O golpe do falso boleto: o que aconteceu numa empresa aqui da região

Em janeiro deste ano, duas máquinas de uma instituição atendida pela TI Verde foram infectadas em menos de 48 horas pelo mesmo golpe. Não houve perda de dado, não houve parada de operação e ninguém pagou nada. Mas o caso ensina mais sobre segurança do que qualquer discurso genérico — e por isso ele está aqui, com o cliente preservado.

O que chegou por e-mail

A porta de entrada foi um e-mail com anexo. Não um e-mail obviamente falso, cheio de erro de português: uma mensagem plausível, que uma pessoa ocupada abre no meio do expediente sem pensar duas vezes. O anexo executou um script do Windows — o mesmo mecanismo legítimo que o próprio sistema usa para automatizar tarefas, e é justamente por ser legítimo que ele passa despercebido.

A família de ameaça identificada foi a Astaroth, um trojan bancário brasileiro. Ela não aparece na tela pedindo resgate como o ransomware. Faz o contrário: fica quieta, coletando o que você digita — senha de banco, acesso ao sistema de gestão, credencial de e-mail — e envia para fora. O prejuízo aparece semanas depois, num pagamento que ninguém reconhece.

A segunda máquina, no dia seguinte

O detalhe mais importante do caso não é a primeira infecção. É a segunda, que aconteceu no dia seguinte, em outra máquina, com outra pessoa. Isso significa que o e-mail não foi enviado para um funcionário: foi enviado para vários ao mesmo tempo.

É o padrão de quem dispara em lote e aposta na estatística. Não importa se nove pessoas desconfiaram; basta uma abrir. Numa empresa com trinta computadores, a chance de ninguém clicar em nada durante um ano inteiro é praticamente zero — e qualquer estratégia de segurança que dependa disso já nasceu quebrada.

Três dias depois houve ainda uma terceira detecção na mesma máquina da segunda infecção, dessa vez com arquivos disfarçados de registro de sistema e escondidos em pastas públicas. É o comportamento típico de quem tenta voltar depois de ter sido removido.

Por que nada disso virou prejuízo

As três detecções foram contidas automaticamente, no momento em que aconteceram, sem depender de alguém estar olhando a tela. O arquivo foi isolado antes de completar o que tentava fazer. A operação não parou, o financeiro não foi comprometido e a equipe soube do ocorrido pelo relatório, não pelo prejuízo.

Vale registrar uma honestidade técnica: naquele momento, a proteção ativa naquelas máquinas era antivírus com análise de comportamento, não EDR completo. Funcionou. Mas funcionou com margem menor do que gostaríamos — e essa é exatamente a diferença entre ter tido sorte e ter tido proteção.

Os três sinais que essa história deixa

• O ataque chega por e-mail, não pela rede — nenhum firewall impede um funcionário de abrir um anexo que parece legítimo
• Se atingiu uma pessoa, provavelmente foi enviado para várias — trate a primeira detecção como campanha, nunca como caso isolado
• Detecção sem resposta automática não serve — alerta que espera alguém ver é alerta que chega tarde

O que fazer na sua empresa esta semana

Não existe tecnologia que elimine o clique humano, então a defesa precisa ser em camadas. Proteção que analisa comportamento — e não apenas compara com uma lista de vírus conhecidos — barra o arquivo novo que ninguém catalogou ainda. Backup imutável garante o retorno se algo passar. E conversar com a equipe sobre boleto e nota fiscal falsos custa uma reunião de trinta minutos.

Se você não sabe dizer o que aconteceria hoje na sua empresa caso alguém abrisse esse anexo, essa é a resposta mais importante a buscar. A TI Verde faz esse diagnóstico sem custo e sem compromisso, com dado da sua própria rede.