Segurança para Gestão de Patrimônio e Wealth: anatomia de uma fraude BEC e como contê-la

Por que a gestão de patrimônio é alvo prioritário do crime financeiro

Uma gestora de patrimônio e wealth management ocupa uma posição peculiar no mapa de risco do sistema financeiro: ela não custodia necessariamente os ativos — frequentemente eles estão em corretoras, bancos e administradores fiduciários parceiros —, mas ela concentra algo igualmente valioso, que é o conhecimento integral sobre quem são os clientes, quanto cada um tem, onde está alocado, quando há liquidez disponível e por quais canais o dinheiro se move. Para um atacante, esse conhecimento vale tanto quanto o acesso direto à conta, porque permite escolher a vítima certa, no momento certo, com o pretexto certo.

O perfil dos clientes amplifica o problema. Pessoas de altíssimo poder aquisitivo, famílias empresárias, executivos e investidores com patrimônio relevante são alvos individuais de spear phishing — ataques de engenharia social sob medida, baseados em informação pública e privada coletada com paciência. Diferente do phishing em massa, o spear phishing contra um cliente private é redigido com o nome do gestor, o jargão da casa, o histórico de operações e, em muitos casos, o contexto exato de um aporte ou resgate que está prestes a acontecer.

Some-se a isso a assimetria de incentivo. O ticket médio de uma fraude bem-sucedida nesse setor é altíssimo: um único aporte desviado pode representar centenas de milhares ou milhões de reais. Isso justifica, do ponto de vista econômico do criminoso, investir semanas de reconhecimento, comprar acesso a caixas de e-mail comprometidas em fóruns clandestinos e construir infraestrutura de domínios parecidos. O atacante de wealth é paciente, financiado e específico — e a defesa precisa estar à altura desse perfil.

BEC: o golpe que define a ameaça em wealth management

BEC é a sigla de Business Email Compromise — comprometimento de e-mail corporativo. É a categoria de fraude que mais dinheiro movimenta no crime financeiro digital e a que melhor descreve o risco concreto de uma gestora de patrimônio. A mecânica é enganosamente simples e por isso tão eficaz: o atacante obtém visibilidade sobre uma conversa por e-mail — comprometendo a caixa do cliente, do gestor, ou de um terceiro na cadeia — e, no momento em que uma movimentação financeira está sendo negociada, injeta uma instrução fraudulenta que redireciona o dinheiro.

Existem variações importantes. No comprometimento direto, o atacante tem acesso à caixa real e responde de dentro do thread legítimo — é o cenário mais perigoso, porque o e-mail fraudulento vem do endereço verdadeiro. No spoofing e lookalike, ele não tem acesso à caixa, mas cria um domínio quase idêntico (trocando uma letra, usando .com no lugar de .com.br, ou caracteres visualmente parecidos) e se passa pelo gestor ou pelo cliente. No CEO fraud, ele se faz passar por uma figura de autoridade — o sócio-fundador, o head da mesa — para pressionar um subordinado a executar uma transferência urgente, sigilosa e fora do procedimento padrão.

O que torna o BEC tão letal em wealth é que ele explora a própria natureza do serviço. A relação entre cliente private e gestor é construída sobre confiança e agilidade — o cliente espera que uma instrução por e-mail seja atendida com presteza, e o gestor é treinado para servir. O golpe transforma essa virtude em superfície de ataque. Por isso a contramedida central não é tecnológica, é processual: instituir, sem exceção, a verificação fora de banda para qualquer movimentação ou alteração de dados bancários.

Account takeover e a regra de encaminhamento que ninguém vê

Antes de existir uma fraude de transferência, quase sempre existe um account takeover — a tomada de controle de uma conta de e-mail. O atacante consegue a credencial por phishing, por vazamento de senha reutilizada, ou por força bruta contra contas sem MFA. Mas o passo que define o ataque maduro é o que ele faz depois de entrar: ele instala persistência silenciosa para continuar tendo visibilidade mesmo que a vítima troque a senha.

