Um e-mail aparentemente enviado pela administração pede uma transferência urgente. Um fornecedor comunica uma alteração de IBAN. Uma mensagem solicita a atualização imediata da palavra-passe. Um colaborador recebe um QR Code que promete acesso a um documento importante.

À primeira vista, estas situações podem parecer normais.

No entanto, também podem representar tentativas de fraude digital nas empresas.

Os ataques já não dependem apenas de falhas técnicas. Pelo contrário, muitos criminosos procuram explorar um dos elementos mais difíceis de proteger: a confiança das pessoas.

Assim, reconhecer os primeiros sinais de fraude tornou-se uma competência importante para qualquer profissional, independentemente da função que desempenha.

A segurança digital deixou, por isso, de ser uma responsabilidade exclusiva do departamento de informática.

Porque é que os colaboradores são um alvo da fraude digital?

Os sistemas de segurança evoluíram. Contudo, os métodos utilizados pelos criminosos também se tornaram mais sofisticados.

Em vez de tentarem apenas ultrapassar sistemas tecnológicos, muitos atacantes procuram convencer uma pessoa a realizar determinada ação.

Podem tentar levá-la a:

• clicar numa ligação;
• abrir um ficheiro;
• fornecer credenciais;
• partilhar informação confidencial;
• alterar dados bancários;
• realizar um pagamento;
• instalar software;
• aprovar um pedido aparentemente legítimo.

Esta abordagem é conhecida como engenharia social.

O atacante utiliza técnicas de manipulação para criar confiança, medo, curiosidade, autoridade ou urgência.

Consequentemente, até um colaborador cuidadoso pode tomar uma decisão errada se não reconhecer os sinais.

1. A mensagem cria uma urgência fora do normal

A urgência é um dos sinais mais comuns numa tentativa de fraude.

Expressões como:

“Tem de pagar ainda hoje.”

“A sua conta será bloqueada.”

“Preciso que faça esta transferência imediatamente.”

ou

“Responda nos próximos 30 minutos.”

procuram reduzir o tempo disponível para pensar.

O objetivo é simples: fazer com que a pessoa aja antes de confirmar a informação.

Por exemplo, um colaborador do departamento financeiro pode receber uma mensagem aparentemente enviada por um administrador a solicitar uma transferência confidencial e urgente.

A linguagem pode parecer credível e até reproduzir a forma habitual de comunicação dessa pessoa.

Ainda assim, a urgência deve funcionar como um sinal de alerta.

Sempre que um pedido envolve dinheiro, informação sensível ou alteração de procedimentos, vale a pena confirmar através de outro meio.

2. O remetente parece conhecido, mas há pequenos detalhes diferentes

Nem todas as mensagens fraudulentas chegam de endereços obviamente suspeitos.

Os atacantes podem criar endereços muito semelhantes aos verdadeiros.

Imagine, por exemplo:

financeiro@empresa.pt

e

financeiro@ernpresa.pt

Numa leitura rápida, a diferença pode passar despercebida.

Além disso, o nome apresentado no e-mail pode corresponder ao de um colega, administrador, cliente ou fornecedor.

Por isso, não basta verificar o nome do remetente.

É importante observar:

• o endereço completo;
• o domínio;
• pequenas alterações ortográficas;
• caracteres substituídos;
• extensões diferentes;
• endereços de resposta distintos do remetente.

Da mesma forma, uma mensagem inesperada enviada por alguém conhecido também merece atenção.

A conta dessa pessoa pode ter sido comprometida.

3. Um fornecedor comunica inesperadamente novos dados bancários

Este é um dos cenários que merece maior cuidado.

Uma empresa recebe uma mensagem de um fornecedor habitual a informar que mudou de banco e que as próximas faturas devem ser pagas para um novo IBAN.

O e-mail pode apresentar:

• assinatura correta;
• logótipo;
• referências a faturas reais;
• nomes de pessoas conhecidas;
• histórico de mensagens aparentemente legítimo.

