1. Panorama da engenharia social no Brasil
Engenharia social é o vetor de fraude que mais cresce, mais custa e mais escapa de controles técnicos nas empresas brasileiras. Enquanto seguradoras exigem MFA, EDR e backup imutável para se proteger contra invasão técnica, a maior parte das perdas financeiras reais está em ataques que exploram o fator humano — sem envolver comprometimento técnico direto.
Dados da Biocatch Digital Banking Fraud Trends Brazil 2025 mostram que consumidores brasileiros reportaram o dobro de tentativas de scam por engenharia social em 2025 versus 2024, com vishing (voice phishing) representando metade da alta. No setor financeiro, R$ 10,1 bilhões em perdas foram reportadas em 2024, e aproximadamente 70% desse valor veio de engenharia social, não de invasão de sistemas.
Globalmente, os números são alarmantes: a APWG (Anti-Phishing Working Group) registrou 1.003.924 ataques de phishing no Q1 2025 e 1.130.393 no Q2 2025, alta de 13% trimestre contra trimestre. Vishing cresceu 442% no final de 2024. América Latina, incluindo Brasil, foi apontada como região de alta concentração pelo aumento do uso de serviços cloud para hospedar campanhas.
2. Tipos de engenharia social — taxonomia essencial
3. BEC e Fraude do CEO em detalhe
BEC (Business Email Compromise) é o tipo de engenharia social com maior valor por incidente. O custo médio global de um ataque BEC é de US$ 4,89 milhões, e no ano de 2024 o FBI IC3 reportou US$ 2,77 bilhões em perdas por BEC nos EUA. No Brasil, subnotificação significa que o número real é certamente múltiplas vezes maior que o oficialmente medido.
Anatomia de um ataque BEC típico
- Reconhecimento (7–30 dias): criminoso identifica alvo, hierarquia da empresa, fornecedores, padrões de comunicação. Fontes: LinkedIn, site corporativo, vazamentos anteriores.
- Acesso inicial: credenciais compradas na dark web, phishing primário contra funcionário de baixo nível, ou spoofing de domínio (letra trocada).
- Persistência e observação (14–60 dias): criminoso lê e-mails, mapeia processos financeiros, identifica transações periódicas de alto valor, aprende linguagem e horarios.
- Execução: envio de e-mail em nome do CEO/CFO solicitando urgência (fecha operacao internacional, IPO, aquisição) para transferência não padrão, geralmente para conta em país com difícil recuperação.
- Lavagem: dinheiro é movido em minutos por múltiplas contas laranja, convertido em cripto ou saque em espécie. Recuperação é extremamente difícil.
Variantes crescentes em 2025–2026
- Vendor Email Compromise (VEC): em vez do CEO da própria empresa, criminoso compromete e-mail de fornecedor real e altera dados bancários de pagamento em fatura legítima. Percepção de risco muito baixa — empresa acha que está pagando fornecedor conhecido.
- Deepfake por voz: criminoso liga imitando voz do CEO (IA generativa avançada) para confirmar autorização solicitada por e-mail. Casos reportados no Brasil em 2025 já envolveram múltiplos milhões.
- Fraude de fusões & aquisições: criminoso monitora anuncio de M&A e simula comunicação do escritório de advocacia solicitando depósito de caucao/esperando.
4. Cobertura cyber vs crime insurance
Engenharia social sempre foi zona cinzenta entre seguro cyber e crime insurance (RC Fidelidade / Seguro contra Fraudes). Entender a diferença é crítico para saber onde estruturar cobertura:
A arquitetura ideal para médias empresas e grandes contas é Cyber + Crime combinadas, com endossos que eliminem gaps entre as duas apólices. Sem essa combinação, incidentes de colusão interna+externa — que representam frequência crescente — podem ficar descobertos.
5. O problema do sublimite baixo
Apólices cyber brasileiras são vendidas com sublimite de engenharia social entre 10% e 50% do limite principal, média entre 25% e 30%. Uma apólice de R$ 10 milhões tipicamente tem sublimite de R$ 2,5 a R$ 3 milhões para BEC. Considerando que o BEC médio custa US$ 4,89 milhões (~R$ 24 milhões), o gap fica evidente. Empresas descobrem tarde — só depois de sofrer BEC de R$ 5 ou R$ 10 milhões — que a apólice cobre apenas parte.
Por que seguradoras impõem sublimite
- Frequência alta de sinistros. Engenharia social é o vetor mais frequente — se coberto no limite total, sinistralidade explode.
- Dependência de fator humano. Prevencia depende de controles comportamentais difíceis de auditar — treinamento, verificação dual, cultura.
- Risco moral. Empresas com cobertura ampla podem ser menos rigorosas em controles internos.
- Reservável via crime insurance. Seguradoras assumem que empresa complementa com crime insurance dedicado.
