Golpe do boleto falso em empresas: o que fazer se pagou uma cobrança falsa de fornecedor

Chega na sua empresa um e-mail do fornecedor de sempre, com a mesma assinatura, o mesmo jeito de escrever e o boleto do mês em anexo, mas desta vez ele pede que, a partir de agora, vocês paguem num boleto novo ou numa nova conta porque trocou de banco. Parece o fornecedor de sempre e o financeiro acaba pagando. Dias depois, o fornecedor de verdade entra em contato com a sua empresa para cobrar, mas o dinheiro já está na conta do golpista. Para a sua empresa é quase impossível perceber, porque os golpistas costumam ler os e-mails antes de agir. É o golpe do boleto falso aplicado a empresas, e ele pega até negócios muito organizados. O mais comum é se passarem por um fornecedor, mas o mesmo truque também pode chegar como se fosse um cliente ou um funcionário pedindo para trocar a conta onde recebe o salário. Se você está lendo isto com um nó no estômago, respire: dá para fazer muita coisa hoje mesmo e, quando se age rápido, muitas vezes o dinheiro é recuperado.

Se você é o dono da empresa, cuida do financeiro ou da contabilidade, ou é quem toma conta da TI, aqui explicamos com calma como o golpe funciona, o que fazer nas primeiras horas, como registrar a ocorrência e como evitar que aconteça de novo.

Neste artigo

1. Como funciona o golpe do boleto falso em empresas
2. Sinais de alerta de uma falsa troca de dados bancários
3. As primeiras horas: o que fazer se a empresa já pagou
4. Registrar a ocorrência e avisar quem precisa saber
5. Quem arca com o prejuízo: sua empresa, o fornecedor ou o banco?
6. Como evitar o golpe do falso boleto e a troca de dados bancários
7. Quando procurar ajuda profissional

Como funciona o golpe do boleto falso em empresas

É uma das formas mais comuns do que se chama BEC (business email compromise, e-mail corporativo comprometido). Segundo o FBI, o golpe costuma começar quando alguém invade uma conta de e-mail legítima, com engenharia social ou invasão do sistema, para desviar pagamentos. Na prática, a empresa recebe uma cobrança que parece real, mas o boleto foi adulterado ou os dados bancários foram trocados.

Ele convence porque não vem do nada. Muitas vezes os golpistas passam um tempo lendo os e-mails antes de agir. Sabem quais cobranças estão para vencer e como o fornecedor escreve. Geralmente:

• O e-mail da sua empresa foi invadido. Criam uma regra escondida que encaminha os e-mails do fornecedor para outro endereço e depois escrevem de um domínio quase igual (uma letra trocada).
• O e-mail do fornecedor foi invadido. Aí a mensagem falsa sai do endereço verdadeiro. É o caso mais difícil de perceber.
• O endereço é falsificado (spoofing), com dados tirados do site, das redes ou de vazamentos antigos.
• Um vírus no computador altera o boleto na hora de abrir ou imprimir. A FEBRABAN alerta que muitas quadrilhas usam esse tipo de vírus para trocar o valor e a conta de destino.

Sinais de alerta de uma falsa troca de dados bancários

Nenhum sinal sozinho prova a fraude, mas vários juntos são motivo para parar e confirmar:

• Pedem para trocar a conta ou o banco de um fornecedor habitual por e-mail ou WhatsApp, "por auditoria", "por troca de banco" ou "por problema na conta antiga".
• O remetente parece, mas não é igual. Veja o endereço completo, não só o nome que aparece.
• Pressa ou segredo: "tem de pagar hoje", "não ligue, estou viajando".
• O beneficiário que aparece na tela do banco não é o fornecedor. A FEBRABAN explica que, ao pagar um boleto registrado, o banco mostra o nome e o CPF ou CNPJ de quem vai receber. Se não for a empresa certa, não conclua o pagamento.
• O banco do boleto não bate: os três primeiros números do código de barras indicam o banco emissor. Se não correspondem ao logo do boleto, desconfie.
• Pequenas mudanças no documento: layout diferente, número fora da sequência, outra fonte.

