O e-mail chegou com o logo da distribuidora. O nome do remetente era familiar, o texto mencionava um pedido real, com número de nota fiscal e tudo. O financeiro do cliente processou o pagamento.
Três dias depois, ninguém sabia para onde tinha ido o dinheiro.
Esse cenário é mais comum do que você imagina. Phishing de fornecedor é um vetor de ataque comum em ambientes corporativos porque ele não depende de explorar uma vulnerabilidade técnica, mas explora confiança. E confiança é difícil de filtrar com antivírus.
Para técnicos e MSPs é essencial entender como funciona e como proteger seus clientes. Continue lendo para descobrir.
O que é phishing de fornecedor e por que é diferente do phishing comum?
Phishing de fornecedor é um ataque em que criminosos se passam por fornecedores legítimos: bancos, operadoras, distribuidoras, prestadores de serviço, para induzir pagamentos fraudulentos, roubo de credenciais ou acesso a sistemas internos. O termo técnico é BEC (Business Email Compromise).
A diferença para o phishing genérico está no nível de personalização. Um phishing comum dispara milhões de e-mails idênticos esperando que alguém clique. O BEC faz o trabalho antes: o atacante pesquisa a empresa-alvo, identifica fornecedores reais, imita o domínio deles e envia uma mensagem que faz sentido no contexto daquele negócio.
O FBI estima que o BEC causou mais de 2,9 bilhões de dólares em perdas apenas em 2023, sendo a categoria com maior prejuízo financeiro entre todos os crimes cibernéticos reportados.
No Brasil, o crescimento de ataques direcionados a PMEs acelerou junto com a digitalização das operações financeiras; Pix e boleto viabilizaram transferências instantâneas que são quase irreversíveis.
Como o golpe funciona na prática?
O ataque não é improvisado, ele segue um processo:
1. Reconhecimento: o atacante mapeia fornecedores reais da empresa-alvo. LinkedIn, site institucional, CNPJ público, notas fiscais vazadas em repositórios online, tudo vira insumo.
2. Criação do domínio falso: registra um domínio próximo ao legítimo. distribuidora-brasil.com no lugar de distribuidorabrasil.com.br. A diferença é invisível na leitura rápida.
3. Disparo contextualizado: o e-mail referencia pedidos reais, nomes de contatos, datas de entrega. Parece continuação de uma conversa que já existe.
4. Gatilho de urgência ou autoridade: "prazo de pagamento vence hoje", "dados bancários atualizados por determinação da matriz", "aprovado pela diretoria". A pressa elimina o instinto de verificar.
5. Ação: o destinatário paga, envia credenciais ou libera acesso. Sem suspeitar de nada.
O ponto crítico: o usuário não errou por descuido. Ele foi enganado por um ataque que foi projetado para parecer legítimo em todas as camadas.
Como identificar um e-mail falso de fornecedor?
Como saber se um e-mail de fornecedor é falso?
Verifique o domínio real do remetente, não simplesmente o nome exibido, mas o endereço completo. Confirme se o e-mail passa nas validações SPF, DKIM e DMARC. Desconfie de pedidos urgentes fora do fluxo habitual de comunicação.
Na prática, oriente seus clientes a checar:
- Domínio do remetente: o nome exibido pode ser qualquer coisa. O endereço real fica entre < e >. É idêntico ao domínio oficial do fornecedor?
- Validações SPF, DKIM e DMARC: no cabeçalho completo do e-mail (disponível em qualquer cliente de e-mail). Falha em qualquer uma é sinal de alerta.
- URL real dos links: passe o cursor sobre o link antes de clicar. O destino bate com o domínio exibido?
- Quebra no fluxo normal: o fornecedor costuma usar outro canal? Pediu algo fora do padrão?
- Urgência artificial: prazo criado no corpo do e-mail sem base em contrato ou pedido real.
- Extensão de anexos:.exe, .html, .js disfarçados de PDF ou planilha são clássicos.
- Solicitação de alteração de dados bancários: essa combinação (e-mail + troca de conta) é o padrão mais comum de BEC. Sempre exige confirmação por canal alternativo.
Por que seus clientes são alvos e o que isso tem a ver com você
PMEs não têm SOC interno, nem analista de segurança dedicado. O processo de aprovação de pagamentos muitas vezes passa por uma única pessoa, sem dupla checagem. E o relacionamento com fornecedores é informal o suficiente para que uma mudança de conta bancária pareça rotineira.
Esse é o perfil exato que os atacantes buscam.
Para você, prestador de serviçso de TI, isso muda tudo. Quando um cliente cai em phishing de fornecedor, a primeira pergunta que vem é: "mas vocês não cuidam da segurança de TI aqui?"
Não adianta argumentar que o problema foi humano, pois a percepção é de falha de proteção.
