Como funciona o golpe do falso chefe pedindo transferência urgente
Uma mensagem chega no celular de um funcionário, aparentemente enviada pelo diretor, proprietário ou gerente da empresa. O pedido parece importante: é preciso fazer uma transferência com urgência, pagar um fornecedor ou resolver uma pendência financeira antes de determinado horário.
O suposto chefe pode dizer que está em reunião, viajando ou impossibilitado de conversar. A situação é apresentada como excepcional e, principalmente, urgente.
Esse é o chamado golpe do falso chefe, uma fraude baseada em engenharia social na qual criminosos se passam por pessoas com autoridade dentro de uma organização para convencer funcionários a transferir dinheiro ou fornecer informações.
Em ambientes corporativos, uma modalidade relacionada é conhecida internacionalmente como Business Email Compromise, ou BEC. O FBI descreve BEC como um tipo de fraude que explora comunicações empresariais e pode envolver comprometimento ou falsificação de contas para realizar transferências não autorizadas.
Como o golpe do falso chefe começa
O criminoso precisa tornar o contato convincente. Para isso, pode pesquisar previamente informações públicas sobre a empresa e seus profissionais.
Sites corporativos e redes sociais podem revelar quem é o diretor, quem trabalha no financeiro, quais funcionários ocupam determinados cargos e até informações sobre viagens ou eventos.
Com esses dados, o golpista consegue construir uma abordagem aparentemente plausível.
Ele pode entrar em contato por e-mail, aplicativo de mensagens ou telefone e se apresentar como alguém que realmente possui autoridade para solicitar pagamentos.
Em alguns casos, o endereço ou número utilizado é diferente do verdadeiro. Em outros, criminosos podem tentar comprometer contas legítimas, tornando a fraude mais difícil de perceber.
A urgência é uma das principais armas do golpe
Um pedido inesperado de transferência poderia naturalmente gerar perguntas. Por isso, o criminoso procura reduzir o tempo disponível para pensar e verificar.
A mensagem pode alegar que um pagamento precisa ser realizado imediatamente, que uma negociação é confidencial ou que o chefe não pode atender ligações naquele momento.
Esse contexto cria pressão psicológica.
O funcionário pode pensar que atrasar o pagamento causará um problema para a empresa ou que questionar demais uma ordem do superior será mal interpretado.
A combinação de autoridade, urgência e confidencialidade é justamente o que torna esse tipo de engenharia social perigoso.
Um exemplo ajuda a entender
Imagine que uma pessoa do setor financeiro receba uma mensagem de um número desconhecido:
O remetente afirma ser o diretor da empresa e explica que está utilizando temporariamente outro telefone. Em seguida, pede um pagamento urgente relacionado a uma negociação confidencial.
Pouco depois, envia os dados bancários.
O funcionário reconhece o nome e a foto utilizados no perfil e acredita que realmente está falando com o diretor.
O problema é que nome e fotografia não comprovam identidade. Essas informações podem ter sido obtidas publicamente.
Se o funcionário executar a transferência sem confirmar o pedido por um canal independente, o dinheiro poderá ser enviado diretamente ao fraudador.
O golpe também pode acontecer por e-mail
A fraude não depende de aplicativos de mensagens.
Um criminoso pode utilizar um endereço muito parecido com o corporativo, tentando fazer o funcionário acreditar que recebeu uma mensagem legítima.
Uma pequena alteração no domínio ou no nome do remetente pode passar despercebida durante uma rotina corrida.
Outra possibilidade é o comprometimento de uma conta verdadeira. Nesse cenário, mensagens enviadas pela conta podem parecer ainda mais convincentes.
Por isso, analisar apenas o nome exibido pelo remetente não é suficiente para validar uma solicitação financeira.
Inteligência artificial pode aumentar o poder de convencimento
A evolução das ferramentas de inteligência artificial acrescentou outra preocupação aos golpes de personificação.
A Anatel alerta que deepfakes podem reproduzir características de pessoas conhecidas, incluindo voz e aparência, e serem utilizados em tentativas de fraude. A recomendação inclui confirmar a identidade da pessoa por outros meios antes de realizar pagamentos ou fornecer informações sensíveis.
Isso significa que reconhecer a voz do chefe durante uma ligação já não deve ser considerado, isoladamente, uma autenticação segura para autorizar uma transferência incomum.
O mesmo cuidado vale para chamadas de vídeo suspeitas.
