Treinamento de conscientização sobre fraudes para funcionários: 6 tipos de fraudes a serem abordados no treinamento

O treinamento de conscientização sobre fraudes ensina os funcionários a reconhecer e impedir os golpes direcionados a eles pessoalmente: uma solicitação falsa do diretor-geral, uma fatura com dados bancários alterados, um telefonema de um “fornecedor” que precisa de um pagamento ainda hoje. Um bom treinamento não explica a fraude de forma abstrata. Ele mostra aos funcionários exatamente as mensagens que receberão, permite que pratiquem identificá-las e indica uma ação simples a ser tomada quando algo parecer suspeito: parar, verificar por meio de um canal conhecido e comunicar.

A maioria das fraudes de pagamento contra organizações não envolve a violação de nenhum sistema. Ela convence uma pessoa a fazer algo que ela tem permissão para fazer, como aprovar um pagamento ou alterar o registro de um fornecedor. É por isso que a equipe financeira, o gerente administrativo e o novo colega do departamento de contas a pagar são os verdadeiros alvos, e por que a tecnologia, por si só, raramente consegue detectá-las. Abaixo, você encontrará as seis fraudes que todo programa deve abranger, por que um módulo anual não é suficiente e como organizar um treinamento que realmente mude a forma como as pessoas agem.

As seis fraudes que têm como alvo os funcionários

1. Fraude do CEO e comprometimento de e-mails corporativos. Uma mensagem que parece ter sido enviada por um diretor solicita um pagamento urgente e confidencial. O tom é apressado; o remetente está “em uma reunião” e não pode ser contatado por telefone. No comprometimento de e-mails corporativos, o invasor utiliza uma caixa de correio real que foi invadida, o que torna a solicitação ainda mais convincente. Explicamos como isso funciona em nosso artigo sobre o que é a fraude do CEO e o que você pode fazer para se proteger contra ela.
2. Fraude em faturas. Uma fatura falsa, ou uma fatura verdadeira com dados alterados, chega de um suposto fornecedor conhecido. Geralmente, isso ocorre no final do mês, quando a equipe processa um grande lote e realiza verificações com menos cuidado.
3. Fraude de transferência bancária. Alguém se passando por um fornecedor pede que você atualize os dados bancários dele “porque mudamos de banco”. Todos os pagamentos futuros passam então a ser direcionados ao fraudador, muitas vezes por meses a fio, até que o fornecedor verdadeiro comece a cobrar uma fatura não paga.
4. Fraude por desvio de pagamento. O criminoso intercepta uma conversa por e-mail em andamento sobre um pagamento — por exemplo, uma transação imobiliária ou um grande pedido — e insere novos dados bancários exatamente no momento certo.
5. Deepfake e fraudes por telefone. Uma ligação ou mensagem de voz que soa como se fosse de um gerente ou diretor financeiro confirma a solicitação falsa. A clonagem de voz tornou esse processo barato e rápido, e é por isso que abordamos esse assunto separadamente no treinamento de conscientização sobre deepfake.
6. Mensagens de texto fraudulentas e fraudes por meio de entregadores. A fraude não para na porta do escritório. Mensagens de texto fraudulentas que se passam por um banco ou serviço de entrega, e fraudes por meio de entregadores — nas quais alguém liga se passando pela polícia ou pelo banco e convence a vítima a entregar cartões ou dinheiro — afetam os funcionários em casa. Os mesmos truques de persuasão aparecem, então, no trabalho. Saiba mais sobre smishing.

O que essas fraudes têm em comum não é o canal, mas a pressão: urgência, autoridade e sigilo. Um treinamento que ensine as pessoas a identificar esses três sinais as protege contra variantes que ainda nem existem.

Por que um módulo anual sobre fraudes não funciona

Muitas organizações abordam o tema da fraude uma vez por ano, em um módulo de e-learning de meia hora. A exigência é cumprida, mas o efeito desaparece em poucas semanas. A conscientização sobre fraudes não é um conhecimento que se armazena, é um reflexo que se desenvolve: a hesitação de meio segundo antes de clicar em “aprovar”. Reflexos precisam de repetição.

O segundo problema é o momento certo. Os fraudadores acompanham o calendário e as notícias: pagamentos de fim de ano, substituições por férias na equipe financeira, um novo sistema ERP, um fornecedor conhecido nas manchetes. Um módulo desenvolvido na primavera passada não consegue prever isso. Treinamentos curtos e recorrentes podem apresentar o cenário às pessoas no momento em que ele realmente está ocorrendo.

