Golpe do boleto alterado no e-mail: como o financeiro da sua empresa cai e como evitar

O chamado costuma chegar alguns dias depois do pagamento. O fornecedor liga cobrando uma fatura que o financeiro jura que já pagou. Quando a gente senta para olhar, o boleto pago não era do fornecedor. Era uma cópia quase idêntica, com o código de barras trocado, que chegou por e-mail no meio da conversa normal. O dinheiro já saiu e quase nunca volta.

Como o dono da empresa percebe

Na maioria das vezes ninguém percebe na hora. O boleto tem o logo certo, o valor certo, o vencimento certo e até o número do pedido. O financeiro paga como paga dezenas de outros no mês. O sinal aparece depois: o fornecedor avisa que a fatura está em aberto, ou o banco entra em contato por causa de uma transferência estranha, ou alguém repara que o nome do beneficiário no comprovante não é o da empresa que vendeu.

Outro sinal é um e-mail do fornecedor pedindo para pagar em outra conta porque a conta antiga está com problema. Ou um boleto que chega em resposta a uma conversa que vinha acontecendo, mas de um endereço de e-mail ligeiramente diferente. Quando esse chamado chega, a primeira coisa que eu olho é o comprovante do pagamento, porque ali está escrito para quem o dinheiro realmente foi.

Por que isso acontece

Esse golpe não depende de invadir o banco. Ele depende de alguém ler o e-mail antes de você. As causas mais comuns, em ordem do que eu mais encontro:

• A caixa de e-mail do fornecedor foi invadida. O golpista fica semanas lendo as conversas, aprende quem paga e como, e no dia do boleto manda a versão alterada a partir da conta verdadeira. É o cenário mais difícil de notar, porque o e-mail é legítimo.
• A caixa de e-mail do seu financeiro foi invadida. Mesmo esquema, só que do lado de cá. Muitas vezes o golpista cria uma regra que apaga ou esconde o e-mail original e deixa só o dele.
• Um e-mail parecido com o do fornecedor. Uma letra trocada no domínio, um ponto a mais, o nome do contato igual. Quem está com pressa não repara.
• Um vírus no computador do financeiro que troca o código de barras na hora de abrir o PDF ou ao colar a linha digitável no banco.
• Senha fraca ou repetida sem segunda verificação. Isso é o que permite as duas primeiras causas. Quase todo caso que eu atendo começa aqui.

O ponto comum é que o golpe acontece dentro de uma conversa real. Ele não parece spam. Por isso o filtro de spam não segura e o treinamento genérico de phishing não basta.

Como eu resolvo quando o dinheiro já saiu

A ordem importa. Primeiro contenção, depois recuperação, depois investigação. Até onde o dono da empresa consegue fazer sozinho:

1. Ligue para o banco agora. Peça para contestar o pagamento e tentar bloquear o valor na conta de destino. Quanto mais cedo, maior a chance. Depois de algumas horas o dinheiro já foi sacado.
2. Registre boletim de ocorrência. O banco e o fornecedor vão pedir. Dá para fazer pela internet na delegacia eletrônica.
3. Avise o fornecedor por telefone, nunca por e-mail. Se a caixa dele foi invadida, o golpista lê a resposta. Combinem que, daqui para frente, qualquer troca de conta bancária é confirmada por ligação.
4. Troque a senha do e-mail do financeiro e de quem mais trocou mensagem com esse fornecedor. Troque pelo celular ou por outro computador, não pela máquina que pode estar infectada.
5. Olhe as regras de e-mail da conta. É aqui que eu quase sempre acho o rastro: regras que movem mensagens para pastas escondidas, que encaminham tudo para um endereço de fora ou que apagam e-mails com certas palavras. Apague o que você não criou.
6. Olhe a lista de dispositivos e logins recentes da conta. Encerre todas as sessões abertas. Se aparecer acesso de país ou cidade que não faz sentido, a conta foi usada por alguém de fora.
7. Pare por aqui se não tiver certeza do que está vendo e chame um técnico. Mexer além disso sem saber o que procura pode apagar evidência.

Depois disso, eu faço uma varredura completa no computador de quem pagou e confiro as outras caixas da empresa. Quem invade uma conta costuma tentar as outras com a mesma senha. Esse trabalho faz parte do que a gente cobre em segurança digital para empresas, e o objetivo é fechar a porta, não só limpar a bagunça.

Como conferir um boleto antes de pagar

Isso é o que eu mais insisto com o financeiro dos clientes, porque é o controle que funciona mesmo se toda a tecnologia falhar. Leva menos de um minuto por boleto.

