O golpe não começou com um e-mail suspeito ou um arquivo infectado, muito menos com uma senha roubada, como geralmente ocorre. Teve início com uma conversa aparentemente comum dentro do ambiente de um aplicativo de reuniões certificado e assinado por uma organização da sociedade civil, cotidianamente acessado por seus membros.
Aconteceu mais ou menos assim: um golpista se passando por diretor dessa OSC entrou em contato com uma pessoa da equipe financeira, por meio do tal aplicativo, parecendo totalmente legítimo. Não há qualquer pista sobre quando e como ele conseguiu o login e a senha.
Da mesma forma que um ator experiente faz quando atua, com toda confiança na fala e nos argumentos, esse “diretor” apresentou uma demanda urgente e solicitou uma transferência para cobrir uma despesa da entidade. Não deu outra.
O primeiro pagamento foi autorizado sem problema. Na sequência, o golpista enviou uma segunda solicitação, de valor muito maior. Foi só aí que o membro da equipe que estava na outra ponta do app desconfiou e bloqueou a operação. Mas o estrago já estava feito. Prejuízo de milhares de reais no caixa da OSC.
O episódio mostra como as fraudes podem explorar menos as falhas tecnológicas do que os hábitos, a confiança e a ausência de procedimentos claros para validar uma solicitação financeira. Golpes desse tipo podem ocorrer em empresas, em repartições públicas e organizações do Terceiro Setor.
“O aspecto mais relevante desse caso é que, aparentemente, não foi necessário instalar um vírus, invadir o sistema financeiro ou obter a senha bancária da organização. O fraudador explorou algo muito mais simples: a confiança das pessoas”, argumenta o contador e auditor Rafael Valle, vice-diretor de Auditoria Núcleo Smart da Audisa Auditoria e Consultoria.
O especialista entende que o episódio, assim como outros similares, é um exemplo clássico de engenharia social, em que o criminoso manipula comportamentos e relações de confiança para induzir alguém a realizar uma ação que normalmente não realizaria sem determinadas validações.
“Uma organização pode possuir antivírus, firewall, autenticação multifator, sistemas modernos e ferramentas corporativas de comunicação e, ainda assim, permanecer vulnerável caso seus procedimentos financeiros permitam que uma única mensagem seja suficiente para autorizar um pagamento. Nesse tipo de fraude, o criminoso procura reproduzir três elementos que fazem parte da rotina organizacional: autoridade, confiança e urgência”, detalha.
Segundo Valle, uma das principais regras de prevenção deve ser simples: a identidade aparente de quem solicita uma operação não substitui o procedimento formal de autorização.
“Nas organizações do Terceiro Setor, dirigentes e gestores muitas vezes mantêm relações próximas com as equipes administrativas e financeiras. Essa proximidade é positiva, mas não pode significar informalidade na movimentação de recursos. O controle deve prevalecer sobre a urgência”, afirma.
Para o contador, o problema não está apenas na tecnologia. “Casos como esse trazem uma importante reflexão para as organizações do Terceiro Setor: investir em tecnologia e segurança da informação é indispensável, mas não suficiente”, complementa.
Dicas do especialista
O especialista da Audisa dá algumas dicas para que os gestores das OSCs possam se prevenir contra fraudes.
Dupla autorização para pagamentos. A pessoa que prepara ou cadastra uma transferência não deveria ser a única responsável por sua aprovação. Sempre que possível, deve existir segregação entre solicitação, preparação e autorização do pagamento.
Confirmação por um segundo canal. Pedidos extraordinários recebidos por mensagem devem ser confirmados por outro meio previamente conhecido. Se a solicitação chegou por aplicativos como Teams, WhatsApp ou outros similares, por exemplo, a confirmação pode ocorrer por ligação para o número institucional já cadastrado do diretor. O ponto fundamental é não utilizar como meio de confirmação os dados fornecidos na própria mensagem suspeita.
Procedimento formal para pagamentos urgentes. A organização deve definir previamente como uma situação urgente será tratada. A urgência pode justificar rapidez no procedimento, mas não sua eliminação.
Limites de alçada. Os valores autorizados devem estar vinculados às competências previamente definidas pela entidade. Quanto maior o valor ou o risco da operação, maior deve ser o nível de aprovação necessário.
Segregação de funções. Sempre que a estrutura permitir, quem solicita não deve ser quem aprova; quem cadastra não deve ser quem libera; e quem concilia posteriormente deve possuir independência suficiente para identificar operações incomuns.
Validação de novos favorecidos e alterações bancárias. Transferências para contas novas, mudanças de dados bancários ou favorecidos que não fazem parte da rotina devem receber tratamento diferenciado e validação adicional.
Treinamento periódico das equipes. Os treinamentos de prevenção não devem ficar restritos ao setor de tecnologia. Financeiro, contabilidade, compras, recursos humanos, diretoria e demais áreas que movimentem informações ou recursos precisam conhecer os principais sinais de fraude.
Fonte: Rede Filantropia
Foto: Kucuktezcan / Magnific
