Alerta do relatório FBI IC3 2025: como vendedores internacionais devem verificar e-mails de alteração bancária de fornecedores em 2026?

O IC3 publicou um relatório anual referente a 2025, baseado em denúncias de crimes cibernéticos no documento oficial. O FBI descreve o BEC como um tipo de fraude que pode envolver mensagens que imitam fornecedores e pedidos de mudança nos dados de pagamento em sua orientação sobre BEC.

Sinal: um fornecedor pede por e-mail que o pagamento seja enviado a uma nova conta.
Resposta mais segura: pause a transferência, confirme a mudança por um contato conhecido e independente da mensagem e inclua uma segunda conferência no processo de pagamento. Separar e-mails ajuda a organizar a caixa de entrada, mas não comprova quem enviou uma mensagem.

Este guia é para vendedores internacionais que recebem faturas e avisos de fornecedores por e-mail, responsáveis de pequenas empresas que acumulam funções de compras e finanças e profissionais de operações que precisam encaminhar uma mudança suspeita para aprovação.

Atualização: 20 de outubro de 2026. As informações sobre BEC foram conferidas com a orientação oficial do FBI e o relatório anual de 2025 do IC3. Não usamos dados de denúncias como uma estimativa automática do risco específico de cada setor.

O alerta do relatório FBI IC3 2025 sobre BEC

O relatório anual do IC3 reúne denúncias recebidas pela entidade. Ele é uma fonte oficial para compreender crimes cibernéticos relatados, mas não deve ser lido como prova de que todas as empresas, plataformas ou regiões enfrentam a mesma frequência de incidentes. Para a decisão diária de uma pequena empresa, a orientação operacional mais útil está nas informações do FBI sobre Business Email Compromise, ou BEC: uma mensagem pode se passar por alguém de confiança e tentar direcionar um pagamento para uma conta diferente.

O cenário merece atenção porque um pedido de mudança pode parecer uma atualização administrativa comum. A mensagem pode usar o nome de um fornecedor verdadeiro, mencionar uma fatura esperada ou surgir em uma conversa já existente. O FBI alerta que endereços de e-mail com diferenças pequenas podem ser usados para se fazer passar por uma pessoa ou organização legítima. Por isso, reconhecer o nome exibido ou o assunto familiar não basta para autenticar o remetente.

O que o alerta do FBI IC3 representa para vendedores internacionais? Não significa que todo aviso de alteração seja fraudulento, nem estabelece uma regra específica para cada plataforma ou mercado. Significa que a aprovação não deve depender apenas do e-mail que traz a mudança. Para quem paga fornecedores no exterior, isso transforma a confirmação independente em uma etapa do processo financeiro, não em uma providência opcional para quando a mensagem “parecer estranha”.

O IC3 já orientou empresas a confirmar mudanças nos dados de pagamento com o fornecedor por meio de informações de contato conhecidas, em vez de confiar apenas nos dados apresentados na solicitação na orientação sobre mudanças de pagamento de fornecedores. Essa distinção é central: a mensagem recebida é o motivo para iniciar a verificação, mas não deve fornecer sozinha o canal usado para aprová-la.

Antes do pedido: prepare uma fonte confiável

A verificação funciona melhor quando a empresa decide previamente quais contatos são confiáveis. Se a equipe só começa a procurar um telefone depois de receber um e-mail urgente, pode acabar usando justamente o número incluído na mensagem suspeita. A preparação reduz essa dependência e evita que a pessoa responsável pelo pagamento tenha de improvisar sob pressão.

Mantenha o telefone e o nome dos contatos autorizados em um registro separado da conversa de e-mail. Fontes possíveis incluem o contrato assinado, um cadastro de compras validado anteriormente ou os dados de uma chamada independente feita durante a relação comercial. O importante é que o registro tenha sido criado antes do pedido de alteração e não tenha sido atualizado apenas com informações copiadas da mensagem em análise.

Defina também quem pode solicitar, confirmar e aprovar uma mudança de conta. Em uma empresa pequena, essas tarefas podem ficar concentradas em poucas pessoas, mas ainda é possível separar a confirmação da execução do pagamento. Se uma única pessoa acumula as funções, a regra deve exigir uma pausa e uma revisão documentada antes da transferência, em vez de permitir aprovação automática pelo mesmo fluxo de e-mail.

Para cada fornecedor, mantenha campos simples: nome legal usado nos documentos, contato comercial, contato financeiro, telefone confirmado, canal alternativo disponível e pessoa interna responsável pelo cadastro. Registre quando a informação foi conferida e por quem. Não trate uma planilha como prova permanente: um número antigo pode deixar de funcionar, e um funcionário pode mudar de função. O registro serve como ponto de partida para uma confirmação independente, não como substituto dela.

