Formação sobre prevenção de fraudes para os colaboradores: 6 tipos de fraude a abordar na formação

A formação sobre prevenção da fraude ensina os colaboradores a reconhecer e a impedir os esquemas fraudulentos que os visam pessoalmente: um pedido falso do diretor-geral, uma fatura com dados bancários alterados, um telefonema de um «fornecedor» que precisa de um pagamento ainda hoje. Uma boa formação não explica a fraude de forma abstrata. Mostra aos colaboradores as mensagens exatas que vão receber, permite-lhes praticar a deteção dessas mensagens e indica-lhes uma ação simples para quando algo parecer suspeito: parar, verificar através de um canal conhecido e comunicar.

A maioria das fraudes de pagamento contra as organizações não envolve a violação de nenhum sistema. Consiste em convencer uma pessoa a fazer algo que já tem autorização para fazer, como aprovar um pagamento ou alterar o registo de um fornecedor. É por isso que a equipa financeira, o gestor administrativo e o novo colega do departamento de contas a pagar são os verdadeiros alvos, e é por isso que a tecnologia, por si só, raramente consegue detetá-las. Abaixo vais encontrar as seis fraudes que qualquer programa deve abranger, porque é que um módulo anual fica aquém do necessário e como organizar uma formação que realmente mude a forma como as pessoas agem.

As seis fraudes que têm como alvo os funcionários

1. Fraude do CEO e comprometimento de e-mail empresarial. Uma mensagem que parece ter vindo de um diretor pede um pagamento urgente e confidencial. O tom é apressado, o remetente está «numa reunião» e não pode ser contactado por telefone. No comprometimento de e-mail empresarial, o atacante usa uma caixa de correio real, que foi invadida, o que torna o pedido ainda mais convincente. Explicamos como isso funciona no nosso artigo sobre o que é a fraude do CEO e o que podes fazer para te protegeres.
2. Fraude com faturas. Chega uma fatura falsa, ou uma fatura verdadeira com dados alterados, aparentemente de um fornecedor conhecido. Muitas vezes, isso acontece no final do mês, quando a equipa processa um grande lote e verifica com menos atenção.
3. Fraude de mandato. Alguém que se faz passar por um fornecedor pede-te para atualizar os dados bancários dele «porque mudámos de banco». Todos os pagamentos futuros vão então parar ao fraudador, muitas vezes durante meses, até que o verdadeiro fornecedor comece a cobrar uma fatura por pagar.
4. Fraude por desvio de pagamentos. O criminoso intercepta uma troca de e-mails em curso sobre um pagamento, por exemplo, uma transação imobiliária ou uma encomenda de grande valor, e insere novos dados bancários exatamente no momento certo.
5. Deepfake e fraude telefónica. Uma chamada ou mensagem de voz que parece ser de um gestor ou diretor financeiro confirma o pedido falso. A clonagem de voz tornou isto barato e rápido, e é por isso que abordamos este tema separadamente na formação sobre sensibilização para o deepfake.
6. Mensagens de texto fraudulentas e fraudes por correio. A fraude não fica à porta do escritório. As mensagens de texto fraudulentas que se fazem passar por um banco ou serviço de entregas, e as fraudes por correio, em que alguém que liga a fazer-se passar pela polícia ou pelo banco convence alguém a entregar cartões ou dinheiro, afetam os funcionários em casa. Os mesmos truques de persuasão aparecem depois no trabalho. Lê mais sobre o smishing.

O que estas fraudes têm em comum não é o canal, mas sim a pressão: urgência, autoridade e sigilo. Uma formação que ensine as pessoas a identificar esses três sinais protege-as contra variantes que ainda nem sequer existem.

Porque é que um módulo anual sobre fraude não funciona

Muitas organizações abordam o tema da fraude uma vez por ano, num módulo de e-learning de meia hora. O requisito fica cumprido, mas o efeito desaparece em poucas semanas. A sensibilização para a fraude não é um conhecimento que se guarda, é um reflexo que se desenvolve: aquela hesitação de meio segundo antes de clicar em «aprovar». Os reflexos precisam de repetição.

O segundo problema é a questão do timing. Os fraudadores seguem o calendário e as notícias: pagamentos de fim de ano, substituições por férias na equipa financeira, um novo sistema ERP, um fornecedor conhecido nas manchetes. Um módulo da primavera passada não consegue antecipar isso. Uma formação curta e recorrente pode apresentar o cenário às pessoas enquanto este está realmente a acontecer.

