E-mail da empresa invadido: o que fazer se os seus clientes pagaram ao golpista

Um cliente antigo liga para a sua empresa perguntando por que vocês continuam cobrando uma fatura que ele pagou há dez dias. Ele manda o comprovante e aí vocês veem: o dinheiro foi para uma conta que não é a sua. Ele recebeu um e-mail do endereço de sempre, com a sua assinatura e o seu jeito de escrever, avisando que a empresa tinha trocado de banco, às vezes já com um boleto novo em anexo. Não tinha motivo para desconfiar, porque o e-mail era mesmo de vocês. O que aconteceu é que alguém invadiu o e-mail da sua empresa, passou um tempo lendo as conversas e aproveitou para cobrar em seu nome. É o mesmo golpe do boleto falso ou da troca de dados bancários, só que visto do outro lado: aqui a sua empresa não é quem pagou, é o fornecedor usado no golpe. É um baque, mas dá para fazer muita coisa hoje mesmo e, quando se age rápido, muitas vezes o dinheiro é recuperado.

Se aconteceu o contrário e foi a sua empresa que pagou uma cobrança falsa de um fornecedor, explicamos tudo em golpe do boleto falso em empresas. Aqui o foco é o que fazer quando o e-mail invadido é o seu e quem pagou foram os seus clientes.

Neste artigo

1. Como os golpistas usam o e-mail da sua empresa para cobrar os seus clientes
2. Sinais de que invadiram o e-mail da sua empresa
3. As primeiras horas: o que fazer se invadiram o e-mail da empresa
4. Proteger o e-mail sem apagar as provas
5. Registrar o B.O. e avisar quem precisa saber
6. Como contar para os seus clientes
7. Quem arca com o prejuízo: a sua empresa ou o cliente que pagou?
8. Como evitar que usem de novo o e-mail da sua empresa
9. Quando procurar ajuda profissional

Como os golpistas usam o e-mail da sua empresa para cobrar os seus clientes

O que se chama de fraude BEC (business email compromise, e-mail corporativo comprometido) quase sempre começa com algo pequeno: uma senha digitada numa página falsa que imitava o Microsoft 365 ou o Google, uma senha repetida que vazou de outro site ou um computador com programa espião. Segundo o FBI, o golpe costuma começar quando alguém invade uma conta de e-mail legítima, com engenharia social ou invasão do sistema, e os criminosos podem passar um tempo só lendo os e-mails antes de agir. Esperam o momento certo: uma cobrança alta, um cliente novo ou o responsável de férias.

Para não serem vistos, criam regras na caixa de e-mail. Uma regra típica pega os e-mails que vocês enviam com faturas ou boletos e manda uma cópia para fora. Assim eles pegam a sua cobrança real, trocam os dados bancários ou o boleto e reenviam como se fosse sua. Às vezes também escondem as respostas dos clientes numa pasta que ninguém abre, para vocês não verem quando alguém pergunta sobre a conta nova.

Por isso o golpe machuca tanto: o cliente não vê nada estranho. O e-mail sai do seu endereço verdadeiro, na mesma conversa de sempre. Para ele é quase impossível perceber, e para vocês também, até alguém cobrar.

Depois que vocês fecham o acesso, eles podem continuar a partir de um domínio quase igual ao seu (uma letra trocada) ou ligar para o cliente de um número que parece o seu. Se isso acontecer, explicamos como funciona em golpe da falsa central e spoofing.

Sinais de que invadiram o e-mail da sua empresa

Muitas empresas só descobrem por um cliente, mas há pistas que vale a pena conhecer:

• Um cliente pergunta sobre uma troca de conta ou um boleto novo que ninguém enviou, ou paga para uma conta que vocês não reconhecem.
• Regras de encaminhamento ou filtros que ninguém criou, principalmente os que movem e-mails para pastas como «RSS», «Arquivo» ou «Itens excluídos».
• E-mails na pasta Enviados que ninguém escreveu, ou e-mails que somem da caixa de entrada.
• Alertas de login de outro país ou de um aparelho desconhecido.
• Respostas estranhas de clientes ou fornecedores a mensagens que ninguém da empresa mandou.

