8 exemplos de fraudes envolvendo CEOs: casos reais, os e-mails por trás deles e como evitá-los

Em resumo: a fraude do CEO, também conhecida como “business email compromise” (BEC), ocorre quando um invasor se faz passar por um líder sênior para induzir um funcionário a transferir dinheiro ou dados. É, de longe, a forma mais cara de crime cibernético: o FBI registrou cerca de US$ 2,8 bilhões em perdas relacionadas ao BEC somente em 2025. Os oito exemplos a seguir são reais, variam de € 37.000 a € 70 milhões e compartilham um padrão: autoridade, urgência, sigilo e um funcionário que não atendeu o telefone. Cada exemplo mostra a mensagem que deu início ao incidente; a seção final apresenta as cinco regras que teriam impedido cada um deles.

Como se manifesta a fraude cometida por um CEO

A versão clássica é um e-mail. “Você está na sua mesa? Preciso que você cuide de um pagamento confidencial hoje.” Também pode ser uma mensagem no WhatsApp, uma ligação com voz clonada ou uma videochamada com deepfake. O alvo geralmente é alguém da área financeira, um assistente executivo ou alguém do RH ou do departamento de compras que tenha acesso a movimentação de dinheiro ou dados. Para a definição e o aspecto jurídico, consulte o que é fraude de CEO; quanto ao e-mail em si, veja o exemplo 5 em nossos exemplos de e-mails de phishing.

Os 8 exemplos de fraudes cometidas por CEOs

1. Pathé Netherlands (2018): 19 milhões de euros para uma “aquisição confidencial”

O que aconteceu: a filial holandesa da rede de cinemas Pathé recebeu e-mails que pareciam ter sido enviados pela sede francesa sobre uma aquisição confidencial em Dubai. Ao longo de várias semanas, o diretor-geral e o diretor financeiro aprovaram transferências que totalizaram cerca de € 19,2 milhões. Ambos foram demitidos; posteriormente, o tribunal considerou a demissão do diretor financeiro legal.

A mensagem: “Isso é estritamente confidencial. Não comente o assunto com ninguém da organização. A primeira parcela deve ser transferida hoje.”

Por que deu certo: a cláusula de confidencialidade afastou todos os colegas que poderiam ter feito perguntas, e o negócio parecia algo que a matriz faria.

2. FACC (2016): 52 milhões de euros e demissão do diretor executivo

O que aconteceu: a FACC, fornecedora aeroespacial austríaca que fabrica peças para a Airbus e a Boeing, transferiu cerca de 52,8 milhões de euros após receber e-mails que se passavam pelo CEO a respeito de um projeto de aquisição. A empresa recuperou apenas uma fração do valor, o CEO e o diretor financeiro foram demitidos, e o caso tornou-se referência na Europa quanto às consequências para os membros do conselho administrativo.

A mensagem: uma cadeia de e-mails enviada de um endereço que se assemelha ao do CEO, instruindo o departamento financeiro a efetuar pagamentos para um projeto secreto.

Por que funcionou: uma sequência de e-mails plausíveis ao longo do tempo, não um único pedido e nenhuma regra de retorno de chamada.

3. Crelan (2016): 70 milhões de euros em um banco belga

O que aconteceu: o banco belga Crelan sofreu um prejuízo de cerca de 70 milhões de euros devido a uma fraude cometida pelo diretor-geral, descoberta durante uma auditoria interna. O ataque teve como alvo funcionários autorizados a realizar transferências.

A mensagem: instruções atribuídas à alta administração para transferir fundos, com o habitual tom de confidencialidade.

Por que funcionou: mesmo um banco, com controles criados para combater fraudes externas, não possuía uma etapa de verificação para instruções que pareciam vir de dentro da própria instituição.

4. Ubiquiti Networks (2015): US$ 46,7 milhões por meio de uma subsidiária

O que aconteceu: a fabricante norte-americana de equipamentos de rede revelou que funcionários de uma subsidiária em Hong Kong foram induzidos a transferir US$ 46,7 milhões para contas no exterior após receberem e-mails que se passavam por executivos e advogados. Cerca de US$ 8 milhões foram recuperados.

A mensagem: solicitações de “consultores jurídicos externos” e da “equipe executiva” para transferências bancárias urgentes relacionadas a um negócio.

Por que deu certo: os invasores escolheram como alvo uma subsidiária cujos funcionários não conheciam pessoalmente os executivos.

5. Toyota Boshoku (2019): US$ 37 milhões em uma única transferência

O que aconteceu: a subsidiária europeia do fornecedor de assentos e interiores da Toyota transferiu cerca de 4 bilhões de ienes (US$ 37 milhões) depois que um terceiro, que se passava por parceiro de negócios, alterou os dados do pagamento.

A mensagem: um pedido convincente para efetuar um pagamento em uma nova conta bancária, no âmbito de uma relação já estabelecida com um fornecedor.

Por que funcionou: a variante em que o “chefe” é substituído por um fornecedor de confiança: a mesma técnica, um remetente diferente.

6. Arup (2024): a videochamada com deepfake de US$ 25 milhões

O que aconteceu: um funcionário do departamento financeiro do escritório de Hong Kong da empresa de engenharia Arup participou de uma videochamada com o “diretor financeiro” e vários “colegas”, todos gerados por IA, e realizou 15 transferências que totalizaram HK$ 200 milhões (cerca de US$ 25,6 milhões).

A mensagem: um e-mail sobre uma transação confidencial, seguido de um convite para uma videochamada que dissipou as dúvidas do funcionário.

