Golpe contra executivos é a fraude que dispensa invasão técnica: o criminoso convence uma pessoa a agir, e a própria pessoa abre a porta. Ouve-se muito a objeção de que quem tem experiência e cargo percebe a armadilha de longe, e há verdade nisso, até o dia em que a mensagem chega com o tom certo, na hora certa e com um detalhe que só alguém de dentro saberia.
A Trilion Signature, casa de curadoria e concierge de vida privada, trabalha com uma ideia simples: o que protege não é desconfiar de tudo, e sim combinar de antemão o que se faz quando algo parece estranho. Neste guia você aprende a reconhecer os sinais, entende por que o seu cargo atrai esse tipo de abordagem e monta um protocolo de verificação que a família e a equipe seguem sem constrangimento.
Guarde este guia e volte a ele quando quiser rever os sinais com calma, sem a pressão de uma ligação em andamento.
Golpe contra executivos: por que o cargo vira alvo
Executivos são alvo porque uma única decisão sua, como autorizar um pagamento ou liberar um acesso, vale mais do que a de muitas outras pessoas, e porque a vida pública deixa pistas suficientes para uma abordagem convincente.
Segundo a Wikipédia, engenharia social é o uso de pressão psicológica para levar alguém a executar uma ação ou revelar informação confidencial, explorando fragilidades da decisão humana, e não falhas de sistema. O golpista não precisa vencer um cofre quando consegue que alguém o abra por vontade própria.
O mesmo verbete descreve o pretexto, o cenário inventado e apoiado em pesquisa prévia. Para um executivo, essa pesquisa é fácil: cargos, viagens, entrevistas, nomes de assistentes e fornecedores circulam em fontes abertas. Quanto mais a história parece íntima, mais depressa ela vence a cautela.
O golpe mais convincente é o que parece uma conversa que você já esperava ter.
O que a engenharia social explora
Ela explora hábitos úteis: a cortesia com quem parece de dentro, o respeito à hierarquia, a vontade de resolver rápido. Nada disso é defeito; são qualidades de quem lidera, e é por isso que funcionam como alavanca.
- Autoridade: a mensagem finge vir de alguém acima ou ao lado de você.
- Confiança: a história usa nomes, projetos e detalhes reais.
- Pressa: o prazo inventado impede a conferência.
- Discrição: pede-se sigilo para que ninguém confirme o pedido.
As formas mais comuns de abordagem
A Wikipédia define o spear phishing como a abordagem dirigida a uma pessoa ou grupo, com mensagem ajustada ao destinatário, e o whaling como a variante que mira quem ocupa funções de direção. Já o comprometimento de e-mail corporativo, em inglês business email compromise, descreve mensagens que fingem vir de um colega sênior, de um cliente ou de um fornecedor para obter pagamentos ou dados.
- Pedido de pagamento em nome de alguém da diretoria ou de um fornecedor conhecido.
- Troca de dados bancários comunicada por e-mail ou mensagem.
- Pedido de acesso a uma conta ou a um documento reservado.
- Ligação de suposto banco ou suporte, que pede códigos ou confirmações.
Quando a família entra na história
O alvo nem sempre é o executivo. Cônjuge, filhos, pais e a equipe doméstica também recebem ligações de quem se diz chefe, médico ou motorista, justamente porque são o caminho mais curto até você. A segurança digital da família é parte do mesmo desenho, e o texto sobre os pontos que mais expõem a privacidade digital da família mostra onde essas pistas nascem.
- Cônjuge e filhos: recebem pedidos de ajuda que parecem urgentes.
- Assistentes: recebem ordens aparentes de quem chefia.
- Equipe da casa: recebe pedidos de visita, entrega ou acesso.
Sinais de alerta: o que a abordagem revela antes do pedido
Os sinais de alerta aparecem antes do pedido em si: pressa que não combina com o assunto, canal que muda no meio da conversa, solicitação fora do fluxo habitual e uma voz ou uma imagem certa demais.
Imagine uma sexta-feira, na sala de espera de um aeroporto, com o chá esfriando ao lado da mala e o cheiro de café requentado no ar. A alça de couro esquenta sob os dedos enquanto o telefone toca, e a voz do diretor financeiro pede, em tom baixo, que você aprove uma transferência antes do embarque. A cena é ilustrativa, mas o roteiro é conhecido: o ruído do saguão cobre as falhas da ligação, e a pressa do embarque faz o resto.
Ler esses sinais é treino de atenção, e não de desconfiança. Basta um deles para parar e verificar, sem constrangimento e sem acusar ninguém. Quem pergunta com educação raramente perde algo; quem aprova em silêncio pode perder muito.
Quem pede sigilo e pressa ao mesmo tempo está pedindo que você não confira.
A pressa que não combina com o assunto
A pressa fabricada é o sinal mais antigo e continua eficaz. Um assunto legítimo tolera uma confirmação de poucos minutos; um golpe, não, porque a conferência o desmonta.
