Na venda e no aluguel de imóveis, o golpe não precisa de invasão sofisticada: basta saber o valor do sinal, da parcela ou do aluguel e a data de vencimento, e mandar, em nome da imobiliária ou da construtora, um boleto adulterado ou um pedido para pagar em outra conta. Esses dados estão no CRM, no e-mail dos corretores e nos contratos.
Não há norma de segurança cibernética própria do mercado imobiliário. Vale a LGPD, que exige medidas de segurança aptas a proteger os dados (art. 46), e algumas regras do setor aumentam o que precisa ser protegido. Quem exerce promoção imobiliária ou compra e venda de imóveis está entre as pessoas obrigadas da Lei 9.613/1998, de prevenção à lavagem de dinheiro (art. 9º, parágrafo único, X): identifica clientes, mantém cadastro atualizado e registro das transações acima do limite fixado pela autoridade e guarda esses dados por pelo menos cinco anos (art. 10). Na incorporação, o contrato de venda das unidades abre com um quadro-resumo que traz preço, entrada, valor e beneficiário da corretagem e valores e vencimentos das parcelas (Lei 4.591/1964, art. 35-A), justamente o que deixa um boleto falso convincente. Na locação, a imobiliária reúne documentos e renda de locatários e fiadores e pode receber caução em dinheiro de até três aluguéis (Lei 8.245/1991, arts. 37 e 38). E o corretor pode se associar a uma ou mais imobiliárias sem vínculo de emprego (Lei 6.530/1978, art. 6º, § 2º), então o acesso ao CRM precisa acompanhar a entrada e a saída de cada um. Quando o golpe chega por e-mail, pode usar o domínio verdadeiro da empresa: no Sul, 86% das empresas não bloqueiam e-mail falsificado em nome do próprio domínio, segundo a LDL Labs. O teste segue o caminho do dinheiro: CRM, portais, e-mail, emissão de boleto e o processo de alterar dados bancários.
O que você recebe
- Pentest do CRM, do site e das áreas do cliente, do proprietário e do inquilino
- Teste das integrações com portais de imóveis, assinatura eletrônica, cobrança e bancos
- Teste da emissão de boleto e do processo de alterar dados bancários de proprietários, compradores e fornecedores
- Avaliação do domínio e do e-mail de corretores e financeiro: SPF, DKIM, DMARC e MFA
- Verificação de onde ficam documentos de compradores, locatários e fiadores, e de quem consegue baixá-los
- Relatório com o impacto financeiro de cada achado e reteste
O que cobrimos
CRM e leads
Contatos vindos de portais e do site, acesso de corretores associados e exportação da base.
Contratos e documentos
Propostas, contratos, fichas cadastrais, comprovantes de renda e documentos do fiador.
Cobrança e repasse
Boleto de aluguel e de parcela, Pix, caução, repasse ao proprietário e troca de dados bancários.
Escritório e obra
Rede do escritório e do canteiro, acesso remoto, projetos e controle de acesso.
Indicado para
- Imobiliárias com administração de aluguéis e repasse a proprietários
- Construtoras e incorporadoras com venda na planta e parcelas pagas direto à empresa
- Loteadoras com carteira própria de parcelas a receber
- Empresas em que cliente já recebeu boleto ou pedido de pagamento falso em nome delas
Como conduzimos
Mapa do dinheiro
Levantamos por onde passam sinal, parcelas, aluguel, caução e repasse, e quem pode alterar cada dado.
Teste de aplicação
CRM, site, áreas de cliente e integrações, com foco em acesso a contrato e documento de outra pessoa.
E-mail e domínio
Verificamos se dá para falsificar o remetente ou invadir a caixa de um corretor.
Caminho do golpe
Se contratado, testamos o processo de troca de conta bancária do jeito que o golpista tentaria.
Relatório e reteste
Achados com impacto financeiro e confirmação das correções.
Perguntas Frequentes
Imobiliária ou construtora precisa fazer pentest por alguma norma?
Não há norma de segurança cibernética própria do setor. A LGPD exige medidas de segurança aptas a proteger os dados de compradores, locatários, fiadores e proprietários (art. 46), e a Lei 9.613/1998 obriga quem atua com promoção imobiliária ou compra e venda de imóveis a manter cadastro de clientes e registro das transações acima do limite fixado pela autoridade por pelo menos cinco anos (art. 10), o que aumenta o volume de documentos guardados. O pentest mostra se o que protege esses dados funciona.
Como funciona o golpe da troca de conta no aluguel e na compra?
O golpista se passa pela imobiliária, pela construtora ou pelo proprietário e pede que o aluguel, a parcela ou o sinal sejam pagos em outra conta, ou envia um boleto com o beneficiário trocado. O golpe convence quando traz dados reais, como valor, vencimento e nome do corretor, que podem vir de uma caixa de e-mail invadida, de um CRM exposto ou de contrato compartilhado por link aberto. Nos Estados Unidos, o IC3, do FBI, contou 9.359 queixas de fraude imobiliária em 2024, com US$ 173,6 milhões em perdas.
O que o pentest faz contra esse golpe?
Verifica se o domínio pode ser falsificado (SPF, DKIM e DMARC), se as contas de e-mail dos corretores e do financeiro têm autenticação forte, se o CRM e o portal do cliente deixam ver contrato de outra pessoa ou trocar dados bancários sem confirmação e se o boleto gerado pelo sistema pode ser alterado no caminho. Se contratado, testa com a equipe o processo de validar um pedido de troca de conta.
Corretor associado deve ter acesso ao CRM?
Deve ter o acesso de que precisa, com usuário próprio. A Lei 6.530/1978 permite que o corretor se associe a uma ou mais imobiliárias mantendo autonomia, sem vínculo de emprego (art. 6º, § 2º), então o controle não pode depender só do cadastro de funcionários: o acesso precisa ser criado e removido junto com o contrato de associação. No teste, verificamos se um corretor consegue ver clientes de outro, exportar a base inteira ou continuar entrando depois de sair.
Por quanto tempo a imobiliária guarda documentos de clientes?
Para quem está sujeito à Lei 9.613/1998, o cadastro de clientes e o registro das transações devem ser conservados por no mínimo cinco anos a partir da conclusão da transação (art. 10, § 2º). Na locação, somam-se documentos de locatários e, quando a garantia é fiança, de fiadores (Lei 8.245/1991, art. 37). Guardar por anos significa proteger por anos: o teste verifica onde esses arquivos ficam e quem consegue baixá-los.
O canteiro de obras entra no escopo?
Entra quando a rede da obra se liga ao escritório ou à nuvem da empresa: computadores, câmeras, controle de acesso, ponto e acesso remoto a projetos. Se o controle de acesso ou o ponto usa biometria, ela é dado pessoal sensível pela LGPD (art. 5º, II). O teste verifica se quem está na rede da obra alcança os sistemas do escritório.