--- id: "phishing-008" title: "Ataque BEC e alteração de IBAN: Travar a fraude do falso fornecedor" description: "Como detetar uma alteração fraudulenta de IBAN com o email do fornecedor comprometido? Sinais de alerta, validação por chamada e reflexos cruciais." canonical: https://startbrain.io/pt/ciberseguranca/ataque-bec-iban-fraude-falso-fornecedor/ slug: "ataque-bec-iban-fraude-falso-fornecedor" date: "2026-09-30" category: "phishing" product: "superphisher" lang: pt author: "Brain Security · I&D Ciber e Fator Humano" frameworks: "CNCS · QNRCS · NIS 2 · DORA · RGPD · ISO 27001" --- # Ataque BEC: Detetar a alteração fraudulenta de IBAN de fornecedores O cenário é um clássico temido por qualquer diretor financeiro e CISO. O departamento de contabilidade recebe uma mensagem de correio eletrónico impecavelmente redigida, enviada pelo fornecedor habitual. O endereço de envio é autêntico, o grafismo respeita a identidade visual da empresa e a mensagem surge perfeitamente inserida no histórico de trocas de mensagens existente. O pretexto parece trivial: uma alteração de domiciliação bancária para liquidar a próxima fatura de prestação de serviços. Na realidade, a conta de correio eletrónico do parceiro foi comprometida. Estamos perante a essência de um ataque BEC (Business Email Compromise). Neste formato de engenharia social direcionada, as soluções de segurança de email (SPF, DKIM, DMARC) não disparam alertas, dado que o remetente técnico é legítimo. Não existe qualquer hiperligação maliciosa ou anexo infetado a denunciar o esquema. A única linha de defesa reside na perspicácia das equipas financeiras e no cumprimento rigoroso de procedimentos de controlo interno. --- ## Como travar uma fraude de falso fornecedor quando o email é autêntico? > **Em resumo: Para travar um ataque BEC originado numa caixa de correio comprometida, aplique sistematicamente uma chamada telefónica de contraprova (out-of-band) para um número fidedigno fora do email, identifique alterações no tom de comunicação e exija dupla validação humana para qualquer alteração de dados bancários.** Quando um atacante assume o controlo de uma conta de email profissional, estuda frequentemente os hábitos da vítima durante vários dias. Analisa as faturas pendentes, os intervenientes com poder de assinatura e o estilo de escrita habitual. Neste ponto, as defesas puramente tecnológicas revelam limitações evidentes. Para bloquear o ataque antes da emissão da transferência, a organização deve recorrer a barreiras humanas e processuais sólidas: - **A chamada de contraprova sistemática (Out-of-Band):** Constitui a regra de ouro fundamental. Qualquer comunicação de alteração de IBAN recebida por via digital deve desencadear uma chamada telefónica direta para o contacto habitual. Este número tem de ser obtido na base de dados interna de fornecedores (ERP, contrato original) e nunca na assinatura do email ou no documento enviado. - **A assinatura dupla interna:** A atualização de dados bancários no software de gestão contabilística deve exigir a aprovação conjunta de dois colaboradores distintos, após validação formal do comprovativo bancário oficial. - **O canal de recurso verificado:** Caso o interlocutor habitual não esteja contactável por telefone, ligue para a receção geral da empresa parceira através do número fixo oficial de modo a falar com a direção administrativa. --- ## Quais os sinais comportamentais que denunciam um parceiro com o email comprometido? > **Em resumo: Os sinais de alerta incluem o sentido de urgência injustificado para o pagamento, um IBAN domiciliado num país atípico, regras ocultas de reencaminhamento configuradas na conta ou a recusa sistemática de contacto telefónico com o pretexto de reuniões ou viagens.