Não se culpem se não perceberam. Esses ataques são feitos justamente para ninguém notar.

As primeiras horas: o que fazer se invadiram o e-mail da empresa

A ordem importa e cada hora conta. Não é preciso saber como entraram para começar a agir:

1. Ligue para os clientes, começando pelos que têm cobranças recentes ou em aberto. Por telefone, num número que vocês já tinham, nunca respondendo ao e-mail. Quem ainda não pagou deve ignorar qualquer troca de conta ou boleto novo. Quem já pagou deve ligar para o banco agora.
2. O cliente liga para o banco dele. Foi ele quem pagou, então é o banco dele que precisa contatar a instituição que recebeu o dinheiro e pedir o bloqueio. Se foi por Pix, ele deve pedir o MED, o Mecanismo Especial de Devolução. Ajude com o que ele precisar: o e-mail falso, a conta ou o boleto de destino, a data e o valor.
3. Fale também com o seu banco. Conte o que aconteceu, confira se ninguém entrou no seu internet banking (pode acontecer se a senha estava no e-mail ou era repetida) e peça uma declaração com os dados da sua conta verdadeira, que vai ajudar a tranquilizar os clientes.
4. Feche a porta do e-mail sem apagar os rastros. Explicamos abaixo.
5. Escolha uma pessoa para coordenar tudo e anote cada ligação: com quem, a que horas e o que foi dito.

Dá para recuperar o dinheiro que os clientes pagaram?

Muitas vezes, sim, principalmente quando se age nas primeiras horas. Se o dinheiro ainda está na conta de destino, a instituição que o recebeu pode bloqueá-lo, e o B.O. registrado logo ajuda. No Pix, o MED existe justamente para casos de fraude e funciona melhor quando o pedido é feito rápido. Por isso, não esperem ter tudo claro para avisar os clientes.

Para entender melhor como recuperar um pagamento, veja caí em um golpe: como recuperar o dinheiro.

Proteger o e-mail sem apagar as provas

Aqui é preciso fazer duas coisas ao mesmo tempo: tirar os golpistas e não destruir o que prova o que eles fizeram. O ideal é que quem cuida do seu e-mail (o pessoal de TI ou o fornecedor do Microsoft 365, Google Workspace ou outro) faça isso junto com vocês:

• Troque a senha da conta invadida num aparelho de confiança, e a de qualquer outra conta que usava a mesma senha.
• Encerre todas as sessões abertas e ative a verificação em duas etapas (o código que chega no celular ou num aplicativo). O CERT.br recomenda ativá-la sempre que possível, porque dificulta muito que voltem a entrar mesmo com a senha.
• Confira as regras de encaminhamento, os filtros e o encaminhamento automático. Antes de apagar, faça capturas de tela e anote para onde mandam os e-mails.
• Veja quem mais tem acesso: usuários novos, permissões delegadas na caixa, aplicativos conectados à conta e o e-mail ou telefone de recuperação. Às vezes os golpistas deixam uma porta dos fundos por aqui.
• Olhe os registros de acesso (de onde e quando entraram) e as contas de administrador.

Por que vale a pena um perito preservar a caixa de e-mail

Um perito em computação forense faz uma cópia da caixa de e-mail e dos registros de um jeito que ninguém possa dizer depois que foi alterada. Para entender: ele gera uma espécie de impressão digital de cada arquivo (o que tecnicamente se chama hash), e se alguém mudasse uma vírgula, a impressão digital já não bateria. É isso que permite usar o e-mail falso, as regras e os acessos como prova na Justiça ou numa negociação com um cliente.

