Golpe do falso fornecedor: como proteger o financeiro da empresa

Pequenas empresas são alvo frequente de golpes. Segundo pesquisa do Sebrae com a FGV IBRE, feita com 4.466 empresários, 44% das micro e pequenas empresas sofreram tentativa de golpe em 12 meses. Entre as pequenas, 31% tiveram perda financeira, contra 22% das maiores.

Boletos e faturas falsas aparecem no topo das preocupações dos empresários (38%). E só 17% das pequenas empresas têm uma política de segurança digital.

O golpe do falso fornecedor explora exatamente esse ponto fraco. Em muitas empresas, quem paga as contas é o dono ou uma única pessoa do financeiro, com pressa e sem um processo definido.

Como o golpe funciona

Há três versões comuns.

1. Boleto adulterado

O golpista consegue acesso ao e-mail do fornecedor, ou intercepta a mensagem no caminho, e troca o boleto verdadeiro por outro. O PDF parece idêntico: mesmo logotipo, mesmos textos, mesmo nome do beneficiário impresso. Só a linha digitável e o código de barras mudam, e o dinheiro vai para outra conta.

Em reportagem de maio de 2026, o Correio Braziliense resumiu o problema: "não há como perceber visualmente". Por isso a conferência precisa ir além da aparência do documento.

2. "Mudamos de banco"

Chega um e-mail ou uma mensagem em nome de um fornecedor conhecido avisando que os dados bancários mudaram. A partir de agora, os pagamentos devem ir para uma nova conta ou chave Pix.

Às vezes a mensagem vem de um endereço quase igual ao verdadeiro, com uma letra trocada. Às vezes vem do endereço verdadeiro, que foi invadido.

3. Fatura de serviço não contratado

A empresa recebe uma cobrança por algo que parece rotina: renovação de cadastro, anúncio, registro, manutenção. O valor é baixo o bastante para passar sem questionamento. Ninguém contratou, mas alguém paga porque "deve ser do mês".

Sinais de alerta

• Mudança de dados bancários comunicada só por e-mail ou mensagem.
• Pressa: "pague hoje para não suspender o fornecimento" ou "desconto só até amanhã".
• Beneficiário no app do banco com nome diferente do fornecedor, ou de pessoa física.
• Boleto emitido por um banco diferente do que o fornecedor sempre usou.
• Chave Pix de CPF, telefone ou aleatória para uma empresa que antes recebia de outro jeito.
• Cobrança que não aparece em nenhum pedido, contrato ou nota fiscal.
• CNPJ do beneficiário aberto há poucos meses, com situação diferente de ativa ou com atividade que não combina com o que foi comprado.

Regras que protegem o financeiro

Não é preciso ter um sistema caro. Algumas regras simples, escritas e seguidas por todos, resolvem boa parte do problema.

Confirme qualquer mudança de conta por telefone

Ligue para o fornecedor usando o número que já está no seu cadastro ou no contrato. Nunca use o telefone que veio na mensagem que pede a mudança. Se a mudança for real, a confirmação leva dois minutos.

Compare o beneficiário antes de confirmar

O app do banco mostra o nome e o CNPJ do beneficiário antes de você confirmar o pagamento. Compare com o cadastro do fornecedor. Se não bater, não pague, mesmo que o PDF pareça perfeito.

Mantenha um cadastro de fornecedores

Uma planilha simples já ajuda: razão social, CNPJ, banco que costuma aparecer nos boletos, chave Pix e telefone de contato. Tudo o que foge disso merece uma pergunta.

Separe quem lança de quem aprova

Quando possível, uma pessoa lança o pagamento e outra aprova. Veja com o seu banco se a conta da empresa permite exigir duas aprovações.

Use o DDA

O DDA mostra os boletos emitidos no CNPJ da empresa. Compare o boleto que chegou por e-mail com o que aparece no DDA: beneficiário, valor e vencimento precisam bater. Veja como ativar o DDA.

Consulte o CNPJ de quem vai receber

Antes do primeiro pagamento a um fornecedor novo, e sempre que o beneficiário mudar, consulte o CNPJ. Veja situação cadastral, data de abertura e atividade. A consulta de CNPJ do validou mostra esses dados e aponta os sinais de risco.

Não pague com pressa

Pressa é a principal ferramenta do golpista. Um fornecedor de verdade aceita esperar uma confirmação.

Pedido suspeito e o que fazer

Se o boleto chegou por e-mail

Antes de pagar, cole a linha digitável na checagem de boleto do validou. Ela identifica o tipo de boleto, o banco emissor, o valor e o vencimento, e aponta sinais de risco. Depois, no app do banco, confira o beneficiário.

O validou aponta sinais de risco. Ele não garante que um boleto é autêntico nem que um fornecedor é confiável.

Resumo

• O golpe do falso fornecedor troca boletos, anuncia "mudança de banco" ou cobra serviços não contratados.
• Confirme qualquer mudança de dados bancários por telefone, usando o número que você já tinha.
• Compare o nome e o CNPJ do beneficiário no app do banco com o cadastro do fornecedor.
• Consulte o CNPJ de quem vai receber sempre que o beneficiário for novo ou mudar.
• Regras simples e escritas, como dupla aprovação, protegem mais do que a pressa permite.