Segunda-feira, 8h40. Chega um e-mail com o brasão de um tribunal, um número de processo parecido com os da carteira e o aviso de que há uma intimação com prazo correndo. Basta clicar em “acessar o documento”. É assim que o phishing no escritório de advocacia costuma começar: com uma mensagem que imita exatamente o tipo de comunicação que a equipe recebe todos os dias.
O golpista prepara a mensagem para chegar na hora da pressa, com o assunto certo e o remetente quase certo. Por isso, a defesa depende de rotina: conhecer as iscas, conferir alguns sinais antes de agir e ter um roteiro para quando alguém cair.
Este guia trata dos golpes que miram a própria equipe: falsas intimações, boletos, troca de dados bancários, páginas falsas de login e anexos maliciosos. A fraude contra clientes, com golpistas usando o nome do escritório, porém, fica para o manual do golpe do falso advogado.
O que é phishing e por que advogados são alvo
O CERT.br, centro de resposta a incidentes mantido pelo NIC.br, define phishing como a fraude em que golpistas tentam obter dados pessoais e financeiros combinando engenharia social com recursos técnicos. O nome vem de “fishing”, pescar em inglês: a mensagem é a isca, e o objetivo é fisgar uma senha, um pagamento ou a instalação de um programa malicioso.
Escritórios e departamentos jurídicos reúnem quatro ingredientes que facilitam o trabalho do golpista:
- Prazos. Uma mensagem sobre intimação provoca medo de perder prazo, e o medo apressa o clique.
- Rotina de anexos. Clientes e colegas mandam documentos o tempo todo; por isso, um arquivo a mais não chama atenção.
- Dinheiro em circulação. Custas, acordos e repasses passam pela equipe.
- Dados públicos. Partes e números de processo são fáceis de achar, e o CERT.br alerta que golpistas usam informações públicas e vazadas para a fraude parecer verdadeira.
Quando o e-mail é montado para uma pessoa específica, com um processo real, fala-se em spear phishing (phishing direcionado), a versão mais difícil de perceber.
As iscas mais usadas contra o escritório
| Isca | Como chega | O que o golpista quer |
|---|---|---|
| Falsa intimação ou citação | E-mail “do tribunal” com link para “acessar o documento” ou anexo compactado | Instalar programa malicioso ou capturar a senha |
| Boleto ou cobrança falsa | Custas, anuidade, fornecedor ou “pendência” com boleto em anexo | Desviar o pagamento para outra conta |
| Troca de dados bancários | E-mail de cliente, parte ou fornecedor avisando que a conta mudou | Desviar o valor de um acordo ou repasse |
| Login falso | “Sua caixa está cheia”, “documento compartilhado com você” | Capturar a senha do e-mail ou da nuvem |
| Falso cliente novo | Pedido de atendimento com “documentos do caso” em link de download | Infectar o computador, inclusive com sequestro de dados |
| Falso pedido interno | Mensagem com o nome de um sócio, vinda de endereço externo, pedindo pagamento urgente | Dinheiro ou envio de dados sigilosos |
A falsa intimação merece atenção especial. Em alerta de fevereiro de 2024, o TRT da 12ª Região relatou mensagens que disfarçavam a terminação do domínio oficial e usavam remetentes genéricos, como “intimacoes@”, e explicou que a maior parte das comunicações processuais segue pelo diário eletrônico ou pelos Correios. A regra prática, portanto, é simples: confira qualquer intimação no sistema do tribunal, pelo endereço que você digitou, e nunca pelo link da mensagem.
A troca de dados bancários costuma ser a isca mais cara, porque muitas vezes sai da conta verdadeira, e invadida, do cliente ou do fornecedor. O CERT.br recomenda conferir nome e CNPJ do beneficiário antes de pagar e falar com o fornecedor pelos canais oficiais.
Checklist: sinais de alerta antes de clicar
Antes de abrir um link, baixar um anexo ou pagar algo pedido por e-mail, passe por esta lista:
- [ ] Remetente completo. O nome exibido engana, então abra o endereço inteiro e veja se o domínio é mesmo de quem diz ser.
- [ ] Tom da mensagem. Ameaça, pressa, pedido de segredo e apelo à autoridade estão entre os sinais que o CERT.br aponta como típicos de golpe.
- [ ] Destino do link. Passe o mouse sobre o link (no celular, pressione e segure) e leia o endereço real. O que vale é o domínio antes da primeira barra; “jus.br” no meio do caminho não prova nada.
- [ ] Anexo inesperado. Arquivos compactados ou documentos que pedem para “habilitar conteúdo” merecem desconfiança redobrada.
- [ ] Pedido sensível. Senha, código de verificação, pagamento ou troca de conta bancária por e-mail exigem confirmação fora dele.
- [ ] Dados reais e texto correto. Número de processo certo e português impecável não provam nada, ainda mais com textos gerados por IA.
Se marcou qualquer item, confirme por um canal que você já conhecia: o telefone do cadastro do cliente, o sistema do tribunal ou o colega que supostamente pediu. Nunca use o contato que veio na mensagem.
Phishing no escritório de advocacia: treino e simulações
Uma palestra por ano não muda hábito. Por outro lado, funcionam exemplos reais em doses curtas e um ambiente em que avisar é mais fácil do que esconder.
- Monte uma galeria de iscas. Guarde as mensagens suspeitas recebidas, sem dados de clientes, e mostre uma ou duas na reunião do mês.
- Combine um canal de aviso para encaminhar o que parece golpe, com resposta rápida de quem cuida da tecnologia.