** Mesmo utilizando a caixa de correio legítima do parceiro, o atacante comete quase sempre deslizes comportamentais. O sentido de urgência é a sua alavanca principal: necessita que os fundos sejam transferidos rapidamente antes que o verdadeiro titular da conta detete o acesso ilegítimo. ### Os sinais fracos a vigiar com atenção Existem anomalias frequentes que devem colocar qualquer responsável de faturação em alerta máximo: - **A urgência repentina:** A mensagem insiste de forma desmedida num prazo de pagamento iminente, no fecho iminente do mês ou no risco de suspensão imediata de serviços para evitar verificações prévias. - **A incoerência geográfica ou bancária:** O fornecedor opera em Portugal, mas indica uma conta bancária sedeada noutra jurisdição ou num banco digital sem ligação lógica à sua atividade comercial habitual. - **A evasão ao contacto verbal:** Se tentar ligar, o atacante responde por email informando que se encontra em reuniões sucessivas, a viajar ou sem voz, insistindo em manter o diálogo exclusivamente por escrito. - **Alterações subtis na linguagem:** Uma fórmula de despedida invulgar, pequenas falhas sintáticas ou uma proximidade repentina na abordagem podem evidenciar que outra pessoa está aos comandos da conta. Para capacitar as suas equipas a identificar estas nuances sem hesitações, o treino prático com cenários reais continua a ser o método mais eficaz. A implementação de um simulador como o [Super Phisher](/pt/catalogo/super-phisher/) com a nossa equipa permite expor os departamentos administrativos e financeiros a cenários avançados de engenharia social, desenhados à medida das técnicas modernas de falsificação de fornecedores. --- ## Como estruturar um plano de contingência se a transferência for executada para um falso IBAN? Se uma transferência for efetuada para uma conta fraudulenta, cada fração de tempo é determinante. As redes cibercriminosas dispersam e convertem os fundos através de contas intermediárias em poucas horas. Dispor de uma lista de ações imediatas partilhada entre a área financeira e a segurança da informação viabiliza uma resposta célere. ### Protocolo de contenção imediata Assim que surgir a suspeita ou a confirmação da fraude: 1. **Alertar o banco emissor:** Contacte de imediato o serviço de operações ou gestor corporativo da sua instituição bancária para solicitar o cancelamento e a reversão de urgência da transferência (mecanismo de *recall* por fraude). 2. **Notificar o CISO ou departamento de TI:** Isole as mensagens em questão, preserve os cabeçalhos técnicos completos dos emails e investigue se outros elementos da empresa foram visados em paralelo. 3. **Avisar o parceiro comprometido:** Alerte telefonicamente a administração da empresa parceira para que os responsáveis técnicos reassumam o controlo do serviço de email, revoguem sessões ativas e eliminem eventuais regras automáticas de reencaminhamento. 4. **Formalizar a denúncia junto das autoridades:** Apresente queixa nas entidades competentes (Polícia Judiciária ou Ministério Público), fornecendo os dados técnicos recolhidos (endereços IP, ficheiros de email originais em formato eml e comprovativos de IBAN) para enquadrar a investigação de burla qualificada. Consolidar a postura preventiva da sua empresa perante fraudes financeiras exige ir além de meras recomendações teóricas. [Fale connosco sobre as suas prioridades](/pt/marcacao/) para desenhar um programa de treino adaptado aos perfis com acesso a processos de pagamento e blindar a tesouraria de forma duradoura. ### Operational Review Checklist: Ataque BEC e alteração de IBAN: Travar a fraude do falso fornecedor | Ref. | Operational Control Point | Expected Outcome & Verification | | --- | --- | --- | | **CTRL-01** | A chamada de contraprova sistemática (Out-of-Band) | Constitui a regra de ouro fundamental. Qualquer comunicação de alteração de IBAN recebida por via digital deve desencadear uma chamada telefónica… | | **CTRL-02** | A urgência repentina | A mensagem insiste de forma desmedida num prazo de pagamento iminente, no fecho iminente do mês ou no risco de suspensão imediata de serviços para… | | **CTRL-03** | A assinatura dupla interna | A atualização de dados bancários no