Golpe do falso fornecedor: como validar troca de conta
Sim: o e-mail pode partir do endereço verdadeiro do fornecedor e, ainda assim, ser fraude. O golpe do falso fornecedor começa quando alguém se passa por uma empresa com quem você já trabalha e pede a troca da conta bancária de recebimento, quase sempre justificada por uma auditoria, uma mudança de banco ou uma atualização cadastral urgente. Segundo o FBI, o Business Email Compromise (BEC) é um golpe sofisticado que mira empresas e pessoas que fazem pedidos legítimos de transferência de fundos; entre outubro de 2013 e dezembro de 2023, o IC3 registrou mais de 300 mil queixas e US$ 55 bilhões em perdas expostas. A principal defesa não é um software, e sim um procedimento: validação por canal secundário para todo pedido de mudança de dados de pagamento, sem exceção. Este guia cobre a validação antes do pagamento e os primeiros passos após a fraude; não trata da recuperação judicial dos valores nem de disputas contratuais.
Como o golpe acontece
Há duas portas de entrada. Na primeira, o criminoso registra um domínio quase idêntico ao do fornecedor (fornecedora.com.br em vez de fornecedor.com.br) ou falsifica o remetente exibido; a mensagem chega limpa, bem escrita, com logotipo e número de fatura plausível. Na segunda, a caixa de entrada real do fornecedor é invadida; a partir daí o golpista observa a conversa em silêncio e, na hora certa, envia o pedido de troca de dentro da conta legítima — o que engana até quem confere o remetente com cuidado.
O National Cyber Security Centre (NCSC) do Reino Unido descreve o padrão: criminosos enviam e-mail sob medida para a sua organização, personificando alguém com quem você corresponde com frequência, e pedem o pagamento em uma conta bancária diferente, golpe que o próprio centro classifica como business payment fraud, também conhecido como Business Email Compromise.
Os dados do IC3 mostram a escala: o golpe foi reportado em 186 países, com transferências fraudulentas para mais de 140 países, e bancos do Reino Unido e de Hong Kong aparecem com frequência como primeira parada do dinheiro. Entre dezembro de 2022 e dezembro de 2023 houve aumento de 9% nas perdas expostas globais identificadas. O alvo preferencial são pequenas empresas com financeiro enxuto, em que a mesma pessoa negocia, confere e paga.
Procedimento de validação em quatro passos
O roteiro abaixo é um exemplo próprio da redação da AtalaiaSec, adaptado das recomendações do FBI e do NCSC para pequenas empresas; ajuste papéis e valores à sua realidade.
- Nunca responda ao próprio e-mail. Qualquer confirmação feita na mesma thread pode estar indo direto para o golpista, inclusive quando a caixa comprometida é a do próprio fornecedor.
- Ligue para o número do contrato antigo. Use o telefone impresso em faturas anteriores ou no contrato assinado, nunca o contato que veio na mensagem suspeita nem o rodapé do e-mail mais recente.
- Exija dupla confirmação e prazo de espera. Dois contatos do lado do fornecedor (comercial e financeiro) e uma janela mínima de 24 horas úteis entre a confirmação e o primeiro pagamento na conta nova.
- Registre a validação. Quem ligou, para qual número, quando e o que foi confirmado, anexado ao cadastro do fornecedor; sem esse registro, a auditoria futura não consegue distinguir diligência de descuido.
Complete o controle com teto de valor para aprovação isolada e revisão trimestral dos dados bancários cadastrados. A combinação troca de conta + pressa + primeira cobrança é a tríade que mais derruba empresas; qualquer um dos três elementos isolado já justifica escalonar para um segundo responsável.
Sinais de alerta na mensagem
No celular, o remetente completo fica escondido; adote a regra interna de que pedido de dinheiro ou de troca de dados bancários só se decide no computador, com o endereço inteiro visível. O FBI recomenda verificar o endereço de envio, sobretudo em aparelhos móveis, e ficar atento a hiperlinks com grafia quase idêntica ao domínio real. Se a leitura acontece em aparelho pessoal, valem as regras mínimas de BYOD para separar o que entra pela conta da empresa.
| Sinal | Exemplo típico | O que fazer |
|---|---|---|
| Pressa artificial | "multa se não pagar hoje" | Congelar o pagamento até validar |
| Troca de conta | Novo IBAN em anexo ou no corpo | Confirmar por telefone do contrato |
| Endereço quase igual | fornecedora.com.br no lugar de fornecedor.com.br | Conferir o domínio letra por letra |
| Fatura inesperada | Número plausível, valor redondo | Cruzar com o pedido de compra |
Se o pagamento já saiu
Tempo é o fator que mais importa. O FBI orienta agir de imediato: contate a sua instituição financeira e solicite o recall dos valores, sabendo que cada banco tem política própria de recuperação, e registre a queixa no canal oficial o quanto antes, porque autoridades podem ajudar a congelar os fundos. O NCSC reforça: contate o banco pelos canais oficiais do site ou do aplicativo, nunca por links ou números trazidos no e-mail suspeito.
Em paralelo, trate o episódio como incidente de segurança: para registrar o caso e acionar a cadeia de resposta, o CERT.br mantém recomendações de boas práticas para notificação de incidentes de segurança, incluindo modelos de notificação em português e inglês que servem de base para avisar clientes, banco e autoridades. Se a caixa de um funcionário foi invadida, revise e remova os acessos seguindo um roteiro de desligamento de acessos, troque credenciais e ative autenticação de dois fatores. Como prevenção contínua, a recomendação do FBI é usar canais secundários e/ou autenticação de dois fatores para verificar qualquer pedido de mudança de informações de conta.
Se quiser um olhar externo sobre os controles de pagamento da sua empresa, a AtalaiaSec faz diagnóstico inicial de segurança para pequenos negócios; fale com a equipe pelo formulário de contato do site.
Revisão: 4 de novembro de 2026 — Equipe Editorial AtalaiaSec.