A negociação vinha de semanas, tudo por e-mail, tudo normal. Perto do fechamento, chega a mensagem esperada: os dados bancários para o pagamento, no mesmo fio de conversa, com a mesma assinatura, o mesmo tom. A empresa paga. Dias depois, o fornecedor cobra: nunca recebeu. Os dois releem a troca de mensagens e descobrem, tarde, que em algum ponto a conversa mudou de mãos: a conta indicada não era do fornecedor, o domínio do remetente tinha uma letra trocada, ou a mensagem partiu da caixa legítima, invadida. É o golpe conhecido como BEC, o comprometimento de e-mail corporativo, e ele produz simultaneamente um prejuízo e um litígio: as duas empresas são vítimas, e uma delas vai ficar com a conta.
A pergunta que decide: onde estava o criminoso?
Juridicamente, a disputa entre as duas empresas gira em torno da diligência: quem deixou a porta aberta e quem deixou de conferir o razoável. Tecnicamente, essa discussão só sai do achismo com uma resposta: em qual ambiente o fraudador operava? Se a caixa invadida foi a do fornecedor, de onde partiu a instrução falsa, o peso pende para um lado; se o comprometimento estava no comprador, que recebeu a mensagem legítima e teve a tela trocada diante de si, pende para o outro; se nenhum ambiente foi invadido e tudo se passou por um domínio parecido registrado na véspera, a análise se volta para quem deveria ter percebido. Cada cenário deixa vestígios distintos, e é o exame que os separa.
O trabalho percorre as duas pontas. Nos cabeçalhos das mensagens, a rota real de cada e-mail: servidores de passagem, resultados de autenticação (SPF, DKIM, DMARC), divergências entre o remetente exibido e o remetente de fato. Nos registros das caixas, os sinais de invasão: acessos de localizações e aparelhos estranhos, e principalmente as regras de encaminhamento e ocultação criadas pelo invasor, o truque clássico de desviar silenciosamente as respostas para que a vítima não perceba a conversa paralela. No ambiente de quem pagou, os artefatos da estação confirmam se a mensagem fraudulenta de fato chegou de fora ou se havia comprometimento interno.
"No BEC, as duas empresas juram inocência, e as duas dizem a verdade que conhecem. O laudo existe para estabelecer a verdade que nenhuma das duas viu: em qual ambiente o criminoso trabalhava."
As primeiras horas valem o caso
Descoberto o desvio, três relógios correm ao mesmo tempo. O do dinheiro: o contato imediato com os bancos e o registro da ocorrência aumentam a chance de bloqueio dos valores antes da pulverização. O da prova: registros de autenticação e logs de provedores expiram, e as caixas seguem sendo usadas, sobrescrevendo vestígios; a preservação forense das mensagens, cabeçalhos completos e registros de acesso precisa acontecer antes da "arrumação" bem-intencionada da TI. E o relógio do contrato: apólices de seguro cibernético e cláusulas de comunicação têm prazos próprios, e o descumprimento formal custa a cobertura. As três corridas dependem do mesmo gesto inicial: tratar o episódio como cena de investigação, não como constrangimento a resolver por telefone.
Vale registrar: o exame também protege quem pagou certo. Quando o laudo demonstra que a instrução partiu da caixa legítima do fornecedor invadido, a empresa pagadora deixa de ser negligente e vira credora da discussão.
O que o laudo estabelece
- A anatomia da fraude: domínio falso, caixa invadida ou desvio interno, com os vestígios de cada hipótese testados;
- A linha do tempo completa: do primeiro acesso indevido à instrução de pagamento fraudulenta;
- Os indicadores de diligência e de falha de cada ambiente: autenticação de e-mail configurada ou ausente, alertas ignorados, dupla verificação praticada ou não;
- A base técnica para a discussão de responsabilidade entre as empresas, para a seguradora e para a persecução criminal.
As variações do mesmo golpe
O desvio de pagamento a fornecedor é a forma clássica, mas a família é grande. Na fraude do falso executivo, o financeiro recebe a mensagem "do presidente" pedindo transferência urgente e sigilosa, quase sempre numa sexta-feira à tarde, explorando hierarquia e pressa. Na variação de RH, o "funcionário" pede a alteração da conta de depósito do salário dias antes do pagamento. Na do falso boleto, a fatura legítima é interceptada e reemitida com código de barras adulterado. O denominador comum é o mesmo: o golpe não ataca o sistema, ataca a rotina, o gesto repetido de pagar o que parece certo. E a assinatura técnica também se repete: o exame dos cabeçalhos, dos registros de acesso e das regras de caixa revela onde a conversa foi interceptada e qual elo confiou quando devia conferir. Quem já mapeou uma variação reconhece as outras; quem nunca examinou nenhuma paga a próxima fatura falsa.
A prevenção que custa um telefonema
Nenhum controle tecnológico substitui a regra de ouro contra o BEC: dado bancário novo ou alterado se confirma por um segundo canal, uma ligação para o número já conhecido do fornecedor, nunca para o telefone informado no próprio e-mail suspeito. Ao lado dela, autenticação multifator nas caixas corporativas, políticas de autenticação de domínio bem configuradas, alertas para regras de encaminhamento criadas e treinamento do financeiro para desconfiar da pressa. O golpe explora exatamente a confiança construída na conversa longa; a defesa é institucionalizar a desconfiança no único momento que importa: a véspera do pagamento.
Quando a prevenção falha, sobra a disputa, e ela será decidida pela qualidade da prova que cada lado preservou. A empresa que congela os vestígios no primeiro dia entra na negociação, no processo ou no sinistro com fatos demonstrados. A que "resolve" a caixa invadida antes de preservar entra com uma história, e histórias, contra laudos, costumam perder.
No BEC, quem paga a conta é sempre quem tem menos prova. O exame existe para que não seja você.