Como identificar se o pedido pode ser uma tentativa de fraude ou falsificação? Procure inconsistências que justifiquem uma pausa: endereço de remetente parecido, mas não idêntico ao habitual; instrução para ignorar o procedimento anterior; urgência incomum; alteração de beneficiário sem explicação; ou dados diferentes entre o e-mail, a fatura e o cadastro. Esses sinais não provam fraude por si só. A ausência deles também não autentica a mensagem. A decisão depende de uma confirmação por canal já conhecido.

Ao receber a solicitação: interrompa e confirme fora da conversa

Ao receber um pedido para mudar a conta bancária, a moeda, o beneficiário ou o procedimento de pagamento, não aprove a alteração nem envie dinheiro para os novos dados enquanto ela não for verificada. Evite responder apenas ao e-mail recebido para perguntar se o pedido é verdadeiro: se outra pessoa controla a conta ou participa da conversa, a resposta pode não oferecer confirmação independente.

Use o telefone registrado anteriormente ou outro canal confiável estabelecido antes da solicitação. Não use como única fonte o número novo incluído no e-mail, uma assinatura atualizada ou um link para uma página de confirmação enviada junto com o pedido. A orientação do FBI para defesa contra BEC também recomenda verificar solicitações financeiras por um meio independente, em vez de confiar apenas no canal que trouxe a instrução nas recomendações de prevenção.

Durante a ligação ou o contato alternativo, confirme com um representante autorizado o nome do fornecedor, o conteúdo exato da mudança, a data a partir da qual ela deve valer e a razão informada. Não conduza a conversa sugerindo as respostas que espera ouvir: peça que o contato explique a alteração e compare essa explicação com o pedido recebido. Se o fornecedor não puder ser alcançado pelo contato conhecido, mantenha a suspensão. A dificuldade de confirmar não é autorização para prosseguir.

Registre a data e o horário do contato, o nome e a função da pessoa que confirmou, o canal usado, os dados confirmados e quem recebeu essa confirmação internamente. Guarde a mensagem original e a documentação associada, sem apagar elementos que possam ser úteis para uma revisão posterior. Se houver divergência entre a confirmação e o e-mail, não edite o cadastro para “corrigir” a informação antes de esclarecer o caso com o responsável interno.

O que fazer se o fornecedor não responder ou os dados não coincidirem? Não pague para a nova conta enquanto a mudança permanecer sem confirmação. Encaminhe o caso ao responsável financeiro ou à direção, informe qual dado está pendente e solicite que o fornecedor retorne por um contato previamente validado. Se já houver pagamento em andamento, fale com a equipe responsável pela operação financeira para entender as opções disponíveis. Este procedimento é uma recomendação interna de controle, não uma interpretação de exigências legais ou bancárias.

Antes do pagamento: aplique uma segunda conferência

A confirmação com o fornecedor e a execução da transferência são etapas diferentes. A primeira verifica se a alteração é legítima; a segunda garante que os dados inseridos para pagar correspondem ao que foi confirmado. Separar essas tarefas ajuda a detectar erros de digitação, alterações feitas no cadastro sem autorização ou divergências entre a aprovação e a ordem de pagamento.

Antes de liberar o valor, peça a outra pessoa autorizada que compare os dados bancários usados na transferência com o registro da confirmação. Essa revisão deve verificar, conforme os campos aplicáveis ao pagamento, o nome do beneficiário, a instituição, os identificadores da conta e a moeda. A pessoa revisora não deve se limitar a aprovar uma tela: deve ter acesso à solicitação original, à evidência da confirmação independente e ao cadastro validado.

Um fluxo enxuto pode ser registrado como uma sequência de responsabilidades:

• Solicitação: a equipe que recebe o pedido marca a mudança como pendente e não altera imediatamente os dados para pagamento.
• Confirmação: uma pessoa autorizada contata o fornecedor pelo canal que já constava no cadastro.
• Revisão: outra pessoa confere os dados do pagamento contra o registro da confirmação.
• Liberação: o responsável pelo pagamento libera a operação somente quando os dados coincidem e a aprovação está documentada.
• Escalonamento: qualquer urgência, contradição ou falta de confirmação mantém o pagamento suspenso e leva o caso a um responsável.