Há uma razão prática para ter pressa: os provedores de e-mail só guardam esses registros por um tempo limitado. Se eles se perdem, fica bem mais difícil provar de onde entraram e o que fizeram. A parte boa é que, preservada a tempo, essa informação costuma ser muito útil para rastrear o dinheiro e defender a sua empresa.

Registrar o B.O. e avisar quem precisa saber

O boletim de ocorrência

Há duas coisas a registrar: a invasão do e-mail da sua empresa, que é crime mesmo que nenhum dinheiro tenha sido desviado, e o golpe contra cada cliente que pagou, que normalmente o próprio cliente registra, porque foi ele quem fez o pagamento. Combinem entre vocês para que os relatos contem a mesma história.

Em muitos estados dá para registrar a ocorrência online, e algumas cidades têm delegacias especializadas em crimes cibernéticos. Leve o e-mail falso exportado no formato original (.eml ou .msg, para manter os cabeçalhos), as contas ou boletos de destino, as capturas das regras, uma linha do tempo curta e os protocolos dos bancos. O passo a passo está em como denunciar golpe online.

A ANPD em até 3 dias úteis, se havia dados pessoais

Se os golpistas estiveram dentro do e-mail da empresa, quase certamente viram dados pessoais: nomes, telefones, endereços ou dados bancários de clientes, holerites de funcionários, contratos. Isso é um incidente de segurança com dados pessoais. A LGPD (art. 48) obriga a empresa a comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante, e pela Resolução CD/ANPD nº 15/2024 o prazo é de até 3 dias úteis. A ANPD explica como fazer a comunicação.

Parece pesado, mas não precisa assustar: comunicar no prazo mostra que a empresa agiu com responsabilidade. E, se no fim não for necessário comunicar, registre internamente o que aconteceu e o que foi feito.

Como contar para os seus clientes

Dá medo ligar para um cliente e dizer que invadiram o e-mail da empresa, mas ficar calado é pior: a cada dia que passa, mais clientes podem pagar ao golpista. Uma ligação rápida e clara de vocês tranquiliza muito mais do que ele descobrir sozinho.

Primeiro por telefone para quem tem cobrança em aberto, depois um aviso por escrito para todos. O aviso deve ser curto e verdadeiro: a empresa sofreu um acesso indevido ao e-mail, os dados bancários não mudaram, ignorem qualquer e-mail que diga o contrário e, na dúvida, liguem no telefone de sempre. Não é preciso falar de culpa nem de detalhes técnicos. Se um advogado já estiver acompanhando o caso, peça para revisar o texto antes de enviar, principalmente se há clientes que perderam dinheiro.

E se alguém também estiver usando o nome da sua empresa para enganar outras pessoas, com perfis ou domínios falsos, explicamos como agir em roubo de identidade: o que fazer.

Quem arca com o prejuízo: a sua empresa ou o cliente que pagou?

É a pergunta que mais preocupa, e não existe uma resposta automática. O Código Civil diz que o pagamento deve ser feito ao credor ou a quem o represente (art. 308), então, em princípio, se o dinheiro não chegou à sua empresa, a cobrança não foi recebida. Mas o mesmo Código diz que o pagamento feito de boa-fé a quem parecia ser o credor é válido (art. 309). E o cliente pode dizer, com alguma razão, que o e-mail saiu do seu endereço verdadeiro.

Na prática, pesa principalmente:

• Onde estava a falha. Se invadiram o seu e-mail, vai se olhar quais medidas de segurança vocês tinham (senhas, verificação em duas etapas, acompanhamento dos acessos).
• Se o cliente tinha motivo para desconfiar. Um beneficiário com nome ou CNPJ diferente na tela do banco, um banco que não combina ou um boleto com cara estranha contam.
• O que cada um fez ao descobrir. Avisar rápido e colaborar conta a favor.

