IBANs Falsos e Faturas com Malware: Guia Prático para Blindares a Contabilidade e o Banco da Tua Empresa

A Ameaça Que Rouba Mais Empresas Portuguesas do Que as Finanças

Quando os empresários se reúnem para discutir ameaças financeiras, a conversa anda quase sempre à volta de impostos sobre o rendimento, taxas da Segurança Social, inflação nas matérias-primas e clientes que se atrasam a pagar. No entanto, nos últimos três anos, o perigo que mais empresas tem levado à falência em Portugal e na Europa não vem de Bruxelas nem do fisco: é a fraude digital organizada focada diretamente na conta bancária da tua empresa.

No nosso gabinete na Hélder Ferreira Contabilidade, onde acompanhamos a contabilidade, o planeamento fiscal e o controlo de gestão de centenas de PMEs na região centro do país, já vimos este desastre acontecer à nossa frente demasiadas vezes.

Uma empresa de construção civil de confiança conclui uma empreitada de quatro meses e envia por e-mail a fatura final de 48.500 €. O e-mail parte do endereço de correio eletrónico real do empreiteiro. O logótipo e a descrição dos trabalhos são perfeitos. Mas no rodapé, uma nota discreta refere: “Informamos que, devido à reestruturação de contas bancárias da empresa, o pagamento desta fatura deve ser feito para o novo IBAN no Millennium bcp: PT50 0033…”

O administrativo da tua empresa agenda a transferência bancária. Três dias mais tarde, o empreiteiro liga preocupado a perguntar quando é feito o pagamento. O dinheiro desapareceu.

Os 48.500 € foram creditados numa conta bancária controlada por intermediários fraudulentos, convertidos em criptoativos em três corretoras internacionais em menos de dez minutos, e a tua empresa fica com um prejuízo direto monumental que a esmagadora maioria dos seguros recusa cobrir por se tratar de uma “transferência bancária voluntária”.

Segundo os sucessivos alertas do Banco de Portugal e do Centro Nacional de Cibersegurança (CNCS), os esquemas de burla de faturas e usurpação de correio eletrónico empresarial (BEC) causam prejuízos de milhões de euros todos os anos no tecido empresarial português.

Blindares o dinheiro da tua empresa não exige que sejas um perito em informática. Exige regras de controlo financeiro intocáveis, confirmação obrigatória por telefone em canal seguro e disciplina no tratamento de documentos digitais.

PROTOCOLO DE VERIFICAÇÃO DE IBAN POR CANAL INDEPENDENTE

• CHEGADA DE FATURA DE FORNECEDOR POR CORREIO ELETRÓNICO
• Nota no documento: “Alterámos o nosso IBAN para PT50…”
• O REMETENTE PARECE AUTÊNTICO (Conta de E-mail Real Comprometida)
• CONGELAMENTO IMEDIATO DO PAGAMENTO
• REGRA DE OURO: NUNCA USES CONTACTOS PRESENTES NO E-MAIL SUSPEITO
• NÃO respondas ao e-mail a pedir esclarecimentos.
• NÃO ligues para os telefones impressos no novo PDF da fatura.
• NÃO cliques em ligações que prometam atualizar dados bancários.
• CANAL DE VERIFICAÇÃO INDEPENDENTE
• CONSULTA A FICHA HISTÓRICA DO FORNECEDOR
• Abre o contrato original assinado ou o ficheiro SAF-T anterior
• Telefona para o número conhecido e pré-verificado do diretor
• CONFIRMADO “SIM” (Mudança Real na Empresa): Exige Declaração de Titularidade Bancária oficial emitida pelo banco com o NIPC do fornecedor
• CONFIRMADO “NÃO” (Tentativa de Fraude Travada): Notifica imediatamente o CNCS, a PJ e o parceiro.

O Esquema do E-mail Falso (BEC): Como os Criminosos Intercetam Faturas

Para protegeres a tua tesouraria, precisas de compreender a mecânica real do golpe. Os criminosos informáticos raramente atacam os servidores dos bancos; eles entram nas contas de e-mail normais dos teus fornecedores através de links de roubo de palavras-passe ou palavras-passe fáceis.

Assim que entram na caixa de correio do fornecedor, os atacantes não enviam spam nem apagam ficheiros. Criam regras automáticas de reencaminhamento em segundo plano:

• Sempre que entra ou sai um e-mail com palavras como fatura, pagamento, IBAN, vencimento ou orçamento, uma cópia é enviada silenciosamente para os atacantes.
• Os criminosos acompanham os trabalhos, sabem quando termina a obra ou a entrega de mercadorias, e conhecem o tom habitual de conversa do departamento financeiro do teu fornecedor.
• No dia em que a fatura verdadeira é emitida, eles bloqueiam o envio, alteram o ficheiro PDF substituindo o IBAN legítimo pelo IBAN da sua conta fraudulenta, e enviam-te a mensagem.

