Comprometimento de e-mail corporativo (BEC): checklist de prevenção para pequenas empresas
O comprometimento de e-mail corporativo (BEC) acontece quando um criminoso sequestra ou imita uma conta de e-mail real (de um fornecedor, um cliente ou do seu próprio chefe) e a usa para pedir um pagamento ou uma troca de dados bancários. O IC3 do FBI contabilizou 305.033 incidentes e cerca de US$ 55,5 bilhões em perdas expostas no mundo entre outubro de 2013 e dezembro de 2023, e cerca de US$ 3,05 bilhões em perdas relatadas com BEC só em 2025.
Como funciona um ataque BEC típico
Invasão de conta: a caixa de e-mail de um fornecedor ou colega é comprometida por phishing, e o criminoso responde dentro de uma conversa real.
Falsificação ou domínios parecidos: o e-mail parece vir de um endereço conhecido ou de um domínio quase idêntico (uma letra a mais, outra terminação).
O pedido: “nossos dados bancários mudaram”, uma transferência urgente para um negócio ou um pedido de dados pessoais de funcionários.
Sinais de alerta
Troca de dados bancários, principalmente para banco ou país novo
Urgência, sigilo ou “estou em reunião, só resolve isso”
Endereço de resposta diferente do remetente, ou domínio com um caractere diferente
Um pedido que pula suas etapas normais de aprovação
Checklist de prevenção
Confirme toda troca de dados bancários por outro canal. O FBI recomenda usar canais secundários para verificar mudanças nos dados da conta: ligue para um número dos seus registros, nunca o do e-mail.
Exija aprovação de duas pessoas para novos favorecidos e pagamentos acima de um limite.
Ative a autenticação multifator em todas as contas de e-mail e use senhas exclusivas.
Configure a autenticação de e-mail (SPF, DKIM e DMARC) no seu domínio para dificultar que criminosos se passem por você. A FTC explica como no guia de cibersegurança para pequenas empresas.
Exiba o endereço completo do remetente nos computadores e celulares da equipe e confira letra por letra.
Fique de olho em regras de encaminhamento que você não criou; atacantes as usam para esconder respostas.
Treine quem paga as faturas. Um lembrete curto e regular desses sinais é a “melhor defesa”, segundo a FTC.
Tenha um plano para quando acontecer: ligue para o banco pedindo o estorno e denuncie imediatamente ao IC3 (EUA), ao Action Fraud (Reino Unido) ou à polícia. O FBI diz que cada minuto conta.
Antes de pagar um pedido que chegou por e-mail, cole o endereço do remetente, o site ou a fatura no PayOrScam. Ele verifica a idade do domínio, grafias parecidas, registros de e-mail, o registro da empresa e os dados bancários, com a fonte de cada resultado. Depois, faça a ligação de confirmação.