Segundo o relatório anual de crimes na internet do FBI, o IC3, a fraude por e-mail corporativo — o golpe em que o criminoso não invade nada, só escreve o e-mail certo na hora certa — gerou mais de US$ 3 bilhões em prejuízos verificados nos Estados Unidos em 2025. O valor exato, US$ 3.046.598.558, coloca essa categoria em segundo lugar entre todos os tipos de crime cibernético monitorados pelo FBI, atrás só da fraude de investimento.
O padrão se repete do outro lado do problema. O relatório de investigações de violações de dados da Verizon, o DBIR 2025, mediu uma perda mediana de US$ 50 mil por caso, com 88% do dinheiro saindo por transferência bancária — o mesmo caminho que qualquer boleto ou Pix corporativo usaria se nada tivesse sido alterado no meio do percurso.
Para quem decide numa empresa brasileira, o dado que importa não é o valor em dólar: é o mecanismo. Não existe vírus para detectar, nem senha vazada para trocar. O golpista lê a conversa entre a empresa e o fornecedor, espera o boleto ficar perto de vencer, e substitui a conta na hora certa — com a mesma assinatura, o mesmo tom e o mesmo anexo em PDF de sempre.
O golpe que não precisa invadir nada
O golpe funciona de duas formas. Na primeira, o criminoso invade de fato a caixa de entrada do fornecedor ou da empresa — geralmente por uma senha reaproveitada ou um clique num link falso — e passa dias ou semanas só lendo. Na segunda, mais comum, ele nem precisa invadir nada: registra um domínio quase idêntico ao do fornecedor, trocando uma letra ou um ponto, e entra na conversa como se fosse ele.
Em qualquer uma das duas formas, o momento escolhido é sempre o mesmo: a véspera do boleto. Segundo reportagem do Correio Braziliense sobre esse tipo de fraude, os criminosos conseguem interceptar boletos em PDF diretamente na caixa de entrada da vítima e alterar código de barras e dados bancários no documento, sem que o texto do e-mail mude uma vírgula.
A sofisticação cresce junto. A mesma reportagem cita a consultoria de segurança Redbelt Security, que mapeia mais de duas dezenas de variações desse golpe, concentradas em cinco vetores principais — e já registra casos em que um áudio com voz clonada por IA, imitando um executivo, é usado para pressionar o time financeiro a aprovar o pagamento sem checar mais nada.
No Brasil, o pano de fundo é de crescimento. Segundo a Febraban, as fraudes financeiras no sistema bancário somaram R$ 10,1 bilhões em 2024, alta de 17% sobre os R$ 8,6 bilhões de 2023 — a maior parte concentrada em cartão de crédito e Pix, mas pela mesma porta de entrada: engenharia social, a manipulação de alguém para agir contra o próprio interesse sem perceber. A Polícia Federal criou a plataforma Tentáculos justamente para rastrear esse tipo de golpe entre bancos e vítimas.
Um caso real mostra o efeito. Em outubro de 2025, um incidente de fraude por e-mail corporativo levou a Rede Amazônica, maior afiliada da TV Globo, a rever toda a segurança digital do zero — unificando provedores de e-mail, exigindo um segundo passo de confirmação além da senha em toda conta e centralizando quem tem acesso a quê.
Por que o filtro de e-mail sozinho não resolve
O jeito comum de lidar com isso é confiar no que já existe: o filtro de spam do provedor de e-mail, o antivírus nas máquinas, e o bom senso de quem está no financeiro. O problema é que nenhum dos três pega esse golpe. O e-mail não tem anexo malicioso, não tem link estranho, não aciona nenhum alarme técnico — é texto simples, de um contato conhecido, numa conversa que já estava acontecendo.
Um filtro de e-mail comum verifica se a mensagem parece maliciosa, não se o domínio de quem enviou é realmente o do fornecedor. Um endereço com uma letra trocada passa batido — e passa batido também pelos olhos de quem está com pressa para fechar o pagamento antes do vencimento.
O segundo furo é de processo, não de tecnologia. Na maioria das empresas pequenas e médias, quem recebe o boleto também aprova o pagamento, sozinho, sem checar em nenhum outro canal — e a mudança de conta bancária de um fornecedor, algo que deveria acender um alerta, chega embutida na rotina, no mesmo e-mail de sempre, e ninguém pega o telefone para confirmar.
O que precisa existir na prática
Um controle real contra esse golpe combina tecnologia e processo — nenhum dos dois sozinho resolve.
Verificação do domínio de quem envia. Uma regra configurada no provedor de e-mail sinaliza quando o domínio do remetente é parecido, mas não idêntico, ao de um contato já conhecido — o tipo de troca de uma letra que o olho humano deixa passar.
Segundo passo de confirmação além da senha nas caixas do financeiro e da diretoria. São essas as contas que valem a pena invadir, e são as primeiras que o golpista tenta.
Confirmação de mudança de conta bancária por telefone, num número já conhecido — nunca o que veio no e-mail. É a única barreira que um domínio falso ou uma conta invadida não conseguem simular: a voz de quem já se falou antes, num número que não veio daquela mensagem.
Dupla aprovação acima de um valor definido, com uma segunda pessoa olhando antes de qualquer transferência sair — sem depender de quem recebeu o e-mail ser também quem libera o pagamento.
Um prazo mínimo entre o pedido e o pagamento para qualquer mudança fora do padrão, mesmo com o boleto perto de vencer. A pressa é a ferramenta favorita desse golpe, e um prazo mínimo tira a pressa da equação.
É assim que a Skills IT trabalha: ajusta as regras de filtro de e-mail para sinalizar domínio suspeito, revisa quem tem acesso às caixas de entrada mais sensíveis e apoia a empresa a desenhar o processo de dupla checagem antes de qualquer pagamento sair.
O que muda para a empresa quando isso funciona
Quando esses controles existem, o ganho aparece em dois lugares. O primeiro é o dinheiro que não sai pela porta errada — sem depender de sorte ou de alguém desconfiar bem na hora certa. O segundo é o que acontece depois: sem um processo de verificação, cada pagamento de fornecedor carrega uma dúvida silenciosa, e essa dúvida rouba tempo de quem está no financeiro, checando duas vezes o que já deveria estar checado por rotina.
Dentro de um contrato de serviços gerenciados como o da Skills IT, essa checagem entra junto com o resto do suporte de segurança — não é mais um fornecedor separado para administrar.
Há ainda um ganho menos óbvio: com o histórico de tentativas registrado, a empresa aprende com o tempo — sabe se o volume de golpes está subindo, de onde eles costumam vir, e ajusta o processo antes do próximo caso, em vez de descobrir a falha só depois que o dinheiro já saiu.
Quatro perguntas para levar à próxima reunião
Antes de escrever mais uma norma interna, vale responder a estas quatro perguntas com o financeiro e com quem cuida da TI:
- Quem confirma uma mudança de conta bancária de fornecedor, e por qual canal? Se a resposta for "quem recebeu o e-mail, respondendo o próprio e-mail", a defesa não existe — a confirmação precisa acontecer num canal que o golpista não controla.
- Existe um valor a partir do qual um pagamento pede uma segunda aprovação? Se não existe, toda transferência depende do julgamento de uma única pessoa, num dia em que ela pode estar com pressa.
- O provedor de e-mail sinaliza domínio parecido, ou só bloqueia anexo malicioso? São dois problemas diferentes, e esse golpe não usa anexo nenhum.
- Quando foi a última vez que alguém testou o processo, fingindo ser um fornecedor pedindo urgência? Um processo que nunca foi testado sob pressão é uma suposição, não um controle.