Muitas vezes a saída é um acordo, e às vezes o prejuízo é dividido. Por isso, não cobrem a fatura de forma agressiva nem a deem por perdida no primeiro dia. Vejam também se a empresa tem seguro cibernético, porque algumas apólices cobrem esse tipo de fraude, e avisem a seguradora logo, porque costuma haver prazos. Antes de fechar qualquer coisa com um cliente, peça para um advogado analisar: costuma haver mais saídas do que parece.

Imagine uma empresa de climatização que tem o e-mail invadido numa sexta-feira. Na segunda, dois clientes já pagaram boletos com os dados trocados. Se naquela mesma manhã a empresa liga para todos os clientes com cobranças em aberto, os dois que pagaram ligam para o banco e registram o B.O., e um perito preserva a caixa de e-mail antes de mexer em qualquer coisa, é bem possível que parte ou todo o dinheiro ainda esteja na conta de destino e possa ser bloqueado. E a relação com esses clientes sai fortalecida, porque eles viram a empresa reagir rápido.

Como evitar que usem de novo o e-mail da sua empresa

A boa notícia é que a maioria desses ataques se evita com hábitos simples, os mesmos que recomendam o CERT.br e a FEBRABAN.

Para prevenir, não façam nenhuma troca de dados bancários por e-mail. Avisem os seus clientes, desde já e por escrito, que a empresa nunca vai mudar a conta ou mandar um boleto novo só por e-mail, e que, se um dia chegar uma mensagem assim, liguem no telefone de sempre antes de pagar. Quando eles se acostumam a ouvir isso, a próxima tentativa não dá em nada.

E, por dentro, no e-mail da empresa:

• Ativem a verificação em duas etapas em todas as contas, inclusive a do dono e as genéricas, como «financeiro@» ou «contato@», que costumam ser esquecidas.
• Usem senhas únicas no e-mail, que não se repitam em nenhum outro site, e não usem o e-mail da empresa para se cadastrar em serviços que não têm nada a ver com o trabalho.
• Revisem de tempos em tempos as regras de encaminhamento e os acessos. Cinco minutos por mês bastam para pegar uma regra estranha a tempo.
• Peçam a quem cuida do domínio para configurar SPF, DKIM e DMARC, ajustes técnicos que dificultam que outros mandem e-mails se passando por vocês.
• Incentivem os clientes a usar o DDA e a conferir sempre, na tela do banco, o nome e o CNPJ do beneficiário antes de pagar um boleto ou um Pix.
• Conversem com a equipe. Todo mundo deve saber que uma página pedindo a senha do e-mail depois de clicar num link merece uma ligação para a TI antes de digitar qualquer coisa.

Quando procurar ajuda profissional

Se há clientes que pagaram valores altos, se os bancos não conseguem bloquear o dinheiro, se vocês não sabem quanto tempo os golpistas ficaram dentro ou se algum cliente está cobrando responsabilidade da empresa, vale uma avaliação profissional o quanto antes. Um perito em computação forense pode preservar a caixa de e-mail e os registros e descobrir por onde entraram, e um advogado pode pedir o bloqueio das contas de destino, ajudar com a ANPD e negociar com os clientes.

Somos advogados e peritos especialistas em golpes online, criptomoedas e crimes informáticos. Cada caso é sempre atendido por um advogado ou um perito. Envie o que vocês tiverem, mesmo que esteja bagunçado: o e-mail falso que os clientes receberam, os comprovantes e o que encontraram na caixa de e-mail. Analisamos de graça e dizemos o que fazer hoje e quais são os próximos passos. Em muitos casos o dinheiro é recuperado, principalmente quando se age rápido. Na Kironic fazemos todo o possível para recuperar o seu dinheiro.

Um último aviso: depois de um incidente assim, às vezes aparecem «empresas de recuperação» que garantem 100% em troca de um pagamento antecipado. Costuma ser o segundo golpe. Explicamos como reconhecer em golpe do falso advogado e falsas empresas de recuperação.