8 exemplos de fraude por parte de CEOs: casos reais, os e-mails por trás deles e como os impedir

Resumindo: a fraude do CEO, também conhecida como «business email compromise» (BEC), é quando um atacante se faz passar por um dirigente de topo para convencer um colaborador a transferir dinheiro ou dados. É, de longe, a forma mais cara de cibercrime: só em 2025, o FBI registou cerca de 2,8 mil milhões de dólares em perdas relacionadas com BEC. Os oito exemplos abaixo são reais, variam entre 37 000 € e 70 milhões de €, e têm um padrão em comum: autoridade, urgência, sigilo e um colaborador que não atendeu o telefone. Cada exemplo mostra a mensagem que deu início a tudo; a secção final apresenta as cinco regras que teriam impedido cada um deles.

Como é a fraude cometida por um CEO

A versão clássica é um e-mail. «Estás na tua secretária? Preciso que trates de um pagamento confidencial hoje.» Também pode ser uma mensagem no WhatsApp, uma chamada telefónica com uma voz clonada ou uma videochamada com um deepfake. O alvo costuma ser alguém da área financeira, um assistente executivo ou alguém dos RH ou das compras que possa movimentar dinheiro ou dados. Para a definição e a perspetiva jurídica, vê o que é a fraude do CEO; quanto ao e-mail em si, vê o exemplo 5 nos nossos exemplos de e-mails de phishing.

Os 8 exemplos de fraude cometida por CEOs

1. Pathé Netherlands (2018): 19 milhões de euros para uma «aquisição confidencial»

O que aconteceu: a filial holandesa da cadeia de cinemas Pathé recebeu e-mails que pareciam ter vindo da sede francesa sobre uma aquisição confidencial no Dubai. Ao longo de várias semanas, o diretor-geral e o diretor financeiro aprovaram transferências que totalizaram cerca de 19,2 milhões de euros. Ambos foram despedidos; mais tarde, o tribunal considerou o despedimento do diretor financeiro legal.

A mensagem: «Isto é estritamente confidencial. Não fales sobre isto com ninguém da organização. A primeira prestação tem de ser transferida hoje.»

Por que é que resultou: a cláusula de confidencialidade afastou todos os colegas que poderiam ter feito perguntas, e o negócio parecia mesmo algo que a sede faria.

2. FACC (2016): 52 milhões de euros e o diretor executivo foi despedido

O que aconteceu: a FACC, fornecedora aeroespacial austríaca que fabrica peças para a Airbus e a Boeing, transferiu cerca de 52,8 milhões de euros na sequência de e-mails que se faziam passar pelo CEO sobre um projeto de aquisição. A empresa recuperou apenas uma parte do montante, o CEO e o diretor financeiro foram despedidos e o caso tornou-se a referência europeia em termos de consequências a nível do conselho de administração.

A mensagem: uma cadeia de e-mails enviada a partir de um endereço que se assemelha ao do CEO, a dar instruções ao departamento financeiro para efetuar pagamentos relativos a um projeto secreto.

Por que é que resultou: uma sequência de e-mails plausíveis ao longo do tempo, não um único pedido, e sem nenhuma regra de retorno de chamada.

3. Crelan (2016): 70 milhões de euros num banco belga

O que aconteceu: o banco belga Crelan perdeu cerca de 70 milhões de euros devido a uma fraude cometida pelo diretor executivo, descoberta durante uma auditoria interna. O ataque teve como alvo os funcionários autorizados a efetuar transferências.

A mensagem: instruções atribuídas à direção para transferir fundos, com o habitual tom de confidencialidade.

Por que é que funcionou: mesmo um banco, com controlos concebidos para combater a fraude externa, não tinha uma etapa de verificação para instruções que pareciam vir de dentro.

4. Ubiquiti Networks (2015): 46,7 milhões de dólares através de uma subsidiária

O que aconteceu: a fabricante norte-americana de equipamentos de rede revelou que os funcionários de uma subsidiária em Hong Kong foram levados a transferir 46,7 milhões de dólares para contas no estrangeiro, após terem recebido e-mails que se faziam passar por executivos e advogados. Foram recuperados cerca de 8 milhões de dólares.

A mensagem: pedidos de «consultores jurídicos externos» e da «equipa executiva» para transferências bancárias urgentes relacionadas com um negócio.

Por que é que resultou: os atacantes escolheram como alvo uma filial onde os funcionários não conheciam pessoalmente os executivos.

5. Toyota Boshoku (2019): 37 milhões de dólares numa única transferência

O que aconteceu: a filial europeia do fornecedor de bancos e interiores da Toyota transferiu cerca de 4 mil milhões de ienes (37 milhões de dólares) depois de um terceiro, que se fez passar por um parceiro de negócios, ter alterado os dados do pagamento.

A mensagem: um pedido convincente para efetuar um pagamento para uma nova conta bancária, no âmbito de uma relação já existente com um fornecedor.

Por que é que resultou: a variante em que o «chefe» é substituído por um fornecedor de confiança: a mesma técnica, mas com um remetente diferente.

6. Arup (2024): a videochamada com deepfake de 25 milhões de dólares

O que aconteceu: um funcionário do departamento financeiro do escritório de Hong Kong da empresa de engenharia Arup participou numa videochamada com o «diretor financeiro» e vários «colegas», todos gerados por IA, e efetuou 15 transferências que totalizaram 200 milhões de HK$ (cerca de 25,6 milhões de dólares).

