Como este tema funciona no porte da sua empresa
Uma ou duas pessoas concentram compras, pagamento e conferência, o que facilita cair no golpe por confiar em print de comprovante ou boleto recebido por e-mail e WhatsApp. O controle essencial é a regra fixa: nunca confiar em print, sempre conferir o crédito no extrato antes de liberar e confirmar troca de conta bancária por telefone com o fornecedor.
Já dá para segregar quem cadastra o fornecedor de quem aprova e de quem paga, instituir alçadas e dupla aprovação. O desafio é padronizar o checklist de conferência e a validação de alteração de dados bancários como etapa obrigatória do fluxo, não como cuidado avulso.
A tesouraria opera com segregação de funções, alçadas formais e, muitas vezes, validação automatizada de dados bancários e antifraude. O desafio é governança: manter o processo, monitorar tentativas, treinar as equipes e ter fluxo definido de acionamento do MED e resposta a incidente.
Golpes em pagamentos são fraudes aplicadas por terceiros de fora da empresa para desviar dinheiro do financeiro — boleto adulterado com o beneficiário trocado, comprovante de Pix falso, Pix agendado apresentado como se estivesse pago e pedidos de troca de chave ou conta bancária feitos por quem se passa pelo fornecedor. Blindar o financeiro é executar controles concretos de conferência antes de pagar e antes de liberar mercadoria, além de saber acionar o MED quando o golpe se concretiza.
O mapa das fraudes externas de pagamento que o financeiro enfrenta
As fraudes externas de pagamento se concentram em quatro golpes recorrentes: boleto falso, comprovante de Pix falso, Pix agendado apresentado como pago e troca de chave ou dados bancários do fornecedor. Todos exploram a mesma brecha: liberar dinheiro ou mercadoria com base em uma informação que não foi conferida na fonte.
Este artigo trata da ameaça que vem de fora — o golpista de terceiro. A fraude interna, feita por colaborador que desvia pagamento, é tema de artigos vizinhos da base sobre aprovação de pagamentos, alçadas e prevenção de fraudes internas. A dupla checagem de dados bancários é a ponte entre os dois mundos, mas aqui o foco é o golpe externo.
Boleto falso ou adulterado
É o boleto com a linha digitável ou o beneficiário trocado para a conta do golpista. Chega muitas vezes por um canal informal — um e-mail ou mensagem se passando pelo fornecedor — e parece legítimo à primeira vista. Quem paga sem conferir o beneficiário está pagando o golpista, não o fornecedor.
Comprovante de Pix falso ou adulterado
É a imagem de um comprovante editada para simular um pagamento que não aconteceu. O golpista mostra o "comprovante" e pede a liberação da mercadoria ou do serviço. Como o print pode ser falsificado, ele nunca prova que o dinheiro entrou.
Pix agendado apresentado como pago
Aqui o golpista agenda um Pix e mostra a tela de agendamento como se fosse a liquidação. O agendamento pode ser cancelado antes de executar, então a mercadoria sai e o dinheiro nunca cai. A diferença entre "agendado" e "efetivado" é o detalhe que separa a venda legítima do prejuízo.
Troca de chave Pix ou de dados bancários
É o golpe mais caro. Alguém se passa pelo fornecedor, por e-mail ou mensagem, e pede que o próximo pagamento seja feito em uma nova conta ou chave. Se a empresa altera o cadastro sem confirmar por um canal independente, o pagamento inteiro vai para o golpista.
Checklist de conferência de comprovante de Pix no recebimento
A regra que blinda o recebimento é uma só: nunca liberar mercadoria ou serviço com base em um print. A confirmação tem que vir do extrato ou do painel de pagamentos, onde o crédito aparece de verdade. O print é o que o golpista controla; o extrato, não.
O que conferir antes de liberar a venda
- Confirmar o crédito na fonte: abrir o extrato ou o painel de pagamentos e ver o valor efetivamente creditado — não confiar na imagem enviada.
- Conferir o beneficiário: o nome, o CNPJ e a chave que receberam o valor têm que ser exatamente os da empresa.
- Conferir data e hora: comparar o horário do comprovante com o horário da venda; descompasso é sinal de alerta.
- Checar "agendado" x "efetivado": ler se a tela mostra um pagamento concluído ou apenas um agendamento que ainda pode ser cancelado.
- Desconfiar da imagem: fonte inconsistente, corte estranho ou informação incompleta pedem verificação redobrada.
A conciliação, automática ou manual, é a rede de segurança que pega o que passou pela conferência do balcão — por isso ela não é opcional.
Por que o print nunca prova o pagamento
Um comprovante em imagem pode ser editado em minutos, e o "comprovante agendado" pode ser cancelado depois de mostrado. Só o crédito visível no extrato ou no painel confirma que o dinheiro entrou. Adotar "sem crédito no extrato, não libera" como regra fixa elimina de uma vez os golpes de comprovante e de agendamento.