Como o e-mail partiu do servidor e endereço de correio verdadeiro do fornecedor, os filtros de antivírus não detetam qualquer ameaça. Para a tua equipa administrativa, tudo parece rigorosamente normal.

A Regra Obrigatória da Verificação Independente

No nosso escritório de contabilidade, impomos uma regra inegociável a todos os clientes: Qualquer pedido de alteração de IBAN de um fornecedor congela imediatamente o pagamento até que haja confirmação por uma segunda via de comunicação independente.

Se receberes um e-mail a dizer que o fornecedor mudou de banco:

1. Nunca uses o número de telefone que vem na fatura nova. Se a fatura foi adulterada pelos criminosos, o número de telefone que lá colocaram vai ligar diretamente a um cúmplice pronto para confirmar a mentira.
2. Nunca respondas ao próprio e-mail. Se a conta do fornecedor estiver acedida por terceiros, a tua resposta vai direta para o burlão.
3. Usa o Contacto Histórico: Consulta o teu arquivo físico ou o contrato inicial, obtém o número de telefone de confiança do responsável financeiro do fornecedor e faz uma chamada de voz direta.
4. Exige a Declaração de Titularidade Bancária: Nenhuma alteração de IBAN é gravada no teu sistema sem um documento oficial emitido pelo banco onde conste o Número de Identificação de Pessoa Coletiva (NIPC) do fornecedor, coincidente com os registos oficiais do Portal das Finanças.

O Perigo das Faturas em PDF com Vírus e Ransomware

O segundo grande vetor de ataque que ameaça as empresas portuguesas é o anexo de e-mail disfarçado de documento oficial.

Os departamentos de contabilidade e de recursos humanos são alvos fáceis porque têm como função diária abrir documentos enviados por pessoas externas: currículos, propostas, listas de preços e faturas em PDF.

Os criminosos aproveitam-se desta rotina diária enviando mensagens alarmistas concebidas para assustar quem está a ler:

• Aviso_Penhora_Autoridade_Tributaria_2026.pdf
• Fatura_Vencida_Notificacao_Judicial_Ref8921.zip
• Comprovativo_Transferencia_Urgente_Millennium.exe.pdf

Um ficheiro PDF não é apenas uma folha digital de papel; pode conter instruções automáticas em JavaScript e hiperligações para servidores maliciosos. Quando um colaborador clica duas vezes no documento, o ficheiro corre um programa escondido que descarrega um vírus de ransomware. Em trinta minutos, toda a base de dados do teu software de faturação e contabilidade fica cifrada e inacessível.

ENTRADA SEGURA DE DOCUMENTOS E ARQUIVO CONTABILÍSTICO

• RECEÇÃO DE DOCUMENTOS E FATURAS DE FORNECEDORES
• Canal exclusivo para fornecedores: faturas@empresa.pt
• NUNCA ABRIR ANEXOS SUSPEITOS NO COMPUTADOR PRINCIPAL DE FATURAÇÃO
• AMBIENTE PROTEGIDO DE QUARENTENA / CLOUD
• Elimina código executável e desativa macros suspeitas
• Converte ficheiros estranhos em imagens planas de leitura limpa
• Valida assinaturas digitais qualificadas e códigos QR fiscais
• Entrada de Dados Segura
• PROGRAMA DE CONTABILIDADE E FATURAÇÃO (Primavera / Sage / TOConline)
• Rede isolada do Wi-Fi de clientes e de visitantes
• Registos protegidos com histórico de auditoria transparente
• Cópia Automática Diária de Madrugada
• ARQUIVO IMUTÁVEL DESLIGADO DA REDE (WORM)
• Base de dados completa + Ficheiros SAF-T de faturação e contabilidade
• Guardado em disco ou cloud protegida — Impossível de apagar por vírus

Regras Básicas para Tratares Documentos no Teu Escritório

Para protegeres os computadores onde geres a empresa:

1. Ativa a Visualização das Extensões de Ficheiros no Windows: O Windows esconde por defeito as extensões dos ficheiros. Um criminoso dá o nome de Fatura_Março.pdf.exe a um ficheiro. No ecrã, parece um PDF inofensivo; quando clicas, é um vírus a correr. Deves ativar imediatamente a opção “Extensões de nomes de ficheiros” em todos os computadores da empresa.
2. Nunca Abras Ficheiros .zip ou .rar com Faturas: Nenhuma empresa séria em Portugal envia uma fatura de água, eletricidade ou mercadorias dentro de pastas compactadas .zip ou ficheiros .iso. Bloqueia estes anexos no teu servidor de e-mail.
3. Privilegia Plataformas Digitais Seguras: Sempre que possível, incentiva os teus fornecedores a enviar documentos através de plataformas certificadas na cloud (como o TOConline ou portais de faturação eletrónica), onde os ficheiros são lidos e validados por certificados digitais sem correrem ficheiros perigosos no teu computador.

