Antes de pagar um fornecedor, confira se a despesa existe, se o valor confere e se nome e CNPJ do recebedor são os do cadastro da empresa. Qualquer pedido de troca de conta, boleto reemitido ou urgência fora do comum deve ser confirmado por um canal que a empresa já conhecia, nunca pelo contato que veio na própria mensagem. Se o pagamento já foi feito por Pix, acione o banco pelos canais oficiais o quanto antes para pedir o Mecanismo Especial de Devolução (MED) e guarde as evidências.
Onde o golpe entra no pagamento a fornecedores
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) descreve um padrão comum: golpistas enviam boletos falsos se passando por empresas conhecidas e, quando a vítima paga, o dinheiro vai para a conta deles. O mesmo raciocínio vale para QR Codes de Pix trocados e para cobranças falsas enviadas por mensagem.
Nas empresas, uma variação frequente é a mensagem que parece vir de um fornecedor real e informa uma conta bancária nova. O Internet Crime Complaint Center (IC3), do FBI, trata esse tipo de fraude como comprometimento de e-mail corporativo e recomenda confirmar pedidos de mudança de dados de conta com o destinatário por um canal secundário. A fragilidade raramente está no aplicativo do banco; está no momento em que alguém aceita uma informação de pagamento sem conferir de onde ela veio.
Referência desta seção: CERT.br: fascículo Golpes: Evite Fraudes (Cartilha de Segurança para Internet); FBI / Internet Crime Complaint Center (IC3): Business Email Compromise.
As três perguntas antes de autorizar
O fascículo Golpes: Evite Fraudes, do CERT.br, propõe perguntas diretas antes de pagar um boleto: a empresa deve mesmo essa despesa? O valor cobrado está correto? Os dados de quem vai receber, como nome e CNPJ, são do fornecedor contratado? Para Pix e QR Code, a orientação é a mesma: conferir valor, nome e CNPJ do recebedor na tela de confirmação, antes de autorizar.
A redação sugere transformar essas perguntas em um passo fixo da rotina financeira. A primeira pergunta se responde com o pedido de compra, o contrato ou a nota fiscal. A segunda, com o combinado no pedido. A terceira, com o cadastro do fornecedor mantido pela própria empresa, e não com os dados impressos no documento recebido. Quando o nome exibido pelo banco na confirmação não corresponde ao fornecedor cadastrado, o pagamento para ali até que alguém esclareça a diferença.
Referência desta seção: CERT.br: fascículo Golpes: Evite Fraudes (Cartilha de Segurança para Internet).
Troca de conta e urgência pedem confirmação por fora
Alguns sinais justificam parar e confirmar antes de qualquer pagamento: pedido de troca de conta bancária, boleto reenviado com dados diferentes, beneficiário com nome genérico ou de outra empresa, desconto inesperado para pagar no mesmo dia e pressão para agir rápido. A recomendação do IC3 é verificar a mudança com o destinatário por outro canal; a do CERT.br, em caso de dúvida, é contatar o fornecedor pelos canais oficiais.
Na prática, isso significa ligar para o telefone que já está no cadastro ou no contrato, e não para o número que veio na mensagem suspeita. Uma mensagem fraudulenta pode trazer um telefone de confirmação controlado pelo próprio golpista. A tabela abaixo é uma proposta da redação para adaptar à rotina de cada empresa.
| Sinal observado | Conferência antes de pagar | Quem registra |
|---|---|---|
| Fornecedor informa conta nova | Ligação para o contato já cadastrado e confirmação por escrito antes de alterar o cadastro | Quem mantém o cadastro de fornecedores |
| Boleto reenviado ou com dados diferentes | Comparar beneficiário, CNPJ e valor com o pedido e com o boleto anterior | Quem lança o pagamento |
| Nome do recebedor diferente do fornecedor | Suspender e pedir esclarecimento pelo canal conhecido | Quem aprova o pagamento |
| Urgência ou desconto para pagar hoje | Seguir o fluxo normal de aprovação, sem exceção por pressão | Quem aprova o pagamento |
Referência desta seção: FBI / Internet Crime Complaint Center (IC3): Business Email Compromise; CERT.br: fascículo Golpes: Evite Fraudes (Cartilha de Segurança para Internet).
Controles que reduzem o estrago de um erro
Alguns recursos bancários diminuem a exposição. O CERT.br explica que, pelo Débito Direto Autorizado (DDA), os boletos registrados em nome do pagador chegam eletronicamente à instituição em que ele tem conta e, se o pagamento for autorizado, o valor segue para o emissor registrado. Acompanhar o DDA ajuda a comparar o boleto recebido por e-mail com o que de fato foi emitido. O mesmo material recomenda reduzir os limites de transferências, como Pix e TED, para diminuir o prejuízo caso algo dê errado.