- Faça simulações. De tempos em tempos, envie um e-mail falso controlado e meça cliques e avisos. Explique desde o início que as simulações existem e servem para aprender.
- Elogie quem avisa. Afinal, o número que mais importa é o de alertas, não o de cliques.
- Inclua quem chega. Estagiários e novos integrantes recebem o checklist na primeira semana.
- Feche as portas técnicas. Verificação em duas etapas no e-mail, filtro de spam, sistemas atualizados e uma regra fixa: dado bancário novo só vale depois de confirmado por telefone e aprovado por duas pessoas.
Punir quem clicou costuma ter o efeito contrário: a pessoa passa a esconder o erro, e o escritório perde as primeiras horas.
Clicou no link? O roteiro da primeira hora
Agir rápido reduz o prejuízo. O roteiro junta as orientações do fascículo Golpes: Caiu? Veja o que Fazer, do CERT.br, e os passos que os fornecedores de e-mail corporativo indicam para contas comprometidas:
- Avise o responsável na hora, sem apagar a mensagem, porque ela ajuda a entender o ataque.
- Desconecte o aparelho da rede se você baixou ou abriu um arquivo.
- Troque a senha a partir de outro aparelho, em todas as contas em que ela era usada, ative a verificação em duas etapas e encerre as sessões abertas em outros dispositivos.
- Revise a caixa de e-mail. Procure regras de encaminhamento e aplicativos autorizados que você não criou, pois invasores costumam deixar uma regra copiando as mensagens para fora.
- Se houve pagamento, procure o banco imediatamente pelos canais oficiais. No Pix, a contestação aciona o Mecanismo Especial de Devolução (MED), e quanto antes ela for feita, maior a chance de reaver o valor.
- Verifique o computador com antivírus e, se necessário, reinstale o sistema e restaure os arquivos de um backup confiável.
- Guarde evidências (mensagem, prints, horários, comprovantes) para o boletim de ocorrência e pedidos de ressarcimento.
- Avise quem pode ser atingido, se a sua conta disparou e-mails falsos.
Phishing no escritório de advocacia e LGPD: quando vira incidente
Se o clique deu ao invasor acesso a dados pessoais de clientes ou de terceiros, o problema passa a ser também de proteção de dados. A Lei Geral de Proteção de Dados (LGPD) obriga quem trata dados a adotar medidas técnicas e administrativas de segurança (art. 46) e determina que o controlador avise a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas quando houver possibilidade de risco ou dano relevante para elas (art. 48).
De acordo com o regulamento da ANPD (Resolução CD/ANPD nº 15/2024), o aviso deve sair em até três dias úteis, contados da ciência de que dados pessoais foram atingidos. Nem todo incidente precisa ser comunicado, mas todos devem ser registrados, e o registro fica guardado por pelo menos cinco anos. Além disso, documentos de clientes estão cobertos pelo sigilo profissional, o que torna a avaliação ainda mais delicada.
Defina antes quem decide: no escritório, o sócio responsável e o encarregado de dados; no departamento jurídico, o encarregado e a área de tecnologia, com o jurídico ao lado. As obrigações estão explicadas em LGPD para escritórios de advocacia, e a política mínima que previne boa parte desses casos aparece em segurança da informação no escritório de advocacia.
Como o LexFlow ajuda a confirmar antes de agir
Boa parte da defesa contra o phishing é ter à mão o contato verdadeiro. No LexFlow, a ficha de cada entidade guarda e-mail, telefone e celular do cliente e das pessoas vinculadas a ele. Quando chega um pedido de troca de conta ou um “documento urgente”, a busca global (Ctrl+K) encontra o cliente pelo nome ou pelo CPF/CNPJ, e o telefone cadastrado é o que você usa para confirmar.
Da mesma forma, há onde checar pedidos internos. Em vez de responder ao e-mail do “sócio” que pede um pagamento, pergunte a ele numa conversa direta do Chat do escritório.
Para a resposta, crie no Workspace um modelo de tarefa com o roteiro da primeira hora em checklist, responsáveis e prazo em dias. Sempre que alguém avisar de um clique, a tarefa nasce pronta, e cada passo fica registrado nos comentários e anexos.
Por fim, os perfis de acesso completam o quadro: cada pessoa enxerga só os módulos e as seções da ficha de que precisa, o que limita o que uma conta comprometida consegue ver. Se for preciso, o usuário pode ser inativado enquanto a situação é apurada.
Perguntas frequentes
Filtro de spam e antivírus resolvem o problema?
Reduzem muito o volume, mas não pegam tudo, em especial mensagens enviadas de contas verdadeiras que foram invadidas. Contra o phishing no escritório de advocacia, a confirmação por um segundo canal continua necessária.
Quem clicou deve ser punido?
Em regra, não. O que pesa é esconder o erro ou demorar a avisar. Trate o clique como incidente a resolver e use o caso, sem expor a pessoa, no próximo treino.
Todo clique em phishing precisa ser comunicado à ANPD?
Não: a comunicação é exigida quando há incidente confirmado com dados pessoais que possa gerar risco ou dano relevante aos titulares. Mesmo quando não se comunica, porém, o escritório deve registrar o incidente.
Conclusão
O phishing no escritório de advocacia explora o que a rotina jurídica tem de mais comum: prazos, anexos e pagamentos. A resposta também é feita de rotina: um checklist curto antes de clicar, confirmação por um canal já conhecido, treino frequente sem caça às bruxas e um roteiro para a primeira hora depois do erro.
Comece por duas medidas nesta semana. Combine com a equipe o canal para avisar sobre mensagens suspeitas e a regra de que nenhum dado bancário muda sem confirmação por telefone.
