Golpe do falso fornecedor: como blindar o pagamento da empresa

Como o golpe do falso fornecedor funciona

O golpe funciona explorando um processo, não um sistema: o criminoso envia um pedido que parece legítimo — de um fornecedor ou de alguém de dentro — para trocar a conta de pagamento, e alguém paga sem conferir.^[1] O dinheiro vai para a conta do golpista, e quando a empresa percebe, já saiu.

O passo a passo do golpe da troca de boleto

Começa com um e-mail parecido com o do fornecedor de verdade — muitas vezes com o domínio levemente alterado — informando que "os dados bancários mudaram" e anexando um boleto novo. O valor e a descrição batem com uma compra real, o que dá credibilidade. Quem paga sem estranhar deposita na conta do golpista. O detalhe que denuncia costuma ser pequeno: uma letra a mais no e-mail, uma conta em nome diferente, uma pressa incomum.

O golpe do BEC: quando o pedido parece vir de dentro

No BEC (comprometimento de e-mail corporativo), o golpista se passa por um sócio, diretor ou pelo próprio dono, pedindo uma transferência urgente e sigilosa — "resolve isso pra mim agora, depois te explico". A combinação de autoridade, urgência e sigilo é desenhada para desligar a checagem. É especialmente perigoso porque a vítima acha que está obedecendo ao chefe, não caindo em golpe. Fraudes por e-mail corporativo estão entre as que mais crescem no país.^[1]

Por que a PME é alvo preferido

Pequenas empresas concentram uma fatia grande dos ataques porque costumam ter menos controles e mais informalidade nos pagamentos — uma pessoa que aprova e paga, confiança no e-mail, pressa no dia a dia.^[2] O golpista não precisa invadir nada: basta um e-mail convincente e um processo de pagamento sem checagem. É por isso que a defesa mais eficaz é organizacional, não tecnológica.

Como blindar a saída de dinheiro

Blindar o pagamento é criar duas barreiras simples que o golpe não vence: confirmar toda mudança de dados bancários por um segundo canal e separar quem aprova de quem paga.^[2] Nenhuma das duas custa dinheiro — ambas custam poucos minutos por pagamento e evitam o prejuízo.

A regra da dupla checagem de conta

A regra mais importante: nenhuma mudança de conta bancária, boleto ou chave Pix é aceita só por e-mail. Toda alteração é confirmada por um segundo canal — uma ligação para um número que você já tinha do fornecedor (nunca o número que veio no e-mail suspeito). Essa checagem única derruba a maioria dos golpes, porque o criminoso controla o e-mail falso, mas não o telefone real do fornecedor. Transforme isso em regra fixa, não em "quando der".

Separar quem aprova de quem paga

Quando a mesma pessoa aprova e executa o pagamento, não há ninguém para questionar o pedido estranho. Separar as funções — um aprova, outro paga — cria um segundo par de olhos que pode estranhar a conta nova ou a pressa. Em empresas muito pequenas, onde isso não é possível, o segundo par de olhos é a dupla checagem por telefone. A ideia é a mesma: nunca deixar um pagamento sensível depender de uma decisão solitária.

Definir alçada por valor

Estabeleça faixas de valor que exigem mais aprovação: pagamentos acima de um limite precisam de um segundo "sim", e mudanças de conta acima de outro limite precisam de confirmação formal do fornecedor. A alçada concentra o rigor onde o risco é maior, sem emperrar os pagamentos pequenos do dia a dia. Documente essas regras de forma simples e comunique a quem paga.

Reconhecer os sinais de e-mail falso

Treine o olhar de quem paga para quatro sinais: domínio do e-mail levemente diferente do verdadeiro, urgência fora do normal, pedido de sigilo e, acima de tudo, mudança de conta bancária. Qualquer um deles já pede a dupla checagem — dois ou mais juntos são quase sempre golpe. O conteúdo mais detalhado sobre e-mails fraudulentos está em phishing-e-engenharia-social-na-pme — aqui o foco é o gatilho financeiro: mexeu na conta de pagamento, confirme antes. O golpe no sentido inverso — o cliente que apresenta um comprovante de pagamento falso e leva o produto sem pagar — está em golpe-do-comprovante-falso-na-venda.

O que fazer se cair no golpe

Se um pagamento foi desviado, a chance de recuperar depende de agir nas primeiras horas: quanto mais rápido acionar o banco, maior a possibilidade de bloquear o dinheiro antes que ele seja sacado ou repassado.^[3] Pânico atrasa — um roteiro claro acelera.

As primeiras horas: acionar o banco

Ligue imediatamente para o seu banco, relate a fraude e peça o bloqueio ou a tentativa de recuperação. No caso do Pix, existe um mecanismo específico de devolução (MED) para casos de fraude — aprimorado para rastrear o caminho do dinheiro entre as instituições e ampliar a chance de recuperação —, que os bancos podem acionar quando avisados rapidamente.^[3] O tempo é o fator decisivo: o dinheiro parado na conta do golpista pode ser bloqueado — o já sacado, dificilmente. Por isso a primeira ligação vem antes de qualquer outra coisa.

Registrar e comunicar

Registre um boletim de ocorrência e reúna as evidências — o e-mail falso, o comprovante, os dados da conta de destino. Isso sustenta a investigação e eventuais medidas. Avise também o fornecedor verdadeiro (o golpe pode estar usando o nome dele com outros clientes) e as pessoas da sua equipe, para que ninguém pague uma segunda parcela do mesmo golpe.

Revisar o processo para não repetir

Depois de conter o dano, volte à causa: por que o pagamento passou sem checagem? Quase sempre a resposta é a ausência da dupla verificação ou da separação de funções. Ajustar o processo — e não apenas punir quem pagou — é o que evita a repetição. Um golpe sofrido, tratado como lição de processo, costuma deixar a empresa mais protegida do que estava.