1. Olhe o nome do beneficiário na tela do banco antes de confirmar. Tem que ser a empresa que vendeu, com o CNPJ dela. Nome parecido não serve. Pessoa física no lugar de empresa é alerta vermelho.
2. Confira os três primeiros dígitos do código de barras. Eles identificam o banco emissor. Se o fornecedor sempre emitiu pelo mesmo banco e de repente mudou, pergunte por telefone.
3. Compare com um boleto antigo do mesmo fornecedor. Banco, agência e formato costumam ser iguais mês a mês.
4. Desconfie de qualquer mudança de conta, de banco ou de forma de pagamento anunciada por e-mail. Ligue para o telefone que você já tinha, não para o que veio na mensagem.
5. Quando possível, pegue o boleto direto no portal do fornecedor ou peça a segunda via por lá, em vez de usar o anexo do e-mail.

Como evitar que volte

Depois de um caso desses, o dono quer saber o que impede o próximo. Não existe uma coisa só. São poucas medidas, mas precisam estar todas de pé.

• Segunda verificação no e-mail de todo mundo, começando pelo financeiro e pela diretoria. É aquele código no celular ao entrar. Isso sozinho barra a maioria das invasões de conta, mesmo quando a senha vaza.
• Senha diferente para o e-mail, guardada num gerenciador de senhas. A senha do e-mail não pode ser a mesma do sistema de nota, da loja online ou da conta pessoal.
• Configurar o domínio da empresa para que ninguém consiga mandar e-mail se passando por você. São três registros técnicos chamados SPF, DKIM e DMARC. Em uma frase: eles dizem aos outros servidores quais computadores têm permissão de enviar e-mail em nome do seu domínio. Isso protege seus clientes e fornecedores de receberem boleto falso em seu nome.
• Alerta no e-mail para mensagem que vem de fora da empresa. Uma faixa colorida no topo já faz o financeiro olhar duas vezes.
• Antivírus de verdade e atualizado no computador de quem paga conta, com alguém de fora acompanhando se ele está ligado. Antivírus vencido é mais comum do que parece.
• Um segundo olhar para pagamento acima de certo valor ou para qualquer fornecedor novo. Pode ser o sócio, pode ser o contador. O golpe explora a pressa de quem decide sozinho.
• Revisar as regras de encaminhamento das caixas de e-mail de tempos em tempos. Regra escondida é o jeito favorito do golpista de continuar lendo depois que a senha muda.

Quase tudo isso é configuração, não compra de equipamento. Quando a empresa usa o pacote da Microsoft, boa parte já está incluída e só precisa ser ligada do jeito certo. É o tipo de ajuste que a gente faz no Microsoft 365 para empresas logo no começo do contrato, porque o custo de não fazer é um boleto pago para a pessoa errada.

Quando chamar um técnico

Dá para o dono fazer a contenção inicial sozinho: ligar para o banco, trocar senha, avisar o fornecedor. Mas chame alguém de TI nestes casos:

• Você achou regras de e-mail ou logins que não reconhece. A conta foi invadida e precisa de uma limpeza completa, não só de senha nova.
• Mais de uma pessoa da empresa recebeu o boleto alterado ou e-mails estranhos na mesma semana. O problema pode estar na sua rede, não no fornecedor.
• O computador do financeiro está lento, abre janelas sozinho ou o antivírus está desligado. Pode ter um programa trocando dados na hora do pagamento.
• A empresa nunca ligou a segunda verificação nem configurou o domínio. Isso leva algumas horas de trabalho e é melhor feito por quem já conhece as armadilhas.
• Você quer saber se o golpista ainda tem acesso. Essa resposta exige olhar logs e configurações que o painel comum não mostra.

Em empresa pequena, esse tipo de acompanhamento costuma vir dentro do suporte técnico para empresas, e não como projeto separado. O importante é ter alguém que olhe para o e-mail da empresa como um lugar que precisa de tranca, e não só como uma ferramenta que funciona ou não funciona.

Fale com a VNC TEC

Se a sua empresa já passou por isso, ou se o financeiro paga boleto que chega por e-mail sem nenhuma conferência, vale uma conversa. A gente revisa as caixas de e-mail, liga as proteções que faltam, configura o domínio e deixa um procedimento simples para o financeiro seguir. Atendemos empresas em São Paulo e região. Entre em contato com a VNC TEC e conte como é o fluxo de pagamento hoje.

Perguntas frequentes