Golpe do boleto por e-mail: evite o falso IBAN

Um processo seguro antes de abrir ou pagar

A melhor defesa é um procedimento repetível. Ele deve ser simples o bastante para ser usado em uma manhã movimentada e claro o bastante para outra pessoa seguir.

1. 1Pause: não responda, não clique e não pague enquanto houver dúvida.
2. 2Inspecione o remetente, o pedido, o vencimento e o anexo com atenção.
3. 3Verifique o fornecedor por telefone, portal ou contato salvo fora do e-mail.
4. 4Compare o IBAN ou os dados bancários com registros confiáveis da empresa.
5. 5Depois da confirmação, pague; se continuar suspeito, preserve as provas e comunique o caso.

1. Pause

Não responda à mensagem para pedir confirmação. Se a conta do fornecedor estiver comprometida, a resposta pode continuar nas mãos do invasor.

Também evite copiar o número da conta diretamente do PDF ou do corpo do e-mail. Primeiro, separe a tarefa de ler a cobrança da tarefa de validar os dados.

2. Inspecione a solicitação

Confira o endereço completo do remetente, o endereço de resposta, o assunto e o histórico da conversa. Veja se o pedido faz sentido para o contrato ou para a compra realizada.

Registre o que mudou. Pode ser o valor, a data, o beneficiário, a conta, o IBAN ou apenas a forma de pagamento. Uma mudança específica ajuda a formular uma pergunta objetiva ao fornecedor.

Se o arquivo ainda não foi aberto, use uma ferramenta de verificação de anexos. O Mailamber tem verificação integrada com análise antivírus antes da abertura do anexo. Isso reduz o risco de abrir um arquivo malicioso, mas não confirma que os dados bancários do documento sejam verdadeiros.

Para entender como essa proteção funciona, consulte o guia sobre anexos seguros com antivírus integrado.

3. Verifique o fornecedor por outro canal

Use um telefone do contrato, do cadastro interno ou do site oficial digitado por você. Não use o telefone inserido apenas na mensagem suspeita.

Explique o que precisa ser confirmado: “Recebemos uma fatura com alteração nos dados de pagamento. Você pode confirmar o beneficiário e a conta cadastrada?”. Evite ler o número suspeito como se ele fosse verdadeiro. Peça que o fornecedor informe os dados registrados do lado dele.

Em empresas maiores, procure o departamento financeiro ou o contato comercial já conhecido. Se a pessoa disser que a conta mudou, peça uma confirmação formal conforme o procedimento combinado, sem abandonar a ligação independente.

4. Compare com registros confiáveis

Mantenha um cadastro interno de fornecedores com nome legal, CNPJ quando aplicável, contatos verificados e dados bancários aprovados. O acesso deve ser controlado, e alterações devem deixar registro.

Compare a fatura nova com uma fatura anterior legítima. Observe o beneficiário, o banco, a agência, a conta, a chave Pix ou o IBAN. Essa comparação não substitui o contato independente, mas ajuda a localizar a alteração.

Para pagamentos internacionais, confira também o nome do titular, o país do banco e o código BIC ou SWIFT quando o processo da sua instituição exigir esse dado. Não presuma que um IBAN visualmente bem formatado seja válido ou pertença ao fornecedor.

5. Só então decida

Se o fornecedor confirmar os dados, registre quem confirmou, quando e por qual canal. Siga a política interna de aprovação e, se possível, peça uma segunda conferência para mudanças bancárias.

Se ninguém confirmar, não pague. Encaminhe a cobrança ao responsável financeiro e mantenha o valor em espera até que os dados sejam validados.

Para organizar mensagens e contas com mais clareza, você pode consultar o guia sobre adicionar uma conta de e-mail e manter os canais de trabalho separados das contas pessoais.

O que fazer quando a solicitação parece suspeita

Não abra links ou anexos desnecessariamente. Preserve a mensagem original, os cabeçalhos quando disponíveis, o arquivo, os dados bancários enviados e os horários das interações.

Não encaminhe o e-mail para várias pessoas sem orientação. Um encaminhamento pode abrir o anexo automaticamente em outro ambiente ou espalhar um link perigoso. Compartilhe a informação com o responsável de segurança ou financeiro por um canal interno confiável.

Se alguém já pagou, avise o banco imediatamente e peça orientação sobre bloqueio, contestação ou tentativa de recuperação. Quanto mais cedo o banco receber a informação, melhor será a chance de iniciar os procedimentos disponíveis, embora não exista garantia de recuperação.

Se houver suspeita de invasão de uma conta de e-mail, altere a senha a partir de um dispositivo confiável, encerre sessões ativas quando o provedor permitir e ative autenticação em dois fatores. Verifique regras de encaminhamento e filtros desconhecidos, pois eles podem esconder respostas do fornecedor.

