O que é o business email compromise (BEC)?

A fraude por email empresarial é um ciberataque em que criminosos se fazem passar por alguém em quem confias para te enganar e levar-te a enviar dinheiro ou a entregar dados sensíveis. Os atacantes passam semanas a aprender como uma empresa comunica, quem tem autoridade e quando atacar. Quando o email finalmente chega, parece um email normal de alguém que conheces.

Como funciona um ataque BEC?

Há um método testado e comprovado para estes ataques, e os burlões seguem-no sempre.

Passo 1 – Encontrar o alvo

O objetivo de um ataque de fraude por email empresarial é precisamente ser convincente. Felizmente para os atacantes, a Internet é uma mina de ouro de informação sobre potenciais alvos. Uma vista de olhos rápida ao teu perfil nas redes sociais pode revelar o teu trabalho, amigos próximos e até o teu tom de voz. Junta isso a comunicados de imprensa sobre os próximos passos da tua empresa e a biografias em sites empresariais, e começa a parecer credível.

Os atacantes podem recolher toda essa informação e, em segundos, criar um email que parece e soa autêntico.

Passo 2 – Entrar na caixa de entrada

Para o conteúdo do email parecer real, os atacantes precisam de o embrulhar numa embalagem apelativa e credível. Se o endereço de email não parecer vir de uma fonte de confiança, toda a burla cai por terra.

Os atacantes podem falsificar o domínio registando um nome como acme-corp.com em vez de acmecorp.com. Ou, se forem suficientemente espertos, invadir a caixa de entrada real, tornando quase impossível distingui-la de uma mensagem genuína.

Afinal, se parece um pato e grasna como um pato, a maioria vai achar que é um pato.

Passo 3 – Criar confiança

Nestes ataques, a paciência é o nome do jogo. Os atacantes podem esconder-se numa caixa de entrada comprometida durante semanas, a ler cadeias de emails e a aprender estilos de comunicação. Quando o email finalmente chega, mistura-se com os emails anteriores, imitando o tom e o fluxo da conversa.

Passo 4 – Fazer o pedido

Quando os atacantes já te conhecem de trás para a frente — o teu tom de voz, os nomes e cargos dos teus colegas e o que se passa na tua empresa — e já conseguiram infiltrar-se no teu email, o pedido é enviado.

Normalmente, é algo que não pode ser facilmente desfeito. Pode envolver enviar dinheiro para uma conta bancária ou partilhar informação privada. O essencial é que seja irreversível. 

Quando o alvo percebe que algo está errado, o atacante precisa que o estrago já esteja feito. Se for especialmente sorrateiro, pode até enviar a mensagem durante uma época festiva, quando toda a gente está menos alerta e há maior probabilidade de sucesso.

Passo 5 – Desaparecer sem deixar rasto

Depois de os fundos serem enviados, são rapidamente movidos através de uma série de contas intermédias. Estas costumam estar sediadas no estrangeiro, o que torna o rasto do dinheiro muito difícil de seguir, mesmo para as autoridades.

Exemplo de fraude por email empresarial

A fraude por email empresarial é o boss final dos ataques digitais. Normalmente envolve grandes empresas e quantias de dinheiro astronómicas.

Toyota Boshoku ($37M)

Em 2019, um dos principais fornecedores da Toyota perdeu dezenas de milhões numa única transferência. O atacante entrou no sistema de email da Toyota Boshoku. Leu mensagens e aprendeu como a empresa comunicava. Quando surgiu na conversa uma grande transferência de dinheiro, pediu a alguém na empresa com autoridade para movimentar dinheiro que atualizasse os dados da conta bancária para a transferência. Parecia legítimo, e o dinheiro foi enviado. 

Assim, sem mais nem menos, 37 milhões de dólares desapareceram.

Google and Facebook ($120M)

Entre 2013 e 2015, a Google e o Facebook foram atingidos pela derradeira burla do falso fornecedor. Um criminoso registou uma empresa falsa usando exatamente o nome de um fabricante legítimo de hardware que ambas as empresas utilizavam. Falsificou contratos e enviou faturas com aspeto rotineiro diretamente para os seus departamentos de contabilidade. Como o fornecedor já tinha sido validado e era de confiança, os pagamentos foram autorizados sem pensar duas vezes. Ao longo de dois anos, mais de 120 milhões de dólares foram diretamente para as contas bancárias do burlão.

Ubiquiti Networks ($46.7M)

Em 2015, a gigante de redes Ubiquiti foi vítima de uma burla semelhante. O atacante não se deu ao trabalho de criar uma empresa falsa nem de invadir fornecedores terceiros. Em vez disso, entrou no sistema, fez-se passar por altos executivos da empresa e enviou pedidos urgentes de transferência diretamente para o departamento financeiro interno. Confiando apenas na autoridade do nome do falso executivo, o funcionário seguiu as instruções e transferiu os fundos para o estrangeiro. Quando alguém finalmente parou para confirmar, já tinham sido enviados 46,7 milhões de dólares.

