11. Engenharia social contra a empresa

A reunião em que todos pareciam reais

Em janeiro de 2024, um funcionário do escritório de Hong Kong da Arup, a grande empresa britânica de engenharia, recebeu uma mensagem que dizia vir do diretor financeiro da companhia, que está em Londres. O assunto era uma transação confidencial. Segundo a cobertura da época, que se apoiou no que a polícia de Hong Kong contou à imprensa, o funcionário estranhou. A mensagem tinha cara de golpe, do tipo que qualquer treinamento de segurança ensina a identificar, e ele chegou a pensar nisso.

A suspeita durou até a reunião. O funcionário foi convidado para uma videochamada e, nela, viu e ouviu o que parecia ser o diretor financeiro e outros colegas da empresa. Os rostos eram familiares, as vozes batiam, o assunto era o mesmo da mensagem. Nenhum deles, segundo a investigação, era real. Eram imagens e vozes sintéticas, produzidas por inteligência artificial a partir de material público das pessoas imitadas. A única pessoa de verdade naquela sala virtual era a vítima.

Dissipada a dúvida, o funcionário seguiu as instruções que recebeu. Fez 15 transferências, que somaram 200 milhões de dólares de Hong Kong, algo em torno de 25 milhões de dólares americanos, para cinco contas bancárias locais. A fraude só veio à tona quando ele, mais tarde, procurou a matriz em Londres para confirmar o assunto e ouviu que ninguém sabia de transação alguma. A polícia de Hong Kong divulgou o caso em fevereiro de 2024 sem citar o nome da empresa. A própria Arup confirmou ter sido a vítima em maio de 2024, quando a CNN publicou o nome. Não encontrei notícia de prisão ou condenação por esse caso.

Há duas maneiras de contar essa história, e as duas estão erradas. A primeira é a do pânico tecnológico: a inteligência artificial agora imita qualquer pessoa, ninguém está seguro, nunca mais confie em um vídeo. A segunda é a do desdém: que funcionário ingênuo, isso não aconteceria na minha empresa. O que o caso realmente mostra é menos espetacular e mais útil. O funcionário fez a coisa certa em dois momentos. Desconfiou da mensagem e, depois da transferência, procurou a matriz. O que faltou foi um processo que tornasse a videochamada irrelevante. Se uma transferência de 15 parcelas para cinco contas desconhecidas só pudesse ser feita com a aprovação de uma segunda pessoa, por um canal que o golpista não controla, o rosto do diretor financeiro na tela não valeria nada. Nenhum rosto, real ou sintético, deveria ter esse poder.

Este capítulo trata do golpe que ataca a organização em vez da pessoa. A diferença de escala é grande, e a diferença de defesa é maior ainda, porque a empresa pode fazer algo que a pessoa sozinha não pode: transformar a desconfiança em procedimento, e o procedimento em obrigação que não depende do humor de ninguém.

O que você vai levar deste capítulo

O golpe contra a empresa raramente invade sistema. Ele convence uma pessoa a usar o poder que a empresa lhe deu: pagar, redefinir uma senha, aprovar um acesso.

A autoridade falsa é o mecanismo central, e hoje ela pode vir com voz e rosto convincentes. Por isso nenhum pedido de dinheiro ou de acesso deve ser validado pelo próprio canal em que chegou.

A defesa que funciona é de processo, não de atenção: dupla aprovação, retorno de ligação por um canal já cadastrado, quarentena para dados bancários novos, e um help desk que não redefine acesso só porque alguém soou convincente.

O treinamento ajuda, mas não substitui o controle. A empresa que depende de que todo funcionário acerte todas as vezes já perdeu.

Por que a empresa é um alvo melhor do que a pessoa

Do ponto de vista do golpista, uma empresa tem tudo o que uma pessoa física não tem. O valor por operação é muito maior, porque pagar cinquenta ou oitocentos mil reais a um fornecedor é rotina, e uma pessoa física raramente move isso numa transferência. A empresa tem uma cadeia de pagamento com várias mãos, e cada mão pode ser alvo. Tem hierarquia, o que dá à autoridade falsa um poder que ela não tem no ambiente doméstico: o funcionário não discute com a diretoria. Tem pressa embutida no calendário, com fechamento de mês, vencimento de boleto e aquisição confidencial. E tem informação pública abundante, porque o nome do dono, do diretor financeiro, dos fornecedores e dos clientes de uma empresa costuma estar em um site, em uma rede social profissional, em uma nota de imprensa ou em um processo.

O termo técnico usado nos Estados Unidos para o golpe de pagamento corporativo é business email compromise, ou BEC. A definição do FBI, no relatório do IC3, é a de um golpe que mira empresas e pessoas que trabalham com fornecedores ou que fazem transferências regularmente, e que é praticado comprometendo contas de e-mail e outras formas de comunicação, como números de telefone e aplicativos de reunião virtual, por meio de engenharia social ou de invasão. A definição já inclui reuniões virtuais, o que diz muito sobre a evolução do problema.

