, como confirmação telefônica e documentação regular, podem prevenir danos graves.
A chance de proteção aos recursos da empresa depende das circunstâncias e da observância dos procedimentos de cautela. A confirmação dupla e a documentação são ferramentas significativas na proteção da estabilidade financeira da empresa.
Aspecto jurídico – pontos adicionais:
É importante lembrar que, em uma análise jurídica, pode ser avaliado o nível de implementação de controles internos na empresa. Em uma análise geral de possibilidades jurídicas, o "fechar os olhos" diante de sinais de alerta pode afetar a capacidade de receber indenização de terceiros. A responsabilidade de agir com cautela razoável recai sobre a empresa. Portanto, pode-se avaliar a manutenção da documentação das operações de verificação como uma necessidade jurídica que fundamenta os argumentos da empresa em caso de dano.
2079 Palavras · 10 min de leitura