Os crimes cibernéticos existem desde o surgimento dos computadores. A transferência de dados através de disquetes e redes de computadores, possibilitava a propagação de vírus e os ataques de hackers. Entretanto, os crimes digitais se potencializaram com o surgimento da internet, onde pessoas e empresas imergiram em um novo mundo digital, transformando o cotidiano da sociedade em todos os países do planeta. Na década de 1990, o perfil dos internautas era navegar através dos browsers, principalmente o Netscape, trocar mensagens por correio eletrônico, liderados pelo Hotmail e Yahoo!, e utilizar sistemas de mensagens instantâneas, tais como mIRC e ICQ. Desde então, criminosos já buscavam invadir os computadores dos usuários, buscando capturar dados pessoais e obter vantagem financeira através de tais infrações.

Os ataques de hackers têm um perfil similar, e-mails simulando o envio de algum documento anexado e solicitando que o usuário abra o mesmo. As extensões dos arquivos são alteradas para que se passem por arquivos do Microsoft Word, Microsoft Office, Adobe PDF ou extensões de imagem, tais como “.jpg” ou “.gif”. Entretanto, ao passar com o mouse em cima do arquivo percebe-se que na realidade são arquivos executáveis, tais como “.exe” ou “.iso”. É quando o vírus é instalado no computador da vítima.

Com o crescimento dos crimes cibernéticos, cresceram também os sistemas de antivírus, e os ataques mais comuns costumam são bloqueados automaticamente. Infelizmente, a cada dia novos delitos são desenvolvidos dificultando cada vez mais a detecção automatizada destas fraudes. Há alguns anos, surgiu uma nova onda de ataques, muito diferentes de tudo que já visto: BEC – Business E-mail Compromise, ou em português, Comprometimento de E-mail Corporativo. No Brasil, esta transgressão ganhou força a partir de 2018.

Como funciona o BEC?

Este tipo de fraude foca em empresas de pequeno e médio porte. O estelionatário, invade o e-mail corporativo do usuário e consegue ter acesso aos e-mails da vítima sem ser notado. O mais intrigante é que, normalmente, ao se realizar uma análise do computador através do software de antivírus, nenhuma ameaça é identificada. O hacker utiliza três formas principais de falsificar o e-mail:

1. Interceptar as mensagens utilizando exatamente o e-mail original da vítima;

1. Quando ele não consegue ter sucesso ao clonar e-mail original, tenta-se criar o mesmo e-mail, alterando somente o domínio, por exemplo, substituindo o e-mail xyz@xyz.com.br por xyz@hotmail.com;

1. Não tendo sucesso nas duas primeiras alternativas, o criminoso cria um e-mail similar ao e-mail original da vítima: ex.: ao invés de xyz@gmail.com, cria-se o e-mail xzy@gmail.com;

Ao ter acesso ao e-mail, o hacker consegue interceptar as comunicações entre clientes e fornecedores em diferentes países, monitorando a troca de e-mails entre as partes, até o momento em que há uma necessidade de pagamento da fatura desta transação comercial. Neste momento, o criminoso envia um e-mail informando que a conta principal está em processo de auditoria e solicita que o pagamento seja realizado em uma conta secundária falsa. Como o interceptor está com o e-mail sob controle, caso a vítima busque confirmar os dados bancários por e-mail, ele interceptará a mensagem e confirmará que a conta falsa é a correta.

As contas bancárias tendem a ser no mesmo país do fornecedor, entretanto, é possível que os hackers informem contas em países completamente diferentes do país de origem do fornecedor. Estima-se que este crime tenha causado prejuízos de mais de 12 milhões de dólares americanos nos últimos 5 anos.