Os números do IC3 são o melhor retrato público que existe, com a ressalva de sempre: são queixas feitas a uma agência americana, não um censo, e subestimam o problema, porque muita empresa não denuncia. Segundo o relatório de 2024, o IC3 recebeu 21.442 queixas de BEC naquele ano, com perdas de US$ 2,77 bilhões. No relatório de 2025, as queixas subiram para 24.768, com perdas de US$ 3,05 bilhões. Entre os golpes ligados à internet, o BEC ficou em segundo lugar por valor perdido em 2025, atrás do golpe de investimento (cerca de US$ 8,6 bilhões) e à frente do golpe de falso suporte técnico (cerca de US$ 2,1 bilhões). Em uma comunicação de setembro de 2024, o IC3 informou que, de outubro de 2013 a dezembro de 2023, o total de perdas expostas por BEC, somando queixas e registros de instituições financeiras, chegou a US$ 55,5 bilhões em mais de 305 mil incidentes. Esse número é uma soma de fontes diferentes, e a própria comunicação mostra que o total das queixas de vítimas, isoladamente, é muito menor, na casa dos US$ 21 bilhões. Convém guardar as duas cifras e a diferença entre elas.

Para o Brasil, não conheço uma série pública equivalente, consolidada e confiável, de fraude de pagamento corporativo. A Febraban divulga números de fraude bancária, e a polícia divulga operações, mas nada que separe a empresa do indivíduo com a regularidade do IC3. Não vou inventar um número. O mecanismo, porém, não tem fronteira: o fornecedor que "mudou de banco", o dono que pede um pagamento urgente por mensagem e o boleto adulterado que chega no lugar do verdadeiro são golpes que qualquer financeiro brasileiro já viu passar, ou já viu dar certo.

Um dado do relatório de 2025 vale para o resto do capítulo. O IC3 mantém uma equipe de recuperação de ativos que aciona bancos para congelar transferências fraudulentas, o chamado Financial Fraud Kill Chain. Em 2025, a equipe tratou 3.900 incidentes, com US$ 1,16 bilhão em tentativas de furto, e conseguiu congelar US$ 679 milhões, uma taxa de sucesso de 58%. O relatório diz também que, no passado, a maioria desses casos era BEC e que em 2025 houve aumento de falso suporte técnico e de tomada de conta. O que o dado ensina é que o tempo decide. Quem avisa o banco e as autoridades logo recupera, às vezes, mais da metade. Quem descobre o golpe semanas depois quase nunca recupera.

O caso: Rimasauskas e a fatura que ninguém conferiu

Entre 2013 e 2015, a Google e o Facebook pagaram, juntos, mais de 100 milhões de dólares a um fornecedor que não existia. Na acusação do Ministério Público federal americano, foram cerca de US$ 23 milhões da Google e cerca de US$ 98 a 99 milhões do Facebook, segundo a cobertura, que varia ligeiramente nos números. Quem fez isso foi Evaldas Rimasauskas, lituano.

O que ele fez, em linhas gerais, é simples de descrever e difícil de justificar depois. Montou uma empresa de fachada na Letônia com o mesmo nome de um fabricante taiwanês de hardware, a Quanta, que de fato fornecia equipamentos para as duas gigantes. Mandou, a funcionários das duas empresas, faturas que pareciam as do verdadeiro fornecedor, e esses funcionários pagaram em contas controladas por ele em bancos de vários países. Os pagamentos eram plausíveis porque a relação comercial era real, só o destinatário era falso.

O desfecho é raro, porque é uma condenação. Rimasauskas foi preso na Lituânia em 2017 e extraditado para os Estados Unidos. Em março de 2019, declarou-se culpado de um crime de fraude eletrônica. Em dezembro de 2019, foi condenado em Nova York a cinco anos de prisão (60 meses), e o juiz determinou o perdimento de cerca de US$ 49,7 milhões e o pagamento de cerca de US$ 26,5 milhões em restituição. Facebook e Google disseram, na época em que o caso veio a público, que recuperaram a maior parte do dinheiro. Não consegui confirmar o percentual exato e não vou afirmá-lo.

A anatomia

Olhado como perito, o caso tem uma estrutura que se repete em quase todo golpe de pagamento corporativo. O primeiro passo é escolher um fornecedor real, com contrato real, em que as faturas são frequentes e os valores, altos. O segundo é fabricar a aparência de legitimidade: nome, domínio, documentos e remetente que se parecem com os do fornecedor, de modo que a fatura falsa não destoe da verdadeira. O terceiro é explorar a rotina do pagador. A fatura entra no fluxo normal, e quem a recebe não está procurando fraude, está procurando fechar o mês. O quarto é fazer o dinheiro sair rápido por contas em vários países, para dificultar o congelamento. O quinto é contar com o tempo de descoberta: o fornecedor verdadeiro só reclama quando a fatura dele fica sem pagamento, e isso leva semanas.

Um ponto merece ênfase. Em nenhum momento houve uma invasão sofisticada. As duas empresas pagaram a quem pediu, dentro de seus próprios processos, e aprovaram faturas que ninguém comparou com o cadastro bancário do fornecedor. O golpe usou o fluxo de contas a pagar como arma. É, nesse sentido, o exemplo clássico da engenharia social corporativa: o dano veio de dentro da cadeia de aprovação, com todas as assinaturas certas.