Endossos que ampliam sublimite
É possível negociar sublimite ampliado — até 50-75% do limite principal, ocasionalmente 100% para grandes contas com controles maduros. Requisitos típicos para essa ampliação:
- Verificação dual-channel obrigatória para transferências acima de valor definido, documentada em política.
- Programa formal de treinamento com simulações de phishing pelo menos trimestrais, com métricas de melhoria.
- Gateway de e-mail com SPF, DKIM e DMARC ativos e enforcing.
- Proteção contra spoofing de domínios similares (typo-squatting monitoring).
- Segregação de função: quem inicia transferência não pode aprovar.
- Alertas automáticos para alteração de dados bancários de fornecedor.
6. Controles que ampliam cobertura e reduzem risco
Os controles com maior impacto — tanto em redução de sinistralidade quanto em ampliação de sublimite oferecido pela seguradora:
- Verificação dual-channel: transferências acima de valor definido (ex.: R$ 100 mil) exigem confirmação por telefone com número previamente cadastrado — nunca o número mencionado no e-mail. Controle isolado com maior redução de BEC.
- Treinamento contínuo com simulações: KnowBe4, Cofense, Proofpoint Security Awareness. Métrica: taxa de clique em phishing simulado deve cair para menos de 5% após 6 meses de programa.
- Autenticação de e-mail: SPF, DKIM e DMARC configurados em modo reject ou quarantine. Sem isso, spoofing de domínio próprio é trivial.
- Proteção contra impersonation: Microsoft Defender for Office 365 Anti-phishing, Proofpoint TAP, Mimecast Impersonation Protect — detecção de domínios similares e envio suspeito.
- MFA em e-mail e ferramentas financeiras: já é requisito básico, mas frequentemente ausente em contas de serviço e integrações.
- Política de alteração de dados bancários: escrita, comunicada a fornecedores, com processo formal de verificação em qualquer solicitação de mudança.
- Segregação de função e limite por autonomia: nenhum funcionário deve poder iniciar e aprovar uma transferência acima de X sozinho.
- Detecção de deepfake por voz: tecnologia emergente, mas já disponível — especialmente relevante para CFOs e tesouraria de grandes contas.
7. Como dimensionar sublimite adequado
Três variáveis para dimensionar sublimite de engenharia social:
- Volume médio de transferências financeiras da empresa. Média empresa que faz pagamentos B2B de R$ 500 mil a R$ 5 milhões por semana tem exposição diferente de e-commerce com centenas de pequenas transações.
- Autonomia individual de autorização. Quantas pessoas podem autorizar transferências acima de R$ 500 mil sem dupla assinatura obrigatória?
- Histórico de tentativas de fraude nos últimos 12 meses. Empresas com histórico de tentativas frustradas têm base empírica para o dimensionamento.
Recomendação típica de mercado brasileiro em 2026:
- Média empresa (R$ 50M–500M receita): sublimite mínimo R$ 2 a R$ 3 milhões.
- Grande conta corporate (R$ 500M+): sublimite mínimo R$ 5 a R$ 10 milhões.
- Empresas com operação internacional (wire transfers frequentes): endosso adicional específico — BEC internacional tem sinistralidade ainda maior.
- Setor financeiro / PSTIs sob BCB 498: cobertura de fraude eletrônica precisa ser parte central do desenho da apólice, integrada com D&O e Crime Insurance.
8. Como a NextGuard estrutura cobertura contra engenharia social
Atendemos médias empresas e grandes contas corporate no Brasil que sofrem ou querem se proteger contra BEC, fraude do CEO e phishing direcionado. Nossa abordagem trabalha em quatro camadas:
- Diagnóstico de exposição. Análise de volume e padrão de transferências, mapeamento de autonomia de autorização, avaliação de controles anti-BEC existentes, histórico de tentativas.
- Design de arquitetura Cyber + Crime. Dimensionamento de sublimite de engenharia social ampliado, integração com crime insurance para cobrir fraude interna e colusão, endossos específicos para VEC e deepfake por voz.
- Colocação com as principais seguradoras do Brasil. Cotação comparativa com as seguradoras brasileiras líderes em cyber, negociação de sublimite ampliado (50-75% do limite principal com controles maduros).
- Ativação em incidente BEC. Suporte imediato para: contato com banco para tentativa de estorno (janela de 24-48h é crítica), notificação à seguradora, coordenação com polícia (BO), advocacia especializada em recuperação de fraude.
Biocatch Digital Banking Fraud Trends Brazil 2025 (70% engenharia social); IronVest Brazil Banking Fraud 2026; Bacen dados setor financeiro 2024 (R$ 10,1 bilhões); FBI IC3 2024 Annual Report (BEC US$ 4,89M média, US$ 2,77B em perdas nos EUA); APWG Q1 e Q2 2025 Phishing Activity Trends Report; Deepstrike Social Engineering Statistics 2025 (vishing +442%); Statista Phishing dossier; Secureframe Social Engineering Statistics 2026; Sprinto Social Engineering Statistics 2026; Circular SUSEP 637/2021; Resolução BCB 498/2025.