A tecnologia não precisa ser perfeita para funcionar. Em uma conversa curta, com ruído, pressão e urgência, uma imitação razoavelmente convincente pode ser suficiente para reduzir a desconfiança da vítima.
Quais sinais merecem atenção
Nenhum sinal isolado confirma necessariamente uma fraude. Porém, determinadas situações justificam uma verificação adicional antes de qualquer movimentação financeira.
Entre elas estão pedidos de pagamento inesperados, mudança repentina dos dados bancários de um fornecedor, contato por um número diferente, solicitação para ignorar procedimentos internos e insistência para que ninguém mais seja informado.
Pedidos excessivamente confidenciais também merecem cautela, especialmente quando impedem justamente as verificações que normalmente seriam feitas pela empresa.
Outro alerta importante ocorre quando o suposto chefe tenta impedir uma confirmação independente com justificativas como estar em reunião ou não poder atender uma ligação.
Como uma empresa pode reduzir esse risco
A principal proteção não deve depender da capacidade individual de cada funcionário reconhecer uma mensagem falsa.
Empresas podem estabelecer procedimentos para que determinados pagamentos precisem de confirmação adicional, independentemente de quem aparentemente fez o pedido.
Uma regra interna pode determinar, por exemplo, que mudanças de dados bancários e transferências extraordinárias sejam confirmadas utilizando contatos previamente cadastrados.
Assim, se alguém receber uma mensagem supostamente enviada pelo diretor solicitando uma transferência incomum, poderá confirmar diretamente pelo telefone corporativo conhecido ou por outro canal estabelecido pela empresa.
O FBI recomenda, entre outras medidas contra BEC, verificar solicitações de pagamentos e compras pessoalmente ou por telefone e confirmar qualquer alteração de número de conta ou procedimento de pagamento com a pessoa que aparentemente fez a solicitação.
O cargo de quem pede não deve eliminar a verificação
Uma política de segurança funciona melhor quando vale para todos.
Se funcionários acreditarem que não podem questionar uma solicitação do presidente, diretor ou proprietário, o criminoso poderá explorar justamente essa hierarquia.
Por isso, a organização pode estabelecer previamente que confirmar pedidos incomuns não significa desconfiar de um superior. É simplesmente parte do processo financeiro.
Um diretor verdadeiro provavelmente também se beneficia dessa regra, pois alguém tentando se passar por ele encontrará uma barreira adicional.
E se a transferência já tiver sido realizada?
A velocidade passa a ser importante.
No Brasil, se a fraude envolver Pix, o Banco Central orienta que a vítima conteste a transação pelo aplicativo da instituição financeira o mais rapidamente possível. O Mecanismo Especial de Devolução, conhecido como MED, pode ser utilizado em situações elegíveis de fraude, embora a devolução dos valores não seja garantida.
Também é importante comunicar imediatamente a instituição financeira pelos canais oficiais, preservar mensagens, e-mails, números utilizados, comprovantes e demais evidências relacionadas à fraude.
Dependendo do caso, a empresa também deverá seguir seus procedimentos internos de resposta a incidentes e registrar a ocorrência perante as autoridades competentes.
A melhor defesa é impedir que a urgência substitua o procedimento
O golpe do falso chefe funciona porque transforma uma situação aparentemente comum dentro de uma empresa em uma decisão tomada sob pressão.
A mensagem pode conhecer nomes reais, mencionar assuntos plausíveis e até parecer vir de um canal legítimo. Com recursos de inteligência artificial, voz e imagem também não devem ser utilizadas isoladamente como prova de identidade.
Por isso, a pergunta mais importante antes de uma transferência inesperada não é apenas “parece realmente meu chefe?”, mas também “este pedido passou pelo procedimento de confirmação da empresa?”.
Quando pagamentos extraordinários, alterações bancárias e solicitações urgentes precisam de uma segunda validação por um canal previamente conhecido, o golpista precisa superar mais do que uma boa história. Ele precisa superar o próprio processo de segurança da organização.
Fontes consultadas
Federal Bureau of Investigation (FBI), orientações sobre Business Email Compromise e prevenção de fraudes empresariais. FBI, Business Email Compromise
Agência Nacional de Telecomunicações (Anatel), orientações sobre deepfakes, clonagem de voz e golpes digitais. Anatel, golpes com inteligência artificial
Banco Central do Brasil, informações sobre o Mecanismo Especial de Devolução e procedimentos relacionados a fraudes com Pix. Banco Central, segurança no Pix