Ainda assim, a alteração pode ser fraudulenta.

Em algumas situações, os criminosos conseguem comprometer contas de e-mail e acompanhar conversas durante algum tempo antes de intervir.

Por isso, qualquer alteração de dados bancários deve ser confirmada através de um contacto previamente conhecido e independente da mensagem recebida.

Por exemplo, a empresa pode telefonar para o número que já consta da sua base de fornecedores.

Esta simples validação pode impedir uma perda financeira significativa.

4. A mensagem pede palavras-passe ou dados confidenciais

Uma mensagem que solicita credenciais deve gerar desconfiança imediata.

Os criminosos podem criar páginas muito semelhantes às de:

• Microsoft 365;
• Google;
• bancos;
• serviços de armazenamento;
• plataformas empresariais;
• redes sociais;
• serviços de entregas.

O utilizador clica numa ligação e encontra uma página aparentemente normal.

Depois, introduz o e-mail e a palavra-passe.

No entanto, os dados seguem diretamente para o atacante.

Este tipo de fraude, conhecido como phishing, continua a ser utilizado precisamente porque pode ser muito convincente.

Assim, antes de introduzir credenciais, o colaborador deve verificar cuidadosamente onde está a fazê-lo.

Além disso, sempre que possível, deve aceder diretamente ao serviço através do endereço habitual, em vez de utilizar a ligação recebida na mensagem.

5. O pedido foge ao procedimento habitual da empresa

Imagine que normalmente duas pessoas aprovam um pagamento.

De repente, surge um pedido para ignorar esse procedimento porque o assunto é confidencial.

Ou um responsável pede documentos através de uma plataforma que nunca foi utilizada.

Pode existir uma justificação legítima.

Contudo, quando uma mensagem pede para contornar um procedimento estabelecido, é importante parar e verificar.

Os procedimentos internos não servem apenas para organizar o trabalho.

Em muitos casos, funcionam também como uma barreira de segurança.

Por isso, frases como:

“Não fale com ninguém sobre isto.”

“Faça a transferência diretamente.”

“Não é necessário seguir o processo habitual.”

ou

“Envie-me os dados para este e-mail pessoal.”

merecem especial atenção.

6. O ficheiro ou ligação chegou sem contexto

Uma fatura inesperada. Um documento partilhado. Um aviso de entrega. Um currículo. Uma proposta comercial.

Todos podem servir como pretexto para levar alguém a abrir um ficheiro ou ligação maliciosa.

Por isso, o contexto é importante.

Se não estava à espera de receber determinado documento, deve confirmar a sua origem antes de abrir.

Também é importante desconfiar de mensagens vagas, como:

“Veja o documento em anexo.”

ou

“Consulte aqui a informação que lhe enviei.”

sem qualquer explicação adicional.

Além disso, a existência de um ficheiro PDF ou de um documento com aparência profissional não garante que o conteúdo seja seguro.

7. A mensagem contém um QR Code que obriga a iniciar sessão

Os QR Codes tornaram-se comuns no dia a dia.

Consequentemente, também começaram a ser utilizados em esquemas fraudulentos.

Uma mensagem pode indicar que o utilizador deve digitalizar um código para:

• consultar um documento;
• renovar uma palavra-passe;
• aceder a uma fatura;
• confirmar uma entrega;
• autenticar uma conta.

O problema é que o QR Code esconde o endereço para onde o utilizador será encaminhado.

Além disso, ao abrir a ligação no telemóvel, pode ser mais difícil identificar um domínio suspeito.

Por isso, um QR Code recebido por e-mail não deve ser considerado automaticamente seguro.

Sobretudo quando exige posteriormente credenciais ou dados pessoais.

8. A mensagem parece perfeita demais

Durante muito tempo, erros ortográficos e frases mal construídas eram sinais relativamente fáceis de identificar numa tentativa de fraude.

Hoje, essa regra já não é suficiente.

