BEC: quando uma mensagem convincente vira fraude corporativa.

O que é Business Email Compromise?

BEC é uma fraude na qual o criminoso se passa por executivo, fornecedor, cliente ou parceiro para induzir uma ação de alto impacto. A mensagem pode usar uma conta falsificada, um domínio parecido ou até uma conta legítima comprometida.

Como o texto pode parecer natural e conter informações reais, a análise precisa considerar também o processo: o pedido é esperado, está dentro da alçada e foi confirmado?

Sinais que merecem uma pausa

Nenhum sinal isolado prova uma fraude, mas a combinação de fatores aumenta o risco:

• Mudança inesperada de conta bancária ou forma de pagamento
• Pressão para ignorar aprovações ou manter segredo
• Domínio semelhante ao verdadeiro, com pequenas alterações
• Pedido fora do padrão de horário, valor ou linguagem
• Solicitação de credenciais, códigos de autenticação ou documentos sensíveis

Como reduzir o risco de BEC

Confirme mudanças financeiras por um canal independente, aplique dupla aprovação para operações sensíveis e proteja contas de email com MFA. Domínios similares, regras de encaminhamento e acessos suspeitos também devem ser monitorados.

Se houver suspeita, interrompa a operação, preserve evidências e acione imediatamente os responsáveis internos. Em transferências já realizadas, cada minuto pode ser importante para contatar as instituições envolvidas.

Dúvidas frequentes

BEC sempre contém link ou anexo malicioso?

Não. Muitas fraudes BEC usam apenas texto e engenharia social para solicitar um pagamento ou mudança de dados.

MFA impede todo caso de BEC?

Não. MFA reduz riscos de invasão de contas, mas não impede falsificação de identidade nem decisões induzidas por engenharia social.

Onde posso aprender com exemplos?

O treinamento gratuito de phishing do SecuriDox inclui uma lição introdutória sobre BEC e outros sete tópicos anteriores.