Fraude de boleto e Pix na empresa: controles que realmente barram

Por que o financeiro virou alvo prioritário

Fraudes contra empresas migraram do ataque técnico para o ataque ao processo. Invadir um firewall bem configurado dá trabalho; convencer uma analista do contas a pagar de que o fornecedor "trocou de banco" custa um e-mail bem escrito. O criminoso não precisa quebrar criptografia, precisa apenas de um boleto com linha digitável alterada ou de uma chave Pix nova em um cadastro que ninguém confere.

O padrão mais comum começa com o comprometimento de uma caixa de e-mail — do seu fornecedor, não necessariamente da sua empresa. O atacante fica semanas apenas lendo. Aprende o ciclo de faturamento, o nome do contato, o tom das mensagens, os valores típicos. Quando a fatura real é emitida, ele intercepta, troca o PDF por uma cópia visualmente idêntica com outro beneficiário e responde na própria thread existente. Não há link suspeito, não há anexo malicioso, não há alerta do antivírus. Há apenas um boleto que parece legítimo porque, em quase tudo, ele é.

No Pix a mecânica é ainda mais rápida. A liquidação é imediata e irreversível na prática — o Mecanismo Especial de Devolução existe, mas depende de o dinheiro ainda estar na conta destino, o que raramente acontece depois de alguns minutos. Enquanto o boleto ainda dava uma janela de compensação e contestação, o Pix fechou essa janela. Isso desloca toda a defesa para antes do pagamento: o controle precisa impedir a transação, porque recuperá-la depois é exceção, não regra.

Os quatro vetores que aparecem na prática

Vale separar os cenários, porque cada um exige um controle diferente. Tratar tudo como "golpe do boleto" leva a soluções genéricas que não barram nada.

• Boleto adulterado em trânsito: a fatura real é substituída por uma cópia com linha digitável de outro beneficiário. O layout, o valor e o vencimento são idênticos. Só o código de barras muda.
• Troca de dados bancários do fornecedor: e-mail (frequentemente da conta real, comprometida) informando "mudança de banco", "conta bloqueada", "agora recebemos por Pix". Pede atualização do cadastro para os próximos pagamentos.
• Fraude do CEO: mensagem que aparenta vir de um diretor pedindo transferência urgente, sigilosa, fora do fluxo normal. Explora hierarquia e pressa. Costuma cair em sexta à tarde ou véspera de feriado.
• QR Code Pix substituído: em cobranças impressas, em telas de atendimento ou em PDFs, o QR é trocado por outro apontando para chave de terceiro. Ninguém lê QR Code a olho nu — é exatamente esse o ponto.

Um traço une os quatro: todos exploram um processo que aceita mudança de destino do dinheiro por um único canal de comunicação. Se a decisão de para onde pagar pode ser alterada por uma mensagem recebida, o processo está quebrado, independentemente da tecnologia empregada.

Há também um agravante interno pouco discutido: o volume. Um financeiro que processa centenas de títulos por mês desenvolve automatismo. A checagem vira ritual sem atenção real. Fraudadores contam com isso e escolhem valores dentro da faixa habitual da empresa, evitando disparar qualquer estranhamento.

Dupla checagem e canal alternativo: o controle que realmente barra

O único controle que derruba os quatro vetores de uma vez é a verificação por canal alternativo — também chamada de callback verification. A regra é simples de enunciar e difícil de manter: qualquer alteração de dados bancários, e qualquer pagamento acima de um limite definido, só é executado após confirmação por um canal diferente daquele em que a solicitação chegou.

Se o pedido veio por e-mail, a confirmação sai por telefone. Se veio por WhatsApp, confirma por e-mail corporativo. Nunca no mesmo canal — e nunca usando o contato informado na própria mensagem suspeita.

Esse último detalhe é o que separa um controle real de um teatro de segurança. Ligar para o número que consta na assinatura do e-mail fraudulento é ligar para o fraudador. O telefone precisa vir do cadastro do fornecedor, registrado antes da solicitação, ou de fonte independente como o site oficial ou um contrato assinado. O cadastro de contatos passa a ser um ativo de segurança, não uma planilha administrativa.

Na prática, o desenho fica assim:

1. Solicitação de alteração cadastral ou pagamento chega por qualquer canal.
2. Registro formal do pedido em sistema — nunca resolver "por e-mail mesmo".
3. Contato ativo com o fornecedor usando telefone do cadastro histórico, com pessoa nomeada, não ramal genérico.
4. Confirmação registrada: quem ligou, para quem, quando, o que foi confirmado.
5. Aprovação por segunda pessoa com alçada, distinta de quem cadastrou.
6. Só então a alteração entra em vigor — preferencialmente com carência de 24 a 48 horas antes do primeiro pagamento no novo destino.

