Burla com faturas reais e o número de conta alterado

A burla de faturas mais conhecida é a de sempre: chega-lhe uma fatura de um serviço que não contratou, com uma ligação de pagamento ou uma conta bancária. É fácil de detetar, porque ninguém espera essa fatura.

Esta é muito mais perigosa: recebe uma fatura que está mesmo à espera, de um fornecedor real, dentro de uma conversa real, com o montante correto. A única coisa que muda é o número de conta, que o atacante substituiu por um seu no PDF ou no texto do e-mail.

Paga normalmente. Dias depois, o fornecedor reclama o pagamento, e tem razão: o dinheiro foi para a conta do atacante. Essa conta pode ser estrangeira ou uma conta espanhola de outra vítima, usada como ponte para levantar o dinheiro depois.

Como o fazem

O objetivo é sempre o mesmo, alterar os dados bancários, mas há várias formas de o conseguir:

• Regras ocultas na caixa de correio do destinatário. É a via mais frequente que vemos. O atacante entra no seu correio e cria uma regra que interceta as mensagens que contêm palavras como «fatura», «pagamento», «recibo» ou «IBAN». A regra reencaminha-as ou põe-nas de parte, o atacante modifica os dados bancários e volta a deixar a mensagem na sua caixa de entrada como se nada fosse. Você não nota nada de estranho.
• Caixa de correio do remetente ou do destinatário comprometida. Com a palavra-passe de uma das duas contas, o atacante lê as conversas e envia faturas modificadas no momento certo, a partir do endereço autêntico.
• Domínio parecido. O atacante responde a partir de um endereço quase idêntico: troca um «m» por «rn» (proveedor.com → proveedor.corn), acrescenta uma letra ou usa outra extensão (.net em vez de .com). À primeira vista parece a mesma conversa.
• Vírus no computador. Um trojan no equipamento onde se usa o Outlook ou outro programa de correio pode alterar as mensagens enviadas ou recebidas.

O facto de o IBAN estar alterado não indica, por si só, qual das duas partes foi comprometida. As duas devem verificar.

Antes de pagar uma fatura

• Compare a conta com a de pagamentos anteriores. Se for diferente, ou se for o primeiro pagamento, não pague até a confirmar.
• Confirme a alteração por telefone, ligando para o número que já tinha do fornecedor. Não use o telefone nem a ligação que vêm no mesmo e-mail.
• Desconfie da pressa. «Mudámos de banco», «a conta anterior está bloqueada» ou «pague hoje para evitar encargos» são as frases habituais.
• Peça uma fatura assinada eletronicamente e verifique-a no VALIDe, o validador de assinaturas do Governo espanhol. Se alguém modificou o ficheiro depois de o assinar, a assinatura deixa de ser válida.
• Peça um certificado de titularidade da conta emitido pelo banco do fornecedor. Atenção: se chegar em anexo ao mesmo e-mail suspeito, também pode estar falsificado; confirme-o na mesma por telefone.
• Numa empresa, a pessoa que aceita uma alteração de conta não deve ser a mesma que aprova o pagamento.

Se já pagou

1. Ligue imediatamente para o seu banco e peça que tentem reter ou devolver a transferência. Quanto mais cedo o fizer, mais hipóteses há; nem sempre se recupera.
2. Guarde as provas: o e-mail original (não uma captura, mas a mensagem completa com os cabeçalhos), o PDF recebido, o comprovativo da transferência e as datas.
3. Avise o fornecedor por telefone para que reveja também as suas contas.
4. Apresente queixa na Policía Nacional ou na Guardia Civil com essas provas. Pode pedir orientação no 017, a linha de ajuda em cibersegurança do INCIBE.

Rever o seu correio

Se suspeitar que a sua caixa de correio está comprometida, reveja o seguinte a partir de um computador que saiba estar limpo:

1. Filtros das contas de correio. No cPanel, entre em Email Filters, clique em Manage Filters em cada caixa de correio e procure regras que não criou: as que procuram «fatura», «pagamento» ou «transferência», ou que reencaminham, movem para pastas estranhas ou descartam mensagens. É assim que se gerem: filtros de correio no cPanel.
2. Filtros globais. Os de Global Email Filters aplicam-se a todas as contas do alojamento. Reveja-os também.
3. Reencaminhadores. Em Forwarders, verifique que não há nenhum endereço que copie o seu correio para uma caixa de correio externa.
4. Regras do programa de correio. Se usar o Outlook, o Thunderbird, o Gmail ou outro cliente, reveja também as suas regras: não aparecem no cPanel.
5. Pastas Enviados e Lixo. Procure mensagens que não enviou ou respostas que não viu.
6. Altere as palavras-passe das contas de correio e do cPanel por outras novas, aleatórias e que não use em mais nenhum sítio. Alterar a palavra-passe não apaga as regras: elimine-as manualmente.
7. Ative a verificação em dois passos no webmail e na área de cliente.
8. Analise com um antivírus os computadores e telemóveis onde lê o correio.

Se o seu correio estiver na Hostsuar, abra um ticket com os endereços afetados e as datas aproximadas: revemos os acessos registados (IP, horas, origem) e damos-lhe a informação para a queixa. Nunca nos envie palavras-passe.

No guia sobre como são roubadas as palavras-passe tem as formas mais habituais e como prevenir cada uma. O INCIBE também tem um guia sobre a fraude do correio empresarial comprometido.