Fraude por desvio de pagamentos: Como proteger a sua PME

Como um e-mail familiar de um fornecedor se torna num risco empresarial de cinco dígitos — e os controlos simples que as PME irlandesas podem implementar hoje.

Escrito pela Equipa Editorial da Safegram

20 de outubro de 2026 • Dublin, Irlanda

Uma conversa financeira rotineira pode ser a última oportunidade para questionar uma alteração nas instruções de pagamento. Ilustração editorial gerada por IA, não se trata de uma fotografia de um incidente real.

As pequenas empresas na Irlanda perderam 18,9 milhões de euros em burlas relacionadas com e-mail num período de dois anos, de acordo com números publicados pela Banking & Payments Federation Ireland em março de 2026. Em outubro, enquanto a Europa se foca na cibersegurança no trabalho, a resposta mais útil pode não ser outra ferramenta complexa. Pode ser uma regra: nunca alterar os dados bancários de um fornecedor sem uma confirmação independente.

Principais conclusões

• A FraudSMART/BPFI reportou 18,9 milhões de euros em perdas de PME devido a burlas por e-mail nos dois anos anteriores; as perdas médias observadas pelas instituições participantes excederam 22.000 € por incidente.
• A fraude por desvio de pagamentos pode começar com um pedido comum para atualizar o IBAN de um fornecedor. A fatura genuína seguinte pode então ser paga para a conta errada.
• Um pequeno inquérito realizado a membros da ISME em fevereiro-março de 2026 revelou que 53% dos inquiridos não tinham diretrizes ou formação dedicada para funcionários sobre sensibilização para a fraude; a amostra foi de 65 empresas, não sendo um censo nacional.
• Chamadas de retorno independentes para fornecedores, aprovação dupla de pagamentos, autenticação multifator e um processo escrito para alteração de beneficiários são defesas práticas.
• Perfis online verificados podem melhorar os sinais de identidade na fase de descoberta, mas nenhum selo substitui a verificação do destino de um pagamento.

Uma fatura legítima pode conter um destino falso

Considere um café hipotético em Dublin que encomenda produtos frescos ao mesmo grossista todas as semanas. A relação está estabelecida, a nota de encomenda é esperada e o valor da fatura é normal. Mas antes de a fatura chegar, alguém que aparentemente representa o grossista pede ao café para atualizar a conta bancária utilizada para pagamentos futuros.

Nada mais na relação comercial precisa de mudar. A entrega continua a chegar. A fatura é genuína. O dinheiro é simplesmente encaminhado para uma conta que não pertence ao fornecedor.

Isto é fraude de reencaminhamento de faturas: um esquema em que uma empresa é enganada para alterar a conta para a qual paga a um fornecedor real ou suposto. É uma forma comum de Business Email Compromise (BEC), uma categoria mais ampla de ataques que envolvem a personificação de contactos de confiança. Um criminoso pode personificar um endereço ou explorar uma conta já comprometida. O perigo nem sempre é uma fatura flagrantemente falsa; é a confiança mal depositada criada por uma relação de trabalho existente.

O National Cyber Security Centre (NCSC) da Irlanda descreve o BEC como a personificação de um executivo, fornecedor ou funcionário para obter dinheiro ou informações sensíveis. A FraudSMART aconselha as empresas a verificar propostas de alteração de dados bancários utilizando um contacto que já conheçam — e não o número de telefone fornecido no pedido de alteração. [2, 3]

Os números irlandeses são demasiado elevados para que este seja um problema apenas de TI

A 27 de março de 2026, a FraudSMART, iniciativa liderada pela Banking & Payments Federation Ireland (BPFI), informou que as PME irlandesas tinham perdido 18,9 milhões de euros devido a fraude relacionada com e-mail nos dois anos anteriores. As suas instituições membros registavam perdas médias acima de 22.000 € por incidente. O reencaminhamento de faturas e a personificação de CEO foram identificados como riscos proeminentes. [1]