O que uma boa formação sobre prevenção da fraude abrange

• Cenários realistas para cada tipo de fraude. Os colaboradores treinam com as mensagens que vão realmente receber: o e-mail urgente do CEO, a carta com os «novos dados bancários», a chamada do fornecedor. A função é importante, por isso o departamento de contas a pagar tem mais cenários de pagamento do que o armazém.
• Simulações, não só teoria. Simulações de phishing que imitam fraudes relacionadas com faturas e com o CEO mostram quem é que reagiria a um pedido falso, sem que haja danos reais.
• Uma regra de verificação clara. Qualquer alteração nos dados bancários ou pedido de pagamento invulgar é confirmado através de um canal que já tenhas, como o número de telefone que consta no teu ficheiro de fornecedores, nunca o número que aparece no e-mail.
• Uma forma fácil de denunciar. As pessoas que denunciam uma mensagem suspeita são o teu primeiro aviso. Faz com que seja só um clique e agradece-lhes por isso, mesmo quando se revelar inofensiva.
• Avaliação ao longo do tempo. Acompanha quantas pessoas comunicam incidentes, quantas caem nas simulações e como isso varia de equipa para equipa. Isso mostra onde é preciso formação adicional e dá aos auditores provas para a NIS2 e a ISO 27001.

Como organizar uma formação sobre prevenção de fraudes em cinco passos

1. Avalia a tua situação atual. Começa por fazer uma avaliação inicial para saberes quais as equipas e os tipos de fraude que precisam de atenção em primeiro lugar.
2. Mapeia os processos de pagamento. Quem pode aprovar pagamentos, alterar registos de fornecedores ou autorizar transferências urgentes? Essas pessoas recebem a formação mais intensiva.
3. Chega a um acordo sobre a regra de verificação. Põe a regra de recusa por escrito e faz com que a direção a apoie publicamente, para que ninguém se sinta constrangido ao verificar o pedido de um diretor.
4. Treina em sessões curtas e frequentes. Alguns minutos por semana são melhores do que uma tarde por ano. Vai alternando os tipos de fraude para que todos os cenários voltem a aparecer regularmente.
5. Testa, faz um relatório e repete. Faz simulações, partilha os resultados por equipa sem mencionar nomes e ajusta os cenários com base no que observares.

A dica: aprende a reconhecer fraudes com o Guardey

O Guardey transforma esta abordagem num hábito semanal. Os colaboradores recebem um desafio de cerca de três minutos, no seu portátil ou na aplicação móvel para iOS e Android, que abrange fraudes do CEO, fraudes em faturas, phishing, smishing e deepfakes. A gamificação, com tabelas de classificação e séries de dias consecutivos, faz com que as pessoas continuem a participar; as simulações de phishing testam o que aprenderam e os relatórios prontos para auditoria mostram o teu progresso em relação à NIS2 e à ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já utilizam o Guardey. Vê como funciona a nossa formação em sensibilização para a segurança.

O teu parceiro de TI tem em conta o lado humano?

Muitas pequenas empresas subcontratam os serviços de TI a um prestador de serviços geridos (MSP), uma empresa de TI que gere os seus sistemas e a segurança mediante uma mensalidade. A fraude é um ponto cego nessa configuração: a firewall é gerida, mas ninguém dá formação à pessoa que paga as faturas. Vale a pena perguntar ao teu MSP se isso pode ser incluído.

Para os MSPs, o Guardey está disponível através de parceiros de canal, como a distribuidora de cibersegurança e92plus, que ajuda os parceiros a lançar novos serviços de segurança com campanhas de marketing já preparadas e faturação mensal por cliente.

Perguntas frequentes sobre a formação em sensibilização para a fraude

O que é a formação sobre prevenção da fraude?

A formação sobre prevenção da fraude ensina os colaboradores a reconhecer tentativas de fraude dirigidas a eles, como a fraude do CEO, a fraude nas faturas e as chamadas falsas, e a reagir da forma correta. O foco está nos sinais práticos e numa regra de verificação fixa, em vez de na teoria. Os melhores programas combinam lições curtas com simulações realistas.

Quem precisa de formação sobre prevenção da fraude para os funcionários?

Todos, mas não na mesma medida. Os colaboradores que aprovam pagamentos, tratam de faturas ou alteram os dados dos fornecedores são os principais alvos e são aqueles que mais precisam de cenários. Os outros colaboradores beneficiam dos conceitos básicos, porque os fraudadores também os utilizam para recolher informações ou chegar à pessoa certa.

Com que frequência é que a formação sobre prevenção da fraude deve ser realizada?

É melhor ser breve e frequente do que longo e esporádico. Alguns minutos por semana mantêm os teus reflexos afiados e permitem-te reagir a novos esquemas fraudulentos à medida que vão surgindo. Um único módulo anual é rapidamente esquecido.

Qual é a diferença entre fraude de mandato e fraude de fatura?

Na fraude de fatura, pagas uma vez uma fatura falsa ou alterada. Na fraude de mandato, o criminoso convence-te a alterar os dados bancários de um fornecedor, de modo que todos os pagamentos futuros vão para a conta errada até que alguém se aperceba. Ambas são evitadas pela mesma regra: verifica as alterações através de um canal em que já confias.

A fraude contra as organizações está sempre a mudar de disfarce, mas a pressão por trás disso continua a mesma. As equipas que se habituaram a reconhecer a urgência, a autoridade e o sigilo, e que sabem que não há problema nenhum em ligar de volta para confirmar, conseguem impedir a maioria das tentativas antes de qualquer transferência de dinheiro.