A carência é subestimada e vale ouro. Fraude tem prazo de validade: o atacante precisa do dinheiro antes que alguém perceba. Um período de espera obrigatório entre a mudança de conta e o primeiro pagamento cria tempo para que o fornecedor legítimo estranhe a ausência do crédito e ligue — o que sozinho já desmonta a maior parte dos golpes de troca cadastral.

Segregação de funções, alçadas e limites

Nenhuma pessoa deve conseguir, sozinha, cadastrar um fornecedor, aprovar um título e liberar o pagamento. Essa é a segregação de funções clássica, e ela existe justamente porque um controle que depende de uma única pessoa depende também de que essa pessoa nunca erre, nunca esteja com pressa e nunca seja enganada. É pedir demais.

Além da segregação, três parâmetros de configuração fazem diferença mensurável:

• Limites por transação e por dia nas contas empresariais, dimensionados pelo fluxo real e não pelo teto que o banco oferece. Pix noturno com limite reduzido é configuração padrão do Banco Central e deve estar ativa.
• Alçadas escalonadas: faixas de valor com número crescente de aprovadores. Valores altos exigem dois ou três aprovadores, com pelo menos um fora da hierarquia direta de quem solicitou.
• Lista de beneficiários pré-cadastrados com aprovação prévia. Pagamento para destino novo cai automaticamente em fila de exceção, com análise obrigatória.

Do lado da automação, conciliar o boleto contra o pedido de compra e a nota fiscal antes do pagamento elimina boa parte do risco sem depender de atenção humana. Sistemas de gestão que fazem leitura do código de barras e comparam o CNPJ do beneficiário com o CNPJ do fornecedor cadastrado barram o boleto adulterado no ato — porque o layout do PDF pode ser copiado, mas o beneficiário embutido na linha digitável, não. Essa checagem de CNPJ beneficiário versus CNPJ cadastrado é, isoladamente, o controle técnico com melhor relação custo-benefício disponível.

Camada técnica: e-mail, identidade e monitoramento

Controles de processo funcionam melhor quando o atacante tem dificuldade em parecer legítimo. A camada técnica atua exatamente aí. SPF, DKIM e DMARC configurados em modo de rejeição impedem que alguém envie e-mail se passando pelo seu domínio — e reduzem o risco de fraude do CEO contra sua própria equipe. Vale lembrar que isso protege o seu domínio; não protege contra a conta legítima de um fornecedor que foi comprometida, o que reforça por que o controle de processo continua indispensável.

No Microsoft 365, políticas de anti-phishing com proteção de usuários prioritários, marcação visual de e-mails externos e alertas para regras de encaminhamento automático cobrem os sinais mais comuns de caixa comprometida. Fraudadores costumam criar uma regra que move mensagens com palavras como "boleto", "pagamento" ou "fatura" para uma pasta oculta — assim o titular não vê a thread sendo desviada. Monitorar criação de regras de inbox é detecção barata e de alto valor.

Complementam o conjunto: MFA obrigatório para toda a equipe financeira sem exceção de conveniência, acesso condicional restringindo login de localizações incompatíveis com a operação, revisão periódica de quem tem permissão de alterar cadastro de fornecedores e retenção de logs suficiente para investigar um incidente semanas depois. E treinamento recorrente com casos reais da própria empresa — genérico não muda comportamento; ver o e-mail que quase passou, muda.

Como a Duk estrutura essa defesa

Com mais de 18 anos atendendo empresas e uma base de 550+ clientes, a Duk Informática & Cloud observou que a fraude financeira raramente é problema exclusivo de TI ou exclusivo do financeiro — ela mora na fronteira entre os dois, e é por isso que costuma ficar sem dono. O trabalho começa mapeando o fluxo real de pagamento, incluindo os atalhos informais que existem em toda operação, e identificando em que ponto uma única pessoa consegue redirecionar dinheiro sem contraprova.

Como Microsoft Gold Partner, implementamos a camada de identidade e proteção de e-mail no Microsoft 365 — DMARC em rejeição, políticas anti-phishing, MFA e acesso condicional, alertas de regras de encaminhamento — integrada às regras de processo que a empresa passa a adotar: canal alternativo obrigatório, carência para novo beneficiário, alçadas por valor e conciliação automática de CNPJ. Segurança e continuidade caminham juntas: backup íntegro e testado, monitoramento contínuo e suporte com SLA garantem que, se algo escapar, a resposta seja rápida e documentada em vez de improvisada.

Fraude de boleto e Pix não se resolve com uma ferramenta única. Resolve-se tornando o desvio de dinheiro um evento que exige a colaboração de várias pessoas e vários sistemas ao mesmo tempo — o que, para um fraudador externo, é caro demais. Se o processo de pagamento da sua empresa hoje aceita mudança de destino por um único e-mail, esse é o ponto por onde começar.