Fraude do CEO (BEC): como verificar o remetente de um email

Resposta rápida

O business email compromise (BEC), que inclui a fraude do CEO, é uma burla em que criminosos enviam emails que parecem vir do seu chefe, de um fornecedor ou de um advogado, a pedir um pagamento ou uma alteração de dados bancários. Para verificar o remetente, leia o endereço e o domínio letra a letra, procure “pass” em SPF, DKIM e DMARC nos detalhes da mensagem e nunca avance com um pagamento sem ligar à pessoa para um número que já tinha. Se pagou, ligue ao banco e denuncie de imediato.

Números-chave

3,05 mil milhões de dólaresperdidos com business email compromise em queixas ao FBI em 2025, em 24.768 queixasFBI IC3 2025 Internet Crime Report
679 milhões de dólarescongelados para as vítimas pela Recovery Asset Team do FBI em 2025, uma taxa de sucesso de 58% sobre 1,16 mil milhões de dólares comunicadosFBI IC3 2025 Internet Crime Report
41,3 milhões de librasperdidos com burlas de faturas e de mandatos no Reino Unido em 2025, em 2305 casosUK Finance Annual Fraud Report 2026
55,5 mil milhões de dólaresem perdas expostas com BEC em todo o mundo entre outubro de 2013 e dezembro de 2023, em 305.033 incidentesFBI IC3 PSA, setembro de 2024

Chega um email de um fornecedor a quem paga todos os meses. Mudaram de banco, e a próxima fatura deve ir para a nova conta. Ou o seu CEO escreve do aeroporto: um pagamento urgente e confidencial tem de sair antes do fim do dia. O nome está certo, o tom está certo e o logótipo está certo. Este é o guião clássico da fraude do CEO e das faturas falsas, e a questão é se a pessoa que pensa que enviou o email o enviou mesmo.

Chama-se business email compromise (BEC) e é um dos crimes mais caros que o FBI acompanha. Empresas e particulares comunicaram perdas de 3,05 mil milhões de dólares com BEC em 2025, em 24.768 queixas ao Internet Crime Complaint Center do FBI. A solução é simples, mas rigorosa: algumas verificações ao email e uma regra de confirmação por chamada que ninguém salta.

O que é o business email compromise (fraude do CEO)?

O business email compromise é uma burla em que criminosos se fazem passar por alguém de confiança por email, como um fornecedor, um administrador, um colaborador ou um advogado, para o levar a enviar dinheiro ou dados sensíveis. O FBI descreve-o como um crime que visa pessoas e empresas que fazem transferências com regularidade, usando contas de email comprometidas ou falsificadas e, cada vez mais, também números de telefone e apps de videoconferência. O National Cyber Security Centre da Irlanda identifica quatro formas comuns:

Fraude de fornecedor ou de faturas: o email de um fornecedor real é pirateado, ou copiado com um domínio parecido, para enviar faturas falsas ou “novos dados bancários”.
Fraude do CEO: um falso administrador pede uma transferência urgente e secreta, ou cartões-oferta.
Desvio de salários: um falso colaborador pede aos recursos humanos que lhe paguem o salário numa conta nova.
Usurpação de advogados: um falso advogado ou uma falsa entidade de escrituras envia instruções de transferência para um negócio ou para a compra de uma casa.

No Reino Unido, os bancos registaram perdas de 41,3 milhões de libras com burlas de faturas e de mandatos em 2025, em 2305 casos, e mais 5,6 milhões de libras com fraude do CEO.

Como é um email de fraude do CEO ou de fatura falsa?

Parece banal, e é essa a ideia. Os emails de BEC raramente trazem malware ou links. Apoiam-se numa história credível, num prazo e numa pequena alteração. Estes são típicos, adaptados:

Bom dia, informamos que mudámos de banco. Seguem em anexo os dados atualizados. Agradecemos que os utilizem para a fatura n.º 4471 e para todos os pagamentos futuros. A conta antiga já foi encerrada.

Está no escritório? Preciso que trate hoje de um pagamento confidencial relacionado com uma aquisição. Para já, não fale disto com ninguém. Estou em reuniões, por isso só por email.

Olá, RH. Mudei de banco. Conseguem atualizar o IBAN para o meu salário antes do próximo processamento? Os novos dados vão abaixo.