A defesa

A defesa é cadastral, e o princípio é que a conta de um fornecedor é um dado mestre da empresa, e não um campo de formulário. Nenhum pagamento deveria sair para uma conta que não esteja no cadastro, e nenhuma alteração do cadastro deveria acontecer por e-mail, mensagem ou pedido de um desconhecido. Quando um fornecedor pede mudança de dados bancários, quem trata o pedido liga para um número que a empresa já tinha antes do pedido (do contrato, do cadastro antigo, do site oficial conferido por outra pessoa), e não para o número que veio na própria solicitação. Registra quem ligou, para quem, quando e quem confirmou. E a conta nova entra em quarentena: o primeiro pagamento para ela só sai depois de um prazo e de uma segunda aprovação, por alguém que não fez a alteração.

Esse desenho se chama segregação de funções, e vale para tudo neste capítulo. Quem cadastra o fornecedor não aprova o pagamento. Quem aprova não libera no banco. Quem libera não concilia. Cada elo cobre a falha do anterior. No caso de Rimasauskas, não precisava de nada mais sofisticado do que uma pessoa a mais comparando a conta da fatura com o cadastro.

A fraude do CEO e suas variações

O caso das gigantes ilustra a variante da fatura falsa. O nome mais conhecido do golpe, no entanto, é fraude do CEO, e a ideia é ainda mais simples: o golpista se faz passar por quem manda e pede que alguém pague. A autoridade substitui o documento. Ninguém precisa montar fatura, porque a ordem do chefe basta.

As variantes que um perito encontra com mais frequência são poucas. Há a ordem direta do suposto dono ou diretor, que pede uma transferência urgente para fechar um negócio sigiloso, com a justificativa de que não pode explicar. Há a troca de conta do fornecedor, em que o golpista, fazendo-se passar por ele, comunica que o banco mudou. Há a falsa operação de aquisição ou de fusão, em que o pedido vem acompanhado de um suposto advogado ou consultor externo, que dá instruções e cobra confidencialidade. Há o desvio de folha: alguém se passa por um funcionário e pede ao RH que mude a conta onde o salário é depositado, o que parece pequeno mas, multiplicado por vários funcionários, não é. E há a fraude de pagamento imobiliário ou de cartório, em que a conta de destino de uma compra grande é substituída no meio da negociação. O relatório do IC3 de 2025 traz um exemplo desse último tipo, em que uma vítima idosa, prestes a fechar a compra de um imóvel, recebeu instruções de transferência de mais de 1,3 milhão de dólares de um falso e-mail da empresa de títulos; a equipe de recuperação conseguiu congelar a conta de destino. O caso mostra, de passagem, que o dinheiro às vezes pode ser recuperado se alguém age em horas.

Todas essas variantes se apoiam em uma mesma combinação de quatro elementos. A autoridade, que dispensa explicação. A urgência, que impede a verificação. O sigilo, que isola a vítima de colegas que perceberiam o erro. E a plausibilidade, que vem da informação: o golpista sabe o nome do fornecedor, o valor médio das faturas, o nome do diretor financeiro, o período de fechamento. Boa parte dessa informação está disponível publicamente, e o restante o golpista obtém comprometendo a caixa de e-mail de alguém da cadeia. Quando isso acontece, a mensagem falsa chega no meio de uma conversa verdadeira, e nenhum sinal clássico dispara.

O limite deste livro, aqui, é não detalhar como se escreve ou se envia a mensagem. O que interessa ao dono e ao financeiro é por que ela funciona. Funciona porque pagar é a atividade normal da pessoa que a recebe, e porque a empresa, em geral, mede o financeiro pela rapidez e não pela suspeita.

Cenário ilustrativo: a distribuidora que pagou duas vezes

Uma distribuidora de materiais de construção, com um faturamento de R$ 2,4 milhões por mês e margem líquida de 6%, paga todo mês R$ 62.400 a um fornecedor de cerâmica, por boleto enviado por e-mail. Em um mês, o e-mail traz um aviso de que o fornecedor mudou de banco e que o boleto vai chegar de outra instituição. O financeiro, uma única pessoa que cadastra e paga, atualiza os dados e quita o boleto no vencimento. No mês seguinte, repete. O fornecedor verdadeiro só liga para cobrar 17 dias depois do segundo vencimento.

A conta do prejuízo é direta. Dois pagamentos de R$ 62.400 somam R$ 124.800 enviados a quem não devia. Com margem de 6%, para repor esse dinheiro a distribuidora precisa vender R$ 2.080.000 a mais (124.800 dividido por 0,06), o que corresponde a quase um mês inteiro de faturamento. Se o banco conseguisse bloquear a conta de destino no primeiro mês, o prejuízo cairia pela metade ou menos. O custo do controle que teria evitado tudo é um telefonema de cinco minutos para o número antigo do fornecedor, mais a regra de que nenhuma conta nova recebe pagamento antes de 48 horas e de uma segunda assinatura. Em horas de trabalho, o controle custa uma fração de 1% do prejuízo. Esse tipo de aritmética, que parece fria, é o argumento que convence um dono relutante.

O caso: a videochamada da Arup

Voltemos ao caso de abertura, agora para desmontá-lo. O que a Arup viveu é a evolução natural da fraude do CEO. A autoridade falsa, que antes vinha por e-mail ou voz, agora vem com rosto e voz, em reunião com várias pessoas. Convém separar o que se sabe do que se imagina.

