Boleto adulterado no e-mail: como o golpe funciona e como se proteger

O boleto chega pelo e-mail de sempre, com o logotipo de sempre, o valor de sempre e o vencimento de sempre. Você paga. Semanas depois, a empresa avisa que o pagamento não entrou. Esse é o golpe do boleto adulterado: o documento parece idêntico ao original, mas o código foi trocado para uma conta do golpista. Entender como ele funciona é o primeiro passo para não cair.

Como o golpe funciona

A ideia é simples: manter tudo igual e trocar só o que faz o dinheiro mudar de destino.

1. O golpista chega ao e-mail ou ao arquivo

Há alguns caminhos comuns:

• Invasão da caixa de e-mail da empresa que cobra ou de quem paga, muitas vezes por senha vazada ou fraca. O golpista lê as mensagens e sabe quando um boleto vai ser enviado.
• E-mail falso parecido com o verdadeiro, com uma letra trocada no endereço ou outro domínio, reenviando "o boleto atualizado".
• Programa malicioso no computador, que altera o boleto quando ele é aberto ou baixado.

2. O PDF é editado

Um PDF pode ser alterado depois de gerado. O golpista emite um boleto verdadeiro para uma conta dele e coloca a linha digitável e o código de barras desse boleto dentro do PDF da empresa verdadeira. Logotipo, nome, endereço, valor e descrição continuam os originais.

3. O boleto chega como se nada tivesse acontecido

Como o boleto do golpista é real, o app do banco aceita o pagamento. O dinheiro vai para a conta errada, e a empresa verdadeira continua esperando.

Por que é tão difícil perceber

Uma reportagem do Correio Braziliense de maio de 2026 resumiu bem: "não há como perceber visualmente". O texto impresso é o da empresa verdadeira. Os dígitos são válidos. Ferramentas que só conferem o formato do código não pegam a fraude, porque o código do golpista também está no formato certo.

A diferença está em lugares que quase ninguém olha: o nome do beneficiário no app do banco, o código do banco nos três primeiros dígitos e a coerência entre o código de barras e a linha digitável.

Empresas são alvo frequente

Quem paga fornecedores por boleto recebido por e-mail está especialmente exposto. Segundo pesquisa do Sebrae com a FGV IBRE, 44% das micro e pequenas empresas sofreram tentativa de golpe em 12 meses, e boletos e faturas falsas são a principal preocupação dos empresários (38%). Na mesma pesquisa, 31% das pequenas empresas tiveram perda financeira. Veja também o guia sobre o golpe do falso fornecedor.

Sinais que ainda denunciam o boleto adulterado

Mesmo quando o boleto parece perfeito, alguns sinais aparecem:

• Beneficiário diferente: o app do banco mostra outro nome ou outro CNPJ antes da confirmação.
• Banco diferente do habitual: os três primeiros dígitos mudaram em relação aos boletos anteriores, ou não batem com o logotipo do banco impresso.
• Código de barras diferente da linha digitável: o golpista trocou um e esqueceu o outro.
• Valor ou vencimento do código diferentes dos impressos.
• Sinais de edição no arquivo: fonte diferente só na linha digitável, PDF gerado por um editor online, arquivo salvo várias vezes por cima.
• Mensagem de troca: "mudamos de banco", "o boleto anterior foi cancelado", "pague este novo".

Como se proteger

Se você paga como pessoa física

• Confira o beneficiário no app do banco em todo pagamento, inclusive nos boletos de sempre.
• Ative o DDA. Com ele, os boletos emitidos no seu CPF aparecem direto no app do banco, sem passar pelo e-mail. Veja como ativar o DDA.
• Baixe a segunda via você mesmo, no site ou no app oficial da empresa, digitando o endereço.
• Desconfie de reenvios com dados novos. Se a empresa "mudou de banco", confirme por telefone, usando um número que você já tinha.

Se você paga pela empresa

• Mantenha um cadastro de fornecedores com CNPJ e o banco que cada um costuma usar. Qualquer mudança exige confirmação por telefone ou pessoalmente, nunca pelo contato que veio no e-mail.
• Separe quem lança de quem aprova o pagamento. Duas pessoas olhando pegam mais erros que uma.
• Compare com o boleto anterior do mesmo fornecedor: banco, beneficiário e valor.
• Proteja as caixas de e-mail com senhas fortes e verificação em duas etapas.

Onde o validou ajuda

Se você enviar o PDF para o verificador de boletos, o arquivo é lido no seu próprio aparelho. O validou compara o código de barras com a linha impressa, confere banco, valor e vencimento, procura sinais de edição no PDF e consulta a empresa beneficiária. No fim, indica qual nome deveria aparecer no app do banco. Não há anúncios nem cadastro obrigatório.

O validou aponta sinais de risco. Ele não garante que um boleto é verdadeiro. A conferência final continua sendo o nome do beneficiário no app do seu banco.

Se você já pagou

Avise o banco imediatamente, pelo número oficial, e peça a contestação. Avise também a empresa que te cobrou: outros clientes podem estar recebendo o mesmo boleto. Registre um boletim de ocorrência e guarde o e-mail e o PDF. Veja o passo a passo em Caí num golpe, e agora?.

Resumo

• No boleto adulterado, o golpista troca só o código e mantém o logo, o nome e o valor da empresa verdadeira.
• Visualmente, o boleto pode parecer perfeito, e ferramentas que só conferem o formato não pegam a fraude.
• O nome e o CNPJ do beneficiário no app do banco são a conferência que decide.
• DDA, segunda via baixada por você e confirmação de mudanças por um telefone conhecido reduzem bastante o risco.
• Empresas devem manter cadastro de fornecedores e separar quem lança de quem aprova.