O cenário
A CNIL descreve a falsa ordem de transferência, dita «fraude do presidente», em várias fases. O burlão informa-se sobre a empresa: organograma, clientes, fornecedores. Prepara um falso nome de domínio próximo do da empresa ou de um fornecedor, ou usurpa a identidade de um colaborador. Depois escreve, ou telefona, fazendo-se passar por um dirigente ou um fornecedor, com um pedido apresentado como urgente e validado ao mais alto nível.
As variantes são semelhantes:
- uma transferência imprevista, urgente e confidencial, pedida por um falso dirigente ou um falso responsável do grupo;
- um fornecedor que anuncia uma alteração de IBAN para as próximas faturas;
- uma fatura falsa, com o montante certo e no formato certo;
- uma falsa inspeção de uma entidade pública, que serve depois para escrever aos clientes da empresa com uma nova conta bancária, cenário descrito pelo Ministério da Economia francês.
O mecanismo é sempre humano: a urgência, o segredo, a autoridade. O Ministério da Economia francês aconselha a não agir com precipitação, mesmo perante um interlocutor insistente, e a redobrar a vigilância durante as férias, quando os serviços de contabilidade funcionam com pessoal reduzido.
Exemplo, a título ilustrativo. Numa sexta-feira ao fim da tarde, a contabilista de uma PME recebe uma mensagem do «diretor-geral»: uma aquisição confidencial, um advogado que vai telefonar, uma transferência a fazer antes de segunda-feira. A mensagem não contém anexo nem ligação. O nome de apresentação está correto, o endereço não. Nada, tecnicamente, está «infetado».
Quatro formas de usurpação, não uma
| Forma | Como se apresenta | SPF, DKIM, DMARC | O que a pode detetar |
|---|
| Nome de apresentação usurpado | «Claire Martin, DG», a escrever a partir de um serviço de correio gratuito | Válidos para o verdadeiro domínio do remetente; o DMARC não trata o nome de apresentação | Comparação entre o nome apresentado, o endereço e os nomes dos quadros do domínio |
| Domínio semelhante | Uma letra duplicada, um hífen, outra extensão | Podem ser perfeitos para o domínio semelhante | Semelhança com o seu domínio ou com o de um fornecedor, idade do domínio, reputação |
| O seu domínio exato, enviado de outro lado | O endereço apresentado é o verdadeiro | O DMARC falha; trava a mensagem se a política do domínio o pedir | Verificação DMARC à chegada |
| Conta realmente comprometida | A mensagem vem da verdadeira caixa do dirigente ou do fornecedor | Tudo é válido | Mudança de comportamento, conteúdo (novo IBAN) e, sobretudo, o procedimento de verificação |
A própria especificação do DMARC o diz: não trata nem os domínios visualmente próximos, nem o abuso do nome de apresentação. Três casos em quatro escapam, portanto, à autenticação do domínio. O detalhe está em SPF, DKIM e DMARC, e o caso da conta roubada em spam, phishing, malware e conta comprometida.
O que a técnica trava
- O domínio exato usurpado, quando o domínio publica uma política DMARC de quarentena ou de rejeição.
- O domínio semelhante, por comparação com o seu domínio, os dos seus fornecedores e as marcas conhecidas, e pela idade do domínio: um domínio criado na semana passada que imita o seu é um sinal forte.
- O nome de apresentação enganador, quando o filtro sabe quem são os quadros da empresa e compara o nome apresentado com o endereço real.
- Os cenários conhecidos: pedido de transferência urgente, alteração de dados bancários, fatura falsa, convite para ligar para um número. Um filtro pode reconhecer estes padrões no texto, mesmo sem anexo nem ligação.
- A anomalia: um fornecedor habitual que de repente escreve a partir de outro país, a outra hora, com um pedido que nunca fez.
Um ponto muitas vezes esquecido: um filtro não sabe, por defeito, quem é o seu dirigente nem quem são os seus fornecedores. Dar-lhe esse contexto, os nomes dos quadros e os fornecedores habituais, é o que lhe permite ver um falso dirigente.
O que a técnica não decide
Um filtro reduz o número de mensagens falsas que chegam. Não valida um pagamento. Uma conta realmente comprometida, um pedido plausível, um domínio semelhante desconhecido das listas: uma mensagem pode passar. A última barreira é um procedimento.
Reflexos a escrever no procedimento
- Qualquer alteração de dados bancários confirma-se por um canal já conhecido: uma chamada para o número do fornecedor que consta dos seus registos, nunca o indicado na mensagem. A CNIL recomenda contactar por telefone ou pessoalmente os contactos conhecidos.