Se isso passou pela sua equipe, não se culpe. Essas mensagens chegam justamente quando vocês estão esperando aquela cobrança, e são muito bem feitas.

As primeiras horas: o que fazer se a empresa já pagou

Aqui a ordem importa e o tempo conta. Faça isto já, mesmo sem saber ainda como entraram:

1. Ligue para o banco pelo canal oficial ou pelo gerente da conta PJ. Diga que é fraude, informe valor, data e os dados de quem recebeu, e peça que o banco acione a instituição de destino para bloquear e devolver o valor. Se o pagamento foi por Pix, peça expressamente a abertura do MED (Mecanismo Especial de Devolução). Anote o protocolo e confirme por escrito.
2. Avise o fornecedor ligando para um número que você já tinha. Assim você descobre se o e-mail dele foi invadido, e ele pode alertar outros clientes.
3. Não apague nada. Salve o e-mail falso no formato original (.eml ou .msg, para manter os cabeçalhos), o boleto ou a fatura, o comprovante e a conversa anterior.
4. Feche a porta do e-mail. Troque a senha da conta afetada em um computador de confiança, ative a verificação em duas etapas e procure regras de encaminhamento ou filtros que vocês não criaram, usuários novos ou acessos estranhos. Rode um antivírus atualizado nos computadores do financeiro.
5. Revise outros pagamentos pendentes desse fornecedor e de qualquer outro que tenha pedido troca de dados recentemente.

Dá para recuperar o dinheiro?

Muitas vezes, sim, principalmente quando se age nas primeiras horas. Um pagamento concluído não se desfaz com um botão, mas, se o dinheiro ainda estiver na conta de destino, a instituição que recebeu pode bloqueá-lo, e um B.O. rápido ajuda. No Pix, o MED existe justamente para casos de fraude: o banco de destino pode bloquear os recursos enquanto analisa. Por isso, mesmo sem ter tudo claro, ligue já. É o que mais aumenta as chances.

Se quiser entender em detalhe cada forma de pagamento, explicamos em caí em um golpe: como recuperar o dinheiro.

Registrar a ocorrência e avisar quem precisa saber

O boletim de ocorrência

Registre o B.O. na Polícia Civil do seu estado, na delegacia (de preferência a especializada em crimes cibernéticos, se houver) ou pela delegacia online, quando o estado permitir. Leve:

• O e-mail falso e o verdadeiro do fornecedor, com os endereços completos.
• O boleto ou a fatura, o comprovante e os dados de quem recebeu (nome, CPF/CNPJ, banco).
• Uma cronologia curta: quando chegou o e-mail, quem processou, quando foi pago e quando perceberam.
• O protocolo do banco.

Envie a cópia do B.O. ao banco. Temos um passo a passo em como denunciar golpe online. Se o banco não resolver, você pode registrar uma reclamação no Banco Central.

Se houve acesso a dados pessoais: ANPD em 3 dias úteis

Se os golpistas estiveram dentro do e-mail da empresa, é provável que tenham visto dados de clientes, funcionários ou fornecedores. Pelo art. 48 da LGPD, se o incidente puder causar risco ou dano relevante aos titulares, a empresa (controladora) deve comunicar a ANPD e os titulares. A ANPD informa que o prazo é de 3 dias úteis (Resolução CD/ANPD nº 15/2024), com possibilidade de comunicação preliminar e complemento depois.

Parece pesado, mas não precisa assustar: a própria ANPD diz que a comunicação voluntária demonstra transparência e boa-fé. Se concluir que não precisa comunicar, registre internamente o que aconteceu e as medidas tomadas.

Quem arca com o prejuízo: sua empresa, o fornecedor ou o banco?