A técnica clássica é a regra de encaminhamento oculta. O atacante cria, dentro da própria caixa comprometida, uma regra que encaminha cópias de mensagens — geralmente filtrando por palavras como "transferência", "TED", "aporte", "PIX", "contrato", "dados bancários" — para um endereço externo, e simultaneamente move essas mensagens para uma pasta que a vítima não checa, ou as marca como lidas. O resultado é que o gestor ou cliente continua usando o e-mail normalmente, sem perceber que cada conversa financeira está sendo espelhada para o criminoso em tempo real.

Outros sinais de account takeover que o monitoramento contínuo deve capturar incluem: logins a partir de geografias incompatíveis com a rotina do usuário (impossible travel — dois acessos em locais distantes em intervalo fisicamente impossível), uso de protocolos legados de e-mail que ignoram MFA, criação de novos tokens de aplicativo, alterações em métodos de recuperação de senha, e picos anômalos no volume de itens enviados ou deletados. Isoladamente cada um pode ser ruído; correlacionados, desenham o ataque.

Vazamento de dados patrimoniais: o combustível da chantagem

O segundo grande eixo de risco, ao lado da fraude de transferência, é o vazamento de dados patrimoniais. Uma base de clientes de wealth é um dossiê de altíssimo valor: nomes, CPFs, composição de patrimônio, estruturas societárias e familiares, contas no exterior, relações com offshores e holdings, padrões de gasto e de liquidez. Esse conjunto de informações tem mercado próprio. Não é vendido apenas para fraude direta — ele alimenta chantagem, extorsão, sequestro relâmpago físico, e a seleção fina das próximas vítimas de BEC.

Sob a ótica regulatória, esses dados são dados pessoais protegidos pela Lei Geral de Proteção de Dados (LGPD). Embora a LGPD trate como "sensíveis" categorias específicas (origem racial, convicção religiosa, saúde, biometria, entre outras), os dados financeiros de um cliente private, pelo contexto e pela magnitude do risco que seu vazamento representa, exigem o nível mais alto de proteção e justificam tratamento como informação crítica. Um incidente que vaze essa base configura, em regra, situação de risco ou dano relevante aos titulares, acionando o dever de comunicação à ANPD e aos afetados.

O vazamento raramente é um evento isolado. Em muitas investigações, a base de dados é exfiltrada meses antes de qualquer fraude visível, e usada de forma cirúrgica: o atacante sabe que o cliente X tem um resgate previsto, sabe o nome do assessor que cuida dele, sabe o valor aproximado. Quando o BEC chega, ele já vem calibrado com dados reais. Por isso a proteção contra vazamento — controle de acesso, cifragem, prevenção de exfiltração e monitoramento — não é uma frente separada da fraude: é a mesma guerra, jogada mais cedo.

Insider threat: o risco que está dentro de casa

Nem toda ameaça vem de fora. Em gestão de patrimônio, o acesso legítimo a informação ultrassensível está distribuído entre assessores, operadores de mesa, áreas de backoffice, compliance e tecnologia. O insider threat — a ameaça interna — pode ser malicioso (um colaborador que decide exfiltrar a base de clientes para vender, ou que colabora com fraudadores externos) ou não intencional (alguém que cai em phishing, que compartilha credenciais, ou que manuseia dados de forma negligente).

O risco interno é especialmente delicado nesse setor porque a confiança é parte do produto. Os controles, portanto, precisam ser desenhados para reduzir oportunidade e aumentar rastreabilidade sem transformar a operação em um ambiente de desconfiança permanente. O princípio do menor privilégio — cada pessoa acessa apenas o que sua função exige — é a base. Sobre ele se constrói a segregação de funções (quem inicia uma operação não é quem a aprova) e a trilha de auditoria imutável de quem acessou qual dado e quando.

O SOC 24x7 da Decripte trata o insider threat com a mesma lente comportamental usada para o atacante externo: o que importa é o desvio do padrão. Um assessor que sempre acessa cinco contas por dia e de repente exporta a base inteira em uma madrugada de sexta gera o mesmo alerta que um login a partir de um IP estrangeiro. A defesa não presume culpa — ela observa anomalia e investiga.

