O comprometimento de e-mail corporativo (BEC, na sigla em inglês) é uma categoria distinta de crime financeiro, e não uma variante de phishing que visa executivos. O phishing tem sucesso ao fazer com que alguém clique no que não deveria. O comprometimento de e-mail corporativo funciona sem nada disso: todo o ataque consiste em um e-mail bem pesquisado pedindo a uma pessoa específica que faça algo plausível em um dia de trabalho normal. Os maiores incidentes podem movimentar valores na casa dos seis dígitos em uma única transferência e, quando alguém percebe, o dinheiro geralmente já saiu do país.

Nenhum dos sinais que um filtro de phishing ou um funcionário bem treinado normalmente procuraria é detectado. É isso que separa o comprometimento de e-mail corporativo do phishing comum, e é por isso que a conscientização geral sobre phishing não ajuda muito a impedi-lo. Mostraremos como identificar o comprometimento de e-mail corporativo e proteger sua organização.

O que é o comprometimento de e-mail corporativo?

O comprometimento de e-mail corporativo é um ataque direcionado no qual um criminoso se passa por alguém de confiança do alvo — geralmente um executivo sênior, um fornecedor ou um colega interno — e solicita uma transferência bancária, uma alteração nos detalhes de pagamento ou credenciais confidenciais.

Normalmente, não há nenhum malware(nova janela) ou link malicioso envolvido. O que varia é como a identidade do remetente é falsificada, e os invasores têm mais opções do que a maioria das pessoas imagina:

  • Domínios semelhantes: o invasor registra um domínio quase idêntico ao real, trocando uma única letra ou adicionando um hífen, contando com o fato de que ninguém lerá o endereço com atenção.
  • Falsificação do nome de exibição: o nome de exibição do remetente (“De”) é configurado para corresponder ao da pessoa de confiança — “John Smith” —, enquanto o endereço real não tem nenhuma relação. Muitos clientes de e-mail para celular mostram apenas o nome de exibição por padrão, de modo que o endereço real nem sequer aparece na tela.
  • Falsificação de cabeçalho: o SMTP, protocolo que transfere e-mails, não verifica o cabeçalho “De” por conta própria, permitindo que um invasor envie uma mensagem alegando vir do endereço real sem nunca ter controle sobre ele. Se ela chegará à caixa de entrada depende das verificações de autenticação do domínio de recebimento.
  • Manipulação de endereço de resposta: o endereço “De” visível parece legítimo, mas um endereço de resposta diferente é configurado nos bastidores, de modo que, no momento em que o alvo responde, a conversa é silenciosamente direcionada para o invasor.
  • Comprometimento de conta: o invasor obtém acesso a uma conta de e-mail legítima e envia a solicitação diretamente de dentro dela.

O último desses métodos, o comprometimento de conta, é o mais difícil de detectar, porque não há tecnicamente nada de errado com o e-mail. Ele veio do endereço real, no domínio de e-mail personalizado real, e pode até mesmo continuar um tópico que o alvo já viu antes.

Como funciona a tática de comprometimento de e-mail corporativo

Os ataques de comprometimento de e-mail corporativo são construídos, não improvisados, e a preparação costuma ser onde fica a maior parte do esforço do criminoso.

Pesquisa

Tudo começa com o reconhecimento: perfis no LinkedIn revelam cargos e estruturas hierárquicas, comunicados à imprensa anunciam fusões, rodadas de investimento ou novos fornecedores, e uma resposta automática de ausência temporária pode entregar ao invasor o detalhe mais importante: a confirmação de que o executivo real está inacessível no momento.

Escolhendo um alvo

A partir daí, o invasor passa para a seleção do alvo. Nem todo funcionário é útil para uma tentativa de comprometimento de e-mail corporativo; o alvo precisa ser alguém com autoridade para movimentar dinheiro ou alterar detalhes de pagamento, o que geralmente restringe o campo às áreas financeira, contas a pagar, RH ou folha de pagamento.

O início da personificação

Após a escolha do alvo e de uma narrativa plausível, ocorre a personificação — seja por meio de um domínio falsificado semelhante ou de uma caixa de correio realmente comprometida —, adaptando-se ao tom, à assinatura e ao nível de formalidade que o remetente real usaria.

O contato é feito

O invasor entra em contato com alguém da empresa, fazendo uma solicitação ou exigência urgente. Pode ser uma aquisição que precisa ser concluída hoje, um auditor que precisa dos números imediatamente ou um colega em apuros que não consegue falar por telefone.

Normalmente, o pedido será uma transferência bancária, uma alteração de detalhes bancários ou uma solicitação de credenciais de início de sessão, apresentada como algo que simplesmente precisa ser feito, sem questionamentos.

Quatro cenários comuns de comprometimento de e-mail corporativo

Aqui estão algumas das táticas mais comuns de comprometimento de e-mail corporativo usadas por invasores.

Fraude do CEO

Um e-mail parece vir do CEO, diretor executivo ou outro líder sênior, pedindo a um membro da equipe financeira que processe um pagamento urgente e, muitas vezes, confidencial. A aparente senioridade do remetente faz a maior parte do trabalho aqui, já que poucos funcionários se sentem confortáveis para questionar uma solicitação que parece vir do topo da hierarquia.