Sabe-se que houve uma videochamada com participantes sintéticos, que um funcionário seguiu as instruções, que as transferências somaram cerca de US$ 25 milhões em 15 operações para cinco contas, e que a fraude foi descoberta quando o funcionário procurou a matriz. Sabe-se que a polícia de Hong Kong tratou o caso como fraude com tecnologia de imitação de imagem e voz. Não se sabe, até onde consegui confirmar, quem eram os autores, como o dinheiro foi lavado e se houve recuperação. Também não se sabe quão sofisticada foi a técnica: a imprensa fala em imagens e vozes feitas a partir de material público, mas a empresa e a polícia não publicaram um relatório técnico que eu pudesse citar.

A anatomia

O princípio é o de sempre. O golpista cria um pretexto de autoridade e urgência, e o novo ingrediente é a prova de realidade: a reunião. A suspeita inicial do funcionário foi vencida não por um argumento, mas por uma prova sensorial. Ele viu e ouviu quem esperava ver e ouvir. A psicologia por trás disso está no capítulo 2: quando várias pessoas aparentemente de confiança concordam, a dúvida individual parece uma falha de quem duvida. O golpe usa o consenso aparente como arma contra o isolamento do único participante real.

Há dois exageros a evitar. O primeiro é achar que esse tipo de golpe é fácil e comum. Os relatos documentados com esse nível de produção são raros, e o relatório do IC3 de 2025 informa que as empresas apontaram perdas de pouco mais de US$ 30 milhões em golpes de BEC envolvendo inteligência artificial naquele ano, uma parcela pequena dos US$ 3 bilhões do total. O segundo exagero é achar que a ameaça é só futuro. A tecnologia de imitação já existe, é acessível, e o caso da Arup mostra que ela foi usada com sucesso contra uma empresa grande, experiente e com área de segurança. O capítulo 16 trata da inteligência artificial em profundidade.

A defesa

A conclusão prática é que a videochamada deixou de ser um canal de verificação para pagamentos. Isso não depende de saber detectar o deepfake, e esse é o ponto central. Treinar o funcionário para procurar defeitos na imagem, o piscar estranho ou o sincronismo labial, é uma defesa frágil, porque a técnica melhora e a atenção humana não. A defesa robusta é o processo que não precisa de que ninguém perceba nada.

Em termos práticos: transferência acima de um limite exige duas aprovações independentes, em sistemas ou canais diferentes, de pessoas que não estavam na mesma chamada. Pedido de pagamento feito por reunião, mensagem ou e-mail é tratado como solicitação, nunca como autorização. A autorização vem de um fluxo registrado no sistema financeiro, iniciado por quem tem poder para isso. O funcionário que recebe uma instrução fora do fluxo, mesmo do presidente da empresa, tem a obrigação, e não a opção, de confirmar por um canal já conhecido, como o ramal interno da pessoa ou o celular cadastrado no RH. E a empresa precisa deixar claro, por escrito e para todos, que ninguém será punido por atrasar um pagamento para confirmá-lo. Sem essa garantia, o funcionário vai pesar o risco de contrariar o chefe contra o risco de ser enganado, e o golpista conta com o resultado.

Uma medida complementar, barata, é a palavra combinada entre pessoas-chave que movem dinheiro, usada em situações fora do fluxo e trocada de tempos em tempos. Ela não substitui o processo, mas dá a quem está na linha de frente uma pergunta concreta para fazer, em vez de uma impressão para desfazer.

O caso: MGM Resorts e a ligação ao help desk

Em 11 de setembro de 2023, um grupo de invasores obteve acesso aos sistemas da MGM Resorts, a operadora de cassinos e hotéis de Las Vegas. A empresa avisou a SEC, o órgão regulador do mercado americano, em 12 de setembro. Nos dias seguintes, sistemas de reserva, caixas eletrônicos, chaves digitais de quarto e cobranças de estacionamento ficaram fora do ar, e hóspedes enfrentaram filas e processos manuais. Segundo a cobertura, o grupo, conhecido como Scattered Spider, atuou em associação com a plataforma de ransomware ALPHV.

Quanto custou? Em 5 de outubro de 2023, num documento apresentado à SEC, a MGM estimou que o incidente reduziria em cerca de US$ 100 milhões o seu resultado operacional ajustado do terceiro trimestre, e informou despesas pontuais de menos de US$ 10 milhões com consultores, advogados e outros terceiros. A ocupação dos hotéis em setembro foi de 88%, contra 93% no mesmo mês do ano anterior. Em contrapartida, a Caesars Entertainment, que sofreu ataque semelhante no mesmo período, pagou um resgate de cerca de US$ 15 milhões, metade do que os invasores teriam pedido, segundo a imprensa. Os dois casos são apresentados aqui como relatos públicos; as empresas não detalharam tudo.

O que tornou o caso uma lição de engenharia social, e não só de ransomware, foi a porta de entrada. Segundo a cobertura, os invasores pesquisaram um funcionário da MGM em uma rede social profissional e ligaram para o help desk de TI da empresa fazendo-se passar por ele, o que lhes permitiu contornar a autenticação em mais de uma etapa. O ataque ao sistema veio depois, e foi consequência. Em nenhum momento anterior houve necessidade de uma falha técnica sofisticada.