Como a Decripte detecta e contém uma fraude em andamento

A diferença entre um susto e um prejuízo, em uma fraude de transferência, é medida em minutos e horas. Uma vez que a instrução fraudulenta é executada e o dinheiro sai, a janela de recuperação se fecha rapidamente: o atacante move o valor por uma cadeia de contas-laranja, frequentemente pulveriza em saques e PIX, e em poucas horas o rastro fica difícil de reverter. É por isso que a contenção precisa ser imediata — e por que o SLA de contenção de até 1 hora da Decripte é uma capacidade central, não um detalhe contratual.

A detecção, idealmente, acontece antes da transferência. O SOC 24x7 monitora os sinais que antecedem o golpe — a regra de encaminhamento recém-criada, o login impossível, o domínio lookalike recém-registrado parecido com o da gestora, o pico de e-mails sobre pagamento. Quando esses sinais se correlacionam, o time atua na preparação do ataque, fechando a porta antes que a instrução fraudulenta chegue ao cliente ou ao backoffice.

Quando a fraude já está em curso, a resposta combina três frentes simultâneas: técnica (revogar sessões, expulsar o atacante da caixa, remover regras maliciosas, resetar credenciais com MFA), financeira (acionar a instituição financeira para bloqueio e recall, orientar o cliente, registrar boletim de ocorrência) e de contenção da narrativa (estabelecer qual conversa é legítima e qual é fraudulenta, restabelecer um canal de comunicação confiável fora do e-mail comprometido). A coordenação dessas frentes sob pressão é exatamente o que um plano de Resposta a Incidentes maduro entrega.

Conformidade como infraestrutura de confiança

Em gestão de patrimônio, conformidade não é apenas obrigação — é parte da proposta de valor. O cliente private confia seu patrimônio a quem demonstra governança. A Decripte estrutura a conformidade da gestora de forma que ela seja, ao mesmo tempo, defesa real e ativo comercial.

A LGPD é o eixo central: mapeamento dos dados pessoais tratados, base legal para cada tratamento, políticas de retenção e descarte, controles de acesso e cifragem, e um plano de resposta a incidentes que contemple o dever de notificação à ANPD. Para gestoras reguladas pela CVM e relacionadas ao Banco Central, somam-se exigências setoriais de segurança cibernética e continuidade. Onde houver processamento de cartões, o PCI-DSS se aplica. E a certificação ISO 27001 oferece o arcabouço de sistema de gestão de segurança da informação que organiza tudo isso de forma auditável.

A Decripte trata conformidade como consequência de bons controles, não como teatro documental. Primeiro se implementa a segurança real — MFA, monitoramento, verificação fora de banda, segregação de funções — e depois se documenta e audita aquilo que de fato existe. Esse caminho produz certificações que resistem ao escrutínio de um cliente sofisticado e de um regulador, em vez de papéis que desabam no primeiro incidente.

Pentest e validação ofensiva: descobrir antes do criminoso

Controles só valem se funcionam sob ataque. O Pentest da Decripte simula, de forma autorizada e controlada, exatamente o que o adversário real faria contra a gestora: campanhas de spear phishing contra gestores e equipe, tentativas de account takeover, exploração de domínios parecidos, teste dos portais de cliente e das integrações com parceiros, e avaliação da resistência do processo antifraude a um cenário de BEC.

O valor de um pentest nesse setor não está apenas em encontrar uma falha técnica em um portal — está em testar o elo humano e processual, que é onde a fraude de fato acontece. Um exercício bem desenhado responde perguntas concretas: se um atacante mandar um e-mail de troca de dados bancários para o backoffice, o procedimento de verificação fora de banda segura a operação? Se uma caixa de gestor for comprometida em laboratório, o monitoramento detecta a regra de encaminhamento? O cliente private, treinado, identifica o lookalike?

Os achados do pentest realimentam diretamente o desenho dos controles e o roteiro de treinamento, fechando o ciclo entre descobrir, corrigir e validar de novo. Segurança em wealth não é um projeto com fim — é um regime contínuo de teste e ajuste, porque o adversário também não para.

