O cliente recebe uma mensagem de alguém que se apresenta como o advogado dele, ou como alguém do escritório. A mensagem cita o número correto do processo, o nome da parte contrária e até o valor da causa. Diz que a ação foi ganha e que, para liberar o valor, é preciso pagar uma taxa ou custas com urgência. O cliente paga. O advogado só descobre quando o cliente liga perguntando pelo dinheiro.

Esse é o golpe do falso advogado. O que o torna eficaz é a informação verdadeira. E parte dessa informação pode estar saindo do próprio escritório.

Como o golpe funciona

O roteiro varia, mas a estrutura se repete:

• Coleta: o criminoso reúne dados de processos, nomes de clientes, telefones e o nome e a foto do advogado.
• Abordagem: contato por aplicativo de mensagem ou e-mail, usando nome, foto e linguagem do escritório.
• Urgência: um valor a receber que só será liberado mediante pagamento imediato.
• Pagamento: transferência para uma conta que não pertence ao escritório nem ao tribunal.

De onde vêm os dados

Parte das informações é pública: processos que não tramitam em segredo de justiça podem ser consultados, e o nome do advogado aparece nos autos. Mas os golpes mais convincentes usam o que não é público, como o telefone pessoal do cliente, o andamento combinado numa reunião, o tom das conversas anteriores e valores discutidos por e-mail. Esses dados costumam vir de:

• Caixa de e-mail comprometida, muitas vezes sem que ninguém perceba, com uma regra que encaminha cópia das mensagens para fora.
• Links de compartilhamento abertos para pastas de clientes, enviados uma vez e nunca revogados.
• Sistema de gestão jurídica com senha fraca, sem autenticação multifator ou com contas de ex-colaboradores ativas.
• Portal do cliente que permite ver processos de outros clientes trocando um identificador.
• Dispositivos pessoais usados para trabalho, sem bloqueio ou criptografia.

Além do vazamento, existe a falsificação: se o domínio do escritório não tem proteção de e-mail configurada, um criminoso pode enviar mensagens que parecem sair do endereço oficial.

O que as regras da advocacia dizem sobre sigilo

O Estatuto da Advocacia (Lei 8.906/1994), no art. 7º, II, garante a inviolabilidade do escritório ou local de trabalho, de seus instrumentos de trabalho e da correspondência escrita, eletrônica, telefônica e telemática, desde que relativas ao exercício da advocacia.

O Código de Ética e Disciplina da OAB, nos arts. 35 a 38, trata do sigilo profissional como de ordem pública e estabelece que as comunicações entre advogado e cliente presumem-se confidenciais.

A inviolabilidade é uma garantia jurídica, não uma proteção técnica. Ela não impede que alguém acesse a caixa de e-mail com uma senha capturada. O dever de sigilo, por outro lado, pressupõe que o escritório zele pela confidencialidade daquilo que guarda.

Não há provimento do Conselho Federal da OAB exigindo teste de segurança. A LGPD se aplica normalmente aos escritórios, incluindo o dever de adotar medidas de segurança técnicas e administrativas do art. 46. Nenhuma dessas normas usa a palavra "pentest": ele é a forma de comprovar que as medidas de proteção funcionam.

O que testar no escritório

E-mail: autenticação multifator e acesso

• MFA obrigatório para todas as contas, inclusive sócios e contas compartilhadas como "contato@".
• Protocolos legados desativados, já que alguns permitem login só com senha, contornando o MFA.
• Regras de encaminhamento revisadas, procurando cópias automáticas para endereços externos.
• Alertas de login vindos de locais ou dispositivos incomuns.

E-mail: SPF, DKIM e DMARC

Esses três registros de DNS dizem aos servidores de destino quem pode enviar e-mail em nome do domínio do escritório e o que fazer com mensagens que falham na verificação. Com DMARC em política de rejeição, fica muito mais difícil forjar um e-mail com o endereço oficial. O passo a passo está no guia de SPF, DKIM e DMARC.

Compartilhamento de arquivos

• Links públicos ou "qualquer pessoa com o link" para pastas de clientes.
• Permissões herdadas que dão acesso amplo a estagiários e ex-colaboradores.
• Arquivos sensíveis enviados como anexo em vez de link com prazo e controle de acesso.

Sistema de gestão jurídica e portal do cliente

É onde está a base inteira de processos, clientes, contatos e honorários. O teste verifica autenticação, controle de acesso entre perfis, isolamento entre clientes no portal, exposição de APIs e exportações de dados. Quando o sistema ou o portal é web, esse trabalho é o escopo de um pentest web.

Pessoas

O golpe mira o cliente, mas a invasão costuma mirar a equipe. Uma simulação controlada de phishing mostra quantas pessoas digitariam a senha numa página falsa do e-mail corporativo. Veja como funciona no artigo sobre engenharia social e treinamento.

O que fazer quando um cliente relata o golpe

• Não presuma que os dados vieram só de fonte pública. Verifique logins recentes, regras de encaminhamento e compartilhamentos das contas envolvidas no caso.
• Troque senhas e encerre sessões das contas suspeitas, com MFA ativado.
• Preserve registros de acesso e mensagens antes de alterar configurações.
• Avalie se houve incidente com dados pessoais e as obrigações que decorrem da LGPD.

Se houver indício de acesso indevido, trate como incidente com apoio de resposta a incidentes.

Combine um canal oficial com o cliente

Nenhum controle técnico substitui uma orientação clara no início do atendimento: por quais canais o escritório se comunica, que pagamentos nunca serão pedidos por mensagem e como confirmar qualquer solicitação diferente. Colocar isso por escrito no contrato ou na mensagem de boas-vindas ajuda o cliente a reconhecer o golpe.

Quer saber se o seu e-mail e o seu sistema de gestão jurídica estão alimentando golpistas? Conheça o nosso pentest para escritórios de advocacia.

Perguntas Frequentes

O golpe do falso advogado significa que o escritório foi invadido?

Não necessariamente. Parte dos dados pode vir de processos públicos. Mas quando o golpista conhece telefone do cliente, conversas ou valores tratados por e-mail, é preciso verificar e-mail, compartilhamentos e sistema de gestão do escritório.

A OAB exige que escritórios façam teste de segurança?

Não há provimento do Conselho Federal da OAB com essa exigência. O Estatuto e o Código de Ética tratam de inviolabilidade e sigilo, e a LGPD se aplica normalmente, incluindo o dever de adotar medidas de segurança.

SPF, DKIM e DMARC impedem o golpe por aplicativo de mensagem?

Não. Esses registros protegem o domínio de e-mail contra falsificação. O golpe por aplicativo de mensagem é combatido com proteção dos dados que o alimentam e com orientação ao cliente sobre os canais oficiais.

O que um pentest em escritório de advocacia costuma incluir?

Configuração e acesso ao e-mail, SPF, DKIM e DMARC, compartilhamento de arquivos, sistema de gestão jurídica e portal do cliente e, quando contratada, simulação de engenharia social com a equipe.