software de gestão contabilística deve exigir a aprovação conjunta de dois colaboradores distintos, após… | | **CTRL-04** | A incoerência geográfica ou bancária | O fornecedor opera em Portugal, mas indica uma conta bancária sedeada noutra jurisdição ou num banco digital sem ligação lógica à sua atividade… | | **CTRL-05** | O canal de recurso verificado | Caso o interlocutor habitual não esteja contactável por telefone, ligue para a receção geral da empresa parceira através do número fixo oficial de… | --- ## Para aprofundar: artigos relacionados e soluções da Brain Security ### Artigos complementares sobre este tema - **[Typosquatting e domínios homóglifos: Ensinar as equipas a ler um URL](/pt/ciberseguranca/typosquatting-dominios-homoglifos-ler-url/)** (Phishing e Engenharia social) : Descubra como detetar typosquatting e ataques homóglifos. Treine as suas equipas para identificar armadilhas em URLs e travar o phishing. - **[Falsas partilhas de ficheiros e assinaturas digitais: A armadilha B2B](/pt/ciberseguranca/falsas-partilhas-documentos-assinaturas-digitais-b2b/)** (Phishing e Engenharia social) : Descubra como combater o phishing por partilha de ficheiros e assinatura digital, os ataques AiTM e o roubo de sessões corporativas. - **[Engenharia social nas redes profissionais: Quando uma falsa oferta oculta uma intrusão](/pt/ciberseguranca/engenharia-social-redes-profissionais-falsas-ofertas-intrusao/)** (Phishing e Engenharia social) : Descubra como os atacantes exploram as redes sociais profissionais para enganar colaboradores com falsas ofertas de emprego e roubar acessos. - **[PCI DSS v4.0 Requisito 12.6: Reforçar a sensibilização contra phishing](/pt/ciberseguranca/pci-dss-v4-requisito-12-6-sensibilizacao-phishing/)** (Conformidade (NIS 2, DORA, ISO)) : Conheça as exigências do PCI DSS v4.0 (12.6) para a formação em cibersegurança e o combate ao phishing com as nossas recomendações práticas. ### Descobrir as soluções da Brain Security no site - **Solução associada : [Super Phisher](/pt/catalogo/super-phisher/)** : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe. - **[Consultar os casos de uso por necessidade e setor](/pt/casos-de-uso/)** - **[Comparar os nossos formatos de sensibilização ciber e IA](/pt/comparativo/)** - **[Explorar todo o catálogo interativo da Brain Security](/pt/catalogo/)** - **[Falar das suas necessidades com a nossa equipa (demo e implementação)](/pt/marcacao/)** --- - https://startbrain.io/pt/ciberseguranca/ataque-bec-iban-fraude-falso-fornecedor/ - [Français](https://startbrain.io/fr/cybersecurite/compromission-email-professionnel-bec-fournisseur/) - [Deutsch](https://startbrain.io/de/cybersecurity/bec-angriff-iban-lieferantenbetrug-abwehren/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/bec-attacks-fraudulent-bank-details-supplier-fraud/) - [English (US)](https://startbrain.io/en-us/cybersecurity/bec-attacks-vendor-bank-fraud-detection/) - [Español](https://startbrain.io/es/cyberseguridad/ataque-bec-fraude-falso-proveedor-iban/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/attacco-bec-truffa-iban-falso-fornitore/) - [Nederlands](https://startbrain.io/nl/cybersecurity/bec-aanval-factuurfraude-leverancier-iban-herkennen/) - [日本語](https://startbrain.io/ja/cybersecurity/bec-wire-fraud-supplier-bank-account-takeover-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/atak-bec-falszywy-dostawca-podmiana-rachunku-bankowego/) - [Svenska](https://startbrain.io/sv/cybersakerhet/bec-attacker-fakturabedrageri-kapad-epost-leverantor/) - [Dansk](https://startbrain.io/da/cybersikkerhed/bec-angreb-aendring-bankoplysninger-fakturasvindel/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/bec-hyokkays-toimittajapetos-iban-tilinumeron-muutos/) - [Norsk](https://startbrain.io/no/cybersikkerhet/bec-angrep-fakturasvindel-kontonummer-leverandor/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/bec-attacks-vendor-banking-fraud-prevention/) - [llms.txt](https://startbrain.io/llms.txt)