- Dupla validação acima de um limiar, por duas pessoas, uma das quais fora da troca de mensagens.
- A urgência e o segredo são sinais de alerta, não razões para andar mais depressa. Um verdadeiro dirigente aceita uma chamada de confirmação.
- Lista atualizada dos contactos de fornecedores e clientes, como recomenda a CNIL, para saber para quem telefonar.
- Vigilância reforçada em períodos de férias, de fecho de contas ou de mudança de organização.
- Registo dos nomes de domínio próximos do seu, e autenticação de dois fatores no correio eletrónico, duas medidas citadas pela CNIL.
Quem deve conhecer estas regras
Não apenas o serviço de contabilidade. Os assistentes de direção, os compradores, as pessoas que gerem as fichas de fornecedores e as que substituem um ausente são alvos naturais do cenário, porque têm acesso ao pagamento ou aos dados bancários. A CNIL recomenda sensibilizar os colaboradores para verificarem os nomes de domínio e desconfiarem de pedidos invulgares. Uma regra escrita, curta, conhecida de todos e relembrada regularmente, vale mais do que uma instrução oral: permite a um colaborador dizer «não» a um falso dirigente sem recear ser desautorizado.
Se uma transferência fraudulenta já tiver saído: ligar imediatamente para o banco para tentar anulá-la, conservar as mensagens, apresentar queixa. Avisar também os clientes ou fornecedores cujo nome foi utilizado.
Perguntas frequentes
O DMARC basta contra a fraude do CEO?
Não. Trava a usurpação exata do seu domínio, não o domínio semelhante nem o nome de apresentação. Ver SPF, DKIM e DMARC.
Uma mensagem sem anexo nem ligação pode ser perigosa?
Sim. A fraude na transferência só precisa de um texto credível e de uma pessoa que execute.
A mensagem vem do verdadeiro endereço do fornecedor: é segura?
Não necessariamente: a conta dele pode ter sido roubada. Ver conta comprometida. A verificação por telefone é decisiva.
Uma mensagem de fraude foi colocada em quarentena: é preciso libertá-la para verificar?
Não. Verifique junto do contacto conhecido, sem libertar. Ver Quarentena, falsos positivos e denúncias.
Onde se posiciona a Klytic
O Klytic MTA reparte esta proteção pelas suas duas ofertas. Funciona à frente de qualquer correio eletrónico, sem Klytic Mail.
| Proteção | Essential | Advanced |
|---|
| Verificação SPF, DKIM, DMARC, incluindo para as mensagens reencaminhadas | Sim | Sim |
| Usurpação de marca, domínios semelhantes, usurpação do nome de apresentação | Sim | Sim |
| Comportamentos invulgares de um remetente | Sim | Sim |
| Fraude do CEO | Não | Sim |
| Faturas falsas, transferências falsas, cripto, reembolsos, financiamentos, chamadas telefónicas | Não | Sim |
| Alerta por SMS quando um remetente importante escreve | Opção | Opção |
O contexto de fraude do domínio (nomes dos quadros, fornecedores habituais) é configurado pelo administrador do domínio: ver Quem configura o filtro no Klytic MTA.
O que o Klytic MTA não faz: não valida nenhum pagamento e não substitui o seu procedimento de transferência. Não vê uma chamada telefónica direta, apenas as mensagens que convidam a telefonar.
Esta página descreve medidas gerais. Não substitui os conselhos do seu banco nem os das autoridades em caso de fraude comprovada.
Fontes
Consultadas em outubro de 2026.
- CNIL, «Le faux ordre de virement international ou fraude au président» (A falsa ordem de transferência internacional ou fraude do presidente): desenrolar do ataque (reconhecimento, domínio próximo, pedido urgente), medidas de prevenção (contacto de confirmação com contactos conhecidos, procedimentos de validação, registo dos domínios próximos, autenticação de dois fatores). cnil.fr
- Ministério da Economia francês, «Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président» (Proteger-se contra a burla das falsas ordens de transferência ou burla do presidente): transferência apresentada como urgente e confidencial, usurpação de uma entidade pública para anunciar uma alteração de IBAN, não agir com precipitação, vigilância durante as férias. economie.gouv.fr
- RFC 7489, DMARC: fora do âmbito do mecanismo, os nomes de domínio visualmente próximos e o abuso do nome de apresentação. rfc-editor.org
- Klytic, página Klytic MTA: repartição da fraude financeira entre as ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX. klytic.com
