Chega um e-mail do fornecedor com quem trabalhas há anos. Mudaram de banco e pedem que atualizes o IBAN para a próxima fatura. O logótipo é o de sempre, a assinatura também, a fatura tem o número certo. Atualizas os dados e pagas os 12 mil euros. Duas semanas depois, o fornecedor liga a perguntar pelo pagamento em atraso. O dinheiro foi para a conta de um burlão.
Como funciona a burla da mudança de IBAN
Esta é uma das fraudes mais silenciosas e mais caras que atinge empresas em Portugal. O burlão não inventa um fornecedor do nada -- aproveita uma relação comercial real que já existe. O pedido parece rotineiro porque é rotineiro: as empresas mudam mesmo de banco, e atualizar um IBAN é uma tarefa banal.
Aqui está o que torna esta burla diferente de todas as outras, e o que tens de perceber para te defenderes: não vais apanhá-la por ela parecer falsa, porque ela parece perfeitamente verdadeira. Não há erros de português, não há urgência gritante, não há ameaças. Há um pedido administrativo plausível dentro de uma conversa que já estava a acontecer. Se a tua defesa depender de "notar algo estranho", vais pagar -- porque não há nada de estranho para notar.
O truque está na origem. O atacante consegue acesso a uma caixa de correio -- a do fornecedor ou a da tua empresa -- ou então cria um endereço quase idêntico ao verdadeiro, com uma letra trocada que ninguém repara à pressa. A partir daí, interceta ou imita a comunicação e injeta o pedido: novo IBAN, mesma fatura, mesmo tom.
Às vezes o reforço vem por telefone. Alguém liga a confirmar "a alteração que enviámos por e-mail", para dar credibilidade. Se o número parecer o do fornecedor, a desconfiança desaparece -- mas o número que aparece no ecrã pode ser falsificado, exatamente como acontece na fraude do CEO por telefone.
Porque é tão difícil de apanhar
O pagamento sai pelos canais normais, autorizado por quem de direito. Não há nada a "piratear" no momento da transferência -- a empresa paga voluntariamente, convencida de que está a fazer o que deve. Por isso a burla só costuma ser descoberta semanas depois, quando o verdadeiro fornecedor reclama o dinheiro que nunca recebeu.
Os sinais a que deves estar atento
Há detalhes que traem o esquema se olhares com atenção:
- Um pedido de alteração de IBAN, sobretudo se for a primeira vez com aquele fornecedor.
- O endereço de e-mail tem uma diferença mínima -- uma letra a mais, um domínio ".com" onde costumava ser ".pt".
- O novo IBAN é de outro país ou de um banco que não bate certo com a localização do fornecedor.
- O pedido chega encavalitado num assunto urgente, a pressionar para pagar depressa.
- O nome do titular da conta não corresponde exatamente ao da empresa fornecedora.
Esse último ponto merece destaque. Numa transferência, o nome do beneficiário e o IBAN deviam casar. Quando o titular da conta nova não é o fornecedor mas "outra entidade qualquer", para tudo. É um dos indícios mais fortes de que estás a pagar à pessoa errada.
Nem todas as verificações valem o mesmo
A maioria dos conselhos que se lê sobre isto é fraca, e convém ser honesto quanto a isso. A verdade é que uma caixa de correio comprometida envia um e-mail impecável, a partir do endereço verdadeiro, sem um único erro. Olhar para o pedido e "procurar sinais" apanha os amadores, não os profissionais. Vê o que cada verificação trava mesmo:
| Verificação | Trava a burla? |
|---|---|
| Confirmar que o e-mail "parece" o do fornecedor | Não -- a caixa pode estar comprometida |
| Procurar erros de português no pedido | Não -- estes pedidos são limpos |
| Ver se o IBAN é português | Não -- há contas-mula em bancos nacionais |
| Ligar para o número indicado no e-mail | Não -- pode ser o do próprio burlão |
| Ligar para o contacto de sempre e perguntar | Sim -- é o único que confirma de facto |
Na prática, quatro em cada cinco "verificações" habituais não servem para nada aqui. Só a última fecha a porta.