- Prazo curto demais para um pedido tão relevante.
- Pedido de sigilo sobre algo que normalmente passaria por outras pessoas.
- Tom de constrangimento diante de uma pergunta simples de confirmação.
O canal que muda no meio da conversa
A conversa começa por e-mail e, de repente, pede um aplicativo de mensagens. Ou nasce numa mensagem e migra para uma ligação. A Wikipédia lembra que o endereço de remetente exibido não é prova de origem, porque pode ser forjado. O mesmo vale para o número na tela: o verbete sobre voice phishing, o golpe pelo telefone, descreve a troca do identificador de chamadas.
- Novo número de alguém que sempre escreveu do mesmo.
- Endereço parecido, com uma letra trocada ou um domínio diferente.
- Pedido de apagar a conversa depois de lida.
O pedido fora do fluxo habitual
Todo pedido legítimo costuma seguir um caminho conhecido pela empresa ou pela casa. O golpe pede exceção: pagar sem a aprovação usual, mudar uma conta, enviar um documento por um meio incomum. Use esta pequena lista de conferência diante de qualquer pedido que mexa com dinheiro, acesso ou dados.
- Quem pediu costuma pedir isso, desse jeito, por esse caminho?
- O fluxo habitual foi seguido, com as aprovações de sempre?
- A pressa é compatível com o assunto?
- Existe outro caminho para confirmar com a pessoa?
Voz, imagem e texto certos demais
A Wikipédia define deepfakes como imagens, vídeos ou áudios editados ou gerados por inteligência artificial (IA). Ela descreve um caso em que a voz do dirigente de uma matriz teria sido copiada para instruir uma transferência numa filial. Isso muda uma regra antiga: reconhecer a voz deixou de ser prova de identidade.
- Ritmo estranho: pausas regulares demais ou respostas que ignoram o que você acabou de dizer.
- Ruído conveniente: ligação ruim que explica por que não dá para ligar de volta.
- Vídeo curto, com a câmera parada e a pessoa sem se mexer.
- Pergunta pessoal respondida em generalidades.
O protocolo da casa: combinados que valem mais que a intuição
Um protocolo é um conjunto curto de combinados, escritos antes do problema, que dizem quem verifica, por qual canal e o que nunca se faz por conta de uma única mensagem, ligação ou vídeo.
Intuição varia com o sono, o humor e a pressa do dia. Um combinado não varia, e é por isso que ele protege: tira a decisão do calor do momento e a entrega a um passo simples, repetido por todos da mesma maneira. A Trilion Signature trata a segurança e a privacidade digital da família dessa forma, como desenho de rotina, e não como alarme.
O desenho exato depende do tamanho da família, da equipe e do que cada pessoa autoriza. Por isso, as ideias abaixo são um ponto de partida, e a definição final se faz com um profissional de segurança da informação. Na Trilion Signature, o Gabinete Digital cuida desse desenho para a família, e quem ainda não conhece o trabalho do canal encontra o contexto em o que é um chefe de gabinete para a vida digital.
Combinado escrito não esquece, não se cansa e não se deixa apressar.
Verificar por outro caminho
A regra central é uma só: todo pedido que envolva dinheiro, acesso ou dados é confirmado por um canal diferente daquele em que chegou, usando um contato que você já tinha, e nunca o que veio na própria mensagem.
- Pare a conversa com uma frase neutra, como "retorno em instantes".
- Procure o contato guardado de antemão, e não o que apareceu na mensagem.
- Confirme o pedido por esse outro canal, com uma pergunta que só a pessoa certa saberia responder.
- Avise quem cuida da sua segurança se algo destoar.
Palavra combinada e pessoas de confiança
Uma palavra ou frase combinada em família, e jamais escrita em mensagens, serve para confirmar pedidos urgentes de ajuda. Funciona também com a equipe: define-se uma pessoa de confiança que confirma pedidos fora do comum.
- Palavra combinada: conhecida só pela família, trocada de tempos em tempos.
- Pessoa de confiança: alguém que confirma o pedido sem hierarquia no meio.
- Lista curta de contatos: números verificados, guardados fora do aparelho que pode ser clonado.
Regra de duas pessoas para pagamentos e acessos
Nenhum pagamento fora do rotineiro, nenhuma troca de dados bancários e nenhum acesso novo dependem de uma pessoa só. A segunda pessoa não precisa ser superior; precisa ser independente. Isso protege também o executivo, que deixa de ser o ponto único de falha.
- Troca de dados bancários: confirmada sempre por voz, com contato já conhecido.
- Pagamento fora do rotineiro: aprovado por duas pessoas, em momentos diferentes.
- Acesso novo: liberado só depois de verificado em pessoa ou por canal combinado.
