O Business Email Compromise (BEC) já é considerado o golpe corporativo mais caro do mundo. Segundo o FBI IC3, somente em 2024 as perdas globais ultrapassaram US$ 3 bilhões em um único ano, com impacto direto em empresas de todos os portes e setores.
A razão é simples e alarmante: o BEC não depende de malware avançado ou invasões complexas. Ele explora o ativo mais estratégico de qualquer empresa: a confiança.
Criminosos assumem o controle de contas de e-mail corporativo, infiltram-se em conversas legítimas e, no momento certo, manipulam instruções de pagamento. O resultado é desvio de valores milionários, muitas vezes sem levantar suspeitas até que seja tarde demais.
Como o golpe se constrói
O BEC geralmente começa com uma credencial vazada em um vazamento de dados ou com uma sessão sequestrada por um ataque de phishing avançado, como o Adversary-in-the-Middle (AiTM).
Uma vez dentro, o criminoso não age de imediato. Ele observa. Analisa e-mails antigos, entende o estilo de comunicação, identifica quem aprova pagamentos e quais colaboradores têm acesso direto às finanças.
Esse período de “espionagem silenciosa” pode durar dias ou semanas. Nesse tempo, o invasor configura regras ocultas na conta de e-mail para encaminhar cópias de mensagens para caixas externas, mover alertas de segurança para pastas invisíveis e filtrar palavras-chave como “pagamento” ou “transferência”. Dessa forma, monitora todas as movimentações financeiras sem levantar suspeitas.
A etapa seguinte é a manipulação. Quando surge uma oportunidade – uma cobrança de fornecedor, uma renegociação de contrato ou uma fatura em andamento – o criminoso intervém na própria thread de e-mails legítimos.
A alteração pode ser mínima: um novo número de conta, um PIX diferente ou um pedido de urgência. Mas, como a mensagem vem de um endereço real da empresa, com histórico e tom consistentes, a fraude fica difícil de detectar no dia a dia.
Por que o impacto é tão grave
O BEC não é apenas uma fraude financeira. É um ataque que compromete relações de confiança. Além dos prejuízos diretos, que já somam bilhões de dólares globalmente, empresas enfrentam consequências de longo prazo: ruptura com parceiros comerciais, danos irreparáveis à reputação e até multas regulatórias por falhas em processos de segurança.
O relatório Verizon DBIR 2025 reforça a gravidade ao apontar que 60% das violações confirmadas envolvem erro humano, e o BEC é um exemplo claro de como o comportamento humano continua sendo explorado em escala corporativa.
Como se defender de forma estratégica
A defesa contra o BEC exige mais do que boas práticas de TI, requer uma estratégia corporativa de resiliência.
Autenticação multifator tradicional já não é suficiente. Empresas precisam adotar MFA resistente a phishing, como chaves FIDO2/WebAuthn, que validam não apenas o usuário, mas também o domínio acessado. Esse simples detalhe é o que impede proxies maliciosos de sequestrar sessões.
Além disso, políticas de monitoramento contínuo são fundamentais. Detectar regras ocultas em caixas de e-mail, identificar logins simultâneos em localidades diferentes e monitorar comportamentos anômalos são medidas que permitem cortar o ataque antes que ele chegue ao ponto crítico.
E, por fim, há o fator humano: treinamento recorrente para que colaboradores reconheçam sinais de fraude e sintam-se encorajados a reportar comportamentos estranhos sem medo de retaliação.
O papel da Danresa na proteção contra BEC
Aqui na Danresa, entendemos que o clique sempre pode acontecer. Por isso, nossa abordagem é em camadas:
- O FortiMail atua como barreira inicial, bloqueando mensagens suspeitas antes de chegarem à caixa de entrada.
- O FortiEDR identifica movimentações anômalas em endpoints, isolando comportamentos suspeitos em tempo real.
- Controles de identidade avançados fortalecem a governança e reduzem a superfície de ataque.
Essa combinação transforma o e-mail corporativo, frequentemente o elo mais frágil, em um ponto de defesa estratégico.
Saiba Mais
Últimos Posts
5 riscos na internet que você precisa conhecer antes que virem um incidente de segurança
Leia mais »
0 comentário