Burlas por e-mail disparam: quase três em cada quatro partem de contas gratuitas

Em Fevereiro de 2026, o distrito escolar de Dickinson, no Dakota do Norte, nos Estados Unidos, anunciou que tinha perdido 4,92 milhões de dólares. Segundo a notícia publicada pela Government Technology, com o Bismarck Tribune, criminosos fizeram-se passar por um fornecedor de confiança e desviaram dois pagamentos do fundo de obras para uma conta que controlavam. O próprio distrito deu o nome ao esquema: business email compromise, ou BEC. A polícia local teve de chamar o FBI e o Departamento de Justiça.

A burla é simples. Alguém escreve a um cliente, a um fornecedor ou a um contabilista, faz-se passar por uma pessoa de confiança e pede uma transferência, ou uma mudança de conta bancária para os próximos pagamentos. Quem recebe vê um nome conhecido, um assunto plausível e um pedido urgente. E paga.

O que custa esta burla

O relatório anual do IC3, o centro de queixas de crime informático do FBI, regista 24 768 queixas de BEC em 2025, com perdas de mais de 3 mil milhões de dólares. Foi o segundo tipo de fraude com mais perdas declaradas, só atrás da fraude de investimento. O FBI descreve-a como uma burla dirigida a quem trabalha com fornecedores e faz transferências com regularidade, ou seja, a qualquer empresa.

África está no mapa

Não é um problema só dos Estados Unidos. Em Agosto de 2026, a INTERPOL apresentou o seu relatório de ameaças cibernéticas para África, com dados de 36 países africanos. As conclusões são duras:

• desde 2024, as perdas ligadas ao cibercrime no continente mais do que duplicaram, de 192 para 484 milhões de dólares;
• a inteligência artificial está por trás de 55% dos crimes informáticos reportados;
• a burla por e-mail empresarial foi prolífica na África Central e Ocidental, com a IA a gerar correspondência por e-mail muito convincente.

Um ano antes, no relatório de Junho de 2025, a INTERPOL já tinha registado que os incidentes de BEC subiram de forma significativa, e que as burlas online, sobretudo por phishing, eram o crime informático mais reportado em África.

A polícia está a reagir. Na operação Serengeti 2.0, entre Junho e Agosto de 2025, investigadores de 18 países africanos e do Reino Unido detiveram 1209 pessoas e recuperaram 97,4 milhões de dólares. A burla por e-mail empresarial estava entre os crimes visados.

E em Moçambique

Os números moçambicanos vão no mesmo sentido. No informe anual à Assembleia da República, noticiado pela AIM em Abril de 2025, o Procurador-Geral da República reportou 1061 processos de crimes informáticos em 2024, mais 16,3% do que em 2023. A fraude com instrumentos e canais de pagamento electrónico liderou, com 492 casos.

Em 2025 o problema cresceu. Segundo o informe seguinte, noticiado pela AIM em Abril de 2026, o país registou 39 625 incidentes cibernéticos. A fraude com pagamentos electrónicos voltou a ser o crime mais recorrente, com 611 processos, seguida da burla informática e nas telecomunicações, com 254.

De onde partem os e-mails falsos

O dado mais útil para uma empresa vem do APWG, um grupo internacional contra o phishing, que publica relatórios trimestrais com dados da empresa de segurança Fortra.

No relatório do primeiro trimestre de 2026, 72% dos ataques BEC foram lançados a partir de contas de webmail gratuito. Entre esses serviços, o Gmail foi o mais usado, em 53% dos casos. No terceiro trimestre de 2025 a proporção foi de 74%, e o Gmail esteve em 66% das contas gratuitas usadas.

A Barracuda, outra empresa de segurança, chegou ao mesmo retrato. No relatório de Junho de 2024, o Gmail foi o serviço gratuito mais usado em ataques de engenharia social em 2023, e pouco mais de metade desses ataques foram BEC.

A razão é óbvia. Uma conta gratuita não custa nada, não pede documentos e aceita qualquer nome. Um burlão que queira passar pela Exemplo, Lda. cria exemplo.lda@gmail.com em dois minutos.

Porque um Gmail deixa a tua empresa exposta

Se a tua empresa escreve aos clientes de um endereço gratuito, os clientes aprendem que um Gmail com o vosso nome é normal. Quando o burlão escrever de outro Gmail com o vosso nome, nada o distingue. Nenhum dos dois é verificável.

O estudo da Universidade de Adelaide sobre a forma como as pessoas lêem e-mails explica o mecanismo: os participantes olhavam para o domínio do remetente para decidir se confiavam. Quando o domínio é gmail.com, olhar para ele não ajuda, porque é o mesmo para ti e para o burlão.

Com um domínio próprio, a regra que dás aos clientes é curta: só escrevemos de @tuaempresa.co.mz. Tudo o que vier de outro sítio é suspeito.

SPF, DKIM e DMARC: a tua marca protegida

Um domínio próprio permite ainda publicar regras sobre quem pode enviar em teu nome. São três registos no DNS do domínio.

SPF: quem pode enviar

O SPF é a lista dos servidores autorizados a enviar e-mail com o teu domínio. Uma mensagem que diga vir de @tuaempresa.co.mz, mas que saia de outro servidor, falha a verificação.

DKIM: a assinatura

O DKIM é uma assinatura digital posta em cada mensagem pelo teu servidor. Se alguém alterar a mensagem pelo caminho, ou se ela não tiver sido assinada por ti, a assinatura não confere.

DMARC: o que fazer com as falsas

O DMARC diz aos outros servidores o que fazer com as mensagens que usam o teu domínio e falham as verificações: só avisar, mandar para o spam ou recusar. Num endereço gratuito, essa decisão é da Google ou da Microsoft, para milhões de contas ao mesmo tempo. No teu domínio, a decisão é tua.

A Google exige desde Fevereiro de 2024 que quem envia para contas Gmail autentique as mensagens com SPF ou DKIM, e que quem envia mais de 5000 por dia tenha também DMARC. Com um domínio próprio, és tu que pões estas regras a trabalhar a favor da tua marca.

Hábitos que reforçam a protecção

• Diz aos clientes e fornecedores, por escrito, de que domínio escreves, e que nunca mudas dados bancários só por e-mail.
• Confirma por telefone, para um número que já tinhas, qualquer pedido de mudança de conta ou de pagamento urgente.
• Usa palavras-passe diferentes em cada caixa e muda-as quando alguém sai da empresa.
• Desconfia da pressa. A burla BEC vive de prazos apertados e de pedidos fora do normal.

Protege o nome da tua empresa hoje

As burlas por e-mail estão a crescer em África e no mundo, e a maioria parte de contas gratuitas, porque são grátis, anónimas e iguais à conta verdadeira quando a empresa também usa uma. Um domínio próprio dá aos teus clientes uma regra simples para separar o verdadeiro do falso, e dá-te o SPF, o DKIM e o DMARC para defender o teu nome.

O OmniBox põe o e-mail no domínio da tua empresa e deixa-te ver e gerir os registos de DNS no painel. Escolhe o teu plano aqui e começa a escrever com o nome da tua empresa ainda esta semana.