As ferramentas de Inteligência Artificial permitem criar mensagens:

• bem escritas;
• adaptadas ao idioma;
• com tom profissional;
• personalizadas;
• semelhantes à comunicação empresarial.

Além disso, os atacantes podem recolher informação pública através dos websites, redes sociais e plataformas profissionais das empresas.

Assim, podem conhecer nomes, cargos, fornecedores ou acontecimentos relevantes.

Consequentemente, uma mensagem sem erros não é necessariamente uma mensagem segura.

A análise deve concentrar-se sobretudo no contexto e no pedido realizado.

9. O contacto muda inesperadamente de canal

Outro sinal possível surge quando uma conversa muda subitamente de canal.

Por exemplo, alguém envia um e-mail e pede:

“Continue esta conversa por WhatsApp.”

ou

“Contacte-me através deste novo número.”

Mais uma vez, isto pode acontecer por uma razão perfeitamente legítima.

No entanto, também pode permitir ao atacante retirar a conversa de um ambiente empresarial mais controlado.

Por isso, mudanças inesperadas de contacto devem ser verificadas antes de partilhar informação ou realizar qualquer ação sensível.

A fraude do CEO: quando o atacante se faz passar pela administração

Um dos exemplos mais conhecidos de engenharia social é a chamada fraude do CEO.

Neste esquema, o criminoso faz-se passar por um administrador, diretor ou outro responsável da organização.

Depois, contacta normalmente alguém com capacidade para realizar pagamentos.

A mensagem pode referir:

• uma aquisição confidencial;
• um pagamento urgente;
• uma operação estratégica;
• uma fatura em atraso;
• um negócio que ainda não pode ser divulgado.

A utilização da autoridade e da confidencialidade procura impedir o colaborador de confirmar o pedido com outras pessoas.

Por isso, a organização deve definir claramente procedimentos para pagamentos extraordinários.

Quanto mais previsível e consistente for o processo, mais difícil será contorná-lo através de manipulação.

E se a mensagem utilizar a voz ou a imagem de uma pessoa conhecida?

A evolução da Inteligência Artificial acrescentou um novo desafio.

Atualmente, é possível manipular áudio, vídeo e imagem com um nível crescente de realismo.

Por isso, uma chamada de voz ou até uma videoconferência não devem ser consideradas provas absolutas de identidade em situações particularmente sensíveis.

Imagine um pedido inesperado para realizar uma transferência significativa.

Mesmo que a voz pareça corresponder à de um responsável, a empresa deve manter os seus procedimentos de validação.

A tecnologia pode mudar.

Os mecanismos de confirmação devem continuar a funcionar.

O que deve fazer um colaborador quando suspeita de fraude?

A primeira regra é simples:

não agir por impulso.

Sempre que existir uma dúvida, o colaborador deve interromper a ação e confirmar a situação.

Pode, por exemplo:

1. não clicar na ligação ou abrir o ficheiro;
2. verificar cuidadosamente o remetente;
3. confirmar o pedido através de outro canal;
4. contactar o responsável de informática ou segurança;
5. informar internamente sobre a tentativa;
6. preservar a mensagem para análise.

Contudo, cada empresa deve definir o seu próprio procedimento.

O mais importante é que os colaboradores saibam a quem reportar uma situação suspeita.

Se ninguém sabe para onde encaminhar a informação, aumenta a probabilidade de um incidente passar despercebido.

E se o colaborador já tiver clicado?

Esconder o erro pode tornar a situação pior.

Se alguém clicou numa ligação suspeita, introduziu credenciais ou abriu um ficheiro e posteriormente percebeu que poderia tratar-se de fraude, deve comunicar rapidamente.

Quanto mais cedo a organização souber, mais depressa poderá atuar.

Dependendo da situação, poderá ser necessário:

• alterar credenciais;
• terminar sessões ativas;
• bloquear contas;
• analisar equipamentos;
• contactar instituições financeiras;
• avaliar acessos realizados;
• verificar se ocorreu fuga de dados.

Por isso, a cultura interna é importante.