No Brasil, a empresa pode registrar um boletim de ocorrência e buscar orientação pelos canais oficiais do banco e das autoridades. O CERT.br reúne orientações sobre segurança na internet e incidentes. Em situações que envolvam dados pessoais, avalie também as obrigações aplicáveis à LGPD e as orientações da ANPD.

Exemplo prático: conferindo uma conta bancária alterada

A empresa fictícia Horizonte Móveis, de Curitiba, recebe uma fatura da transportadora Rota Sul Logística. O e-mail chega na mesma conversa usada em meses anteriores. O nome do remetente parece correto e o PDF traz o logotipo da transportadora.

No fim da mensagem, há uma frase: “Por atualização do nosso sistema bancário, os próximos pagamentos devem ser feitos para a nova conta”. O valor de R$ 8.460,00 corresponde a uma entrega recente. O documento, porém, apresenta uma nova chave Pix.

A pessoa responsável pelo contas a pagar não paga imediatamente. Ela anota três pontos:

• a chave Pix é diferente da registrada no cadastro;
• o pedido de alteração veio apenas por e-mail;
• o vencimento é próximo, o que cria pressão.

Em seguida, ela abre o cadastro interno da Rota Sul e liga para o número salvo no contrato, não para o número da assinatura do e-mail. O contato comercial confirma que a fatura existe, mas diz que a empresa não mudou a conta.

A Horizonte Móveis encaminha a mensagem ao fornecedor por um canal combinado, registra a tentativa de fraude e não realiza o pagamento. Depois, o responsável de TI verifica se houve alguma regra estranha na caixa de entrada e orienta a equipe a revisar o cadastro de fornecedores.

O ponto decisivo não foi descobrir um erro no logotipo ou na gramática. Foi comparar a nova instrução com uma fonte independente. Mesmo que o documento parecesse perfeito, a divergência nos dados já era suficiente para pausar.

Erros comuns que facilitam a fraude

Confiar no nome exibido

O nome pode ser copiado facilmente. Sempre abra os detalhes do remetente e compare o endereço completo com o cadastro conhecido.

Confirmar usando a própria conversa

Responder ao e-mail não é um canal independente. Se a conta foi comprometida, o invasor pode responder, confirmar a mudança e manter a aparência de normalidade.

Fazer uma exceção por causa do prazo

Um pagamento urgente ainda precisa seguir a regra de confirmação. Se houver uma exceção, ela deve ser aprovada por uma pessoa responsável por outro canal.

Conferir apenas o valor

Uma fatura pode ter valor, número e serviço corretos, mas conta bancária errada. A validação precisa incluir o beneficiário e os dados de pagamento.

Abrir o anexo antes de conferir a origem

Primeiro confirme se o documento era esperado. Depois, use uma proteção de anexos e abra o arquivo em um ambiente atualizado. Um antivírus ajuda, mas não substitui a confirmação comercial.

Não registrar alterações

Sem histórico, cada funcionário precisa decidir do zero. Registre quando um fornecedor alterou seus dados, quem confirmou e qual foi o canal usado.

Deixar uma única pessoa aprovar tudo

Uma segunda revisão para mudanças de conta é uma medida simples. Ela reduz a chance de um e-mail convincente virar pagamento automático.

Para criar regras de tratamento e separar mensagens que precisam de revisão, veja como funcionam as regras e a organização da caixa de entrada. A automação deve destacar o que merece atenção, não aprovar pagamentos sozinha.

Perguntas frequentes

Um IBAN diferente significa que a fatura é falsa?

Não necessariamente. Um fornecedor pode mudar de banco, mas a alteração precisa ser confirmada por um canal independente e conforme o procedimento da empresa. Nunca aceite a mudança apenas porque o e-mail parece legítimo.

Como reconhecer um golpe do boleto por e-mail?

Procure mudanças inesperadas nos dados bancários, pressão para pagar, endereço de remetente parecido, anexo não esperado e divergências com o pedido ou cadastro. O sinal mais importante é a falta de confirmação fora da mensagem.

Posso ligar para o telefone informado na fatura?

Se a fatura for suspeita, prefira um telefone salvo anteriormente, presente no contrato ou obtido no site oficial digitado por você. O contato incluído na própria mensagem pode ter sido alterado pelo fraudador.

O que devo fazer depois de abrir um anexo suspeito?

Não habilite conteúdo adicional, não instale nada e desconecte o dispositivo da rede se houver sinais de infecção. Avise o responsável de TI, preserve a mensagem e siga o procedimento de resposta a incidentes da empresa.

Uma ferramenta de segurança confirma que a fatura é verdadeira?

Não. A análise de anexo pode ajudar a identificar arquivos maliciosos, mas não prova que o fornecedor enviou o documento nem que o IBAN pertence a ele. A confirmação financeira precisa acontecer por um canal independente.