O FBI nota que a IA torna estes emails mais polidos: ferramentas de chat imitam o estilo de escrita de um administrador e a clonagem de voz pode reforçar o pedido por telefone. As empresas comunicaram mais de 30 milhões de dólares em perdas com BEC envolvendo IA em 2025.

Como verificar o remetente de um email?

Verifique o endereço real, verifique o domínio, verifique os resultados de autenticação e depois confirme por telefone, para um número que já tinha. Siga esta ordem.

Mostre o endereço completo. O nome apresentado (“Sara Lopes, Contabilidade”) pode dizer qualquer coisa. Toque ou passe o cursor por cima para ver o endereço real. No telemóvel, este passo passa facilmente despercebido, e é por isso que o FBI aconselha configurar o email para mostrar sempre os endereços completos.
Leia o domínio letra a letra. Procure caracteres trocados ou a mais: “acme-corp.com” em vez de “acmecorp.com”, “rn” por “m”, “l” por “i”, “.co” em vez de “.com”, ou um endereço gratuito como o Gmail numa empresa que tem domínio próprio.
Verifique o “Responder para”. Carregue em responder e veja a linha “Para” antes de escrever. Se mudar para outro endereço, o email foi feito para desviar a sua resposta.
Verifique os resultados de autenticação (SPF, DKIM, DMARC), explicados abaixo.
Veja o histórico da conversa. É uma conversa nova que “continua” uma antiga? A assinatura, o telefone ou o tom mudaram?
Ligue para confirmar usando um número dos seus registos, nunca um que venha no email. É este o passo que realmente evita a perda.

Um email verdadeiro enviado de uma conta pirateada passa em todas as verificações técnicas. É por isso que o passo 6 não é opcional para nenhum pagamento ou alteração de dados bancários.

Como verificar SPF, DKIM e DMARC num email?

Abra os detalhes completos ou os cabeçalhos da mensagem e procure as palavras “pass” ou “fail” ao lado de SPF, DKIM e DMARC. No Gmail, abra o email, clique no menu de três pontos e escolha “Mostrar original”. No Outlook, abra as propriedades da mensagem ou “Ver origem da mensagem” e procure a linha “Authentication-Results”.

Verificação	O que significa, em palavras simples	O que sugere um “fail”
SPF	O servidor que o enviou está autorizado a enviar em nome desse domínio	O servidor de outra pessoa enviou correio a fingir ser desse domínio
DKIM	O email tem uma assinatura digital válida do domínio e não foi alterado pelo caminho	A mensagem não foi assinada por esse domínio, ou foi alterada
DMARC	O domínio que vê na linha “De” coincide com o que passou no SPF ou no DKIM	O remetente visível é provavelmente falsificado

Um “fail” num email de pagamento é um sinal para parar. Um “pass” só prova que o email veio desse domínio. Não prova que o domínio é o certo (um domínio parecido pode passar nos três) nem que a conta não foi pirateada. Use estas verificações como filtro, não como veredicto.

Como saber quem é o dono de um domínio ou endereço de email?

Veja a data de registo do domínio e depois verifique a pessoa por trás do endereço. Use a consulta gratuita de dados de registo da ICANN. Um domínio de fornecedor com dez anos é normal. Um domínio parecido registado na semana passada é uma burla. O NCSC irlandês recomenda bloquear ou assinalar o correio de domínios registados há pouco tempo, precisamente por isto.

Para um contacto novo, um fornecedor novo ou um nome que não reconhece, uma pesquisa profissional no Search A-Z ajuda. Escreva o nome completo e o país do remetente, escolha “Contacto profissional” e acrescente o endereço de email e a empresa. O relatório verifica se o email é real e o seu risco de fraude, e mostra o email profissional da pessoa, o cargo e a empresa atuais, o percurso profissional, os perfis profissionais públicos, o registo da empresa (cargos na Companies House do Reino Unido e o registo mundial LEI), notícias e menções na web e eventuais alertas públicos de burla ou fraude. Se o “novo gestor de conta” não deixa rasto no fornecedor, tem a sua resposta. A pessoa nunca é avisada da sua pesquisa.

O que é uma política de confirmação por chamada?