A mensagem: um e-mail sobre uma transação confidencial, seguido de um convite para uma videochamada que dissipou as dúvidas do colaborador.

Por que é que funcionou: um rosto e uma voz foram considerados como prova. Consulta a formação sobre deepfakes para conhecer es o protocolo de verificação que impede que isto aconteça.

7. Ferrari e WPP (2024): as tentativas que falharam

O que aconteceu: na Ferrari, um executivo recebeu mensagens no WhatsApp e uma chamada com a voz clonada do CEO Benedetto Vigna sobre uma aquisição confidencial; ele fez uma pergunta que só o verdadeiro CEO poderia responder, e quem ligou desligou. No grupo de publicidade WPP, os atacantes marcaram uma reunião no Teams com uma voz clonada e imagens públicas do CEO Mark Read; a vítima ficou desconfiada e denunciou o caso.

Por que é que falharam: um colaborador verificou, outro colaborador comunicou. É essa a única diferença entre o exemplo 6 e o exemplo 7.

8. O caso da PME: 37 000 € em cartões-presente

O que aconteceu: a versão com que a maioria das empresas se depara na realidade. Uma gestora administrativa de uma empresa com 60 funcionários recebeu uma mensagem no WhatsApp do «CEO»: está numa reunião, precisa de cartões-presente para um cliente, manda os códigos e não contes a ninguém. Ela comprou 37 000 € em cartões-presente ao longo de dois dias, até que um colega perguntou o que se passava. Este caso fictício baseia-se em relatórios da polícia e das seguradoras; os números variam, mas o enredo é sempre o mesmo.

A mensagem: «Estás livre? Preciso de um favor rápido e vou estar preso em reuniões a tarde toda.»

Por que é que resultou: um pedido pequeno e credível de alguém a quem queres ajudar, com um motivo para não ligares de volta.

Os exemplos num relance

O padrão em todos os casos

1. Autoridade: o pedido vem de alguém a quem não se questiona.
2. Urgência: hoje, antes do prazo, antes de o negócio ser fechado.
3. Sigilo: é confidencial, não fales nisso, fica só entre nós.
4. Um motivo para não ligares: estou em reuniões, a viajar, no estrangeiro ou com má ligação.
5. Um novo destino para o dinheiro: uma nova conta, um novo país, cartões-presente.

Se aparecerem dois destes cinco numa mensagem, é um sinal. Se forem três, é fraude por parte do CEO, até prova em contrário.

Cinco regras que teriam impedido todas as oito

1. Todas as instruções de pagamento são verificadas por telefone através de um número que já consta na lista de contactos, nunca através de um número indicado na mensagem. Não há exceções para os executivos; os executivos apoiam esta regra publicamente.
2. Duas pessoas têm de verificar todas as transferências que ultrapassem um determinado limite e todas as alterações aos dados bancários. Uma pessoa só não pode aprovar; um segundo aprovador faz a pergunta que o primeiro não fez.
3. Uma palavra-chave para pedidos urgentes entre a direção, o departamento financeiro e os assistentes, que nunca se escreve por e-mail nem no chat.
4. O sigilo é um sinal de stop. «Não contes a ninguém» significa que tens de informar imediatamente o teu chefe e o departamento financeiro.
5. Dá formação e testa as pessoas que podem movimentar dinheiro. Os departamentos financeiro, de assistentes, de RH e de compras recebem uma simulação de phishing específica para este cenário a cada quatro a seis semanas, além de três minutos de formação em sensibilização para a segurança por semana. A Ferrari e a WPP foram salvas por pessoas com formação, não pela tecnologia.

O que fazer se isso já tiver acontecido

• Dentro de uma hora: liga para o serviço de fraude do teu banco para tentares anular a transação; as hipóteses de recuperação diminuem drasticamente após 24 horas.
• No próprio dia: apresenta queixa à polícia e, caso haja dados pessoais envolvidos, avalia a obrigação de notificação prevista no RGPD.
• Na mesma semana: guarda os e-mails e os cabeçalhos, avisa a tua seguradora e informa toda a empresa sem culpar o colaborador. A próxima tentativa já está, normalmente, na caixa de entrada de alguém.

Perguntas mais frequentes

Qual é um exemplo de fraude cometida por um CEO?

Um e-mail ou mensagem que parece ter vindo do CEO a pedir a um colaborador para efetuar um pagamento urgente e confidencial ou para comprar cartões-presente. O caso da Pathé (19 milhões de euros) e a versão dos cartões-presente (alguns milhares de euros) são os dois extremos do mesmo esquema.

A fraude por parte dos CEOs é muito comum?

O «Business Email Compromise» foi a categoria que mais custou no relatório do FBI sobre crimes na Internet pelo quinto ano consecutivo em 2025, com cerca de 2,8 mil milhões de dólares em perdas registadas só nos Estados Unidos. A maioria dos casos nunca é divulgada publicamente.

A fraude do CEO pode acontecer por telefone ou vídeo?

Sim. Vozes clonadas e videochamadas com deepfake (Arup, Ferrari, WPP) são as versões de 2024. A regra de verificação é a mesma: liga de volta para um número conhecido.

Quem é responsável quando uma fraude cometida pelo CEO dá certo?

A empresa arca com o prejuízo e os administradores podem enfrentar consequências: na FACC e na Pathé, os executivos foram demitidos. Ao abrigo da NIS2, a administração é explicitamente responsável pelas medidas de cibersegurança, incluindo a formação.