Klytic

Início›Guias›Segurança de e-mail

Segurança de e-mail · Entender

Falsificação de identidade e fraude do CEO

A fraude do CEO visa uma transferência bancária ou uma mudança de dados bancários, não um computador. A mensagem muitas vezes não tem anexo nem link, e às vezes é tecnicamente impecável. Um filtro pode identificar um domínio sósia, um nome de exibição enganoso ou um cenário de fraude conhecido; já a decisão de pagar se verifica por um canal que a empresa já conhece.

Atualizado em outubro de 20266 minFontes oficiais citadas

O cenário

A CNIL descreve a falsa ordem de transferência, chamada de “fraude do CEO”, em várias etapas. O golpista se informa sobre a empresa: organograma, clientes, fornecedores. Ele prepara um nome de domínio falso parecido com o da empresa ou de um fornecedor, ou usurpa a identidade de um colaborador. Depois escreve, ou liga, fazendo-se passar por um dirigente ou um fornecedor, com um pedido apresentado como urgente e aprovado pela alta direção.

As variantes se parecem:

  • uma transferência imprevista, urgente e confidencial, pedida por um falso dirigente ou um falso responsável do grupo;
  • um fornecedor que anuncia uma mudança de dados bancários para as próximas faturas;
  • uma fatura falsa, com o valor certo e no formato certo;
  • uma falsa fiscalização de um órgão público, que serve depois para escrever aos clientes da empresa com uma nova conta bancária, cenário descrito pelo Ministério da Economia francês.

O mecanismo é sempre humano: a urgência, o segredo, a autoridade. O Ministério da Economia francês aconselha não agir na pressa, mesmo diante de um interlocutor insistente, e redobrar a atenção durante as férias, quando os departamentos de contabilidade funcionam com equipe reduzida.

Exemplo, a título de ilustração. Numa sexta-feira no fim da tarde, a contadora de uma PME recebe uma mensagem do “diretor-geral”: uma aquisição confidencial, um advogado que vai ligar, uma transferência a fazer antes de segunda-feira. A mensagem não contém anexo nem link. O nome de exibição está correto, o endereço não. Nada, tecnicamente, está “infectado”.

Quatro formas de falsificação, não uma

FormaComo ela se apresentaSPF, DKIM, DMARCO que pode identificá-la
Nome de exibição falsificado“Claire Martin, Diretora-Geral” escrevendo de um e-mail gratuitoVálidos para o verdadeiro domínio do remetente; o DMARC não trata o nome de exibiçãoComparação entre o nome exibido, o endereço e os nomes dos executivos do domínio
Domínio sósiaUma letra duplicada, um hífen, outra extensãoPodem estar perfeitos para o domínio sósiaSemelhança com o seu domínio ou o de um fornecedor, idade do domínio, reputação
O seu domínio exato, enviado de outro lugarO endereço exibido é o verdadeiroO DMARC falha; ele barra a mensagem se a política do domínio exigirVerificação DMARC na chegada
Conta realmente comprometidaA mensagem vem da verdadeira caixa do dirigente ou do fornecedorTudo é válidoMudança de comportamento, conteúdo (novos dados bancários) e sobretudo o procedimento de verificação

A própria especificação do DMARC diz isso: ela não trata nem os domínios visualmente parecidos, nem o abuso do nome de exibição. Três casos em cada quatro escapam, portanto, à autenticação do domínio. O detalhe está em SPF, DKIM e DMARC, e o caso da conta roubada em spam, phishing, malware e conta comprometida.

O que a técnica barra

  • O domínio exato falsificado, quando o domínio publica uma política DMARC de quarentena ou de rejeição.
  • O domínio sósia, por comparação com o seu domínio, os dos seus fornecedores e as marcas conhecidas, e pela idade do domínio: um domínio criado na semana passada que imita o seu é um sinal forte.
  • O nome de exibição enganoso, quando o filtro sabe quem são os executivos da empresa e compara o nome exibido com o endereço real.
  • Os cenários conhecidos: pedido de transferência urgente, mudança de dados bancários, fatura falsa, convite para ligar para um número. Um filtro pode reconhecer esses padrões no texto, mesmo sem anexo nem link.
  • A anomalia: um fornecedor habitual que de repente escreve de outro país, em outro horário, com um pedido que nunca fez.

Um ponto muitas vezes esquecido: um filtro não sabe, por padrão, quem é o seu dirigente nem quem são os seus fornecedores. Dar a ele esse contexto, os nomes dos executivos e os fornecedores habituais, é o que permite que ele perceba um falso dirigente.

O que a técnica não decide

Um filtro reduz o número de mensagens falsas que chegam. Ele não valida um pagamento. Uma conta realmente comprometida, um pedido plausível, um domínio sósia desconhecido das listas: uma mensagem pode passar. A última barreira é um procedimento.

Reflexos a escrever no procedimento

  • Toda mudança de dados bancários se confirma por um canal já conhecido: uma ligação para o número do fornecedor que consta nos seus registros, nunca o informado na mensagem. A CNIL recomenda contatar por telefone ou pessoalmente os contatos conhecidos.
  • Dupla aprovação acima de um limite, por duas pessoas, sendo uma fora da troca de mensagens.
  • A urgência e o segredo são sinais de alerta, não motivos para ir mais rápido. Um dirigente de verdade aceita uma ligação de confirmação.
  • Lista atualizada dos contatos de fornecedores e clientes, como recomenda a CNIL, para saber para quem telefonar.
  • Atenção reforçada em períodos de férias, de fechamento contábil ou de mudança de organização.
  • Registro dos nomes de domínio parecidos com o seu, e autenticação de dois fatores no e-mail, duas medidas citadas pela CNIL.