Checklist de conferência de boleto no pagamento
Antes de pagar um boleto, a conferência central é o beneficiário: quem vai receber tem que ser o fornecedor esperado. A régua prática é que boleto chegando por um canal diferente do habitual já é um sinal de alerta que exige confirmar a segunda via na fonte oficial.
O que validar antes de pagar
- Beneficiário da linha digitável ou do QR: conferir contra o fornecedor esperado; se o nome ou CNPJ não bate, não pague.
- Canal de recebimento: desconfiar de boleto que chegou por WhatsApp ou por um e-mail fora do fluxo habitual.
- Valor e vencimento: validar contra o pedido ou a nota fiscal correspondente.
- Segunda via na dúvida: gerar ou confirmar o boleto pelo canal oficial do fornecedor antes de pagar.
O sinal de alerta que resume a conferência
Boleto que chega por canal diferente do habitual merece parar e confirmar na fonte. Golpistas apostam na pressa e no "era só esse boletinho". Um telefonema ou a geração da segunda via pelo portal oficial do fornecedor custa minutos e evita o pagamento a uma conta errada.
Dupla checagem de alteração de dados bancários: o controle central
O controle antifraude que barra o golpe mais caro é nunca alterar a conta ou a chave de um fornecedor com base só em e-mail ou mensagem. A confirmação tem que vir por um canal independente já conhecido — ligar para o telefone que a empresa já tinha cadastrado, nunca para o contato que veio no e-mail novo.
Por que confirmar por canal independente
O golpe de troca de dados bancários se sustenta porque o pedido parece vir do fornecedor. Se a empresa responde ao mesmo e-mail ou liga para o número que o próprio pedido informou, está falando com o golpista. Confirmar pelo contato que já estava no cadastro antigo é o que quebra a fraude: o fornecedor real confirma (ou desmente) a mudança.
Segregar quem cadastra de quem paga
Como uma pessoa costuma fazer tudo, o controle é a regra fixa: qualquer troca de conta bancária de fornecedor só depois de uma ligação de confirmação para o telefone já conhecido, com registro de quem autorizou.
Dá para segregar quem cadastra o fornecedor de quem aprova o pagamento e transformar a dupla checagem por canal independente em etapa obrigatória do fluxo, não em cuidado avulso.
A validação de titularidade da conta ou chave pode ser automatizada e combinada com aprovação segregada e alçadas formais, mantendo o registro de quem autorizou cada alteração.
Manter o registro de quem autorizou
Toda alteração de dados bancários de fornecedor deve deixar rastro: quem pediu, quem confirmou por telefone, quem aprovou. Esse registro serve tanto para responsabilizar quanto para investigar rápido se algo der errado — e desestimula a mudança feita "no automático".
Como acionar o MED quando o golpe se concretiza
O MED — mecanismo especial de devolução do Pix — é o canal pelo qual a vítima de fraude ou de falha operacional pede a devolução de um Pix, registrado no próprio aplicativo ou internet banking da instituição, sem depender de atendente.[1] Ele é um canal de tentativa de recuperação, não uma garantia de que o dinheiro volta.
O que é o MED em termos práticos
Quando um Pix é enviado por engano ou em razão de um golpe, a empresa registra o pedido de devolução (contestação) direto no app do banco. A instituição analisa e, se ainda houver saldo na conta que recebeu, pode bloquear e devolver o valor. Como referência datada à fonte, o mecanismo passou a permitir o rastreamento do dinheiro por contas subsequentes, e não apenas pela primeira conta que recebeu — confirme junto à sua instituição as regras vigentes.[1]
Passo a passo ao identificar o golpe
- Registrar o pedido de devolução o quanto antes: abrir a contestação no app ou internet banking imediatamente — a chance de recuperar cai à medida que o tempo passa e o golpista movimenta o dinheiro.
- Reunir evidências: juntar comprovantes, conversas, e-mails e o histórico da operação.
- Registrar boletim de ocorrência: formalizar o golpe junto à autoridade policial.
- Acompanhar o resultado: monitorar a resposta da instituição e manter o registro do caso.
O que o MED não faz
O MED não garante a devolução. Se o golpista já esvaziou a conta, pode não haver saldo a recuperar. Por isso a prioridade continua sendo a prevenção — os checklists de conferência e a dupla checagem de dados bancários — e o MED é o último recurso, acionado com pressa porque cada minuto conta.
A rotina que sustenta os controles
Os controles antifraude só funcionam como rotina, não como cuidado avulso: conciliação frequente, treinamento das equipes, política escrita e registro de tentativas. Um checklist que existe no papel mas não é seguido todo dia não protege ninguém.
Conciliação e registro de incidentes
A conciliação frequente é o que pega o golpe que passou pela conferência do balcão — o comprovante que parecia bom, o boleto que não foi checado. Registrar tentativas e incidentes, mesmo os que não viraram prejuízo, cria memória: mostra quais golpes estão batendo à porta da empresa e onde o processo precisa apertar.
Treinamento e política escrita por porte
Basta uma regra escrita e combinada com todos: nunca liberar com base em print, nunca trocar conta de fornecedor por e-mail. Poucas linhas, mas seguidas sem exceção.