Uma política de confirmação por chamada é uma regra escrita segundo a qual qualquer pagamento novo, alteração de dados bancários ou pedido de transferência urgente é confirmado com uma chamada feita por si para um número que já consta dos registos, antes de o dinheiro sair. É o controlo mais eficaz contra o BEC, mas só se for bem feito. O guia da JPMorgan sobre quando as chamadas de confirmação correm mal enumera as falhas habituais: confiar numa chamada recebida que “confirma” o email, usar o telefone que vem no email ou na fatura, e falar com alguém que não é a pessoa certa.

Uma política simples que pode copiar:

Qualquer alteração aos dados bancários de um fornecedor ou colaborador é confirmada com uma chamada feita por si para um número da ficha do fornecedor, do contrato ou do site oficial do fornecedor, nunca do próprio pedido.
A chamada é feita para uma pessoa concreta com quem já tratou antes.
Pedidos marcados como urgentes ou confidenciais levam mais verificações, não menos.
Pagamentos acima de um valor definido precisam da aprovação de duas pessoas.
Os novos dados bancários ficam num período de espera (por exemplo, 24 a 48 horas) antes do primeiro pagamento.
A equipa é informada por escrito de que ninguém, incluindo o CEO, vai ter problemas por atrasar um pagamento para o verificar.

Um guião para a chamada:

Olá, fala o Alex, da contabilidade da Northfield. Recebemos um email sobre novos dados bancários para as vossas faturas. Antes de alterarmos alguma coisa, pode confirmar que foi enviado por si e ler-me os últimos quatro dígitos do novo número de conta?

Como deve uma empresa tratar um pedido de alteração de dados de pagamento?

Trate qualquer alteração de pagamento como suspeita até estar verificada por outro canal, e registe cada passo. Este procedimento funciona para empresas pequenas e grandes:

Registe o pedido com a data, o endereço do remetente e os dados pedidos. Ainda não responda.
Ligue ao fornecedor para o número que já tem no sistema e confirme com o contacto habitual.
Verifique o nome do titular da nova conta. No Reino Unido, o Confirmation of Payee indica se o nome da conta coincide. Na zona euro, incluindo Portugal, a confirmação do beneficiário (Verification of Payee) faz o mesmo nas transferências em euros desde 9 de outubro de 2025. Um resultado “sem correspondência” ou “correspondência aproximada” é um sinal de alerta.
Peça a um segundo aprovador que valide a alteração.
Faça uma pequena transferência de teste e confirme por telefone que chegou, antes do valor total.
Esteja atento ao que vem a seguir. A pressão para saltar algum destes passos é, por si só, um sinal de alerta.

As mesmas regras protegem-no enquanto fornecedor: diga por escrito aos seus clientes que nunca vai alterar dados bancários só por email. Para clientes novos, o nosso guia sobre como verificar um cliente novo antes de começar cobre as restantes verificações.

O que fazer se paguei uma fatura falsa?

Ligue imediatamente ao seu banco e peça a recuperação do pagamento, e depois denuncie à polícia no mesmo dia (ao FBI, nos EUA). A rapidez conta mais do que tudo. O NCSC irlandês avisa que a maior parte do dinheiro não se recupera se não for sinalizado nas primeiras horas.

Ligue já para a equipa de fraude do seu banco. Peça a recuperação da transferência e que o banco recetor congele os fundos. Indique o valor, a data, a conta de destino e qualquer referência.
EUA: faça a queixa em ic3.gov com todos os dados da transação, seja qual for o valor. A Recovery Asset Team do FBI usa o Financial Fraud Kill Chain para trabalhar com os bancos e congelar o dinheiro. Em 2025 tratou 3900 incidentes e congelou 679 milhões de dólares, uma taxa de sucesso de 58%. Consegue seguir transferências de “segundo salto” se as indicar, e trabalha com a FinCEN nas transferências internacionais.
Reino Unido: denuncie ao Report Fraud, que substituiu o Action Fraud em dezembro de 2025, pelo 0300 123 2040, ou à Police Scotland pelo 101. O seu banco vai também iniciar o seu próprio processo de recuperação.
UE: denuncie à polícia nacional e ao seu banco. Na Irlanda, o NCSC também pede para ser informado. Em Portugal, apresente queixa por burla numa esquadra da PSP, num posto da GNR ou online na Queixa Eletrónica.
Proteja a conta de email. Mude as palavras-passe, ative a autenticação multifator e procure regras de reencaminhamento ou regras da caixa de entrada que escondam respostas. São um sinal comum de que a conta foi tomada.
Guarde provas. Guarde os emails com os cabeçalhos completos, as faturas, os registos de chamadas e os comprovativos das transações. Não apague nada.
Avise o fornecedor ou o cliente verdadeiro. A conta dele, ou a sua, pode continuar comprometida.