Quanto aos responsáveis: o estado das ações é diversificado e eu o descrevo com a data de hoje, 30 de outubro de 2026, e com a cautela devida. Noah Urban, apontado pela imprensa como integrante do grupo, foi condenado em agosto de 2025 a dez anos de prisão e à restituição de cerca de US$ 13 milhões, em um processo sobre roubos de criptomoedas. Outros integrantes apontados pela imprensa e por promotores americanos, como Tyler Buchanan (preso na Espanha em 2024) e Thalha Jubair (preso em Londres em 2025), são acusados, e até onde consegui confirmar não foram condenados por esses fatos. Um suspeito foi detido na Finlândia em abril de 2026, com pedido de extradição americano. São acusações, não condenações.

A anatomia

O help desk é o ponto em que a empresa, por desenho, precisa ajudar quem diz ter perdido o acesso. Essa é uma função legítima e necessária, e é exatamente o que a torna uma porta. O atendente é medido por rapidez e satisfação do usuário, tem poder para redefinir credenciais e registrar novos dispositivos de autenticação, e raramente conhece a pessoa do outro lado. O golpista não precisa derrotar o sistema de autenticação, basta convencer a pessoa que o administra.

Em nível de princípio, o ataque combina três coisas. A pesquisa prévia: o cargo, o nome e dados pessoais que fazem a ligação soar legítima. A pressão de contexto: alguém que precisa do acesso agora, que está viajando, que está com o aparelho quebrado. E a autoridade do papel que se assume, o do funcionário legítimo, que o atendente quer ajudar. Este livro não descreve a conversa, e nem poderia sem virar roteiro. O que o gestor precisa levar é que o atendente humano, com a melhor das intenções, é um sistema com falhas previsíveis: ele quer resolver.

A defesa

A defesa do help desk é transformar o ato de recuperar acesso numa operação mais difícil do que parece e menos dependente do juízo do atendente. Redefinição de credencial e troca de dispositivo de autenticação, sobretudo de contas com privilégios, só acontecem depois de uma verificação que a ligação não consegue fornecer sozinha. Na prática, isso significa um retorno de ligação a um número já registrado, a confirmação do gestor direto por um canal independente, ou a presença física ou por vídeo acompanhada de documento, nos casos de maior risco. Para contas administrativas, a recuperação deve ser mais lenta e mais cara de propósito, com aprovação de uma segunda pessoa. O atendente precisa saber que está autorizado a dizer não e que será elogiado por isso, e não cobrado pelo tempo da chamada. E toda redefinição deve gerar um aviso ao dono da conta e ao gestor, de forma que uma recuperação indevida seja percebida em minutos.

Outro ponto é separar o que o atendimento de primeiro nível pode fazer do que exige escalonamento. Se o primeiro nível consegue ceder o controle de uma conta de administrador, o desenho está errado, qualquer que seja o treinamento.

O caso: Uber e a fadiga de notificações

Em setembro de 2022, a Uber informou que sofrera um incidente de segurança. Pela própria empresa, o invasor provavelmente comprou a senha corporativa de um prestador de serviços, depois que o aparelho pessoal do prestador foi infectado por um programa malicioso, e a partir dela tentou entrar repetidas vezes, disparando pedidos de autenticação de dois fatores, até que o prestador aprovou um deles. Dali, o invasor chegou a outras contas de funcionários, ganhou privilégios elevados em ferramentas internas, como a suíte de produtividade e o aplicativo de mensagens da empresa, e baixou mensagens internas e informações de uma ferramenta financeira usada para gerir faturas. A empresa disse acreditar que o invasor era afiliado ao grupo Lapsus$. Relatos de imprensa, que se baseiam em declarações do próprio invasor e não em conclusões confirmadas, dizem que ele também enviou mensagens ao prestador fingindo ser da área de TI da empresa, o que o teria convencido a aprovar a solicitação.

Não vou entrar em detalhes sobre a identidade ou o destino judicial do invasor, que não verifiquei nesta rodada.

A anatomia

O nome técnico é fadiga de MFA, ou bombardeio de notificações. Funciona assim, em princípio: a autenticação de dois fatores por notificação no celular exige que o dono aprove um pedido de acesso. Se o atacante já tem a senha, pode provocar a notificação quantas vezes quiser. O ataque, então, não visa a tecnologia, visa o cansaço e a confusão do usuário, que um dia pode aprovar só para fazer parar, ou porque acredita que é um erro de sistema, ou porque alguém o convenceu de que é a TI testando. É engenharia social aplicada a um mecanismo de segurança. A lição é incômoda: o segundo fator, que deveria proteger a empresa, passa a depender do juízo de um usuário cansado, ou de um prestador de serviço que ninguém treinou.

A defesa, em nível de princípio

A resposta técnica correta é adotar autenticação resistente a phishing. Isso quer dizer um método em que o segundo fator só funciona no site verdadeiro e exige a presença do dispositivo, como as chaves de segurança físicas e as credenciais do tipo passkey, em vez de um código digitado ou de uma aprovação simples por notificação. Nesses métodos, não há nada que o usuário possa aprovar por engano a pedido de um estranho. Onde a migração não é possível de imediato, as medidas intermediárias são: aprovação com confirmação de um número exibido na tela de acesso, limite do número de tentativas, alerta automático quando há várias notificações em sequência e bloqueio temporário da conta. A empresa também precisa dizer ao usuário, claramente e com frequência, que a TI nunca pede que ele aprove uma notificação que ele não iniciou, e que o procedimento correto para uma notificação inesperada é negar e avisar.