Os colaboradores devem sentir que podem reportar rapidamente uma situação sem perder tempo a tentar esconder aquilo que aconteceu.

Tecnologia é suficiente para impedir a fraude digital?

Não.

Ferramentas de segurança continuam a desempenhar um papel essencial.

Filtros de e-mail, autenticação multifator, controlo de acessos, atualizações de software e soluções de monitorização ajudam a reduzir o risco.

No entanto, nenhuma tecnologia consegue analisar perfeitamente todas as situações.

Além disso, alguns ataques procuram precisamente convencer um utilizador autorizado a executar uma ação legítima.

Por exemplo, o sistema pode permitir que um colaborador financeiro faça uma transferência porque essa pessoa tem autorização para o fazer.

O problema está no facto de ter sido manipulada para enviar o dinheiro para a conta errada.

Assim, a proteção mais eficaz resulta da combinação de tecnologia, processos e pessoas preparadas.

A prevenção começa com hábitos simples

As empresas não precisam de transformar todos os colaboradores em especialistas de cibersegurança.

No entanto, devem desenvolver alguns comportamentos básicos.

Entre eles:

• questionar pedidos inesperados;
• confirmar alterações financeiras;
• verificar remetentes;
• evitar reutilizar palavras-passe;
• utilizar autenticação multifator;
• não partilhar credenciais;
• reportar mensagens suspeitas;
• cumprir os procedimentos definidos;
• atualizar regularmente conhecimentos sobre novas ameaças.

Além disso, pequenos exercícios de sensibilização podem ajudar a transformar conhecimento em comportamento.

Afinal, reconhecer um exemplo numa apresentação é diferente de reconhecer uma tentativa real durante um dia de trabalho movimentado.

A fraude digital não é apenas um problema do departamento de informática

Um ataque pode começar numa caixa de e-mail.

Contudo, as consequências podem atingir toda a organização.

Uma fraude pode provocar:

• perdas financeiras;
• exposição de informação;
• interrupção da atividade;
• perda de confiança;
• danos reputacionais;
• problemas com clientes e fornecedores.

Por isso, a prevenção exige participação transversal.

O departamento financeiro deve saber validar pagamentos.

Os recursos humanos devem proteger dados pessoais.

As equipas comerciais devem reconhecer pedidos suspeitos de clientes.

A administração deve seguir os mesmos procedimentos de segurança que exige às restantes equipas.

E todos devem saber como reportar um incidente.

7 perguntas antes de agir perante uma mensagem suspeita

Quando existir alguma dúvida, estas perguntas podem funcionar como uma verificação rápida:

1. Estava à espera desta mensagem?

2. O remetente e o domínio estão corretos?

3. Estão a tentar criar urgência ou medo?

4. Pedem dinheiro, credenciais ou informação confidencial?

5. O pedido respeita os procedimentos habituais?

6. Posso confirmar esta informação através de outro canal?

7. Há alguma razão para não reportar esta mensagem internamente?

Alguns segundos de análise podem evitar consequências muito maiores.

Conclusão

A fraude digital nas empresas tornou-se mais difícil de reconhecer porque os ataques também evoluíram.

Uma mensagem fraudulenta pode estar bem escrita, utilizar informação verdadeira e parecer enviada por alguém conhecido.

Por isso, já não basta procurar erros ortográficos ou endereços claramente estranhos.

Os colaboradores precisam de observar sobretudo o contexto, o pedido, a urgência e qualquer alteração aos procedimentos habituais.

Quando existe dúvida, confirmar continua a ser uma das melhores defesas.

Afinal, a segurança digital não depende apenas das ferramentas instaladas nos computadores.

Depende também das decisões que cada pessoa toma todos os dias.

A sua equipa saberia reconhecer uma tentativa de fraude?
Reforce a sensibilização para os riscos digitais e ajude os seus colaboradores a tomar decisões mais seguras perante e-mails, mensagens e pedidos suspeitos.

Reforçar a segurança da minha equipa