Controlo de Tesouraria: A Regra das Duas Pessoas e a Dupla Autorização no Banco

A ferramenta de cibersegurança mais potente para proteger a conta bancária da tua empresa não custa um cêntimo: chama-se divisão de funções.

Em muitas pequenas empresas, um único funcionário tem poder absoluto: abre a correspondência, lança as faturas no sistema, acede ao banco através do browser, prepara a transferência e assina o pagamento com o token que está guardado na gaveta da secretária.

Esta concentração de poderes é um convite ao desastre. Se esse colaborador for enganado por um e-mail com IBAN falso, o dinheiro sai da empresa no mesmo minuto. Se um vírus infetar aquele computador específico, os atacantes acedem ao banco e limpam a conta.

Todos os grandes bancos comerciais em Portugal (Millennium bcp, Caixa Geral de Depósitos, Santander, Banco BPI, Novo Banco) têm a funcionalidade de Autorização Conjunta (Dupla Assinatura):

FLUXO DE PAGAMENTO COM DUPLA AUTORIZAÇÃO

• OPERADOR A: RESPONSÁVEL ADMINISTRATIVO
• Confere a guia de remessa física com a fatura do fornecedor
• Confirma o IBAN na lista de fornecedores aprovados no sistema
• Prepara o lote de pagamentos no banco (ESTADO: AGUARDA ASSINATURA)
• NÃO CONSEGUE TRANSFERIR O DINHEIRO SOZINHO
• AVISO AUTOMÁTICO ENVIADO AO GERENTE / SÓCIO
• Alerta na aplicação móvel do banco: “Lote de pagamentos pendente”
• Mostra o nome dos fornecedores, número da fatura e montante
• OPERADOR B: SÓCIO-GERENTE OU DIRETOR FINANCEIRO
• Confere os valores e os destinatários com atenção Assina e autoriza a saída dos fundos através de chave física ou FaceID
• PAGAMENTO EXECUTADO E DINHEIRO TRANSFERIDO

Com este fluxo:

• A equipa administrativa tem liberdade para preparar as faturas, organizar as transferências e gerir os fornecedores, mas não tem permissão para movimentar fundos sozinha.
• Tu, enquanto sócio-gerente ou administrador, geres a aprovação final no teu telemóvel pessoal através de biometria ou chave física.
• Mesmo que um computador do teu escritório seja invadido à distância por criminosos, eles não conseguem transferir um único euro da tua conta bancária sem a tua validação física no telemóvel.

O Arquivo Fiscal Imutável: Proteger as Tuas Bases de Dados e o SAF-T

Em Portugal, perderes a base de dados do teu programa de faturação ou contabilidade não é apenas um prejuízo de organização; é uma infração fiscal grave. Ao abrigo das regras da Autoridade Tributária e Aduaneira, a tua empresa é legalmente obrigada a manter ficheiros de faturação inalteráveis e a conseguir emitir o ficheiro SAF-T (PT) a qualquer momento em caso de inspeção.

Se um ataque de ransomware bloquear a base de dados do teu software e não conseguires apresentar os ficheiros fiscais obrigatórios, arriscas coimas pesadas para além de perderes o histórico de clientes e contas correntes.

Para dormires descansado, aplica esta Rotina de Cópia e Segurança Contabilística:

1. Cópia de Segurança Diária Automática: No final de cada dia de trabalho, o software de gestão gera uma cópia cifrada de toda a base de dados.
2. Exportação Mensal do SAF-T de Faturação: No primeiro dia de cada mês, exporta o ficheiro oficial SAF-T XML relativo ao mês anterior e guarda-o numa pasta protegida de apenas leitura.
3. A Regra das Cópias Desligadas da Rede:
   • Mantém uma cópia no computador principal de trabalho.
   • Mantém uma segunda cópia num servidor de rede no escritório protegido contra alterações acidentais.
   • Mantém uma terceira cópia completamente isolada da rede (num disco externo encriptado que é desligado da tomada logo após a cópia, ou num serviço de cloud seguro com proteção contra eliminação durante vários anos).

O saldo da conta bancária e os registos contabilísticos são o coração da tua empresa. Trata a confirmação de faturas com a mesma exigência e respeito com que tratas os contratos com os teus melhores clientes. Uma chamada telefónica de dois minutos para confirmares um IBAN alterado pode ser a diferença entre manteres a tua empresa aberta ou perderes dezenas de milhares de euros para sempre.

Na prática, aplicas exatamente estes padrões operacionais em setores exigentes como gabinetes de contabilidade tradicional e consultores de gestão e fiscalidade. Quando alinhas a tua estrutura através de digitalização de processos e presença e alojamento gerido para websites e aplicações, transformas boas práticas técnicas numa vantagem competitiva real e mensurável para o teu negócio.