O caso mostra ainda uma segunda lição, que costuma passar despercebida: o elo fraco foi um prestador de serviços. As regras de autenticação valem para terceiros com acesso aos sistemas, inclusive para quem usa aparelho pessoal. Um perímetro é tão forte quanto a conta mais fraca com privilégio.

O elo humano em cada área

A engenharia social corporativa não se concentra no financeiro e no help desk. Cada área tem um poder que alguém pode querer emprestar.

O financeiro tem o poder de pagar, e é o alvo óbvio. O RH tem o poder de alterar dados de pessoas e de receber currículos com anexos, e é alvo de desvio de salário, de fraude com vaga falsa e de pedido de dados de funcionários, que alimentam golpes seguintes. O atendimento e o comercial têm o poder de conceder exceções a clientes, e podem ser enganados a mudar cadastros ou liberar mercadoria. A recepção e a portaria têm o poder de abrir uma porta física, e quem entra de crachá emprestado e com ar de quem pertence ao lugar costuma não ser parado. A TI tem o poder de criar contas, conceder acessos e redefinir senhas. E o dono e a diretoria têm o poder de ordenar, que é o poder que mais se imita.

O perito, ao avaliar uma empresa, faz uma pergunta para cada área: o que uma única pessoa desta área consegue fazer sozinha, sem que ninguém mais saiba, que cause dano? A resposta é a lista dos controles que faltam. Se uma pessoa pode cadastrar fornecedor e pagá-lo, falta segregação. Se uma ligação pode redefinir acesso privilegiado, falta verificação. Se uma ordem do dono pode mover dinheiro sem passar por ninguém, falta limite.

Uma observação sobre pequenas empresas, que são a maioria no Brasil. A segregação de funções parece impossível quando a empresa tem três pessoas. Não é, mas exige criatividade. O dono pode ser o segundo aprovador, mesmo que isso o incomode. O contador externo pode conferir os cadastros bancários dos fornecedores uma vez por mês. O banco oferece, em geral, a opção de exigir duas assinaturas no internet banking empresarial, que muita empresa nunca ativa. Limites de transferência baixos nas contas operacionais, com um limite alto só mediante uma segunda autenticação, custam quase nada. O que importa é que o controle exista na estrutura, e não na boa vontade.

Quando o golpe acontece: as primeiras horas

Mesmo as melhores defesas falham, e a empresa precisa ter um plano para o dia em que alguém perceba que pagou a conta errada. O plano é curto e deve estar escrito antes.

Primeiro, avisar imediatamente o banco de origem e pedir a devolução ou o bloqueio dos valores. Os dados do IC3 mostram a importância do tempo, e os prazos do Pix e do mecanismo especial de devolução, descritos no capítulo 6, também. Convém checar com o banco, no momento, quais mecanismos se aplicam ao tipo de transferência feita (Pix, TED, boleto), porque as regras são diferentes. Segundo, preservar as evidências: as mensagens, os cabeçalhos de e-mail, os registros de acesso, o histórico da videochamada, a trilha de aprovação do pagamento. Sem alterar nada, e de preferência com a ajuda de quem sabe, porque o que se apaga por boa intenção não volta. Terceiro, registrar boletim de ocorrência e, quando houver possível invasão de conta de e-mail, tratar o caso como incidente de segurança, com troca de credenciais e revisão de regras de redirecionamento de e-mail, que golpistas costumam deixar para ficar de olho na conversa. Quarto, avisar o seguro, se houver apólice. Apólices de seguro cibernético costumam ter cobertura para fraude por engenharia social, mas muitas vezes com limite menor e com exigência de controles prévios, como retorno de ligação. É uma razão a mais para implementá-los: eles podem ser condição para a cobertura. Verifique a sua apólice, porque os termos variam muito. Quinto, comunicar quem precisa saber: o fornecedor verdadeiro, os clientes afetados, o jurídico e, se houve vazamento de dados pessoais, avaliar as obrigações da LGPD.

Sobre responsabilidade do banco, o tema é mais difícil para a empresa do que para o consumidor. A Súmula 479 do STJ trata da responsabilidade objetiva das instituições financeiras por fraudes de terceiros no âmbito de operações bancárias, e a maior parte da jurisprudência recente citada neste livro envolve pessoas físicas. A aplicação a empresas, em casos de fraude de pagamento corporativo, depende das circunstâncias, e eu não vou afirmar um resultado. Se o caso for relevante, o advogado deve avaliar. O ponto prático é que a perda tende a ser difícil de transferir, e por isso a prevenção compensa muito.