Há uma grande dificuldade na resolução desta fraude, iniciando-se na identificação de quem é a competência para a resolução do crime, tendo em vista em que não se sabe exatamente onde a infração está sendo realizada. Se o delito foi realizado no Brasil, a Polícia Federal entende que este é um caso de estelionato, portanto, deve ser investigado pela Polícia Civil. Se o crime é realizado no exterior, ele deve ser investigado no exterior. Em casos de transgressões transnacionais, a Polícia Federal do Brasil dá prioridade para crimes onde exista um tratado internacional, como são os casos de terrorismo, tráfico internacional de mulheres, e pedofilia. Para a vítima, que geralmente é leiga em informática, é praticamente impossível identificar onde foi realizado. Assim, a vítima fica com dúvidas de como e onde registrar o boletim de ocorrência. Existem delegacias especializadas em crimes cibernéticos em algumas cidades brasileiras, mas estas são de competência estadual. Por isso, é necessário verificar se existe tal delegacia no estado da vítima.

Outra ação que deve ser tomada o mais rápido possível, é solicitar ao banco pagador, o estorno do pagamento internacional. As instituições financeiras possuem uma “black list” de empresas e contas suspeitas. Desta forma, o banco pagador e/ou receptor podem ser peças importantes para interceptar e bloquear este pagamento em caso de suspeita. A taxa de sucesso neste crime tende a ser mais alta em pagamentos maiores do que nos de menor quantia, tendo em vista que os bancos têm uma burocracia maior para pagamentos de valores mais expressivos.

Abaixo seguem algumas dicas importantes para prevenir e solucionar este crime:

• Instruir todos os colaboradores, principalmente os dos setores de compras, importação, exportação e financeiro, sobre esta fraude, alertando sobre os procedimentos de prevenção;

• Estabelecer um procedimento de “double check” para a confirmação dos dados bancários, isto é, sempre que houver alguma comunicação de mudança de dados bancários de um fornecedor, a empresa deve realizar uma conferência destes dados por um meio diferente do e-mail, tais como telefone, Skype, Whatsapp, WeChat ou solicitar que o fornecedor envie uma carta com os dados bancários por correio.

• Nunca confirmar os dados bancários através da função “Responder” do e-mail, pois seu e-mail provavelmente será interceptado pelo criminoso;

• Ao identificar esta fraude, instalar e realizar análise de antivírus em todos os computadores da empresa e no servidor;

• Trocar as senhas de todos os e-mails da empresa;

• Comunicar a fraude ao banco solicitando o estorno imediato dos pagamentos realizados;

• Realizar boletim de ocorrência junto à Polícia Civil;

• Verificar se existe alguma Delegacia de Polícia de Repressão aos Crimes Cibernéticos, no estado da empresa vítima deste crime. Segue abaixo o link com algumas delegacias especializadas:

https://new.safernet.org.br/content/delegacias-cibercrimes

Certamente novos crimes serão criados, cada vez mais inteligentes e mais difíceis de serem detectados. A internet é uma ferramenta indispensável a todas as empresas que operam internacionalmente. É inevitável que os criminosos tentem se utilizar deste meio para a realização de delitos. O Estado também deve realizar seu papel e capacitar as polícias, estabelecendo políticas públicas que estabeleçam competência de resolução destes crimes no âmbito global, caso contrário, estaremos a mercê dos criminosos do novo milênio, que certamente ainda prejudicarão muitas pessoas e empresas mundo afora.

O autor

Renato Barata Gomes

Inovação, Tecnologia e Globalização

Sócio-diretor da UNQ Import Export. Engenheiro de Controle e Automação (PUCRS, Brasil). M.Sc. em Engenharia de Produção (Technische Universität Hamburg-Harburg, Alemanha). M.B.A. em Gestão Internacional de Tecnologia (Northern Institute of Technology, Alemanha). Experiência internacional de 6 anos na Alemanha, México e Estados Unidos, trabalhando na empresa ThyssenKrupp na área de projetos internacionais. Experiência gerencial na área de comércio exterior, desde 2006.Professor universitário na área de Marketing Internacional, desde 2006.