Um inquérito separado realizado com membros da ISME em fevereiro e março de 2026 revelou que 67% dos 65 inquiridos afirmaram que a sua empresa tinha sido alvo de uma burla financeira nos 12 meses anteriores. Entre os inquiridos, 53% declararam não ter diretrizes ou formação específica para funcionários sobre sensibilização para a fraude. A amostra é pequena e não deve ser tratada como uma estimativa representativa para todas as PME irlandesas; no entanto, oferece aos proprietários uma lacuna que podem testar no seu próprio local de trabalho. [1]

O momento é relevante. O Mês Europeu da Cibersegurança decorre durante todo o mês de outubro de 2026, com o ênfase deste ano nas competências e preparação no local de trabalho. A mensagem é especialmente importante para retalhistas independentes, profissionais liberais, hotelaria, agências criativas e empreendedores individuais que gerem comunicações comerciais através de e-mail, aplicações de mensagens e redes sociais sem um departamento financeiro dedicado. [4]

Por que razão a resposta mais segura é, por vezes, interromper a conversa

Uma instrução de pagamento suspeita pode chegar dentro de uma conversa que, de outra forma, seria normal. É precisamente por isso que responder ao mesmo e-mail ou ligar para o número na assinatura pode não confirmar nada. Se a conta do remetente estiver comprometida, o atacante pode ver ou influenciar a resposta. Se uma mensagem foi personificada, os detalhes de contacto podem levar diretamente ao burlão.

A verificação independente significa iniciar uma nova conversa utilizando um número ou método de contacto que a empresa já tivesse registado antes do pedido. Contacte uma pessoa conhecida no fornecedor, confirme a alteração, registe o resultado e não liberte o pagamento até que a verificação esteja concluída. Aplique a mesma regra quando um pedido parecer vir do proprietário, contabilista ou da pessoa mais sénior da empresa. [2, 3]

Uma equipa de construção em Dublin verifica o fornecedor diretamente antes de alterar os dados de pagamento. Ilustração editorial gerada por IA.

Um exercício de segurança de pagamentos de sete minutos

Uma organização pequena não precisa de um departamento de cibersegurança complexo para praticar a sua primeira defesa. Precisa de um processo repetível que sobreviva a uma tarde de sexta-feira atarefada, à ausência de um funcionário ou a uma mensagem urgente de um cliente familiar.

Minuto 1: decidir quem pode editar os dados dos fornecedores

Atribua a um funcionário responsável a gestão do registo de fornecedores. Registe como são aprovados novos beneficiários, quem pode alterar um IBAN e onde são guardados os dados de contacto verificados independentemente. Folhas de cálculo partilhadas sem permissões adequadas ou histórico de alterações criam incerteza desnecessária.

Minutos 2–3: estabelecer a chamada de retorno independente

Exija uma chamada telefónica para um número de fornecedor registado anteriormente para cada alteração de dados bancários, incluindo pedidos de funcionários familiares ou fornecedores de longa data. Nunca confie apenas num número indicado no novo e-mail, mensagem de chat ou fatura. Registe a data, a pessoa contactada e o resultado da confirmação.

Minuto 4: adicionar um segundo par de olhos

Utilize a aprovação dupla para transferências significativas e primeiros pagamentos para uma conta alterada recentemente. O segundo aprovador deve examinar o beneficiário de forma independente, e não apenas premir "aprovar". A FraudSMART recomenda especificamente a autorização eletrónica dupla para pagamentos a terceiros. [1]

Minuto 5: proteger os canais que as pessoas utilizam

Ative a autenticação multifator no e-mail da empresa e nas contas financeiras; utilize palavras-passe fortes e únicas, mantenha os dispositivos atualizados e limite o acesso aos sistemas de pagamento. A encriptação e a verificação de identidade podem resolver alguns riscos, mas não conseguem garantir que todas as instruções de pagamento estejam corretas.

Minutos 6–7: ensaiar o cenário

Peça a um colega para fazer o papel de fornecedor e a outro para responder a um pedido fictício de alteração de conta. O destinatário consegue encontrar o número guardado independentemente? O pedido fica em espera até à confirmação? O segundo aprovador sabe o que verificar? Caso contrário, melhore o procedimento e teste-o novamente. Isto é formação com um resultado prático, não uma apresentação esquecida.