Treinamento: o que ajuda e o que é teatro

A maioria das empresas responde ao problema com treinamento, e o treinamento ajuda, mas a pesquisa sobre sua eficácia é menos favorável do que o setor admite. O capítulo 18 trata da evidência sobre simulação de phishing, e aqui basta o essencial: treinar pessoas a reconhecer sinais reduz uma parte do risco, mas nenhum treinamento leva a taxa de erro a zero, e um golpe suficientemente bom engana quem foi bem treinado, como a Arup mostra. O treinamento que vale a pena faz três coisas. Ensina o procedimento, e não o sinal: quando chegar um pedido de pagamento, faça isto. Mostra casos reais da própria empresa e do setor, porque o concreto fica. E cria uma cultura em que reportar um erro ou uma suspeita é bem recebido, o que é decisivo. O funcionário que clicou no link errado e conta em dez minutos vale muito mais do que o que clicou e esconde por vergonha por dois dias. A vergonha, que o livro combate desde o capítulo 2, é também um problema corporativo.

O treinamento ruim é o que culpa o funcionário. A punição pelo erro ensina a esconder o erro, e o golpe cresce no escuro.

Verdades desconfortáveis

O dono é, muitas vezes, o maior risco de controle da empresa. É ele quem manda pagar com urgência, quem pede exceção, quem fica incomodado com a dupla aprovação, quem usa o mesmo celular para tudo. Uma empresa só tem controle quando o dono se submete a ele. A fraude do CEO funciona justamente porque, em muitas empresas, a ordem do chefe é de fato obedecida sem perguntas.

A tecnologia de segurança é cara e o processo é barato, e mesmo assim as empresas investem na primeira e negligenciam o segundo. Um sistema de detecção custa muito e um telefonema de retorno custa nada. O que falta, quase sempre, é a decisão de aceitar um pouco de atrito em troca de segurança. Atrito não vende, e o financeiro é cobrado por agilidade.

O treinamento anual de segurança, aquele vídeo obrigatório com prova no final, serve principalmente para que a empresa possa dizer que treinou. Em caso de incidente, o treinamento vira argumento de defesa jurídica ou de seguradora, e raramente é o que impede o golpe. Quem quer proteção de verdade precisa de procedimento, auditoria e consequência.

Muitas empresas que sofrem golpe não denunciam. Têm medo da publicidade, de perder clientes, de expor o financeiro, e às vezes um acordo discreto com o banco encerra o episódio. O resultado é que as estatísticas subestimam o problema, as polícias não aprendem com os casos, e outras empresas cometem os mesmos erros. A conta do silêncio é paga pelo setor inteiro.

Também é desconfortável admitir que a inteligência artificial não mudou o essencial. Os maiores golpes documentados deste capítulo, o de Rimasauskas e o do help desk da MGM, não usaram tecnologia de ponta. Usaram uma fatura e uma ligação. A tecnologia aumenta a escala e baixa a barreira de entrada, mas o ponto frágil continua o mesmo: uma pessoa com poder, uma ordem plausível e nenhum segundo par de olhos.

Protocolo de defesa

Para a empresa (dono, financeiro, TI e RH):

• Defina limites de pagamento por faixa e exija dupla aprovação independente acima do limite. As duas pessoas não podem ser a que cadastrou o fornecedor nem a que está sob pressão do pedido.
• Trate pedido de pagamento por e-mail, mensagem, ligação ou reunião, mesmo com vídeo, como solicitação. A autorização só existe no fluxo registrado do sistema financeiro.
• Faça retorno de ligação por canal já cadastrado, nunca pelo contato que veio no pedido. Registre quem confirmou.
• Coloque dados bancários novos ou alterados em quarentena de pelo menos um dia útil, com segunda aprovação e confirmação direta com o fornecedor.
• Segregue funções: quem cadastra fornecedor não aprova pagamento, quem aprova não libera, quem libera não concilia. Em empresa pequena, use o dono, o contador externo e a dupla assinatura do banco.
• Concilie pagamentos diariamente e peça ao fornecedor, uma vez por trimestre, a confirmação dos dados bancários cadastrados.
• Configure no banco limites baixos para contas operacionais e exija autenticação adicional para elevá-los.
• No help desk, proíba redefinição de acesso e troca de dispositivo de autenticação apenas por ligação. Exija retorno a número registrado, confirmação do gestor por outro canal ou verificação presencial para contas privilegiadas.
• Adote autenticação resistente a phishing (chaves de segurança, passkeys) para contas de administração, financeiro e acesso remoto. Onde não for possível, use confirmação por número, limite de tentativas e alerta de notificações repetidas.
• Aplique as mesmas regras de acesso a prestadores e terceiros, inclusive os que usam aparelho próprio.
• Avise o dono da conta e o gestor a cada redefinição de acesso, para que uma recuperação indevida seja percebida em minutos.
• Escreva, divulgue e pratique a regra de que ninguém será punido por atrasar um pagamento para confirmá-lo, mesmo que a ordem venha do presidente.
• Tenha um plano de incidente de uma página: quem avisa o banco, quem preserva as evidências, quem fala com a polícia, com o seguro e com o jurídico. Guarde o telefone do gerente de relacionamento onde se acha sem a rede da empresa.
• Revise a apólice de seguro e saiba o que ela cobre em caso de engano do funcionário.

Para quem trabalha em empresa e recebe a ordem:

• Se o pedido é urgente, sigiloso e fora do fluxo, a combinação é, por si só, o sinal. Pare e confirme.
• Você tem o direito de confirmar. Se alguém reagir mal, registre e avise a segurança.
• Contar para um colega ou para o gestor não é quebra de sigilo: o sigilo de um pedido legítimo aguenta uma segunda opinião, e o de um golpe não.

