Comprometimento de e-mail corporativo (BEC): como funciona, sinais de alerta e o que fazer
Golpes contra empresas · alto
No BEC, o criminoso usa o e-mail corporativo, invadido ou falsificado, para induzir alguém a fazer um pagamento ou enviar dados. A invasão costuma começar com phishing de credenciais; depois o golpista lê a caixa de entrada por dias ou semanas para entender quem aprova pagamentos e como as pessoas escrevem.
No momento certo, ele envia, do próprio e-mail comprometido ou de um domínio parecido (empressa.com em vez de empresa.com), um pedido urgente: pagar uma fatura, mudar dados bancários, comprar cartões-presente ou mandar a folha de pagamento. É comum criar regras de encaminhamento que escondem as respostas do dono da conta.
O FBI IC3 registrou 24.768 queixas de BEC em 2025, com cerca de US$ 3,05 bilhões em perdas nos EUA. O APWG apontou valor médio pedido em transferências BEC de US$ 50.297 no 4º trimestre de 2025.
Sinais / Signs
- Pedido urgente de pagamento ou mudança de conta, com pedido de sigilo
- Domínio do remetente com uma letra trocada ou extensão diferente
- O "Responder para" é diferente do remetente
- Tom ou assinatura ligeiramente diferente do habitual
- Solicitante indisponível por telefone ("estou em reunião, só por e-mail")
- Regras de encaminhamento ou de filtro que ninguém criou
Prevenção / Prevention
- Exija MFA resistente a phishing em todas as contas de e-mail
- Confirme qualquer pagamento novo ou mudança de dados por telefone, usando número já cadastrado
- Adote dupla aprovação para transferências acima de um limite
- Configure SPF, DKIM e DMARC e sinalize e-mails externos
- Monitore regras de caixa postal e logins de locais incomuns
- Treine financeiro e diretoria com exemplos reais
O que fazer / What to do
- Ligue imediatamente para o banco e peça o recall/estorno da transferência
- Nos EUA, registre no IC3 o quanto antes: a equipe de recuperação de ativos do FBI atua sobre transferências recentes
- Troque senhas, encerre sessões e remova regras suspeitas da caixa invadida
- Preserve os e-mails com cabeçalhos completos e os logs
- Avise clientes e fornecedores que possam ter recebido mensagens falsas
- No Brasil, registre boletim de ocorrência e avalie comunicar a ANPD se houve dados pessoais expostos
FAQ
BEC é a mesma coisa que phishing?
Não. Phishing costuma ser em massa e busca credenciais. O BEC é direcionado e busca um pagamento ou dado específico, muitas vezes usando uma conta já invadida por phishing.
Pequenas empresas também são alvo?
Sim. Elas costumam ter menos controles de aprovação, o que facilita o golpe.
Radar
- — Golpes de e-mail corporativo (BEC) custam US$ 3,05 bi às empresas dos EUA · US$ 3,05 bi. O IC3 recebeu 24.768 queixas de BEC em 2025, com perdas de US$ 3.046.598.558. Fonte: FBI IC3 2025 (cópia do PDF via PPC Land)
FBI IC3 - Internet Crime Complaint Center · FBI IC3 2025 Internet Crime Report (PDF, cópia) · APWG Phishing Activity Trends Report Q4 2025 · CERT.br · ANPD