Dentro da empresa, separar funções ajuda: quem altera o cadastro de um fornecedor não deveria ser a mesma pessoa que aprova o pagamento para a conta recém-alterada. Em uma equipe pequena, uma alternativa é exigir uma segunda aprovação apenas para pagamentos a contas novas ou acima de um valor definido pela empresa. Exemplo hipotético: uma loja que paga dez fornecedores por mês decide que qualquer conta nova só recebe depois de uma ligação de confirmação registrada no cadastro, com data e nome de quem atendeu.
Referência desta seção: CERT.br: fascículo Banco via Internet (Cartilha de Segurança para Internet).
Se o dinheiro já saiu: o que fazer nas primeiras horas
O fascículo Golpes: Caiu? Veja o que Fazer, do CERT.br, orienta a contestar a transferência pelo aplicativo ou pelos canais oficiais do banco para acionar o MED quando o pagamento foi feito por Pix, e afirma que, quanto antes a contestação for feita, maior a chance de reaver os valores. O material também recomenda cortar o contato com o golpista, guardar evidências (mensagens, comprovantes, protocolos, datas e nomes dos atendentes) e registrar boletim de ocorrência.
Convém ajustar a expectativa. Em apresentação de outubro de 2025 sobre o chamado MED 2.0, o Banco Central informou que, naquele ano, a recuperação média havia sido de 9,3% do valor contestado e que o bloqueio alcançava apenas a primeira conta recebedora; o MED 2.0 foi desenhado para rastrear o dinheiro além dessa conta. A contestação rápida é necessária, mas não garante devolução, por isso a conferência antes de pagar continua sendo a principal proteção. Se a empresa recebeu um Pix supostamente por engano, o CERT.br orienta devolver pela opção de devolução do próprio aplicativo, nunca por um novo Pix para outra conta.
Referência desta seção: CERT.br: fascículo Golpes: Caiu? Veja o que Fazer (Cartilha de Segurança para Internet); Banco Central do Brasil: Aprimoramentos no Mecanismo Especial de Devolução, MED 2.0 (Circuito Pix, outubro de 2025); CERT.br: fascículo Golpes: Evite Fraudes (Cartilha de Segurança para Internet).
Leve para a sua próxima semana
- Conferir se a despesa existe no pedido, contrato ou nota fiscal
- Comparar nome e CNPJ do recebedor com o cadastro do fornecedor
- Confirmar qualquer troca de conta pelo telefone já cadastrado
- Exigir segunda aprovação para contas novas ou valores acima do limite definido
- Acompanhar os boletos no DDA e revisar os limites de transferência
- Ter anotado o canal oficial do banco para contestar um Pix e pedir o MED
Perguntas frequentes
Pagar boleto pelo aplicativo do banco elimina o risco?
Não. O aplicativo garante que o pagamento vai para o beneficiário daquele boleto, mas não confirma que o boleto é do seu fornecedor. A conferência de nome, CNPJ e valor na tela de confirmação continua necessária.
O fornecedor mudou de banco de verdade. Como atualizar sem travar a operação?
Confirme a mudança por um contato que a empresa já tinha, registre a confirmação no cadastro e, se possível, faça o primeiro pagamento para a conta nova com a segunda aprovação. O atraso de uma ligação costuma ser menor do que o custo de pagar duas vezes.
O MED vale para boleto?
O Mecanismo Especial de Devolução é um recurso do Pix. Para boleto e outros meios, procure o banco pelos canais oficiais, guarde as evidências e registre boletim de ocorrência; o CERT.br também cita a reclamação ao Banco Central, o Procon e a orientação jurídica como caminhos possíveis.
Fontes e leituras complementares
As referências sustentam os conceitos indicados nas seções. Os métodos, tabelas e exemplos hipotéticos deste guia são contribuições editoriais, sem alegação de validação pelas instituições citadas.
- CERT.br: fascículo Golpes: Evite Fraudes (Cartilha de Segurança para Internet) ↗
- CERT.br: fascículo Banco via Internet (Cartilha de Segurança para Internet) ↗
- CERT.br: fascículo Golpes: Caiu? Veja o que Fazer (Cartilha de Segurança para Internet) ↗
- FBI / Internet Crime Complaint Center (IC3): Business Email Compromise ↗
- Banco Central do Brasil: Aprimoramentos no Mecanismo Especial de Devolução, MED 2.0 (Circuito Pix, outubro de 2025) ↗
Referências consultadas em 2026-10-29. Revisão editorial automatizada; não representa revisão humana especializada.
O Expresso integra o ecossistema Second Mind/DNCORE. Os links para suas iniciativas são identificados como parte desse ecossistema.
