Reconhecer uma burla de alteração de IBAN
Um e-mail anuncia novos dados bancários, chega uma fatura com um IBAN diferente, um «dirigente» exige uma transferência urgente e confidencial. Esta fraude atinge tanto as microempresas como as grandes empresas, e uma única transferência pode custar muito caro.
Equipa editorial Kayzen Security4 min de leitura
Os cenários mais frequentes
- O falso fornecedor: uma mensagem, por vezes enviada a partir da verdadeira caixa de correio pirateada do fornecedor, anuncia uma «mudança de banco» e anexa um novo IBAN.
- O falso dirigente (ou «fraude do CEO»): um suposto dirigente pede uma transferência urgente e confidencial para uma operação sensível.
- A falsa fatura: uma fatura idêntica à habitual, mas com um IBAN alterado, por vezes inserida numa troca de mensagens real.
- O falso trabalhador: um pedido de alteração de IBAN para o pagamento do salário, dirigido ao serviço de processamento salarial.
Os sinais que o devem fazer parar
- Um pedido de alteração de dados bancários, seja qual for a justificação.
- Uma pressão sobre o prazo («antes de esta noite», «caso contrário a entrega fica bloqueada»).
- Um pedido de discrição ou para contornar o procedimento habitual.
- Um endereço de remetente ligeiramente diferente (uma letra alterada, outro nome de domínio) ou uma resposta que segue para outro endereço.
- Um IBAN de um país invulgar para esse fornecedor, ou um titular da conta que não corresponde exatamente à empresa.
O procedimento de verificação a adotar
A defesa mais eficaz é uma regra simples, escrita e conhecida de todos: nenhuma alteração de dados bancários é registada sem contrachamada.
- Contrachamada sistemática para o número que consta da sua ficha de fornecedor ou de um contrato antigo, nunca para o da mensagem.
- Dupla validação: a pessoa que regista o novo IBAN não é a que valida o primeiro pagamento.
- Período de carência: nenhum pagamento importante nos dias seguintes a uma alteração de dados.
- Verificação do beneficiário: desde 9 de outubro de 2025, os bancos da zona euro devem indicar, antes de uma transferência SEPA, se o nome do beneficiário corresponde ao IBAN (regulamento (UE) 2024/886). Leia atentamente esse resultado: é uma salvaguarda, não uma garantia. Para as transferências agrupadas enviadas em ficheiro, uma empresa pode ter renunciado a esta verificação: informe-se junto do seu banco.
- Sensibilização: explique estes cenários à contabilidade, ao processamento salarial e ao secretariado da direção, que são os mais visados.
Se a transferência já foi feita
- Ligue imediatamente ao seu banco para pedir a recuperação dos fundos: as hipóteses de recuperação diminuem de hora para hora.
- Conserve todas as provas (e-mails com os respetivos cabeçalhos, faturas, extratos) sem as modificar.
- Apresente queixa junto da polícia ou da gendarmerie.
- Avise o verdadeiro fornecedor ou o verdadeiro dirigente: o correio eletrónico dele pode ter sido pirateado, e outros clientes podem estar a ser visados.
- Peça orientação ao 17Cyber (17cyber.gouv.fr) e avise a sua seguradora se tiver uma garantia de risco cibernético ou de fraude; no caso de uma garantia de risco cibernético, a indemnização pode pressupor uma queixa apresentada no prazo de 72 horas (código dos seguros francês, article L.12-10-1 du code des assurances, a validar com a sua seguradora).
Fontes oficiais
- Cybermalveillance.gouv.fr (novo separador) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- 17Cyber (novo separador) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- EUR-Lex (novo separador) — Règlement (UE) 2024/886 (virements instantanés, vérification du bénéficiaire)
Os recursos citados são publicados pelos respetivos autores na língua original. A Kayzen não está associada a nenhum destes organismos.
Este guia é informativo e geral. Não substitui um aconselhamento jurídico nem a intervenção de um profissional de segurança informática.