Anatomia de um BEC desviando o aporte de um cliente private (cenário ilustrativo)

Como a Decripte responde a um incidente de fraude em wealth management

A resposta a incidentes no setor de gestão de patrimônio é uma corrida contra o relógio financeiro: o objetivo é interromper a fraude antes que o dinheiro saia, ou recuperá-lo enquanto ainda é rastreável. A Decripte executa essa resposta em passos coordenados, com SLA de contenção de até 1 hora.

1. Triagem e ativação imediata: ao receber o alerta — do SOC, do cliente ou da gestora — a Decripte classifica a severidade e ativa o time de Resposta a Incidentes, estabelecendo um canal de comunicação seguro fora do e-mail potencialmente comprometido.
2. Contenção da transação: a prioridade número um é impedir que o dinheiro saia. A Decripte instrui a suspensão de qualquer pagamento suspeito e, se a transferência já ocorreu, aciona imediatamente a instituição financeira para bloqueio e tentativa de recall, dentro do SLA de até 1 hora.
3. Verificação fora de banda: confirma-se por voz, em número previamente cadastrado, se a instrução e os dados bancários são legítimos. É o passo que separa, de forma definitiva, a operação real da fraude.
4. Expulsão do atacante: revogam-se sessões ativas, redefinem-se credenciais com MFA resistente a phishing, e removem-se regras de encaminhamento e quaisquer mecanismos de persistência instalados na caixa comprometida.
5. Apuração forense e dimensionamento: a Decripte reconstrói a linha do tempo do ataque — quando o atacante entrou, o que viu, o que exfiltrou — para dimensionar o escopo de dados expostos e o impacto.
6. Avaliação de deveres regulatórios: com o escopo definido, orienta-se o controlador sobre a obrigação e o conteúdo da notificação à ANPD e aos titulares afetados, conforme a LGPD e a regulamentação aplicável.
7. Recuperação e retomada segura: o fluxo financeiro legítimo é retomado por canal verificado, com dados confirmados fora de banda, e a comunicação confiável com o cliente é restabelecida.
8. Lições aprendidas e endurecimento: produz-se o relatório do incidente e implantam-se os controles que impedem a repetição — verificação fora de banda obrigatória, monitoramento de e-mail e MFA FIDO2 ampliado.

Como a Decripte estrutura a segurança de uma gestora de patrimônio

Resposta a incidentes apaga o fogo; estrutura impede o próximo. A Decripte organiza a segurança de gestão de patrimônio em pilares que atacam a causa raiz da fraude — a dependência da confiança cega em e-mail — e constroem resiliência duradoura.

Planos recomendados para Gestão de Patrimônio e Wealth

Perguntas frequentes

Termos do setor

BEC (Business Email Compromise)

Fraude em que o atacante compromete ou imita uma conta de e-mail para inserir-se em uma conversa financeira legítima e redirecionar uma transferência para uma conta sob seu controle. É a principal ameaça financeira contra gestoras de patrimônio.

Verificação fora de banda

Confirmação de uma instrução por um canal independente daquele em que ela foi recebida — por exemplo, ligar para um número previamente cadastrado para validar uma ordem de pagamento que chegou por e-mail. É o controle mais eficaz contra BEC.

Account takeover (ATO)

Tomada de controle de uma conta legítima (e-mail, portal) por um atacante, geralmente seguida de persistência silenciosa, como a instalação de regras de encaminhamento ocultas para espelhar conversas financeiras.

Spear phishing

Ataque de engenharia social altamente direcionado, redigido sob medida para uma vítima específica com base em informação coletada sobre ela, em contraste com o phishing em massa. Comum contra clientes private e gestores.

Insider threat

Ameaça originada de dentro da organização, seja maliciosa (colaborador que exfiltra ou colabora com fraude) ou não intencional (negligência, queda em phishing). Crítica em wealth pelo acesso distribuído a dados ultrassensíveis.

Domínio lookalike

Domínio criado para se parecer com o de uma organização legítima, com diferenças sutis (letra trocada, extensão diferente, caracteres parecidos), usado para enganar vítimas em ataques de phishing e BEC.