Palavras de Segurança no Trabalho: Por Que Sua Empresa Precisa de um Código de Verificação Verbal

O Problema de US$ 55,5 Bilhões Que Ninguém Comenta

O comprometimento de e-mail corporativo — ou BEC, na sigla em inglês — é o crime cibernético mais devastador financeiramente no mundo. Segundo o Internet Crime Complaint Center do FBI, o BEC causou US$ 55,5 bilhões em perdas globais acumuladas, com US$ 2,77 bilhões roubados somente em 2024. Mesmo assim, a maioria das empresas nunca ouviu falar disso, e menos ainda têm defesas implementadas.

O BEC funciona porque explora a confiança, não a tecnologia. Um invasor se passa por um CEO, um fornecedor ou um colega e convence alguém a transferir dinheiro, compartilhar credenciais ou alterar dados de pagamento. Os e-mails parecem reais. As ligações soam reais. E agora, com clonagem de voz e vídeo deepfake, elas podem literalmente ser reais — pelo menos para a percepção humana.

O Deepfake da Arup: US$ 25 Milhões Perdidos em Uma Videochamada

Em fevereiro de 2024, um funcionário do departamento financeiro da Arup — uma empresa multinacional de engenharia com 18.000 funcionários — em Hong Kong entrou em uma videoconferência com o que parecia ser o CFO da empresa e vários colegas. Cada rosto na chamada era um deepfake. Os participantes gerados por IA deram instruções para transferir US$ 25 milhões em cinco transações. O funcionário obedeceu. Quando a fraude foi descoberta, o dinheiro havia desaparecido em múltiplas contas bancárias.

Este não foi um ataque sofisticado de estado-nação. Foi uma quadrilha criminosa usando ferramentas de deepfake disponíveis comercialmente. O ataque funcionou porque o funcionário podia ver e ouvir pessoas que pareciam e soavam exatamente como seus colegas de trabalho. A verificação visual e auditiva — a base da confiança humana — havia sido completamente comprometida.

"Estamos vendo deepfake de vídeo e voz sendo cada vez mais usados como parte de fraudes BEC. O que antes exigia falsificar um endereço de e-mail agora envolve falsificar uma pessoa inteira." — Divisão Cibernética do FBI, 2024

MGM Resorts: Uma Ligação Telefônica, US$ 100 Milhões em Danos

Em setembro de 2023, o grupo hacker Scattered Spider ligou para o helpdesk de TI da MGM Resorts e se passou por um funcionário. A ligação durou cerca de 10 minutos. Usando informações coletadas do LinkedIn, o golpista convenceu o técnico do helpdesk a redefinir as credenciais do funcionário. Essa única ligação deu aos invasores acesso a toda a rede da MGM.

O resultado: máquinas caça-níqueis pararam em toda Las Vegas, cartões-chave de hotel deixaram de funcionar e as operações da MGM travaram por 10 dias. O custo estimado ultrapassou US$ 100 milhões. Tudo porque um funcionário do helpdesk de TI não conseguiu verificar quem realmente estava do outro lado da linha.

Por Que a Segurança Tradicional Falha Aqui

Empresas gastam bilhões em firewalls, detecção de endpoints e autenticação multifator. Mas nenhuma dessas proteções funciona contra um funcionário de confiança sendo manipulado socialmente por telefone. A MFA não ajuda quando o invasor convence o TI a redefini-la. Filtros de e-mail não capturam uma ligação telefônica. A segurança de endpoint não impede um humano de autorizar uma transferência.

• Autenticação multifator — invasores manipulam o TI para redefini-la
• Filtros de segurança de e-mail — irrelevantes quando o ataque vem por telefone ou vídeo
• Identificador de chamadas — facilmente falsificado para mostrar qualquer número
• Verificação visual em videochamadas — derrotada por deepfakes em tempo real
• Treinamento de conscientização de segurança — ensina funcionários a identificar phishing por e-mail, não falsidade ideológica por voz ao vivo

A Camada Que Falta: Verificação Verbal

As palavras de segurança acrescentam uma verificação. Elas podem ser expostas ou esquecidas, então mantenha uma forma independente de verificar.

Retorne por um número em que já confia e siga o plano combinado. Retornar é uma checagem independente, não uma garantia. Se ninguém atender ou a frase estiver errada ou esquecida, pare o pedido e use a alternativa combinada; isso sozinho não prova fraude.

Como Implementar Palavras de Segurança no Trabalho

• Estabeleça palavras de segurança da equipe compartilhada pessoalmente em uma reunião geral — nunca por e-mail ou chat
• Crie uma política: qualquer transação financeira acima de um limite (ex.: R$ 25.000) exige confirmação verbal com as palavras de segurança
• O helpdesk de TI deve verificar as palavras de segurança do departamento antes de redefinir senhas ou MFA
• Troque as palavras de segurança trimestralmente — anuncie a nova na próxima reunião presencial
• Pagamentos a fornecedores: estabeleça palavras de segurança com fornecedores-chave para solicitações de alteração de pagamento
• Comunicações da diretoria: se o CEO ligar com um pedido urgente, as palavras de segurança devem ser fornecida antes de qualquer ação

Falsidade Ideológica de Fornecedor: O Vetor BEC de Crescimento Mais Rápido

Segundo a Abnormal AI, 60% dos ataques BEC modernos agora envolvem falsidade ideológica de fornecedor em vez de falsidade ideológica de executivo. Um invasor compromete o e-mail de um fornecedor, monitora os padrões de faturamento e então envia uma mensagem convincente: "Nossa conta bancária mudou. Por favor, atualize seus registros e envie o próximo pagamento para esta nova conta."

Antes de alterar dados de pagamento, contate de forma independente uma pessoa conhecida usando dados em que já confia. Uma frase privada acrescenta uma checagem, mas mantenha os controles normais de aprovação. Conhecê-la sozinha não autoriza uma transferência.

O Trabalho Remoto Piorou Tudo

Quando as equipes trabalhavam no mesmo escritório, você podia ir até a mesa de alguém e confirmar um pedido pessoalmente. O trabalho remoto e híbrido eliminou essa opção. Agora, toda verificação acontece por canais digitais — os mesmos canais que deepfakes podem comprometer. Palavras de segurança restauram a camada de confiança presencial nas interações remotas.