Fraude de fatura

Um fornecedor com o qual a empresa já trabalha parece notificar uma alteração de detalhes bancários, geralmente no momento exato antes do vencimento de uma fatura real. Como já existe uma relação comercial genuína e um pagamento real pendente, essa versão costuma ser a mais difícil de ser detectada pela equipe financeira, sendo responsável por alguns dos maiores prejuízos individuais relatados pelas empresas.

Redirecionamento de folha de pagamento

Um e-mail se passando por um funcionário, ou ocasionalmente pelo próprio RH, solicita ao setor de folha de pagamento a atualização dos detalhes bancários antes do próximo ciclo de pagamento. A solicitação é pequena e rotineira o suficiente para raramente levantar suspeitas, e é exatamente por isso que funciona.

Falsificação de identidade do suporte de TI

Uma mensagem se passando pelo setor de TI interno ou pelo suporte técnico pede a um funcionário que confirme uma senha ou aprove uma solicitação de início de sessão antes de uma atualização do sistema. Ao contrário dos outros três, este cenário não busca dinheiro diretamente. Ele busca as credenciais que tornam todas as outras formas de comprometimento de e-mail corporativo mais fáceis de executar.

O custo real do comprometimento de e-mail corporativo

As perdas por comprometimento de e-mail corporativo são registradas de forma diferente das fraudes comuns com cartão, o que explica em parte por que a escala do problema é facilmente subestimada. O Internet Crime Complaint Center do FBI registrou US$ 2,77 bilhões(nova janela) em perdas por comprometimento de e-mail corporativo em 21.442 incidentes relatados em 2024, e sua contagem contínua do golpe coloca as perdas globais expostas acima de US$ 55 bilhões(nova janela) na última década. As médias, no entanto, escondem a verdadeira dimensão. Os casos que viraram notícia mostram o que um único e-mail bem elaborado pode desviar.

Entre 2013 e 2015, um golpista lituano faturou de forma fraudulenta contra o Facebook e o Google um total de US$ 121 milhões(nova janela) usando faturas falsas de uma empresa que se passava pela Quanta Computer, uma fornecedora de hardware que ambas as empresas realmente utilizavam. Como as faturas se encaixavam em uma relação comercial existente, as equipes de contas as pagaram e continuaram pagando por dois anos.

Em 2016, a fornecedora aeroespacial austríaca FACC foi atingida por um e-mail se passando por seu então CEO, solicitando uma transferência de cerca de € 50 milhões(nova janela) para um suposto projeto de aquisição — exatamente o pretexto descrito no início deste artigo. A empresa conseguiu conter parte da transferência após descobrir a fraude, mas o restante nunca foi recuperado.

Esses casos descrevem uma categoria de crime que se comporta de maneira diferente da maioria das estatísticas de phishing. O phishing é medido em volume: milhões de e-mails quase idênticos, a maioria bloqueada por um filtro antes que alguém os veja.

O comprometimento de e-mail corporativo é medido em incidentes individuais, cada um construído em torno de um único alvo e um único pagamento, e cada um capaz de causar mais estragos em uma única tarde do que milhares de e-mails de phishing bloqueados jamais causariam.

Qualquer organização que já tenha movimentado dinheiro por transferência bancária ou alterado os detalhes bancários de um fornecedor no passado deve tratar isso como um risco financeiro real e relatar incidentes suspeitos ao centro nacional de denúncias de fraudes correspondente — como o IC3 do FBI nos Estados Unidos, o Action Fraud no Reino Unido e órgãos equivalentes em outros países.

Os controles que realmente impedem o comprometimento de e-mail corporativo

Como o comprometimento de e-mail corporativo contorna os alertas técnicos em que o treinamento contra phishing se baseia, os controles para detê-lo também funcionam de forma diferente. A conscientização ajuda, mas as defesas que realmente se sustentam são processuais e técnicas, e não uma questão de funcionários lerem e-mails com mais atenção.

Dupla autorização

A dupla autorização para qualquer pagamento acima de um limite definido precisa ser obrigatória, e não uma cortesia concedida quando alguém se lembra de pedir. A aprovação de uma única pessoa nunca deve ser suficiente para movimentar uma quantia significativa de dinheiro, independentemente do cargo de quem pede ou da urgência aparente da solicitação.

Verificação por retorno de chamada

A verificação por retorno de chamada fecha a brecha que o e-mail sozinho não consegue cobrir. Qualquer solicitação para alterar detalhes bancários ou liberar um pagamento deve ser confirmada por telefone, usando um número que já conste no arquivo, nunca um fornecido no próprio e-mail, pois um número fornecido pelo invasor apenas conectará o alvo de volta a ele.