Tipos de ataques de fraude por email empresarial

Nem todos os exemplos de fraude por email empresarial são iguais. Claro que o objetivo é sempre enganar as pessoas para entregarem o máximo de dinheiro possível, mas a abordagem pode ser muito diferente.

Fraude do CEO (personificação de executivo)

Esta é a forma mais reconhecida de BEC. Um atacante faz-se passar por um executivo sénior, normalmente um CEO ou CFO, e pressiona alguém das finanças a movimentar dinheiro. Funciona por causa da dinâmica de poder. Quando o chefe quer alguma coisa, a maioria das pessoas não para para perguntar porquê. Se isto for combinado com uma história de fundo credível, basta para levar alguém a agir sem pensar duas vezes.

Compromisso de email de fornecedor

Os atacantes visam relações fora da empresa em vez de fingirem ser alguém de dentro. Visam fornecedores e prestadores de confiança, infiltrando-se em conversas de email já existentes e trocando os dados reais de pagamento pelos seus próprios. Do lado da vítima, parece uma atualização rotineira de fatura de um fornecedor com quem trabalha há anos.

Tomada de controlo de conta

Esta é a variante mais perigosa porque não envolve spoofing. O atacante está a usar a conta real. O email vem de um endereço real e usa o tom certo. A mensagem parece completamente normal, porque tecnicamente é mesmo normal.

Desvio de salário

Este não visa o dinheiro da empresa. Em vez disso, visa os funcionários. Os atacantes fazem-se passar pelos RH ou por um funcionário e pedem uma atualização da folha salarial, redirecionando discretamente um salário para uma conta que controlam. 

A vítima só descobre no dia de pagamento e, como os montantes são menores e o pedido parece normal, raramente aciona um alerta de fraude. É uma versão mais lenta de BEC, mas se atingir funcionários suficientes, o valor acumula-se rapidamente.

BEC vs Phishing – Qual é a diferença?

Os emails de phishing existem há muito tempo, e a maioria das pessoas sabe como é um. É aquele que te diz que ganhaste um prémio ou que um príncipe nigeriano precisa da tua ajuda. São enviados em massa e dependem puramente do volume para apanhar alguém desprevenido.

Se o phishing é uma rede, o BEC é um atirador furtivo. Os atacantes passam semanas a investigar uma empresa, por vezes uma pessoa específica. Quando o email finalmente chega, parece uma mensagem de terça-feira de manhã de alguém que conheces.

O phishing costuma procurar as tuas credenciais de acesso, mas o BEC salta completamente essa etapa e vai diretamente ao dinheiro ou aos dados.

Como identificar um ataque de fraude por email empresarial

Os ataques BEC são concebidos para parecer normais. Mas, se souberes o que procurar, os sinais estão lá.

• A urgência— Um email que te pressiona a movimentar dinheiro rapidamente, sem margem para parar e verificar.

• A mudança repentina — Um fornecedor ou colega atualizou subitamente os seus dados de pagamento sem aviso.

• O endereço quase certo — O email do remetente difere do verdadeiro por apenas um carácter.

• O tom ligeiramente estranho— Algo parece estranho, demasiado formal, demasiado casual ou invulgarmente secreto.

• O pedido vindo do nada — Pedem-te que faças algo que normalmente passaria por outro canal.
  

Como prevenir um ataque de fraude por email empresarial

Saber como estes ataques funcionam é metade da batalha. A outra metade é garantir que a tua empresa não é um alvo fácil.

Pega no telefone

Se um email te pedir para transferires dinheiro ou atualizares dados de pagamento, não respondas. Liga diretamente à pessoa usando um número que já tens, não o que vem no email. Demora trinta segundos e é, de longe, a coisa mais eficaz que podes fazer.

Ativa a autenticação de dois fatores

Se um atacante conseguir obter as credenciais de acesso de alguém, a 2FA pode impedir a tomada de controlo total da caixa de entrada. Não vai travar tudo, mas torna o comprometimento da conta significativamente mais difícil.

Ensina a tua equipa a reconhecer o que é legítimo

Formação regular sobre o que é BEC, como funciona e quais são os sinais de alerta pode transformar os teus funcionários numa linha de defesa.

Deixa as tuas ferramentas fazer parte do trabalho pesado

Filtros de spam e ferramentas de autenticação de domínio como SPF, DKIM, and DMARC podem filtrar tentativas de BEC antes de chegarem à tua equipa. A deteção baseada em IA vai mais longe. Aprende como é o comportamento normal de email dentro da tua organização e assinala tudo o que for suspeito.