Golpe do falso executivo: como criminosos usam o que a sua empresa publica

O golpe é antigo, mas ficou mais convincente. Alguém do financeiro recebe uma mensagem de um número novo, com a foto de um diretor, pedindo um pagamento urgente e sigiloso. O texto usa o nome certo, o cargo certo e cita um fornecedor real. Não houve invasão de sistema. Tudo o que o golpista precisava estava público.

De onde vêm as informações

Numa análise de exposição digital, o caminho costuma se repetir. As peças vêm de fontes abertas e parecem inofensivas quando vistas uma a uma:

• Perfis profissionais que mostram quem trabalha no financeiro e a quem cada pessoa responde.
• Fotos de eventos e confraternizações que revelam rostos, crachás e até telas de computador.
• Notícias e comunicados que citam fornecedores, contratos e viagens da diretoria.
• Contatos expostos em sites, cadastros e documentos indexados por buscadores.

Cruzando essas fontes, o criminoso monta o roteiro: sabe de quem se passar, para quem escrever e qual desculpa usar. É o mesmo raciocínio de uma investigação com fontes abertas, a OSINT, só que usado para enganar.

Sinais de alerta

• Pedido urgente que chega por um canal fora do habitual, como um número novo, um e-mail pessoal ou uma conta recém-criada.
• Pedido de sigilo, do tipo “não comente com ninguém”.
• Troca repentina dos dados bancários de um fornecedor conhecido.
• Pressão por horário, como “precisa sair antes do fim do expediente”.

Se o pedido envolve dinheiro e chega por um canal diferente do de sempre, a confirmação precisa ir por outro canal.

O que a empresa pode fazer

O primeiro passo é uma regra simples: qualquer pagamento fora do padrão só é feito depois de confirmado por um segundo canal, como uma ligação para o número que já está no cadastro. Quem aprova pagamentos precisa conhecer esse roteiro de golpe, com exemplos reais do setor.

O segundo passo é saber o que está exposto. Uma análise de exposição mostra quais informações públicas facilitam esse tipo de fraude e o que pode ser reduzido, sem que a empresa precise sumir da internet.