Quem deve conhecer essas regras

Não apenas a contabilidade. Os assistentes da diretoria, os compradores, as pessoas que gerenciam os cadastros de fornecedores e as que substituem um ausente são alvos naturais do cenário, porque têm acesso ao pagamento ou aos dados bancários. A CNIL recomenda conscientizar os colaboradores a verificar os nomes de domínio e a desconfiar de pedidos incomuns. Uma regra escrita, curta, conhecida por todos e lembrada regularmente, vale mais que uma orientação verbal: ela permite que um colaborador diga “não” a um falso dirigente sem medo de ser desautorizado.

Se uma transferência fraudulenta foi feita: ligar imediatamente para o banco para tentar cancelá-la, guardar as mensagens, registrar queixa. Avisar também os clientes ou fornecedores cujo nome foi usado.

Perguntas frequentes

O DMARC basta contra a fraude do CEO?

Não. Ele barra a falsificação exata do seu domínio, não o domínio sósia nem o nome de exibição. Veja SPF, DKIM e DMARC.

Uma mensagem sem anexo nem link pode ser perigosa?

Sim. A fraude de transferência só precisa de um texto convincente e de uma pessoa que execute.

A mensagem vem do endereço verdadeiro do fornecedor: é seguro?

Não necessariamente: a conta dele pode ter sido roubada. Veja conta comprometida. A verificação por telefone resolve.

Uma mensagem de fraude foi colocada em quarentena: é preciso liberá-la para verificar?

Não. Verifique com o contato conhecido, sem liberar. Veja Quarentena, falsos positivos e denúncias.

Onde a Klytic se posiciona

O Klytic MTA distribui essa proteção entre suas duas ofertas. Ele funciona à frente de qualquer e-mail, sem o Klytic Mail.

ProteçãoEssencialAvançado
Verificação SPF, DKIM, DMARC, inclusive para mensagens encaminhadasSimSim
Falsificação de marca, domínios sósias, falsificação do nome de exibiçãoSimSim
Comportamentos incomuns de um remetenteSimSim
Fraude do CEONãoSim
Faturas falsas, transferências falsas, cripto, reembolsos, financiamentos, ligações telefônicasNãoSim
Alerta por SMS quando um remetente importante escreveOpcionalOpcional

O contexto de fraude do domínio (nomes dos executivos, fornecedores habituais) é configurado pelo administrador do domínio: veja Quem configura o filtro no Klytic MTA.

O que o Klytic MTA não faz: ele não valida nenhum pagamento e não substitui o seu procedimento de transferência. Ele não vê uma ligação telefônica direta, apenas as mensagens que convidam a ligar.

Esta página descreve medidas gerais. Ela não substitui as orientações do seu banco nem as das autoridades em caso de fraude comprovada.

Fontes

Consultadas em outubro de 2026.

  • CNIL, “Le faux ordre de virement international ou fraude au président” (A falsa ordem de transferência internacional ou fraude do CEO): desenrolar do ataque (reconhecimento, domínio parecido, pedido urgente), medidas de prevenção (retorno aos contatos conhecidos, procedimentos de aprovação, registro dos domínios parecidos, autenticação de dois fatores). cnil.fr
  • Ministère de l’Économie (Ministério da Economia francês), “Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président” (Proteger-se contra o golpe das falsas ordens de transferência ou golpe do CEO): transferência apresentada como urgente e confidencial, falsificação de um órgão público para anunciar uma mudança de dados bancários, não agir na pressa, atenção durante as férias. economie.gouv.fr
  • RFC 7489, DMARC: fora do escopo do mecanismo, os nomes de domínio visualmente parecidos e o abuso do nome de exibição. rfc-editor.org
  • Klytic, página Klytic MTA: distribuição da fraude financeira entre as ofertas Essencial e Avançado, opções, modos de implantação, ativação pelo MX. klytic.com

Reduza o risco de fraude de transferência

A oferta Avançado do Klytic MTA acrescenta a detecção da fraude do CEO e das faturas falsas.

Falar com um consultor →

Comparar Essencial e Avançado

Leia também

Entender · Segurança de e-mailSpam, phishing, malware e conta comprometidaQuatro ameaças entram pela mesma porta e não se tratam da mesma forma. O que denuncia cada uma, o que a bloqueia, e por que um antispam sozinho não basta.6 min de leituraLer →Entender · Segurança de e-mailSPF, DKIM e DMARC: o que protegem e o que não protegemSPF, DKIM e DMARC impedem o uso exato do seu domínio. Eles não leem a mensagem: o que barram, o que passa e como implantá-los.6 min de leituraLer →Usar · Segurança de e-mailQuarentena, falsos positivos e denúnciasO que acontece com uma mensagem retida pelo Klytic MTA, como liberá-la, corrigir um falso positivo e denunciar uma mensagem maliciosa.6 min de leituraLer →

Oferta de boas-vindas

30 dias de teste gratuito, migração acompanhada

Oferta de teste sem compromisso. Um consultor entra em contato para entender suas necessidades e preparar seu espaço Klytic.

🚀 Começar o teste gratuito Ver os preços