Segurança para construção civil: como blindar pagamentos, contratos e dados de compradores

Por que incorporadoras e construtoras são alvo preferencial

O setor de construção civil e incorporação concentra três ingredientes que atraem o crime financeiro digital: volume alto de dinheiro em poucos pagamentos, cadeias de fornecedores longas e heterogêneas, e processos financeiros que ainda dependem fortemente de e-mail, planilha e PDF anexado. Uma única medição de obra ou aporte de financiamento pode valer centenas de milhares ou milhões de reais, e a ordem de pagamento frequentemente nasce de uma troca de mensagens com uma empreiteira ou fornecedor.

Para o atacante, isso significa que ele não precisa invadir o cofre. Basta convencer o departamento financeiro de que os dados bancários do destinatário legítimo mudaram. É a economia da fraude: baixo esforço técnico, retorno altíssimo por golpe bem-sucedido.

Some-se a isso o dado dos compradores: CPF, comprovante de renda, score de crédito, documentação de financiamento imobiliário, dados de cônjuge. Tudo isso é dado pessoal sob a LGPD, e parte é dado sensível ou financeiro. Um vazamento aqui não é só reputacional — gera obrigação legal de notificação e exposição a sanções da ANPD.

Anatomia das ameaças reais ao setor

Fraude de transferência (BEC)

O golpe clássico: o e-mail de uma empreiteira ou fornecedor é comprometido (ou um domínio quase idêntico é registrado). O atacante observa a conversa de cobrança em silêncio por dias ou semanas, aprende o tom, os valores e o cronograma de pagamento. No momento da fatura real, ele envia uma mensagem pedindo para atualizar a conta bancária — alegando troca de banco, bloqueio de conta ou exigência fiscal. O financeiro paga a conta nova. O dinheiro some.

Ransomware, vazamento e cadeia de fornecedores

ERPs de obra, sistemas de medição e bases de contratos são alvos de cifragem: sem essas bases, a empresa não emite pagamentos nem fecha medições, e o impacto na obra é imediato. Portais de venda, CRMs imobiliários e integrações com bancos concentram dados sensíveis de compradores, expostos por configuração errada ou phishing de credenciais. E a cadeia terceirizada é tão segura quanto seu elo mais fraco — o e-mail comprometido de uma empreiteira pequena vira trampolim confiável para chegar ao seu financeiro.

Onde a defesa falha hoje (e por que firewall não basta)

A maioria das fraudes BEC bem-sucedidas não explora vulnerabilidade técnica — explora confiança e pressa. A ordem de pagamento fraudulenta chega pelo canal legítimo, com o nome do fornecedor certo, no momento certo do cronograma. Ferramentas de perímetro não bloqueiam um e-mail que parece um e-mail comum de cobrança.

O segundo ponto cego é a ausência de monitoramento contínuo. Um e-mail comprometido pode ficar semanas sendo observado pelo atacante antes do golpe. Sem detecção de regras de encaminhamento suspeitas, logins anômalos e domínios sósia recém-registrados, ninguém percebe que a conversa está sendo lida por um terceiro.

Como a Decripte atua: detecção, contenção e verificação fora de banda

Nossa atuação no setor parte de um princípio: como o dinheiro sai por um processo que parece legítimo, a defesa precisa estar dentro do processo financeiro, não só na borda da rede. Combinamos monitoramento técnico contínuo (SOC 24x7) com a estruturação de controles antifraude no fluxo de pagamento.

Detecção e contenção

Monitoramos o ambiente de e-mail e identidade em busca dos sinais precoces de BEC: criação de regras de encaminhamento ocultas, logins anômalos, registro recente de domínios parecidos com o seu ou com o de fornecedores-chave, e tentativas de phishing direcionadas ao contas a pagar. Ao detectar comprometimento, agimos com SLA de contenção em até 1 hora: revogação de sessões, reset de credenciais, remoção de regras maliciosas de e-mail e — se a fraude já estiver em curso — acionamento imediato do banco para tentativa de bloqueio/devolução.

Verificação fora de banda como controle permanente

O entregável que mais reduz risco é estrutural: implantamos um processo obrigatório de verificação out-of-band para qualquer alteração de dados bancários. Confirmação por telefone pré-cadastrado (nunca o número do e-mail recebido), dupla aprovação para mudanças e valores acima de limite, e checklist anti-BEC integrado ao contas a pagar.

Blindando o ERP de obra e os backups contra ransomware

Os sistemas de gestão de obra, medição e contratos são o coração operacional. Se cifrados, a empresa para de pagar fornecedor, perde rastreabilidade de medição e descumpre cronograma. A defesa combina prevenção, segmentação e — sobretudo — recuperação garantida.

Mais importante que tentar nunca ser atingido é garantir que a empresa se recupere sem pagar resgate. Por isso o foco em backups que o ransomware não consegue alcançar nem cifrar, e em ensaios reais de restauração — backup que nunca foi testado não é backup, é esperança.

Conformidade: LGPD para dados de compradores e cadeia de fornecedores

Incorporadoras tratam dados pessoais sensíveis de compradores ao longo de toda a jornada de venda e financiamento. Isso traz deveres concretos sob a LGPD (Lei nº 13.709/2018): base legal definida para cada tratamento, registro das operações, segurança técnica e administrativa adequada, e plano de resposta a incidentes com dever de comunicar a ANPD e os titulares quando o vazamento puder gerar risco relevante.