Sinais de alerta

• Pedido de pagamento fora do fluxo normal, com urgência e pedido de sigilo.
• Mudança de dados bancários de fornecedor comunicada por e-mail ou mensagem, sobretudo perto do vencimento.
• Instrução para pagar em conta de pessoa física ou em banco diferente do habitual.
• Chefe que pede para não ligar nem contar a ninguém, ou que diz que está em reunião e só pode responder por mensagem.
• Reunião de vídeo marcada às pressas para tratar de transação sigilosa, com pedido de execução imediata.
• Remetente com domínio quase igual ao verdadeiro, ou resposta que vem de um endereço diferente do exibido.
• Ligação ao help desk de alguém que não pode atender retorno, está viajando, perdeu o aparelho e precisa de acesso agora.
• Várias notificações de aprovação de acesso que você não pediu.
• Pedido de dados de funcionários ou de mudança de conta de salário feito por mensagem.
• Fornecedor ou parceiro novo que pressiona por pagamento adiantado.

Exercícios

1. Desenhe o caminho de um pagamento a fornecedor na sua empresa, do recebimento da fatura à conciliação. Marque quem faz cada etapa e identifique onde uma única pessoa pode alterar dado bancário e pagar. Entrega: o diagrama e a lista dos pontos sem segundo par de olhos, com uma proposta de controle para cada um.

2. Escreva a política de retorno de ligação da sua empresa em até dez linhas: quando é obrigatório, para qual número se liga, quem registra e quem pode dispensar. Teste com uma pessoa do financeiro e outra do atendimento. Entrega: a política e o relato das objeções.

3. Faça um exercício de mesa de 30 minutos com o financeiro e o dono: "o diretor financeiro, em viagem, manda uma mensagem pedindo uma transferência confidencial de R$ 150 mil." O que cada um faz? Quem pode dizer não? Entrega: ata com as decisões e os pontos em que a resposta dependeu do ânimo de alguém.

4. Peça ao responsável de TI que descreva, por escrito, como se redefine a senha e o segundo fator de um administrador. Conte quantas pessoas conseguem fazer isso e o que cada uma exige de quem pede. Entrega: o fluxo atual e uma versão proposta com pelo menos duas verificações independentes.

5. Calcule o custo de um erro. Pegue o valor médio de uma fatura grande da sua empresa, multiplique por dois pagamentos e divida pela sua margem líquida. Compare o resultado com o faturamento mensal. Entrega: a conta e um parágrafo explicando quanto você pode gastar, por ano, em controles que valham a pena.

Prompt de estudo

Vou descrever o processo de pagamento a fornecedores da minha empresa, sem incluir nomes, valores reais nem dados bancários. Quero que você atue como um perito em controles internos: identifique, em nível de princípio, onde uma única pessoa ou um único canal poderia ser enganado a pagar a conta errada, e proponha controles proporcionais ao tamanho da empresa. Não escreva mensagens, roteiros nem exemplos de golpe, e diga o que você não consegue saber sem ver o processo real.

Faça-me dez perguntas curtas sobre este capítulo: por que a videochamada deixou de ser prova, o que é fadiga de MFA, o que é segregação de funções, por que o help desk é um alvo e quais controles têm melhor custo-benefício. Depois de cada resposta minha, diga se acertei e o que faltou.

Fontes e leituras

• FBI, Internet Crime Complaint Center (IC3), Internet Crime Report 2025 e Internet Crime Report 2024, em ic3.gov: queixas e perdas de BEC, ranking por valor, atuação do Recovery Asset Team (Financial Fraud Kill Chain) e seção sobre inteligência artificial. Conferidos no PDF oficial em 30 de outubro de 2026.
• FBI, IC3, comunicado público de 11 de setembro de 2024, "Business Email Compromise: The $55 Billion Scam", em ic3.gov: perdas expostas de outubro de 2013 a dezembro de 2023.
• Departamento de Justiça dos Estados Unidos, Distrito Sul de Nova York, comunicado sobre a declaração de culpa (20/03/2019) e sobre a sentença (19/12/2019) de Evaldas Rimasauskas. Os valores atribuídos individualmente a Google e Facebook e a recuperação pelas empresas vêm de cobertura contemporânea.
• Governo de Hong Kong, resposta oficial sobre a fraude com videoconferência pré-gravada (26/06/2024); CNN, South China Morning Post e RTHK sobre a confirmação de que a vítima era a Arup.
• MGM Resorts International, Form 8-K de 5 de outubro de 2023; e Wikipedia, verbete sobre o ataque cibernético à MGM e o grupo Scattered Spider, como ponte para a cobertura de imprensa e para o andamento dos processos até 2026.
• Uber, atualizações de segurança de setembro de 2022 (reproduzidas por veículos como Help Net Security e InfoQ), sobre o incidente com autenticação de dois fatores.
• Código Penal, artigo 171; Lei 14.155, de 27 de maio de 2021; Súmula 479 do STJ; Lei 13.709/2018 (LGPD), em planalto.gov.br e stj.jus.br.