O checklist de conferência e a dupla checagem viram etapa obrigatória do fluxo, com treinamento das equipes de compras, financeiro e vendas sobre os golpes recorrentes.
A governança monitora tentativas, treina periodicamente, mantém fluxo definido de acionamento do MED e resposta a incidente, e revisa os controles conforme surgem novos golpes.
Sinais de que sua empresa precisa reforçar os controles antifraude
Se você se reconhece em três ou mais cenários abaixo, o financeiro está exposto a golpes externos de pagamento.
- A empresa libera mercadoria ou serviço com base em print de comprovante, sem confirmar no extrato.
- Boletos e comprovantes chegam por WhatsApp ou e-mail e são pagos sem conferir o beneficiário.
- Alteração de conta bancária de fornecedor é feita só com base em e-mail, sem confirmação por telefone.
- A mesma pessoa cadastra o fornecedor, aprova e efetua o pagamento.
- Não existe checklist padrão de conferência antes de pagar ou de liberar uma venda.
- A equipe não sabe o que fazer nem como acionar o MED caso um pagamento indevido aconteça.
Caminhos para estruturar os controles antifraude
Há dois caminhos para blindar o financeiro contra golpes externos, e eles não se excluem: a base mínima é sempre interna, e o apoio externo entra quando o volume pede escala.
Escrever o checklist de conferência, instituir a regra de dupla checagem de dados bancários e treinar a equipe são passos que o próprio financeiro executa.
- Perfil necessário: o responsável financeiro define as regras e garante que sejam seguidas na rotina.
- Tempo estimado: algumas semanas para escrever a política, montar o checklist e treinar as equipes.
- Faz sentido quando: em qualquer porte, como base mínima de proteção.
- Risco principal: o checklist virar letra morta se não houver disciplina e cobrança.
Quando o volume de pagamentos é alto, vale ter validação automatizada de dados bancários, antifraude e segregação estruturada operando em escala.
- Tipo de fornecedor: BPO Financeiro, Consultoria Financeira ou Validação de Dados Bancários / Antifraude.
- Vantagem: validação de titularidade automatizada e processos antifraude prontos.
- Faz sentido quando: o volume de pagamentos e fornecedores é alto e a conferência manual não escala.
- Resultado típico: fluxo de conferência e validação de dados bancários padronizado e monitorado.
Precisa de apoio para estruturar os controles antifraude do contas a pagar e receber?
Se blindar o financeiro contra golpes de pagamento virou prioridade, o oHub conecta a sua empresa, de forma gratuita, a fornecedores de BPO financeiro, consultoria financeira e validação de dados bancários. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
Como saber se um comprovante de Pix é falso?
Não confie no comprovante em si — confirme o crédito diretamente no extrato ou no painel de pagamentos. Confira se o beneficiário (nome, CNPJ e chave) é exatamente o da sua empresa, compare data e hora com a venda e verifique se a tela mostra um pagamento efetivado, e não apenas agendado. Print pode ser editado; o crédito no extrato, não.
Como identificar um boleto falso antes de pagar?
Confira o beneficiário da linha digitável ou do QR contra o fornecedor esperado, valide valor e vencimento contra o pedido ou a nota, e desconfie de boleto que chegou por um canal diferente do habitual, como WhatsApp ou e-mail fora do fluxo. Na dúvida, gere ou confirme a segunda via pelo canal oficial do fornecedor.
O que fazer quando um fornecedor pede para trocar os dados bancários?
Nunca altere a conta ou a chave com base só em e-mail ou mensagem. Confirme sempre por um canal independente já conhecido — ligue para o telefone que a empresa já tinha cadastrado, não para o contato que veio no pedido novo. Idealmente, segregue quem cadastra o fornecedor de quem aprova o pagamento e registre quem autorizou a mudança.
Como acionar o MED em caso de golpe no Pix?
Registre o pedido de devolução (contestação) no próprio aplicativo ou internet banking da instituição o mais rápido possível, porque a chance de recuperar cai com o tempo. Reúna as evidências, registre boletim de ocorrência e acompanhe o resultado. O MED é um canal de tentativa de devolução, não uma garantia de recuperação do valor.
Como conferir a chave Pix antes de pagar um fornecedor?
Antes de pagar, verifique se o nome e o CNPJ vinculados à chave correspondem ao fornecedor esperado, e desconfie se a chave chegou por um canal informal ou diferente do habitual. Se houver qualquer divergência, confirme os dados pelo canal oficial já conhecido do fornecedor antes de concluir o pagamento.
O que fazer se a empresa caiu em um golpe de pagamento?
Acione o MED imediatamente pelo app do banco registrando a contestação, reúna todas as evidências, registre boletim de ocorrência e comunique a instituição financeira. Depois, revise o processo para entender qual controle falhou — conferência de comprovante, de boleto ou validação de dados bancários — e corrija a rotina.
Fontes e referências
A Base Gestão orienta sobre os controles e a rotina de prevenção a golpes de pagamento. Ela não substitui a orientação jurídica nem a da instituição financeira quando há um incidente concreto.