Trabalhamos o mapeamento de dados (data mapping), a definição de bases legais, contratos com operadores (empreiteiras e prestadores que tratam dados em seu nome) e o plano de notificação. Quando há captura de pagamento por cartão em portais de venda, alinhamos também ao PCI-DSS na fração aplicável.

Testando a defesa antes do criminoso: Pentest e simulação de phishing

Defesa que não foi testada é só suposição. Conduzimos Pentest sobre os portais de venda, o ERP exposto, integrações com bancos e a infraestrutura de e-mail, e rodamos simulações controladas de phishing e BEC contra o departamento financeiro para medir — com dado real — a resiliência do processo antifraude.

A diferença de um teste ofensivo bem feito é que ele transforma 'achamos que estamos seguros' em uma lista priorizada de correções por risco real. É melhor descobrir a brecha num exercício autorizado do que num pagamento perdido.

Monitoramento contínuo: o SOC 24x7 no contexto da construção

Fraude e invasão não respeitam horário comercial — golpes de pagamento costumam ser disparados justamente em fechamentos de mês, vésperas de feriado e fim de expediente, quando a equipe está com pressa e o atacante sabe disso. Por isso o monitoramento é 24x7.

Nosso SOC correlaciona eventos de e-mail, identidade, ERP, endpoints e borda, com playbooks específicos para o setor: alerta imediato de regra de encaminhamento criada em caixa do financeiro, login anômalo em conta de diretoria, e detecção de domínios sósia recém-registrados imitando a empresa ou fornecedores-chave.

Anatomia ilustrativa: o golpe BEC que tentou desviar o pagamento de uma empreiteira

Como a Decripte responde a um incidente na construção civil

Quando há suspeita de fraude de pagamento, ransomware ou vazamento, cada minuto conta — sobretudo se uma transferência já saiu. Nosso fluxo de Resposta a Incidentes para o setor segue passos claros, com contenção em até 1 hora.

1. Acionamento e triagem imediata: classificamos o incidente (BEC em curso, ransomware, vazamento de dados de comprador) e ativamos o playbook específico, com canal de comunicação seguro fora do ambiente possivelmente comprometido.
2. Contenção em até 1h: revogação de sessões, reset de credenciais, remoção de regras de encaminhamento maliciosas, isolamento de contas e máquinas afetadas pelo SOC/EDR.
3. Ação financeira urgente (se houver pagamento em curso): acionamento imediato do banco para tentativa de bloqueio/devolução da transferência fraudulenta e confirmação out-of-band do destinatário legítimo.
4. Investigação forense: determinação do vetor de entrada, janela de exposição, escopo do comprometimento e se dados de compradores foram acessados ou exfiltrados.
5. Erradicação: eliminação de persistência, fechamento das brechas exploradas, endurecimento de e-mail (DMARC/DKIM/SPF) e do acesso privilegiado.
6. Recuperação: restauração a partir de backups imutáveis testados (em caso de ransomware) e retomada segura das operações de pagamento e medição.
7. Notificação e conformidade: apoio à avaliação do dever de comunicar a ANPD e os titulares sob LGPD quando há risco relevante, com a documentação necessária.
8. Lições aprendidas e estruturação: relatório executivo com causa-raiz e implantação dos controles permanentes (verificação out-of-band, monitoramento contínuo, dupla aprovação) para que o mesmo golpe não funcione de novo.

Como a Decripte estrutura a segurança de uma incorporadora

Resposta apaga incêndio; estruturação evita que ele comece. Montamos a defesa do setor sobre pilares que atacam diretamente os vetores de BEC, ransomware e vazamento.

Planos recomendados para Construção Civil e Incorporadoras

Perguntas frequentes

Termos do setor

BEC (Business Email Compromise)

Fraude em que o atacante compromete ou imita um e-mail corporativo (de fornecedor ou da própria empresa) para desviar pagamentos legítimos, geralmente solicitando alteração de dados bancários.

Verificação fora de banda (out-of-band)

Confirmação de uma solicitação sensível — como troca de conta bancária — por um canal independente do que originou o pedido, por exemplo ligação para um telefone pré-cadastrado, nunca o contato que veio no e-mail.

DMARC

Padrão de autenticação de e-mail que, combinado a SPF e DKIM, permite rejeitar mensagens que falsificam o domínio da empresa, reduzindo phishing e impersonação. Em modo de rejeição, bloqueia o e-mail falsificado.

Backup imutável

Cópia de segurança no formato write-once (não pode ser alterada ou apagada por um período), isolada da rede, que garante recuperação mesmo após um ataque de ransomware cifrar os sistemas de produção.

LGPD

Lei Geral de Proteção de Dados (Lei nº 13.709/2018), que rege o tratamento de dados pessoais no Brasil e impõe deveres de segurança, base legal e notificação de incidentes à ANPD e aos titulares.

SOC 24x7

Security Operations Center que monitora e responde a eventos de segurança em tempo integral, correlacionando sinais de e-mail, identidade, ERP, endpoints e borda para detectar ameaças a qualquer hora.