# Golpe do falso fornecedor: a fatura certa na conta errada Guia · UNIFOKAL · 4 de setembro de 2026 · Atualizado em 1 de outubro de 2026 · 6 min de leitura · Antifraude Como o golpe do falso fornecedor desvia cobranças legítimas trocando dados bancários por e-mail, por que ele passa pelo contas a pagar e como barrá-lo. Alguns dos maiores prejuízos de fraude corporativa não começam com uma invasão espetacular. Começam com um e-mail educado: o fornecedor de sempre, com a assinatura de sempre, avisando que mudou de banco e pedindo que a próxima fatura seja paga na conta nova. O serviço foi prestado, a cobrança é legítima, o valor está correto. Só o destino do dinheiro pertence ao criminoso. Esse é o golpe do falso fornecedor, uma das variantes mais conhecidas de uma família que a literatura de segurança chama de BEC, sigla de Business Email Compromise, o comprometimento de e-mail corporativo. O nome engana pela modéstia: não há malware sofisticado nem exploração técnica obrigatória, e é justamente por isso que o golpe atravessa empresas com antivírus e firewall em dia. O alvo não é o sistema, é o processo de pagamento. Este artigo mostra como o golpe funciona, quanto ele custa segundo o FBI (Federal Bureau of Investigation), por que ele passa por times de contas a pagar experientes e quais controles fecham a porta, quase todos de processo, não de tecnologia. ## Como o golpe funciona 1. **Reconhecimento.** O fraudador mapeia a relação entre fornecedor e cliente: contratos públicos, notas, perfis profissionais e, com frequência, uma caixa de e-mail comprometida, do fornecedor ou do próprio cliente, de onde ele lê em silêncio as cobranças reais em andamento, com valores, datas e o tom das conversas. 2. **Aproximação.** A mensagem sai do e-mail comprometido, respondendo a um encadeamento verdadeiro, ou de um domínio sósia: uma letra trocada, um ".co" no lugar do ".com", um hífen a mais. Assinatura, logotipo e histórico são reproduzidos com capricho. 3. **A troca.** O pedido central: "atualizamos nossos dados bancários". Na versão brasileira, o boleto falsificado: visual idêntico ao do fornecedor, valor correto da fatura real, beneficiário trocado. 4. **A pressão.** Urgência com pretexto plausível: desconto que expira, ameaça de suspensão do serviço, fechamento contábil. A variante do falso executivo usa a mesma mecânica com outra máscara: o "diretor" ordena por e-mail uma transferência urgente e confidencial, e a confidencialidade existe para impedir a conferência. ## Quanto custa, segundo quem mede A referência mais citada é o relatório anual do IC3 (Internet Crime Complaint Center), o canal do FBI para denúncias de crime na internet. No relatório de 2025, publicado como IC3 Annual Report, o BEC soma 24.768 queixas e pouco mais de 3 bilhões de dólares em perdas reportadas no ano, a segunda maior categoria de perda do relatório inteiro, atrás apenas da fraude de investimento. No recorte por tipo de transação do mesmo relatório, a transferência bancária domina o BEC com 86%: dinheiro movido por processos legítimos de pagamento, autorizados pela própria vítima. Os números vêm das denúncias recebidas pelo IC3, concentradas nos Estados Unidos, mas a mecânica não tem fronteira: no Brasil, o CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) documenta em seus materiais de conscientização a mesma engenharia social aplicada a cobranças e boletos falsos. ## Por que o golpe passa - **O e-mail vira prova de identidade.** Responder dentro de um encadeamento verdadeiro herda a confiança de meses de conversa. Domínio sósia escapa até do olho treinado, ainda mais na pressa do fechamento. - **Ninguém confere quem pode pedir.** O aviso de mudança bancária é uma alteração contratual relevante, e mesmo assim raramente alguém verifica se quem assina tem poder para falar pelo fornecedor. Contrato social e procuração respondem essa pergunta, como detalha o artigo sobre [procuração e poderes de representação](https://unifokal.com/blog/procuracao-e-poderes-de-representacao). - **Urgência e autoridade tiram o processo do trilho.** É a mesma alavanca da [engenharia social contra o atendimento](https://unifokal.com/blog/engenharia-social-contra-atendimento): pressa fabricada, hierarquia invocada, exceção pedida com naturalidade. - **Boleto bonito parece boleto bom.** A aparência é falsificável por definição; o que define o destino do dinheiro é o beneficiário registrado na cobrança, não o logotipo impresso nela. - **O incentivo aponta para o sim.** Contas a pagar é medido por pagar em dia e sem atrito. Cada conferência extra tem custo visível hoje; o golpe só cobra depois. ## Controles que fecham a porta - **Mudança de dado bancário nunca se completa pelo canal em que chegou.** É a regra de ouro. A confirmação sai por um segundo canal, usando um dado que já estava no cadastro: ligação para o telefone registrado do fornecedor, nunca para o telefone informado na mensagem nova. - **Conferência de representação.** Mudança bancária e alteração contratual só valem assinadas por quem tem poderes, verificados contra contrato social ou procuração, não contra a assinatura do e-mail. - **KYB do fornecedor.** Fornecedor novo passa por verificação como cliente passa: CNPJ (Cadastro Nacional da Pessoa Jurídica), situação cadastral, quadro societário e a checagem de que a conta indicada pertence ao CNPJ do fornecedor, não a um terceiro. O processo completo está no artigo sobre [due diligence de fornecedor](https://unifokal.com/blog/due-diligence-de-fornecedor). - **Fricção proporcional ao risco.** Janela de espera e segunda aprovação para o primeiro pagamento depois de qualquer mudança de dado bancário, e alçada dupla acima de um valor definido. O golpe depende de velocidade; a espera de um dia útil desmonta a urgência fabricada. - **Treinar quem paga.** Simulações periódicas contra o próprio contas a pagar e uma cultura em que todo aviso de mudança bancária é tratado como suspeito por padrão, sem constrangimento em ligar para conferir. Contra o pedido que chega por uma chamada, o controle é confirmar por fora dela, e o texto sobre [confirmação fora da chamada](https://unifokal.com/blog/confirmacao-fora-da-chamada) detalha com quem, por qual canal e em quanto tempo. ## Quando o dinheiro já saiu Velocidade decide o desfecho. O banco deve ser acionado imediatamente, com pedido de bloqueio e devolução dos valores, porque a chance de recuperação cai a cada hora, conforme o dinheiro é pulverizado em outras contas. O próprio IC3 mantém um processo de resposta rápida para tentar congelar transferências fraudulentas denunciadas cedo, e a lição vale em qualquer jurisdição: denúncia tardia é denúncia decorativa. No Brasil, registra-se boletim de ocorrência e preservam-se as evidências: os e-mails com cabeçalhos completos, o boleto falsificado, os comprovantes e o registro de quem aprovou o quê. A moldura penal é o estelionato do artigo 171 do Código Penal (Decreto-Lei 2.848/1940), agravado pela fraude eletrônica introduzida pela Lei 14.155/2021; o enquadramento concreto de cada caso cabe ao Judiciário, mas a qualidade da evidência preservada depende inteiramente da empresa. ## Fontes citadas - IC3 Annual Report 2025, o relatório anual do Internet Crime Complaint Center (IC3) do FBI: [ic3.gov](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) - Página de orientação do IC3 sobre Business Email Compromise: [ic3.gov](https://www.ic3.gov/CrimeInfo/BEC) - Código Penal, Decreto-Lei 2.848/1940, artigo 171: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm) - Lei 14.155/2021: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/L14155.htm) - CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, materiais de conscientização sobre engenharia social e golpes por e-mail