Se um “serviço de recuperação” o contactar a oferecer-se para reaver o dinheiro em troca de uma taxa, é outra burla. A recuperação real faz-se através do banco e das autoridades.

Como proteger a minha empresa da fraude por email?

Junte um processo de pagamentos rigoroso a algumas bases técnicas. O FBI e o NCSC irlandês recomendam:

Autenticação multifator em todas as contas de email.
SPF, DKIM e DMARC configurados nos seus próprios domínios, para que os criminosos não se façam passar facilmente por si junto dos seus clientes.
Um email que mostre os endereços completos dos remetentes e assinale os remetentes externos.
Registar as variantes óbvias do seu próprio domínio, ou vigiá-las.
Uma lista de fornecedores verificados com contactos telefónicos conhecidos.
Formação regular da equipa com exemplos reais como os acima.

O BEC começa muitas vezes com pesquisa sobre a sua equipa: quem aprova pagamentos, quem são os fornecedores, quem está em viagem. O nosso guia sobre como identificar perfis falsos no LinkedIn explica como as contas falsas recolhem essa informação.

Em resumo

Não consegue distinguir um email pirateado de um verdadeiro só de olhar para ele, por isso não tente. Verifique o endereço e o domínio, use o SPF e o DKIM como primeiro filtro e confirme qualquer alteração de pagamento ligando para um número que já tinha. Se o dinheiro já saiu, ligue ao banco e denuncie em horas, não em dias.

Perguntas frequentes

O que é o business email compromise?

O business email compromise (BEC) é uma burla em que criminosos se fazem passar por um contacto de confiança por email, como um fornecedor, um administrador ou um advogado, para o levar a enviar dinheiro ou alterar dados bancários. Inclui a chamada fraude do CEO. O FBI recebeu 24.768 queixas de BEC, com perdas de 3,05 mil milhões de dólares, em 2025.

Como posso saber se um email vem mesmo de quem diz?

Mostre o endereço completo do remetente, leia o domínio letra a letra, veja para onde vão as respostas e procure “pass” em SPF, DKIM e DMARC nos detalhes da mensagem. Para tudo o que envolva dinheiro, confirme ligando à pessoa para um número que já tinha.

Um endereço de email verdadeiro pode ser usado numa burla?

Sim. Se a conta de um fornecedor ou de um colega for pirateada, os emails de burla saem do endereço real e passam em todas as verificações técnicas. É por isso que as alterações de pagamento têm sempre de ser confirmadas por telefone, para um número dos seus registos.

O que significa um “fail” no DMARC?

Significa que o domínio na linha “De” não coincide com um domínio que tenha passado nas verificações SPF ou DKIM. Num email de pagamento ou de alteração de dados bancários, trate um “fail” no DMARC como um forte sinal de que o remetente é falsificado.

Consigo recuperar o dinheiro depois de pagar uma fatura falsa?

Às vezes, se agir depressa. Ligue logo ao banco para pedir a recuperação e denuncie em ic3.gov nos EUA, ao Report Fraud no Reino Unido ou à polícia em Portugal. A Recovery Asset Team do FBI congelou 679 milhões de dólares para as vítimas em 2025, mas as hipóteses caem a pique depois das primeiras horas.

O que é o Financial Fraud Kill Chain do FBI?

É o processo que a Recovery Asset Team do FBI usa para trabalhar com os bancos e congelar transferências fraudulentas, incluindo transferências internacionais através da FinCEN. É ativado quando denuncia depressa em ic3.gov com todos os dados da transação e pede ao banco a recuperação.

O que é um domínio parecido?

Um domínio web ou de email feito para parecer um verdadeiro, como acme-corp.com em vez de acmecorp.com, ou com uma letra trocada por outra semelhante. Veja a data de registo na consulta da ICANN: um domínio parecido tem normalmente poucos dias ou semanas.

Fontes

Os números são os mais recentes publicados por cada fonte quando este guia foi atualizado. As perdas comunicadas são um mínimo: a maioria das burlas nunca é denunciada.

Fraude do CEO e business email compromise: como verificar o remetente de um email antes de pagar