Golpe do falso fornecedor: a fatura certa na conta errada

Alguns dos maiores prejuízos de fraude corporativa não começam com uma invasão espetacular. Começam com um e-mail educado: o fornecedor de sempre, com a assinatura de sempre, avisando que mudou de banco e pedindo que a próxima fatura seja paga na conta nova. O serviço foi prestado, a cobrança é legítima, o valor está correto. Só o destino do dinheiro pertence ao criminoso.

Esse é o golpe do falso fornecedor, uma das variantes mais conhecidas de uma família que a literatura de segurança chama de BEC, sigla de Business Email Compromise, o comprometimento de e-mail corporativo. O nome engana pela modéstia: não há malware sofisticado nem exploração técnica obrigatória, e é justamente por isso que o golpe atravessa empresas com antivírus e firewall em dia. O alvo não é o sistema, é o processo de pagamento.

Este artigo mostra como o golpe funciona, quanto ele custa segundo o FBI (Federal Bureau of Investigation), por que ele passa por times de contas a pagar experientes e quais controles fecham a porta, quase todos de processo, não de tecnologia.

Como o golpe funciona

1. Reconhecimento. O fraudador mapeia a relação entre fornecedor e cliente: contratos públicos, notas, perfis profissionais e, com frequência, uma caixa de e-mail comprometida, do fornecedor ou do próprio cliente, de onde ele lê em silêncio as cobranças reais em andamento, com valores, datas e o tom das conversas.
2. Aproximação. A mensagem sai do e-mail comprometido, respondendo a um encadeamento verdadeiro, ou de um domínio sósia: uma letra trocada, um ".co" no lugar do ".com", um hífen a mais. Assinatura, logotipo e histórico são reproduzidos com capricho.
3. A troca. O pedido central: "atualizamos nossos dados bancários". Na versão brasileira, o boleto falsificado: visual idêntico ao do fornecedor, valor correto da fatura real, beneficiário trocado.
4. A pressão. Urgência com pretexto plausível: desconto que expira, ameaça de suspensão do serviço, fechamento contábil. A variante do falso executivo usa a mesma mecânica com outra máscara: o "diretor" ordena por e-mail uma transferência urgente e confidencial, e a confidencialidade existe para impedir a conferência.

Quanto custa, segundo quem mede

A referência mais citada é o relatório anual do IC3 (Internet Crime Complaint Center), o canal do FBI para denúncias de crime na internet. No relatório de 2025, publicado como IC3 Annual Report, o BEC soma 24.768 queixas e pouco mais de 3 bilhões de dólares em perdas reportadas no ano, a segunda maior categoria de perda do relatório inteiro, atrás apenas da fraude de investimento. No recorte por tipo de transação do mesmo relatório, a transferência bancária domina o BEC com 86%: dinheiro movido por processos legítimos de pagamento, autorizados pela própria vítima.

Os números vêm das denúncias recebidas pelo IC3, concentradas nos Estados Unidos, mas a mecânica não tem fronteira: no Brasil, o CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) documenta em seus materiais de conscientização a mesma engenharia social aplicada a cobranças e boletos falsos.

Por que o golpe passa

• O e-mail vira prova de identidade. Responder dentro de um encadeamento verdadeiro herda a confiança de meses de conversa. Domínio sósia escapa até do olho treinado, ainda mais na pressa do fechamento.
• Ninguém confere quem pode pedir. O aviso de mudança bancária é uma alteração contratual relevante, e mesmo assim raramente alguém verifica se quem assina tem poder para falar pelo fornecedor. Contrato social e procuração respondem essa pergunta, como detalha o artigo sobre procuração e poderes de representação.
• Urgência e autoridade tiram o processo do trilho. É a mesma alavanca da engenharia social contra o atendimento: pressa fabricada, hierarquia invocada, exceção pedida com naturalidade.
• Boleto bonito parece boleto bom. A aparência é falsificável por definição; o que define o destino do dinheiro é o beneficiário registrado na cobrança, não o logotipo impresso nela.
• O incentivo aponta para o sim. Contas a pagar é medido por pagar em dia e sem atrito. Cada conferência extra tem custo visível hoje; o golpe só cobra depois.

Controles que fecham a porta

• Mudança de dado bancário nunca se completa pelo canal em que chegou. É a regra de ouro. A confirmação sai por um segundo canal, usando um dado que já estava no cadastro: ligação para o telefone registrado do fornecedor, nunca para o telefone informado na mensagem nova.
• Conferência de representação. Mudança bancária e alteração contratual só valem assinadas por quem tem poderes, verificados contra contrato social ou procuração, não contra a assinatura do e-mail.
• KYB do fornecedor. Fornecedor novo passa por verificação como cliente passa: CNPJ (Cadastro Nacional da Pessoa Jurídica), situação cadastral, quadro societário e a checagem de que a conta indicada pertence ao CNPJ do fornecedor, não a um terceiro. O processo completo está no artigo sobre due diligence de fornecedor. Na UNIFOKAL, por exemplo, o mesmo desenho de verificação de empresas usado no onboarding de clientes serve para o cadastro de fornecedores, devolvendo situação cadastral e quadro societário numa única consulta.
• Fricção proporcional ao risco. Janela de espera e segunda aprovação para o primeiro pagamento depois de qualquer mudança de dado bancário, e alçada dupla acima de um valor definido. O golpe depende de velocidade; a espera de um dia útil desmonta a urgência fabricada.
• Treinar quem paga. Simulações periódicas contra o próprio contas a pagar e uma cultura em que todo aviso de mudança bancária é tratado como suspeito por padrão, sem constrangimento em ligar para conferir.

Quando o dinheiro já saiu

Velocidade decide o desfecho. O banco deve ser acionado imediatamente, com pedido de bloqueio e devolução dos valores, porque a chance de recuperação cai a cada hora, conforme o dinheiro é pulverizado em outras contas. O próprio IC3 mantém um processo de resposta rápida para tentar congelar transferências fraudulentas denunciadas cedo, e a lição vale em qualquer jurisdição: denúncia tardia é denúncia decorativa.

No Brasil, registra-se boletim de ocorrência e preservam-se as evidências: os e-mails com cabeçalhos completos, o boleto falsificado, os comprovantes e o registro de quem aprovou o quê. A moldura penal é o estelionato do artigo 171 do Código Penal (Decreto-Lei 2.848/1940), agravado pela fraude eletrônica introduzida pela Lei 14.155/2021; o enquadramento concreto de cada caso cabe ao Judiciário, mas a qualidade da evidência preservada depende inteiramente da empresa.

Fontes citadas

• IC3 Annual Report 2025, o relatório anual do Internet Crime Complaint Center (IC3) do FBI: ic3.gov
• Página de orientação do IC3 sobre Business Email Compromise: ic3.gov
• Código Penal, Decreto-Lei 2.848/1940, artigo 171: planalto.gov.br
• Lei 14.155/2021: planalto.gov.br
• CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, materiais de conscientização sobre engenharia social e golpes por e-mail