Quando uma reserva local se torna um risco de pagamento

O mesmo desafio surge na economia dos criadores e no comércio local. Um videógrafo recebe um pedido de um restaurante; um fotógrafo dá um orçamento para um local de casamentos; um empreiteiro negoceia o depósito de uma renovação. A primeira interação pode começar numa plataforma social, passar para mensagens diretas e terminar com uma transferência. Cada transição deixa margem para confusão.

Uma conta falsa pode imitar um criador familiar; um cliente autêntico pode receber uma alteração de pagamento forjada; uma agência pode tratar um IBAN numa captura de ecrã como atual. A confiança digital não pode, portanto, terminar na descoberta. Deve ser mantida no momento em que a transação ocorre efetivamente.

A Safegram está a desenvolver um modelo que une perfis verificados, descoberta local e listagens de serviços de criadores ou empresas dentro do Safegram Exchange (o mercado verificado da rede). Isso pode ajudar um potencial cliente a ver quem está a oferecer um serviço. A sua ambição a longo prazo é ligar mais etapas do percurso de consulta, reserva e pagamento em torno de uma camada de confiança persistente, em vez de dispersar a relação por ferramentas não relacionadas. Mas um perfil verificado não é uma garantia contra contas comprometidas, instruções de pagamento fraudulentas ou transferências por engano.

A distinção é importante tanto para plataformas jovens como para mercados estabelecidos. A verificação pode ajudar a estabelecer quem abriu uma conta; a segurança dos pagamentos necessita de verificações adequadas no momento em que o dinheiro se move, processos de disputa claros e explicações transparentes sobre o que está — e o que não está — protegido.

A confiança constrói-se no fluxo de trabalho, não apenas no perfil

Os serviços estabelecidos têm pontos fortes genuínos: os bancos oferecem equipas de fraude e controlos de transações; mercados especializados podem fornecer processos de adesão estruturados para comerciantes; as redes sociais trazem uma descoberta extensiva; o software de reserva dedicado resolve problemas específicos do setor. Estas vantagens merecem reconhecimento.

No entanto, o percurso entre a descoberta social, mensagens, faturação, pagamento e apoio pós-venda continua fragmentado para muitas equipas pequenas. A Safegram pretende, ao longo do tempo, reduzir essa fragmentação através de identidade de confiança, comunidade, produtos, serviços e Circles (círculos de partilha e colaboração) e reservas. Se uma experiência unificada será demonstravelmente mais segura dependerá de operações responsáveis e controlos mensuráveis — e não de uma promessa de marketing.

Um retalhista independente analisa um pedido antes de este entrar no processo de pagamento. Ilustração editorial gerada por IA.

O que fazer se já tiver pago para a conta errada

Ajude rapidamente. Contacte o banco ou o prestador de serviços de pagamento imediatamente, explique que a transferência pode ser fraudulenta e pergunte se pode ser anulada ou interrompida. A recuperação não é garantida, particularmente para uma transferência bancária autorizada. Preserve as mensagens originais, os cabeçalhos completos dos e-mails, as faturas, os detalhes da conta e as referências da transação. Reporte a suspeita de fraude criminal à An Garda Síochána e consulte as orientações de reporte de incidentes do NCSC se houver um comprometimento cibernético envolvido. [3, 5]

Proteja as contas afetadas, reveja os inícios de sessão recentes e alerte os fornecedores ou clientes legítimos caso as comunicações possam ter sido personificadas. Não investigue apenas através de uma caixa de correio que suspeite estar comprometida. Se dados pessoais tiverem sido expostos, considere separadamente os deveres de notificação de proteção de dados da organização.

A prevenção não deve reduzir-se a dizer aos funcionários para serem "mais cuidadosos". Um funcionário apressado deve poder confiar numa regra que impeça um pagamento questionável até que alguém o verifique. Procedimentos bem concebidos protegem as pessoas precisamente quando estas estão ocupadas.

