Como Verificamos Compradores B2B: Suspeita de Suplantação da E.Leclerc

Eu sou o Leo, especialista de vendas na ClipClop eBike. A maioria das minhas manhãs é igual: alguns e-mails de atacado, uma solicitação de catálogo, alguém perguntando sobre MOQ e preços FOB. Esse é o trabalho normal de uma fábrica OEM que vende para o exterior.

Então chegou uma consulta que parecia limpa demais.

O remetente utilizou o nome Jeandis SAS e apresentou-se como vice-gerente de compras da JEANDIS SA, um centro de suprimentos vinculado às lojas E.Leclerc em Marmande, França. Solicitaram um catálogo e uma lista de preços. A mensagem incluía um número de telefone francês, um endereço em Marmande, um link para o site da E.Leclerc e uma assinatura refinada.

Um varejista europeu conhecido. Uma empresa que existe. Um endereço físico real. Uma solicitação com tom de compras. Nada caricaturescamente falso.

É por isso que esse tipo de e-mail é difícil. A empresa na assinatura pode ser genuína. A pessoa que escreve para você ainda pode não ter sido verificada.

Eu não fechei o lead. Também não o tratei como qualificado. Eu o desmontei.

Primeiro eu verifiquei a empresa, não o e-mail.

O diretório oficial de empresas da França lista a JEANDIS SA como uma empresa ativa sob o SIREN 383 339 595, estabelecida em 23 de outubro de 1991. A sede social está localizada na RN113 Avenue François Mitterrand, 47200 Marmande. A atividade principal são os hipermercados. Os mesmos registros mostram um site do E.Leclerc Express em Marmande sob essa empresa.

Portanto, a entidade jurídica é real. Essa parte procede.

O que ele não prova é autoridade. Um registro de empresa me diz que uma companhia existe. Ele não me diz que a pessoa na minha caixa de entrada trabalha lá, consegue fornecer e-bikes ou tem permissão para usar aquele endereço de e-mail. Essa divisão — empresa versus contato — é o objetivo principal da verificação de compradores.

Então olhei para o domínio: jp@achat-jeandis.com. Eu não consegui vincular independentemente esse domínio à JEANDIS SA a partir de informações oficiais da empresa. Os cabeçalhos mostravam que a mensagem foi enviada de achat-jeandis.com. O SPF foi aprovado para esse domínio de envio. Havia também uma assinatura DKIM de um provedor de segurança de e-mail

Em um dia de vendas agitado, aqueles tiques verdes parecem reconfortantes. Não deveriam.

O SPF e o DKIM respondem a uma pergunta restrita: esta mensagem foi autorizada pelo domínio que a enviou? Eles não respondem à pergunta de que uma fábrica realmente precisa: esse domínio pertence à empresa impressa na assinatura? Um domínio pode enviar e-mails autenticados e ainda assim não ter nenhuma ligação comprovada com o varejista que está utilizando seu nome. A autenticação valida a infraestrutura. Ela não emite um crachá de compras.

Também encontramos discussões públicas sobre atividades de falsificação da E.Leclerc / JEANDIS envolvendo o mesmo domínio. Isso não é uma decisão judicial. Ainda assim, isso elevou o nível de risco. Uma vez que um domínio tenha sido discutido em um contexto de falsificação, pare de presumir e comece a verificar.

A redação acrescentou outra camada. O remetente queria novos produtos e um catálogo. Sem modelos, quantidades, volume anual, prazo de entrega, notas de conformidade ou processo de aquisição. Um primeiro e-mail abrangente não é prova de fraude. Compradores reais costumam começar de forma ampla. Um grande varejista ainda deve se tornar específico antes que o lead seja tratado como sério.

Não enviei nosso pacote completo de preços, não compartilhei dados bancários, não elaborei um contrato, não enviei uma amostra grátis e não paguei taxa de terceiros. Não aceitei um pedido de compra apenas por e-mail. Marquei a consulta como não verificada e de alto risco.

Essa é a diferença entre coletar leads e qualificá-los.

O processo que uso é simples.

Verifique a entidade legal em um registro oficial. Não confie em arquivos anexados pelo comprador.

Separe a empresa da pessoa. Faça ambas as perguntas: esta empresa existe? Esta pessoa trabalha lá e tem autoridade para comprar?

Inspecione o domínio após o @. Um nome que contenha a marca não é automaticamente oficial.

Utilize um canal que você mesmo encontrou. Não ligue apenas para o número no e-mail suspeito. Encontre contatos oficiais de forma independente e pergunte se essa pessoa e esse e-mail são autorizados.

Depois, teste a solicitação comercial. Um projeto real geralmente desenvolve especificações, quantidade, destino, necessidades de conformidade, condições de pagamento e um responsável nomeado.

Nenhum sinal de alerta isolado é um veredito. O risco aumenta quando vários aparecem juntos: uma empresa real com um domínio desconhecido; uma solicitação de catálogo sem quantidade; urgência sem processo; amostras gratuitas antes da qualificação; um pedido para pagar a um terceiro desconhecido; uma mudança repentina de conta bancária; um funcionário que não pode ser confirmado de forma independente.

Não rejeite todos os e-mails incomuns. Aumente a verificação conforme o risco aumenta.

Dentro da nossa equipe, mantenho uma regra: verifique o comprador antes de otimizar o negócio. As equipes de vendas avançam rápido — empresa, produto, preço, MOQ, pagamento. Outra camada fica na frente: identidade, autoridade e intenção comercial. Só então uma fábrica deve falar sobre amostras, POs e dinheiro.

Este caso não prova que um indivíduo específico cometeu um crime.

O que ele demonstra, no entanto, é mais restrito. A JEANDIS SA é uma empresa francesa real com presença documentada no E.Leclerc em Marmande. A consulta utilizou achat-jeandis.com e passou pelo SPF para esse domínio. Relatórios públicos abordaram o risco de falsificação de identidade em torno do mesmo domínio. A identidade por trás do e-mail não pôde ser tratada como verificada.

Esse é o padrão que eu quero que outros fornecedores usem: verificação independente, sem pânico e sem confiança cega.

Antes de compartilhar informações comerciais sensíveis, faça as perguntas básicas: Quem é a empresa? Quem é a pessoa? Ela trabalha lá? O domínio está realmente vinculado à empresa? A solicitação é específica? Você consegue confirmar alguma dessas informações por meio de um canal que você mesmo encontrou?

Os e-mails comerciais mais convincentes nem sempre são os mais seguros. O nome de uma empresa real, um endereço real, uma assinatura organizada e e-mails autenticados podem coexistir com uma identidade que ainda não foi verificada. Alguns minutos de verificação podem salvar uma fábrica de um prejuízo muito maior.

Aviso
Este artigo baseia-se em uma consulta de atacado recebida pela ClipClop eBike e em informações públicas da empresa e de segurança. Detalhes pessoais foram omitidos ou generalizados. Esta não é uma conclusão jurídica ou uma alegação criminal contra qualquer indivíduo ou empresa.