A prestadora que consegue ter essa conversa preventiva com o cliente, apresentando o risco, mostrando as camadas de proteção disponíveis e estabelecendo os processos mínimos, muda de posição: de suporte reativo para parceiro estratégico.
A Starti oferece aos seus serviços os recursos técnicos e os materiais de conscientização para levar essa conversa aos seus clientes antes do incidente.
[Ative a sua Trial doEdge Protect]
O que fazer quando o cliente suspeita de um e-mail?
O que fazer ao receber um e-mail suspeito de fornecedor? Não clique em nenhum link, confirme a solicitação por canal alternativo; telefone ou WhatsApp oficial do fornecedor, nunca o contato indicado no próprio e-mail suspeito. Reporte ao responsável de TI e preserve o e-mail original com cabeçalhos completos para análise forense.
Protocolo mínimo para orientar o cliente:
1. Pausar antes de agir. Urgência no e-mail é exatamente o mecanismo do ataque. Quanto mais pressa o e-mail pede, mais devagar deve ser a resposta.
2. Verificar por canal independente. Ligar para o fornecedor no número que já está na agenda, não no número que veio no e-mail.
3. Preservar o e-mail. Não deletar, não marcar como spam antes que o técnico analise. O cabeçalho completo tem informações forenses que identificam a origem real do disparo.
4. Acionar a prestadora de TI. O técnico consegue analisar cabeçalhos, verificar registros DNS e avaliar se outros usuários receberam o mesmo ataque.
Como proteger sua carteira de clientes contra phishing de fornecedor?
A proteção eficaz opera em três camadas simultâneas, nenhuma delas substitui as outras.
Camada técnica
- Configuração de SPF, DKIM e DMARC nos domínios dos clientes (impede spoofing do próprio domínio).
- Filtro DNS com análise de reputação: bloqueia acesso a domínios maliciosos registrados recentemente, incluindo typosquatting de fornecedores conhecidos.
- Monitoramento de domínios similares: ferramentas que alertam quando um domínio parecido ao do cliente ou de fornecedores-chave é registrado.
Camada operacional
- Política de dupla aprovação para transferências acima de determinado valor.
- Processo de verificação por canal alternativo para qualquer alteração de dados bancários; sem exceção, sem urgência que justifique pular.
- Regra clara: mudança de conta de fornecedor nunca é aprovada só por e-mail.
Camada humana
Treinamento de reconhecimento não é palestra anual de conscientização. É simulação com e-mails reais do setor do cliente, revisão dos casos que circulam no mercado e conversa simples e descomplciada sobre os gatilhos que os atacantes exploram.
O Edge Protect da Starti inclui filtro DNS e análise de tráfego que bloqueiam domínios maliciosos antes que o e-mail chegue à caixa do usuário ; incluindo domínios de typosquatting que imitam fornecedores legítimos.
Ative agora seu teste e veja como funciona:
Perguntas frequentes sobre phishing de fornecedor
Phishing de fornecedor é o mesmo que BEC?
Sim. BEC (Business Email Compromis) é o termo técnico. Phishing de fornecedor é a variante mais comum, em que o atacante se passa por um parceiro comercial existente. Outras variantes incluem se passar pela própria diretoria da empresa (CEO fraud).
Pequenas empresas também são alvo?
São as principais. Justamente porque têm menos controles técnicos, processos de aprovação mais informais e relacionamentos mais pessoais com fornecedores; o que torna o golpe mais fácil de executar.
SPF, DKIM e DMARC resolvem o problema?
Parcialmente. Protegem contra spoofing do domínio exato do cliente, mas não contra domínios parecidos registrados pelo atacante. São camada necessária, não suficiente.
Como saber se meu cliente já foi atingido?
Analise logs de e-mail dos últimos 30 a 90 dias, verifique transações com fornecedores e cheque se houve qualquer alteração de dados bancários processada nos últimos meses. Ataques BEC frequentemente ficam meses sem serem detectados.
Preciso de ferramenta específica para isso?
Filtro DNS com análise de reputação, monitoramento de domínios similares e regras de autenticação de e-mail são as soluções mais eficazes quando combinadas com processos operacionais mínimos.
Phishing de fornecedor não é problema de comportamento do usuário e sim de infraestrutura, processo e contexto. O técnico que consegue explicar isso ao cliente; com clareza, sem catastrofismo, está entregando algo que vai além do suporte tradicional.
Quer levar esse diagnóstico para a sua carteira de clientes? A Starti tem soluções para apoiar você nessa conversa:
A Starti Group é referência em cibersegurança, proteção de borda, gerenciamento e infraestrutura para PMEs e MSPs no Brasil. Com a vertical Vituax by Starti, o grupo passa a oferecer infraestrutura de nuvem privada de ponta a ponta para o mercado corporativo — com o suporte consultivo que os hyperscalers globais não entregam.