A pergunta que todos os proprietários devem fazer esta manhã

Pergunte a quem gere os pagamentos: o que acontece se o nosso maior fornecedor enviar um e-mail hoje a alterar o seu IBAN? Se a resposta for "atualizamos a folha de cálculo", a empresa encontrou uma melhoria urgente. Se a resposta for "ligamos para o número verificado independentemente, documentamos a aprovação e exigimos uma segunda assinatura", a equipa tem uma defesa que vale a pena praticar.

O Mês Europeu da Cibersegurança termina a 31 de outubro. Um processo de pagamento sensato deve durar muito mais tempo.

Perguntas frequentes

O que é a fraude por desvio de pagamentos?

É um esquema em que alguém personifica um fornecedor ou outra parte de confiança e convence uma empresa a pagar para uma conta bancária fraudulenta, muitas vezes solicitando uma alteração nos dados do IBAN armazenados.

Como é que o reencaminhamento de faturas difere do phishing?

O phishing procura enganar os destinatários para revelarem informações, clicarem num link nocivo ou tomarem outra ação insegura. O reencaminhamento de faturas é uma tática específica de desvio de pagamentos e pode envolver phishing ou e-mail empresarial comprometido.

Quanto perderam as PME irlandesas com burlas por e-mail?

A FraudSMART/BPFI reportou 18,9 milhões de euros em perdas nos dois anos anteriores à sua publicação de 27 de março de 2026. O valor abrange burlas relacionadas com e-mail, não apenas a fraude de reencaminhamento de faturas.

Responder a um e-mail de um fornecedor é suficiente para verificar novos dados bancários?

Não. Uma resposta pode chegar a alguém que controla uma caixa de correio comprometida. Contacte a empresa de forma independente através de um número de telefone previamente verificado e documente a resposta.

Qual é a proteção mais simples para uma pequena empresa?

Exigir uma chamada de retorno independente antes de alterar os dados bancários do fornecedor, uma segunda aprovação para pagamentos significativos e autenticação multifator no e-mail empresarial.

O selo de empresa verificada significa que um pagamento é seguro?

Não. A verificação pode fornecer provas sobre a identidade, mas não valida todas as contas bancárias, instruções ou transações posteriores.

Onde deve uma empresa irlandesa denunciar um pagamento fraudulento?

Contacte o seu banco imediatamente e reporte a suspeita de fraude criminal à An Garda Síochána. Utilize os recursos do National Cyber Security Centre caso esteja envolvido um comprometimento de e-mail ou de rede.

Entre em ação

Comece hoje com uma melhoria: escreva a regra para alterar os dados bancários dos fornecedores, atribua a um colega a responsabilidade de a aplicar e teste-a com um cenário realista. As empresas locais e os criadores que pretendam desenvolver uma presença profissional verificada podem explorar o Safegram Exchange em https://safegram.com — mantendo as verificações de pagamento independentes onde quer que ocorra uma transação.

Fontes e referências

1. Banking & Payments Federation Ireland / FraudSMART, “Almost €19 million lost by SMEs to email-related scams over the past two years”, 27 de março de 2026. https://bpfi.ie/almost-e19-million-lost-by-smes-to-email-related-scams-over-the-past-two-years-fraudsmart/

2. FraudSMART, “Invoice Re-Direction Fraud”, orientação empresarial, acedido a 20 de outubro de 2026. https://www.fraudsmart.ie/business/fraud-scams/email-fraud/invoice-re-direction-fraud/

3. National Cyber Security Centre, “Protecting Against Business Email Compromise and Payment Fraud Guidance”, acedido a 20 de outubro de 2026. https://www.ncsc.gov.ie/guidance/

4. Comissão Europeia / Plataforma Europeia de Competências e Empregos Digitais, “Mês Europeu da Cibersegurança 2026”, outubro de 2026. https://digital-skills-jobs.europa.eu/en/latest/news/european-cybersecurity-month-2026

5. National Cyber Security Centre, reporte de incidentes e orientação de cibersegurança, acedido a 20 de outubro de 2026. https://www.ncsc.gov.ie/npc24/