Uma fatura chega até uma qualquer empresa com o logótipo habitual, o valor esperado e o tom de sempre. A única diferença, porém, está num IBAN que não corresponde ao do fornecedor, e é assim que começa uma das fraudes mais silenciosas para as empresas: a alteração fraudulenta de coordenadas bancárias, muitas vezes associada a esquemas de CEO Fraud ou Business Email Compromise (BEC).

O Centro Nacional de Cibersegurança (CNCS) tem alertado para o crescimento destes casos. Em 2025, as campanhas de CEO Fraud/BEC corresponderam a 18% dos incidentes de engenharia social notificados ao CERT.PT do CNCS. O modus operandi é estudado ao detalhe: os atacantes recolhem informação sobre fornecedores e rotinas financeiras, intercetam ou falsificam comunicações e apresentam um pedido de alteração de IBAN com uma justificação plausível — uma revisão bancária, uma urgência administrativa, uma suposta falha no pagamento anterior.

O que torna este esquema eficaz não é a sofisticação técnica, mas a confiança. A mensagem chega de um endereço quase igual ao do fornecedor habitual, ou de uma conta comprometida, e explora a pressa de quem processa pagamentos. A rotina financeira torna-se o ponto fraco: quem paga aquela fatura há três anos não espera que o IBAN mude sem aviso.

A recomendação central é simples e repetida pelas autoridades: nunca alterar dados bancários com base apenas na comunicação que os solicita. A validação tem de passar por um segundo canal — um telefone conhecido, um contacto previamente registado, nunca o número ou o email que constam da mensagem suspeita. O CNCS sugere mesmo que as organizações mantenham, para cada fornecedor, pelo menos duas vias alternativas de contacto verificado.

Há também uma separação que muitas empresas ainda não fazem: quem prepara o pagamento não deve ser quem o autoriza. Este princípio de segregação de funções reduz a probabilidade de um erro isolado se transformar numa transferência irreversível.

Se a transferência já foi feita e há suspeita de fraude, o tempo conta. O primeiro passo é contactar imediatamente o banco, para tentar bloquear ou recuperar os fundos, e depois as autoridades. Não vale a pena esperar pela confirmação do fornecedor real: quando essa confirmação chega, o dinheiro já pode ter saído do alcance.

Perante este cenário, o acompanhamento de um corretor de seguros pode fazer a diferença não na recuperação dos fundos — que depende do banco e das autoridades — mas na antecipação do problema. Muitas empresas chegam a este tema tarde, depois de um incidente. A SABSEG, enquanto corretora, tem acompanhado organizações na identificação de vulnerabilidades processuais antes que se transformem em perdas, ajudando a rever circuitos de pagamento e a preparar respostas para cenários que, até há pouco tempo, pareciam distantes. A fraude do IBAN não se resolve com tecnologia. Resolve-se com desconfiança saudável perante o que parece demasiado urgente e com a disciplina de confirmar antes de pagar.