Revise os procedimentos de aprovação de pagamentos

Revisões regulares dos procedimentos de aprovação de pagamentos também ajudam a reduzir o risco de comprometimento de e-mail corporativo ao longo do tempo. À medida que as empresas crescem, exceções temporárias e atalhos informais costumam virar parte da rotina diária sem que ninguém questione se continuam adequados. Revisar quem pode autorizar pagamentos, como as alterações de detalhes bancários são aprovadas e quais transações exigem verificação adicional ajuda a garantir que os controles financeiros continuem compatíveis com o nível de risco atual da organização. Mesmo procedimentos bem elaborados perdem a eficácia se não forem revistos conforme a empresa evolui.

Autenticação de e-mail

A autenticação de e-mail técnica é um componente fundamental da segurança de e-mail e desempenha um papel que não se vê na maioria dos casos de phishing, porque o comprometimento de e-mail corporativo depende com frequência da falsificação do domínio da própria organização para personificar seus executivos.

O DMARC, operando em conjunto com o SPF e o DKIM, instrui os servidores de e-mail de destino sobre o que fazer com mensagens que não passam na autenticação do seu domínio, o que torna significativamente mais difícil para um invasor enviar um e-mail que pareça vir do seu próprio CEO.

Cultura de segurança aberta

Nada disso funciona sem uma norma cultural de base: é sempre aceitável pausar e verificar uma solicitação, independentemente de quem pareça estar fazendo o pedido. Funcionários que temem parecer obstrutivos ou desconfiados com relação a uma figura sênior são exatamente as vítimas que uma tentativa de comprometimento de e-mail corporativo busca atingir, e esse medo só desaparece quando a liderança deixa claro, repetidamente, que questionar uma solicitação incomum é uma atitude esperada, e não um ato de deslealdade.

Como identificar os sinais de alerta de uma tentativa de comprometimento de e-mail corporativo

O comprometimento de e-mail corporativo raramente se manifesta por meio de sinais de alerta técnicos óbvios. O e-mail pode vir de um endereço conhecido, fazer referência a um projeto real e usar uma linguagem condizente com conversas anteriores. É por isso que o contexto da solicitação costuma importar mais do que o e-mail em si.

Vários padrões aparecem com frequência em investigações de comprometimento de e-mail corporativo. Uma solicitação que contorna os procedimentos normais de aprovação deve sempre levantar suspeitas. O mesmo vale para instruções inesperadas de manter um pagamento em sigilo, alterações nos detalhes bancários de um fornecedor pouco antes do vencimento de uma fatura ou pedidos que chegam enquanto um executivo sênior está em viagem e difícil de contatar. Os invasores escolhem deliberadamente situações em que os funcionários têm menos probabilidade de verificar a solicitação por outro canal.

Pequenas mudanças no estilo de comunicação também podem fornecer pistas. Um executivo que normalmente delega aprovações financeiras pode de repente solicitar um pagamento pessoalmente. Um fornecedor que normalmente se comunica por meio de um gerente de contas pode enviar instruções bancárias a partir de um contato diferente. Nenhum desses sinais comprova um ataque por si só, mas todos devem motivar uma verificação adicional antes que o dinheiro seja transferido ou os detalhes da conta sejam alterados.

A abordagem mais segura é tratar solicitações financeiras incomuns como exceções aos processos de negócios, em vez de situações que exigem decisões urgentes. Uma breve ligação telefônica usando um número de confiança ou a confirmação por meio de um canal de comunicação interna estabelecido pode evitar um prejuízo que, de outra forma, levaria semanas ou meses para recuperar.

Como as credenciais facilitam o comprometimento de e-mail corporativo?

Nem toda tentativa de comprometimento de e-mail corporativo se baseia em um domínio semelhante falsificado. Às vezes, ela começa com uma conta de e-mail genuinamente comprometida, em que o invasor simplesmente iniciou sessão usando uma senha que já havia sido exposta em outro lugar.

Uma vez lá dentro, eles não precisam falsificar nada. Eles podem ler tópicos antigos, reproduzir o tom e a formatação com precisão e enviar a solicitação fraudulenta a partir de um endereço que passa em todas as verificações de autenticação, porque se trata realmente da própria conta do remetente.

É aqui que os cuidados com senhas e a prevenção contra o comprometimento de e-mail corporativo se encontram diretamente. O Observatório de violações de dados da Proton monitora a frequência com que credenciais corporativas aparecem em bancos de dados de criminosos muito antes que qualquer pessoa na empresa afetada perceba, e o comprometimento de contas é exatamente o resultado que esses dados possibilitam.

Um e-mail profissional seguro e senhas exclusivas em cada conta, combinados com a autenticação multifator (MFA), garantem que uma senha vazada em uma violação não possa ser reutilizada para invadir uma caixa de correio e iniciar uma tentativa de comprometimento de e-mail corporativo a partir de dentro.

Um gerenciador de senhas corporativo como o Proton Pass for Business torna esse padrão viável de ser mantido em toda a organização, em vez de depender de funcionários individuais lembrarem-se de não reutilizar senhas. Quando as credenciais são geradas e armazenadas adequadamente, as vulnerabilidades a violações de dados e invasões de contas são significativamente reduzidas.

Proteja suas contas empresariais contra comprometimento com um gerenciador de senhas corporativo seguro.