Golpe já provocou perdas milionárias em empresas no exterior e começa a preocupar organizações brasileiras; especialistas alertam para falhas na governança cadastral como novo alvo do cibercrime
Depois de anos explorando boletos falsos e transferências fraudulentas, o crime cibernético encontrou um alvo ainda mais lucrativo dentro das empresas: os cadastros de fornecedores nos sistemas de gestão corporativa. Considerada uma das modalidades de fraude financeira empresarial que mais crescem no exterior, a prática consiste em alterar dados bancários legítimos dentro do ERP para redirecionar pagamentos a contas controladas por criminosos.
O golpe já provocou prejuízos milionários em diversos países. Em alguns casos, empresas só descobriram o desvio semanas depois, quando fornecedores cobraram pagamentos que, supostamente, já haviam sido realizados. Em outros episódios, criminosos passaram por parceiros comerciais legítimos para solicitar alterações de contas bancárias e chaves de pagamento antes da liquidação de grandes volumes financeiros.
Agora, especialistas em governança de dados alertam que a mesma dinâmica começa a ganhar espaço no Brasil. O aumento dos ataques de engenharia social contra ambientes corporativos e a crescente digitalização dos processos financeiros criaram condições ideais para que fraudadores explorem falhas em processos de cadastro e aprovação de fornecedores.
A estratégia é simples e altamente eficaz. Utilizando e-mails falsificados, contas comprometidas ou identidades corporativas aparentemente legítimas, os criminosos enviam solicitações de atualização de dados bancários, mudança de chave Pix ou alteração de domicílio financeiro. Quando essas modificações são aprovadas sem validações adicionais, os pagamentos passam a ser direcionados para contas fraudulentas sem que o ERP identifique qualquer irregularidade.
O problema se tornou ainda mais relevante após o crescimento dos ataques conhecidos como Business Email Compromise (BEC), modalidade em que criminosos assumem ou imitam comunicações empresariais legítimas para induzir funcionários a executar operações financeiras aparentemente normais.
No Brasil, casos recentes envolvendo o chamado “falso fornecedor” já demonstram como fraudadores utilizam informações corporativas legítimas para enganar áreas financeiras e departamentos de compras. Embora muitas dessas ocorrências ainda cheguem ao conhecimento público como fraudes isoladas, especialistas observam uma evolução das táticas utilizadas, que migram gradativamente da simples falsificação de cobranças para a manipulação dos próprios dados mestres utilizados nos sistemas corporativos.
Segundo a 4MDG, empresa especializada em Gestão de Dados Mestres (MDM) e automação de cadastros corporativos, a principal vulnerabilidade não está necessariamente nos sistemas de pagamento, mas na falta de governança aplicada aos dados que alimentam esses processos.
“A grande ilusão das organizações é acreditar que a segurança dos pagamentos depende apenas dos módulos financeiros ou das ferramentas tradicionais de proteção da infraestrutura. Hoje, muitas fraudes são executadas por meio de alterações cadastrais aparentemente legítimas. Quando não existe rastreabilidade completa, validação independente e segregação adequada de responsabilidades, o criminoso consegue atuar sem levantar suspeitas”, afirma Cesar Coelho, CTO da 4MDG.
O cenário preocupa especialmente grandes corporações que processam milhares de pagamentos todos os meses. Durante períodos de fechamento fiscal ou de maior movimentação financeira, equipes de tesouraria e contas a pagar trabalham sob alta pressão operacional, aumentando o risco de que uma solicitação fraudulenta seja tratada como uma atualização rotineira.
Para reduzir a exposição, empresas têm acelerado investimentos em plataformas especializadas de governança de dados e automação de cadastros. A tendência é substituir processos baseados em e-mails, planilhas e controles paralelos por fluxos estruturados de homologação, nos quais cada solicitação de alteração é submetida a múltiplas camadas de validação.
Entre os mecanismos mais utilizados estão validações automatizadas de documentos societários, conferência de titularidade bancária, autenticação reforçada de usuários, segregação de funções e workflows de aprovação com diferentes níveis de alçada. O objetivo é impedir que uma única solicitação seja suficiente para modificar informações financeiras críticas.
Além da prevenção, a capacidade de registrar todas as etapas do processo passou a ser uma exigência crescente de auditorias, áreas de compliance e programas de conformidade ligados à LGPD e à gestão de riscos corporativos.
“Quando um pagamento é desviado, a primeira pergunta dos auditores é quem autorizou a mudança, quando ela ocorreu e quais controles foram executados. Se a resposta está dispersa em e-mails e arquivos locais, a organização perde capacidade de investigação e defesa. A governança do dado mestre deixou de ser uma questão operacional e passou a ser uma camada essencial de proteção financeira”, complementa Coelho.
Com a sofisticação dos ataques direcionados a cadeias de suprimentos e o aumento da exposição digital das empresas, especialistas apontam que a blindagem dos cadastros financeiros deve ocupar posição cada vez mais estratégica nas agendas de gestão de riscos, segurança cibernética e conselhos de administração.
Paulo Cordeiro é CEO e fundador da 4MDG.
Sobre a empresa:
A 4MDG é uma empresa brasileira de Master Data Management (MDM) especializada em saneamento de cadastro de materiais, clientes e fornecedores: deduplicação, padronização descritiva de materiais (PDM), classificação NCM e UNSPSC, validação em mais de 600 fontes públicas e enriquecimento, com carga direta no SAP, Oracle e TOTVS. Plataforma com IA (ADAM), homologação de fornecedores, onboarding de clientes, migração para SAP S/4HANA e Data as a Service. 160 clientes em seis países, 60 milhões de registros sob gestão e certificação ISO/IEC 27001.
