Para Flávia Brito, especialista em cibersegurança e CEO da Bidweb Security IT, esse tipo de fraude pode ocorrer mesmo quando os sistemas possuem mecanismos avançados de proteção, porque o criminoso procura induzir um funcionário autorizado a abrir uma brecha.
“A engenharia social é eficiente justamente porque muitas vezes não precisa quebrar uma barreira tecnológica. O criminoso tenta convencer alguém que já possui acesso legítimo a abrir essa barreira por ele. Para isso, explora elementos como autoridade, urgência, medo e confiança, além de informações sobre a própria instituição e seus funcionários, explica ao Movimento Econômico.
Mais de uma pessoa deve participar de operações financeiras
Segundo Flávia Brito, a responsabilidade pela segurança não deve ser atribuída exclusivamente ao servidor que foi alvo da fraude. As prefeituras precisam estabelecer mecanismos capazes de impedir que uma única credencial ou decisão seja suficiente para concluir operações de alto valor.
“Uma movimentação de alto valor jamais deveria depender da decisão ou da credencial de uma única pessoa. O protocolo precisa estabelecer segregação de funções, dupla ou múltipla aprovação, limites transacionais e validação por um segundo canal previamente definido. Quem cadastra um novo favorecido, por exemplo, não deveria ser a mesma pessoa que autoriza o pagamento”, ressalta.
A especialista também recomenda que nenhuma solicitação recebida exclusivamente por telefone, e-mail ou WhatsApp seja suficiente para autorizar operações financeiras críticas. Alterações cadastrais, inclusão de favorecidos e transações fora do padrão devem passar por uma segunda etapa de verificação.
Treinamento deve simular tentativas de fraude
A capacitação dos servidores também precisa fazer parte da estratégia de segurança. Em vez de treinamentos apenas teóricos, a recomendação é realizar simulações periódicas de falsas ligações bancárias, mensagens e outras tentativas de obtenção de informações.
Diante de uma abordagem suspeita, o funcionário deve interromper a operação, não fornecer dados, confirmar a solicitação por outro canal e comunicar imediatamente os responsáveis pela área.
“Outro ponto essencial é criar uma cultura em que o funcionário possa interromper uma operação e pedir ajuda sem receio. Em segurança, alguns minutos gastos em uma validação adicional podem evitar prejuízos de milhões de reais”, complementa a executiva.
No aspecto tecnológico, a Autenticação Multifator (MFA) deve ser combinada com controles de acesso de acordo com a função de cada servidor, separação de contas administrativas e revisão periódica das permissões.
Ferramentas de monitoramento, proteção dos equipamentos, filtragem de endereços suspeitos e bloqueio de softwares de acesso remoto não autorizados também podem ampliar as barreiras contra ataques.
Flávia Brito, especialista em cibersegurança e CEO da Bidweb Security IT
Para Flávia Brito, especialista em cibersegurança, esse tipo de fraude pode ocorrer mesmo quando os sistemas possuem mecanismos avançados de proteção, porque o criminoso procura induzir um funcionário autorizado a abrir uma brecha. Foto: divulgação
Municípios menores enfrentam desafio de estrutura
Para prefeituras que não possuem equipes próprias de tecnologia em tamanho suficiente, recomenda-se o monitoramento centralizado dos registros de acesso por meio de serviços especializados, como centros de operações de segurança (SOC) ou serviços terceirizados de detecção e resposta.
A estrutura permite identificar comportamentos fora do padrão e emitir alertas antes que uma tentativa de fraude resulte em movimentações financeiras de maior impacto.
Caso um ataque seja identificado, a velocidade da resposta passa a ser determinante. A recomendação é atuar simultaneamente nas áreas financeira e tecnológica, evitando que os criminosos tenham tempo para movimentar novamente os recursos.
“No aspecto financeiro, a prefeitura deve comunicar imediatamente as instituições envolvidas e solicitar bloqueio, contestação, rastreamento e tentativa de recuperação dos recursos. Quanto mais rapidamente essa cadeia for acionada, maiores são as possibilidades de interromper movimentações subsequentes”, reforça Flávia Brito.
Enquanto o setor financeiro aciona os bancos, a equipe responsável pela tecnologia deve revogar tokens, alterar credenciais comprometidas e isolar equipamentos que possam ter sido afetados.
Preservação das provas é essencial
A resposta ao incidente também precisa preservar os registros que poderão ajudar a identificar a origem da fraude. Computadores não devem ser formatados nem registros apagados antes da realização dos procedimentos de investigação.
Logs, e-mails, mensagens, números telefônicos, registros de acesso e informações relacionadas às movimentações financeiras podem ser importantes para a perícia e para a recuperação dos recursos.
“A resposta a uma fraude não termina quando o dinheiro para de circular: é necessário descobrir como ela aconteceu, quais controles falharam e corrigir essas vulnerabilidades para evitar uma segunda ocorrência”, destaca a especialista.
O caso de Senador Pompeu, avalia a CEO, mostra que a proteção dos recursos públicos depende não apenas de ferramentas tecnológicas, mas também de procedimentos internos capazes de impedir que uma única abordagem fraudulenta resulte em movimentações milionárias.