É a grande pergunta, e a resposta honesta é que depende de onde estava a falha. O Código Civil (art. 308) diz que o pagamento deve ser feito ao credor ou a quem de direito o represente. Por isso, em princípio, se o dinheiro não chegou ao fornecedor, a cobrança continua. Mas outras coisas pesam:

• Se o e-mail invadido era o do fornecedor e ele não avisou os clientes ou não tinha segurança razoável, pode haver espaço para negociar ou cobrar dele.
• Se houve falha do banco, a Súmula 479 do STJ diz que as instituições financeiras respondem por fraudes de terceiros no âmbito de suas operações. Nem todo caso se encaixa, mas vale analisar.
• Veja o seguro. Algumas apólices de risco cibernético ou de fraude cobrem engenharia social. Leia as condições e avise a seguradora cedo: costuma haver prazos.

Antes de pagar duas vezes ou romper com o fornecedor, peça para um advogado olhar os e-mails e o contrato. Muitas vezes há mais saídas do que parece.

Imagine uma distribuidora que paga R$ 60 mil por Pix para a "nova conta" do fornecedor de embalagens e descobre no dia seguinte, quando o fornecedor cobra. Se em menos de uma hora ela liga para o banco, pede o MED, registra o B.O. na mesma manhã e envia ao banco, é bem possível que o dinheiro ainda esteja na conta de destino e que o valor seja bloqueado. Por isso agir rápido faz toda a diferença.

Como evitar o golpe do falso boleto e a troca de dados bancários

A boa notícia é que hábitos simples evitam a maior parte desses golpes, e são os mesmos que a FEBRABAN, o FBI e a INTERPOL recomendam:

• Não façam nenhuma troca de conta sem antes ligar para o fornecedor ou para o dono do e-mail, num número que vocês já tinham e falando com alguém conhecido, nunca no número que aparece no e-mail nem respondendo à mesma mensagem.
• Confira o beneficiário na tela antes de confirmar qualquer boleto ou Pix: nome e CNPJ têm de ser os do fornecedor.
• Use o DDA (Débito Direto Autorizado): segundo a FEBRABAN, ele mostra os boletos emitidos contra o CNPJ da empresa direto da base dos bancos, o que reduz o risco de boleto adulterado.
• Peça o boleto em PDF e evite imprimir. Mantenha antivírus atualizado nos computadores do financeiro.
• Dupla aprovação para cadastro de fornecedores, troca de dados bancários e pagamentos acima de um valor.
• Proteja o e-mail: verificação em duas etapas em todas as contas, senhas únicas e revisão periódica das regras de encaminhamento. Peça a quem administra o domínio que configure SPF, DKIM e DMARC, que dificultam que outros mandem e-mails em nome da empresa.
• Treine a equipe do financeiro. Cinco minutos por trimestre revisando esses sinais evitam muita dor de cabeça.

Quando procurar ajuda profissional

Se o valor foi alto, se o banco não conseguiu bloquear, se vocês não sabem por onde entraram ou se o fornecedor exige o pagamento de novo, vale ter uma avaliação profissional o quanto antes. Um perito em computação forense pode analisar a caixa de e-mail e os cabeçalhos para descobrir qual conta foi comprometida, e um advogado pode pedir medidas para bloquear a conta de destino e cobrar de quem for responsável.

Somos advogados e peritos especialistas em golpes online, criptomoedas e crimes cibernéticos. Cada caso é sempre atendido por um advogado ou um perito. Envie o boleto, o e-mail falso e o comprovante, mesmo que esteja tudo bagunçado: analisamos de graça e dizemos o que pedir ao banco hoje e quais os próximos passos. Em muitos casos o dinheiro é recuperado, principalmente quando se age rápido. Na Kironic fazemos todo o possível para recuperar o seu dinheiro.

Um último aviso: depois de um golpe assim, às vezes aparecem "recuperadoras" que garantem 100% de volta mediante pagamento antecipado. Costuma ser o segundo golpe. Veja como reconhecer o golpe do falso advogado e as falsas recuperadoras.