Por que funcionou: um rosto e uma voz foram considerados provas. Consulte o treinamento de conscientização sobre deepfakes para conhecer o protocolo de verificação que impede isso.

7. Ferrari e WPP (2024): as tentativas que fracassaram

O que aconteceu: na Ferrari, um executivo recebeu mensagens pelo WhatsApp e uma ligação com a voz clonada do CEO Benedetto Vigna sobre uma aquisição confidencial; ele fez uma pergunta que somente o verdadeiro CEO poderia responder, e a pessoa que ligou desligou. No grupo de publicidade WPP, os invasores organizaram uma reunião no Teams usando uma voz clonada e imagens públicas do CEO Mark Read; a vítima ficou desconfiada e denunciou o caso.

Por que eles falharam: um funcionário verificou, outro funcionário relatou. Essa é toda a diferença entre o exemplo 6 e o exemplo 7.

8. O caso da PME: 37.000 euros em cartões-presente

O que aconteceu: a versão que a maioria das empresas realmente vive. Uma gerente administrativa de uma empresa com 60 funcionários recebeu uma mensagem pelo WhatsApp do “CEO”: ele estava em uma reunião, precisava de cartões-presente para um cliente, pediu que ela enviasse os códigos e mantivesse sigilo. Ela comprou € 37.000 em cartões-presente ao longo de dois dias, até que um colega perguntou o motivo. Esse caso fictício foi elaborado a partir de relatórios da polícia e de seguradoras; os números variam, mas o enredo nunca muda.

A mensagem: “Você está livre? Preciso de um favor rápido e vou ficar preso em reuniões a tarde toda.”

Por que funcionou: um pedido pequeno e plausível de alguém a quem você quer ajudar, com um motivo para não ligar de volta.

Os exemplos em resumo

O padrão em todos os casos

1. Autoridade: o pedido vem de alguém a quem você não questiona.
2. Urgência: hoje, antes do prazo final, antes do fechamento do negócio.
3. Sigilo: confidencial, não comente sobre isso, que fique entre nós.
4. Um motivo para não ligar: em reuniões, em viagem, no exterior, com a linha ruim.
5. Um novo destino para o dinheiro: uma nova conta, um novo país, cartões-presente.

Dois desses cinco elementos em uma única mensagem já são um sinal. Três já constituem fraude por parte do CEO, a menos que se prove o contrário.

Cinco regras que teriam impedido todas as oito

1. Todas as instruções de pagamento são verificadas por telefone em um número que já conste na lista de contatos, nunca em um número indicado na mensagem. Não há exceções para executivos; os executivos endossam essa regra publicamente.
2. Quatro pares de olhos analisam cada transferência acima de um limite e cada alteração nos dados bancários. Uma única pessoa não pode aprovar; um segundo aprovador faz a pergunta que o primeiro não fez.
3. Uma palavra-código para solicitações urgentes entre a liderança, o departamento financeiro e os assistentes, que nunca deve ser escrita em e-mails ou chats.
4. O sigilo é um sinal de parada. “Não conte a ninguém” significa que você deve informar imediatamente seu gerente e o departamento financeiro.
5. Treine e teste as pessoas responsáveis pela movimentação de recursos financeiros. Os setores de finanças, assistentes, RH e compras passam por uma simulação de phishing direcionada exatamente a esse cenário a cada quatro a seis semanas, além de receberem três minutos de treinamento de conscientização sobre segurança por semana. A Ferrari e a WPP foram salvas por pessoas bem treinadas, e não pela tecnologia.

O que fazer se isso já tiver acontecido

• Em até uma hora: ligue para o setor de fraudes do seu banco para tentar cancelar a transação; a chance de recuperação diminui drasticamente após 24 horas.
• No mesmo dia: comunicar o ocorrido à polícia e, caso haja dados pessoais envolvidos, avaliar a obrigação de notificação prevista no RGPD.
• Na mesma semana: guarde os e-mails e os cabeçalhos, informe sua seguradora e comunique o ocorrido a toda a empresa, sem culpar o funcionário. A próxima tentativa geralmente já está na caixa de entrada de alguém.

Perguntas frequentes

Qual é um exemplo de fraude cometida por um CEO?

Um e-mail ou mensagem que parece ter sido enviado pelo diretor executivo, solicitando a um funcionário que efetue um pagamento urgente e confidencial ou compre cartões-presente. O caso da Pathé (19 milhões de euros) e a versão dos cartões-presente (alguns milhares de euros) são os dois extremos do mesmo golpe.

Quão comum é a fraude cometida por CEOs?

O roubo de e-mails corporativos foi a categoria que gerou maiores prejuízos no relatório do FBI sobre crimes na internet pelo quinto ano consecutivo em 2025, com cerca de US$ 2,8 bilhões em prejuízos registrados somente nos Estados Unidos. A maioria dos casos nunca é divulgada publicamente.

A fraude do CEO pode ocorrer por telefone ou vídeo?

Sim. Vozes clonadas e videochamadas com deepfake (Arup, Ferrari, WPP) são as versões de 2024. A regra de verificação é a mesma: ligue de volta para um número conhecido.

Quem é o responsável quando uma fraude cometida pelo CEO dá certo?

A empresa arca com o prejuízo, e os diretores podem enfrentar consequências: na FACC e na Pathé, executivos foram demitidos. De acordo com a NIS2, a administração é explicitamente responsável pelas medidas de segurança cibernética, incluindo o treinamento.