O e-mail de phishing mais caro que sua empresa vai receber não tem vírus nem link estranho. Parece uma mensagem normal de um fornecedor conhecido, dizendo que a conta bancária mudou e pedindo que a próxima fatura seja paga no novo IBAN. No relatório de crimes na internet de 2025 do FBI, esse tipo de fraude, chamado comprometimento de e-mail corporativo (BEC), gerou 24,768 denúncias e $3,046,598,558 em perdas, cerca de $123,000 por denúncia, ou aproximadamente SAR 461,000. A solução quase não custa nada: nunca altere os dados bancários de um beneficiário com base em um e-mail. Confirme por telefone, usando um número dos seus próprios registros, e exija que uma segunda pessoa aprove a mudança. (Tratamos o lado da aprovação de pagamentos no nosso artigo sobre o ataque à Binance e os controles de aprovação de pagamentos.)
Como é um e-mail de phishing em 2026
O conselho antigo era procurar erros de ortografia. Isso já não funciona. O relatório do FBI diz que geradores de chat conseguem produzir rapidamente e-mails com tom oficial que imitam o CEO ou outros executivos de uma empresa, e que a clonagem de voz pode ser usada para pedir uma transferência. Em 2025 o FBI recebeu mais de 22,000 denúncias que mencionavam inteligência artificial, com perdas acima de $893 milhões, e as empresas relataram mais de $30 milhões perdidos em comprometimento de e-mail corporativo envolvendo IA.
Por isso, avalie o pedido, não a escrita. Os sinais de alerta que continuam valendo:
- Uma mudança de dados bancários, principalmente pouco antes de um pagamento grande.
- Urgência e sigilo: "pague hoje", "estou em reunião, não ligue", "mantenha isso em sigilo".
- Um endereço de remetente quase certo: uma letra trocada no domínio, ou uma conta de e-mail gratuita no lugar do domínio da empresa.
- Um pedido que pula o seu processo habitual: um gestor pedindo diretamente a um contador que transfira dinheiro fora do sistema.
Os números por trás do problema
O Centro de Denúncias de Crimes na Internet do FBI (IC3) recebeu 1,008,597 denúncias em 2025, com perdas declaradas de $20.877 bilhões, um aumento de 26% em relação a 2024. Só o phishing e a falsificação de identidade geraram 191,561 denúncias. As denúncias de comprometimento de e-mail corporativo subiram de 21,442 em 2024 para 24,768 em 2025. São denúncias registradas nos Estados Unidos, não números sauditas, mas o método é o mesmo em todo lugar: o criminoso não invade o seu banco, ele convence o seu próprio funcionário a enviar o dinheiro.
O mesmo relatório traz a lição mais útil para qualquer equipe financeira: velocidade. Quando as vítimas denunciaram rápido, a Equipe de Recuperação de Ativos do FBI trabalhou com os bancos para congelar os valores. Em 3,900 incidentes em 2025, congelou $679,013,183, uma taxa de sucesso de 58%. O conselho do próprio FBI é que o tempo é essencial: fale imediatamente com o seu banco e peça o estorno da transferência.
6 passos que protegem sua empresa
- Uma regra de retorno de ligação para cada mudança de dados bancários. Todo pedido para mudar a conta de um fornecedor, funcionário ou parceiro é confirmado por telefone, usando o número que já está nos seus registros, nunca o do e-mail. Coloque isso por escrito como política, para que ninguém fique sem graça de perguntar.
- Duas pessoas para cada novo beneficiário. Uma pessoa cadastra o novo IBAN e outra pessoa aprova, em outro dispositivo. Peça ao seu banco para ativar isso no portal empresarial.
- Autenticação multifator no e-mail. O modelo de Padrão de Proteção de E-mail da Autoridade Nacional de Cibersegurança (NCA) exige MFA para o acesso ao webmail e aos aplicativos de e-mail no celular, e para os administradores de e-mail. A maioria dos casos de comprometimento de e-mail corporativo começa com uma senha de e-mail roubada.
- SPF, DKIM e DMARC no seu domínio. O mesmo modelo da NCA exige esses três registros, para que outros servidores possam rejeitar e-mails que fingem vir do seu domínio. Eles protegem seus clientes e fornecedores de e-mails falsos em seu nome.
- Filtragem e aviso de remetente externo. O modelo da NCA exige bloquear mensagens recebidas com links maliciosos ou tentativas de phishing e colocar em quarentena as mensagens de risco médio. Adicione um aviso visível em todo e-mail vindo de fora da empresa.
- Um plano de resposta de uma página. Se o dinheiro saiu: ligue para o banco na hora e peça o estorno, troque a senha do e-mail, verifique na caixa de entrada regras de encaminhamento que você não criou e avise o fornecedor cujo nome foi usado.
O que ensinar à sua equipe em 15 minutos
Você não precisa de um curso longo. Ensine três hábitos: conferir o endereço completo do remetente, nunca executar um pedido de pagamento que chegou só por e-mail e reportar uma mensagem suspeita em vez de apagá-la. Depois envie um e-mail de teste inofensivo uma vez por trimestre e discuta os resultados sem culpar ninguém. Uma equipe que reporta rápido vale mais do que uma equipe que nunca clica.
A visão da Origami
Vemos o phishing mais como um problema de processo do que de tecnologia. Os filtros de e-mail sempre vão deixar passar algumas mensagens, e a IA torna os e-mails falsos mais convincentes a cada mês. O que não muda é a regra dentro dos seus sistemas: uma mudança de dados bancários deve ser impossível sem verificação e sem uma segunda aprovação. Quando desenvolvemos sistemas sob medida de contabilidade, compras ou pagamentos, colocamos essa regra no próprio sistema, com um registro de cada alteração nos dados dos beneficiários, para que ela não dependa da memória de ninguém. Se quiser uma revisão da configuração do seu e-mail e das suas aprovações de pagamento, fale conosco ou conheça nossos serviços.
Fontes
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: total de denúncias e perdas, números de comprometimento de e-mail corporativo e de phishing, denúncias ligadas à IA e resultados de congelamento de valores da Equipe de Recuperação de Ativos.
- Autoridade Nacional de Cibersegurança (NCA) — Email Protection Standard template: requisitos sobre MFA, SPF, DKIM, DMARC e bloqueio de mensagens de phishing.
Perguntas frequentes
Como saber se um e-mail pedindo para mudar a conta bancária de um fornecedor é fraude?
Muitas vezes não dá para saber pelo próprio e-mail, porque a IA já escreve mensagens convincentes. Trate toda mudança de dados bancários como suspeita até confirmá-la por telefone, usando o número do fornecedor que já está nos seus registros, e não o do e-mail.
Transferimos dinheiro para um golpista. O que fazer primeiro?
Ligue imediatamente para o seu banco e peça o estorno da transferência; a rapidez é o que mais importa. Depois troque a senha do e-mail, verifique na caixa de entrada regras de encaminhamento que você não criou e avise o fornecedor cujo nome foi usado.
SPF, DKIM e DMARC bastam para impedir o phishing?
Não. Eles impedem que outros enviem e-mails fingindo vir do seu próprio domínio, o que protege seus clientes e fornecedores. Não impedem um domínio parecido nem a caixa de e-mail invadida de um fornecedor, então você ainda precisa da regra de retorno de ligação e da aprovação por duas pessoas.
Treinar a equipe ainda é útil se a IA escreve e-mails perfeitos?
Sim, mas mude o que você ensina. Em vez de procurar erros de ortografia, ensine a equipe a avaliar o pedido: qualquer mudança de dados bancários, urgência, sigilo ou pagamento fora do processo normal deve ser verificado e reportado.