Família e equipe: quem atende, quem avisa
Um protocolo funciona quando todos o conhecem. Reserve uma conversa tranquila, em casa, para ensaiar o que cada um faz diante de uma ligação estranha, e deixe claro que ninguém será criticado por desconfiar.
- Quem atende chamadas de números desconhecidos.
- Quem confirma pedidos de visita, entrega ou acesso à casa.
- Quem avisa o responsável pela segurança, e em que ordem.
- O que ninguém faz, em hipótese alguma, por telefone ou mensagem.
Se a abordagem já aconteceu: o que fazer nas primeiras horas
Se a abordagem já aconteceu, interrompa o contato sem confronto, registre o que houve, avise as pessoas certas e deixe a decisão técnica e jurídica para os especialistas, sem tentar resolver tudo sozinho.
O primeiro impulso costuma ser responder, discutir ou apagar a conversa por vergonha. Nenhum dos três ajuda. Quem tenta enganar procura o erro seguinte, e as provas apagadas fazem falta a quem vai investigar.
O texto não substitui a orientação de profissionais de segurança, do banco ou de um advogado, porque as providências variam conforme o caso. O que se pode fazer é manter a calma, preservar o que existe e acionar cedo quem sabe agir.
A vergonha protege o golpista; avisar cedo é a defesa de quem leva o sobrenome.
Interromper sem confronto
Encerre a conversa com uma frase neutra, sem acusar nem explicar. Evite abrir links, baixar arquivos ou ligar para números enviados na própria mensagem. Se houve pagamento ou fornecimento de dados, a pressa agora está do seu lado.
- Parar de responder ao contato suspeito.
- Não abrir links nem anexos recebidos.
- Não ligar de volta para o número que chamou.
Registrar o que aconteceu
Guarde o que existe antes que se perca. Registros ajudam quem vai apurar o caso e evitam que a memória, abalada pelo susto, reconstrua a história de modo diferente.
- Fotografe a tela com a mensagem, o número e o endereço do remetente.
- Anote hora, canal, o que foi dito e o que foi feito.
- Preserve o aparelho e a conversa, sem apagar nada.
Avisar as pessoas certas
Quanto antes as pessoas certas souberem, maiores as chances de reduzir o dano. Combine antes quem avisa quem, para que o susto não decida a ordem.
- Quem cuida da sua segurança digital, para avaliar o que foi exposto.
- O banco, se houve movimentação ou fornecimento de dados financeiros.
- A família e a equipe, para que não recebam a mesma abordagem.
- Um advogado, para orientar sobre providências formais.
Depois: ajustar os combinados
Toda abordagem, mesmo evitada, mostra algo: qual pista circulava, qual canal falhou, quem estava desprotegido. Revise o protocolo com calma, sem procurar culpados, e ensaie de novo o que mudou.
- Fontes de exposição: o que foi publicado e permitiu a abordagem.
- Passos do protocolo: o que funcionou e o que ficou de fora.
- Treino da equipe: uma nova conversa, curta e sem cobrança.
Perguntas frequentes sobre golpes contra executivos
Quem tem equipe de segurança ainda corre esse risco?
Corre, porque o golpe ataca a decisão e não o sistema. Uma equipe preparada reduz a chance de êxito, mas qualquer pessoa que aprove pagamentos, libere acessos ou atenda o telefone pode ser abordada. Por isso o protocolo vale para todos que cercam o executivo, inclusive família e equipe doméstica.
Reconhecer a voz da pessoa não basta para confiar?
Não basta. Áudios e vídeos podem ser gerados ou editados por inteligência artificial, e o número exibido na tela pode ser trocado. Quando o pedido envolver dinheiro, acesso ou dados, confirme por outro canal, com um contato que você já tinha, mesmo que a voz soe perfeita.
Pedir confirmação não atrapalha o relacionamento com a equipe?
Ao contrário: quando a confirmação é regra da casa, ninguém se ofende, porque ela vale para todos, inclusive para você. Uma frase neutra, como "retorno em instantes", encerra a conversa com educação. Quem atua de boa-fé entende, e quem não atua fica sem resposta.
Qual o primeiro passo para montar um protocolo?
Comece por uma conversa em família e com quem trabalha com você. Liste os pedidos que mexem com dinheiro, acesso e dados, escolha o canal de confirmação para cada um e defina quem avisa quem. O desenho final e a parte técnica pertencem a um profissional de segurança da informação.
Um convite para combinar a casa antes da ligação
Golpe contra executivos se desmonta com poucos hábitos: reconhecer os sinais, verificar por outro caminho, contar com combinados escritos e saber a quem avisar, sempre com a família e a equipe dentro do desenho. Conheça a Sessão de Curadoria, paga e dedutível do primeiro mandato, da Trilion Signature, a conversa reservada em que um concierge privado escuta o que você procura e responde com discrição, com um só interlocutor.