Essa divisão não exige um departamento financeiro completo. Em uma equipe reduzida, a direção pode atuar como segunda revisora, desde que a revisão seja real e deixe registro. Se não houver outra pessoa disponível, é mais prudente interromper a operação até que exista uma revisão independente do que tratar a pressão de prazo como aprovação.

Como uma empresa pequena pode criar uma segunda confirmação sem burocracia? Use um formulário curto ou um registro compartilhado com os campos necessários: fornecedor, dados anteriores e novos, origem do pedido, contato independente realizado, resultado, pessoa que confirmou e pessoa que autorizou o pagamento. A ferramenta pode ser simples; a regra precisa ser clara. A revisão não deve ser dispensada porque o fornecedor é conhecido, porque a mensagem parece familiar ou porque a fatura vence em breve.

Comparação dos canais de verificação

A tabela abaixo é uma ferramenta qualitativa de decisão, não uma medição estatística. “Mais adequado” indica quanto o canal pode ajudar a confirmar uma mudança quando comparado com a dependência exclusiva do e-mail recebido.

A comparação evita uma confusão frequente: privacidade e autenticação resolvem problemas diferentes. Separar newsletters, cadastros de ferramentas e avisos comerciais pode reduzir a mistura de mensagens na caixa de entrada. Mas uma mensagem recebida em um endereço separado ainda pode ser fraudulenta; o endereço não confirma a identidade do fornecedor nem a legitimidade de uma conta bancária.

Depois da ocorrência: mantenha um processo reutilizável

Depois de confirmar ou rejeitar uma solicitação, atualize o registro do fornecedor somente com base na decisão documentada. Guarde a evidência da confirmação junto ao histórico de compras ou pagamentos e indique quem deve revisar o cadastro no futuro. Se a mudança for legítima, comunique internamente qual dado foi alterado e a partir de quando ele pode ser usado. Se for suspeita, preserve a mensagem e encaminhe a situação ao responsável apropriado.

Revise periodicamente se os contatos registrados ainda são válidos. Uma confirmação feita há muito tempo pode perder utilidade se o fornecedor mudou de equipe ou canal. Quando alguém deixa a empresa, transfira a responsabilidade pelo cadastro e pelo histórico de aprovações; não deixe a única fonte de contato confiável em uma caixa individual inacessível aos demais responsáveis.

A organização do correio também ajuda a localizar mensagens de clientes, fornecedores e plataformas. Uma separação por etiquetas, regras de encaminhamento ou endereços distintos pode tornar mais claro quem deve tratar cada tipo de comunicação. No entanto, filtros e encaminhamentos só organizam o fluxo: não atestam a autenticidade de uma mensagem. O guia de organização da caixa de entrada para pequenas empresas pode ajudar a estruturar essa divisão sem misturar a gestão de mensagens com a aprovação de pagamentos.

Para inscrições de baixo risco em plataformas ou ferramentas que não precisam receber faturas nem tratar de pagamentos, um endereço separado pode limitar a exposição do e-mail principal e facilitar a organização de mensagens promocionais. Isso não deve substituir um endereço duradouro para contas críticas, contratos, faturas ou comunicação necessária para recuperar o acesso. Esse uso é mais apropriado para cadastros sem vínculo financeiro e que não dependam de recuperação futura. Antes de usar qualquer endereço alternativo, avalie se a empresa precisará responder, localizar o histórico ou recuperar a conta.

Quais contas comerciais devem permanecer em um endereço acessível a longo prazo? Use um canal que a empresa possa manter e recuperar para relações com fornecedores, bancos, plataformas de venda, faturamento, contratos e qualquer serviço cuja perda possa interromper operações. Uma caixa temporária pode ser útil para inscrições sem vínculo financeiro ou para reduzir mensagens promocionais, mas não é apropriada como único canal de uma relação comercial que exija histórico, resposta ou recuperação futura.

Uma regra simples para a próxima mudança

Quando chegar um pedido para alterar dados de pagamento, trate-o como uma solicitação pendente, não como uma instrução já aprovada. Confirme a mudança usando contato obtido antes da mensagem, registre quem confirmou e peça uma revisão separada dos dados antes de transferir o dinheiro. Se a confirmação não for possível, houver divergência ou alguém pressionar para ignorar o processo, suspenda o pagamento e leve o caso ao responsável.

Para manter a caixa de entrada organizada, endereços separados e encaminhamento podem servir a inscrições de menor risco; pagamentos e contatos essenciais precisam continuar em canais duradouros. A OnceFwd não substitui a confirmação independente de um fornecedor: a identidade e a legitimidade de uma mudança financeira devem ser verificadas fora do e-mail que solicita a alteração.