A regra de ouro: confirmar por voz, no número de sempre
Qualquer alteração de dados bancários de um fornecedor só se aceita depois de confirmação telefónica num número que já tinhas -- nunca o número que vem no e-mail do pedido. Liga tu, para o contacto de sempre, e pergunta diretamente: "mudaram mesmo de IBAN?"
Parece básico, e é. Mas é precisamente este passo que o burlão tenta evitar a todo o custo, fornecendo um número novo "do departamento financeiro" ou insistindo que está tudo tratado por e-mail. Se a confirmação só pode ser feita pelos canais que o próprio pedido te dá, não é confirmação nenhuma.
Convém transformar isto num procedimento fixo da empresa:
- Toda a alteração de IBAN exige confirmação por chamada para um contacto pré-registado do fornecedor.
- A primeira transferência para um IBAN novo é de valor reduzido, como teste, antes de pagar o montante total.
- Os dados bancários dos fornecedores ficam guardados num registo central, e qualquer mudança passa por mais de uma pessoa.
Vale também reforçar a segurança das caixas de correio: autenticação em dois passos, palavras-passe únicas e atenção a regras de reencaminhamento estranhas, que são um sinal clássico de uma conta comprometida.
O que diz a lei e onde denunciar
Estes casos enquadram-se na burla e, quando há manipulação de comunicações ou de processos informáticos, na burla informática e nas comunicações, prevista no Código Penal, no artigo 221.º. Se houve acesso indevido a uma caixa de correio, há ainda crimes informáticos a somar.
Para questões de segurança das transferências e prevenção, o Banco de Portugal disponibiliza informação útil ao cliente bancário. A queixa-crime apresenta-se à Polícia Judiciária, e o esquema pode ser denunciado ao Gabinete de Cibercrime.
Se a empresa já transferiu
A rapidez é tudo. Contacta de imediato o banco da empresa e pede para travar ou reverter a transferência -- nas primeiras horas, por vezes, ainda há solução. Avisa o banco de destino. Reúne os e-mails, a fatura e o registo da chamada, e apresenta queixa. O guia sobre o que fazer depois de dar dados a um burlão ajuda-te a organizar os primeiros passos com calma.
E não fiques calado por vergonha. Avisa o verdadeiro fornecedor -- a conta dele pode estar comprometida e outras empresas a serem visadas com a mesma campanha. Quanto mais cedo o circuito for cortado, menos vítimas há.
Perguntas frequentes
O e-mail veio mesmo do endereço do meu fornecedor. Como pode ser burla?
A caixa de correio do fornecedor pode ter sido comprometida, e nesse caso o e-mail parte mesmo do endereço verdadeiro. É por isso que a confirmação tem de ser por voz, num número que já tinhas -- não basta o e-mail parecer legítimo.
Posso confiar se o IBAN for de um banco português?
Um IBAN português reduz a estranheza, mas não prova nada. O que confirma é a chamada ao fornecedor e a correspondência entre o nome do titular e a empresa. Há burlas que usam contas-mula abertas em bancos nacionais.
Quem é responsável pelo prejuízo, o banco ou a empresa?
Como a transferência foi autorizada pela própria empresa, a responsabilidade recai geralmente sobre quem pagou. Recuperar o dinheiro depende da rapidez e da investigação. Daí a importância de prevenir antes, com confirmação obrigatória.
Dá para evitar isto com um software antifraude?
Ajuda a filtrar e-mails suspeitos, mas não substitui a confirmação por voz. Como o pedido chega limpo e de um endereço credível, nenhuma ferramenta o distingue de um pedido real com total segurança. A decisão final tem de passar sempre por uma pessoa que liga para o contacto de sempre.
Em resumo
A burla da mudança de IBAN não se apanha a olho, porque foi feita para parecer verdadeira: chega limpa, sem erros e do endereço certo. Procurar erros, confiar num IBAN português ou ligar para o número que vem no e-mail não trava nada. A única verificação que fecha a porta é ligares tu, para o contacto de sempre, e perguntar se mudaram mesmo de conta -- e transformar esse passo numa regra obrigatória da empresa.