O que um bom treinamento de conscientização sobre fraudes abrange

• Cenários realistas para cada tipo de fraude. Os funcionários treinam com as mensagens que realmente receberão: o e-mail urgente do diretor executivo, a carta com os “novos dados bancários”, a ligação do fornecedor. A função é importante, por isso o departamento de contas a pagar recebe mais cenários de pagamento do que o almoxarifado.
• Simulações, não apenas teoria. Simulações de phishing que reproduzem fraudes envolvendo faturas e o CEO revelam quem atenderia a uma solicitação falsa, sem que haja danos reais.
• Uma regra de verificação clara. Toda alteração nos dados bancários ou solicitação de pagamento incomum é confirmada por meio de um canal que você já possui, como o número de telefone cadastrado no arquivo do fornecedor, e nunca pelo número indicado no e-mail.
• Uma maneira fácil de denunciar. As pessoas que denunciam uma mensagem suspeita são seu primeiro alerta. Facilite o processo com um único clique e agradeça a elas por isso, mesmo quando a mensagem acabar sendo inofensiva.
• Acompanhamento ao longo do tempo. Acompanhe quantas pessoas se manifestam, quantas caem nas simulações e como isso varia de equipe para equipe. Isso mostra onde é necessário treinamento adicional e fornece evidências aos auditores para a NIS2 e a ISO 27001.

Como organizar um treinamento sobre prevenção de fraudes em cinco etapas

1. Avalie sua situação atual. Comece com uma avaliação inicial para saber quais equipes e tipos de fraude precisam de atenção prioritária.
2. Mapeie os processos de pagamento. Quem pode aprovar pagamentos, alterar registros de fornecedores ou autorizar transferências urgentes? Essas pessoas recebem o treinamento mais intensivo.
3. Chegue a um acordo sobre a regra de verificação. Coloque a regra de retorno de chamada por escrito e faça com que a diretoria a endosse publicamente, para que ninguém se sinta constrangido ao verificar uma solicitação de um diretor.
4. Treine em sessões curtas e frequentes. Alguns minutos por semana são melhores do que uma tarde por ano. Alterne os tipos de fraude para que cada cenário seja abordado regularmente.
5. Teste, relate e repita. Realize simulações, compartilhe os resultados por equipe sem citar nomes e ajuste os cenários de acordo com o que você observar.

A dica: aprenda a identificar fraudes com o Guardey

O Guardey transforma essa abordagem em um hábito semanal. Os funcionários recebem um desafio de cerca de três minutos, em seus laptops ou no aplicativo móvel para iOS e Android, abordando fraudes envolvendo o CEO, fraudes em faturas, phishing, smishing e deepfakes. A gamificação, com tabelas de classificação e sequências de dias consecutivos, mantém as pessoas voltando ao aplicativo; simulações de phishing testam o que aprenderam; e relatórios prontos para auditoria mostram seu progresso em relação à NIS2 e à ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já utilizam o Guardey. Veja como funciona nosso treinamento de conscientização em segurança.

O seu parceiro de TI leva em conta o aspecto humano?

Muitas pequenas empresas terceirizam a área de TI para um provedor de serviços gerenciados (MSP), uma empresa de TI que administra seus sistemas e segurança mediante uma mensalidade. A fraude é um ponto cego nesse modelo: o firewall é gerenciado, mas ninguém treina a pessoa responsável pelo pagamento das faturas. Vale a pena perguntar ao seu MSP se esse serviço pode ser incluído.

Para os MSPs, o Guardey está disponível por meio de parceiros de canal, como a distribuidora de segurança cibernética e92plus, que auxilia os parceiros a lançar novos serviços de segurança com campanhas de marketing prontas e faturamento mensal por cliente.

Perguntas frequentes sobre o treinamento de conscientização sobre fraudes

O que é o treinamento de conscientização sobre fraudes?

O treinamento de conscientização sobre fraudes ensina os funcionários a reconhecer tentativas de fraude dirigidas a eles, como a fraude do CEO, a fraude em faturas e ligações falsas, e a reagir da maneira correta. O foco está em sinais práticos e em uma regra de verificação definida, em vez de na teoria. Os melhores programas combinam aulas curtas com simulações realistas.

Quem precisa de treinamento de conscientização sobre fraudes para os funcionários?

Todos, mas não na mesma medida. Os funcionários que aprovam pagamentos, lidam com faturas ou alteram dados de fornecedores são os principais alvos e precisam conhecer mais cenários. Outros funcionários se beneficiam do conhecimento básico, pois os fraudadores também os utilizam para coletar informações ou chegar à pessoa certa.

Com que frequência deve ser realizado o treinamento de conscientização sobre fraudes?

É melhor que seja curto e frequente do que longo e esporádico. Alguns minutos por semana mantêm os reflexos afiados e permitem que você reaja a novos golpes assim que eles surgirem. Um único módulo anual é rapidamente esquecido.

Qual é a diferença entre fraude de mandato e fraude de fatura?

Na fraude de fatura, você paga uma fatura falsa ou adulterada uma única vez. Na fraude de autorização, o criminoso convence você a alterar os dados bancários de um fornecedor, de modo que todos os pagamentos futuros sejam direcionados para a conta errada até que alguém perceba. Ambas são evitadas pela mesma regra: verifique as alterações por meio de um canal no qual você já confia.

A fraude contra organizações está sempre mudando de forma, mas a pressão por trás dela permanece a mesma. Equipes que se prepararam para reconhecer situações de urgência, autoridade e sigilo, e que sabem que é sempre seguro ligar de volta para verificar, conseguem impedir a maioria das tentativas antes que qualquer dinheiro seja transferido.