Os golpes mais comuns contra empresas em 2026 são o boleto falso ou adulterado, a troca fraudulenta dos dados bancários de um fornecedor, o comprovante falso de Pix e a invasão de contas de e-mail, de WhatsApp e de sistemas internos. Quase todos começam com engenharia social, ou seja, enganar uma pessoa para que ela pague, aprove ou entregue uma senha. A proteção mais eficaz combina processo e sistema: dupla aprovação para pagamentos e para mudança de dados bancários, conferência automática de pagamentos pela API do banco em vez de comprovantes enviados por imagem, autenticação em dois fatores em todos os acessos e registro de cada alteração. O Pix tem hoje um mecanismo de devolução mais forte, mas a recuperação depende de agir rápido e de haver saldo nas contas dos golpistas.

O problema é grande. O Anuário Brasileiro de Segurança Pública registrou 2.261.055 casos de estelionato no Brasil em 2025. Este artigo explica como cada golpe funciona, o que o Banco Central mudou nas regras do Pix e quais controles devem estar no sistema da empresa, seja ele um ERP, um portal de cobrança ou um e-commerce.

O tamanho do problema em números

Golpes digitais deixaram de ser problema só do consumidor. Empresas são alvos atraentes porque fazem pagamentos maiores, com mais pessoas envolvidas e mais etapas em que alguém pode ser enganado.

Fontes listadas ao fim do artigo. O dado do FBI se refere aos Estados Unidos e é citado porque não há estatística pública brasileira equivalente para esse tipo de golpe.

Os bancos também estão reforçando a defesa. A Pesquisa Febraban de Tecnologia Bancária 2026, feita pela Deloitte, mostra que 21 bancos da amostra investiram R$ 46,8 bilhões em tecnologia em 2025, e que 90% das instituições ouvidas citam a prevenção à fraude entre as prioridades de segurança. A mesma pesquisa aponta que 78% das transações bancárias já acontecem no celular.

Do lado das empresas, a Agência Nacional de Proteção de Dados (ANPD) informa que o roubo de credenciais com engenharia social passou a ser o tipo de incidente mais comunicado no ciclo de julho de 2023 a junho de 2025. É o mesmo mecanismo que está por trás da maior parte dos golpes financeiros.

Golpe 1: boleto falso ou adulterado

O boleto continua sendo um meio de pagamento comum entre empresas, e o golpe tem três variações principais.

Na primeira, o golpista envia um boleto falso por e-mail, se passando por um fornecedor real. O valor e a data parecem corretos, mas o beneficiário é outro. Na segunda, um programa malicioso instalado no computador altera o código de barras do boleto legítimo na hora de pagar. Na terceira, o criminoso invade a caixa de e-mail do fornecedor e envia, a partir dela, um boleto “atualizado”.

O ponto fraco em todos os casos é o mesmo: ninguém confere quem é o beneficiário que aparece na tela do banco antes de confirmar. Os controles que reduzem esse risco são:

• conferir nome e CNPJ do beneficiário exibidos pelo banco antes de aprovar o pagamento;
• comparar o valor e o beneficiário com o pedido de compra e com o cadastro do fornecedor;
• dar preferência ao DDA (Débito Direto Autorizado), em que o boleto aparece direto no banco, sem passar por e-mail;
• desconfiar de qualquer boleto “reemitido” ou de “nova conta” enviado por e-mail.

Para quem emite boletos, o risco é a empresa ter sua marca usada no golpe contra os próprios clientes. Um portal do cliente com segunda via autenticada, e não por e-mail aberto, reduz esse problema.

Golpe 2: troca dos dados bancários do fornecedor

Esse golpe é a versão corporativa mais cara do problema. O criminoso, passando-se pelo fornecedor, pede ao financeiro que atualize os dados bancários “por mudança de banco”. A partir daí, todos os pagamentos vão para a conta errada, às vezes por meses.

Nos Estados Unidos, o FBI chama isso de Business Email Compromise (BEC), ou comprometimento de e-mail corporativo. O relatório de 2025 do IC3, o centro de denúncias de crimes na internet do FBI, registrou 24.768 queixas desse tipo, com perdas de US$ 3,05 bilhões em um ano.

O sistema financeiro da empresa precisa tratar a alteração de dados bancários como um evento de alto risco, e não como uma edição comum de cadastro. Isso significa:

• exigir aprovação de uma segunda pessoa para qualquer alteração de conta de fornecedor;
• confirmar a mudança por um canal diferente do que trouxe o pedido, como um telefone já cadastrado;
• bloquear pagamentos para a nova conta por um período de carência;
• registrar quem pediu, quem aprovou e quando, com alerta automático para a diretoria financeira.

Golpe 3: Pix fraudulento

O Pix é rápido, e por isso é o meio preferido dos golpistas. Contra empresas, os golpes mais comuns são:

• comprovante falso: o cliente envia a imagem de um comprovante editado e a empresa libera a mercadoria;
• Pix agendado e cancelado: o comprovante é de um agendamento, que o golpista cancela antes da data;
• QR Code adulterado: o código impresso ou exibido no site é trocado por um que leva a outra conta;
• falso fornecedor ou falso diretor: um pedido urgente de Pix chega por WhatsApp ou e-mail, com tom de pressão;
• devolução indevida: o golpista diz que pagou a mais e pede devolução de um valor que nunca entrou.

A defesa contra os dois primeiros é simples e técnica: a empresa nunca deve liberar pedidos com base em imagem de comprovante. O sistema precisa confirmar o recebimento diretamente com o banco, pela API do Pix ou por notificação automática (webhook), e só então mudar o status do pedido. O artigo sobre gateways de pagamento no Brasil mostra as opções para isso.

O que mudou no MED, o mecanismo de devolução do Pix

O Mecanismo Especial de Devolução (MED) é a regra do Banco Central que permite à vítima de golpe contestar um Pix e tentar recuperar o dinheiro. Segundo o Voto 105/2025 do Banco Central, o MED devolveu cerca de R$ 1,4 bilhão desde que entrou em vigor até junho de 2025.

Até 2025, o mecanismo tinha um limite importante: só alcançava a primeira conta que recebeu o dinheiro. Os golpistas sabiam disso e espalhavam o valor por várias contas em segundos. O mesmo voto, que alterou o regulamento do Pix (Resolução BCB nº 1/2020), criou a funcionalidade de “recuperação de valores”, que rastreia as transferências seguintes, bloqueia saldos nas contas que receberam os recursos e devolve diretamente à vítima.

Fonte: Banco Central do Brasil, Voto 105/2025, que altera a Resolução BCB nº 1/2020.

Para a empresa, a lição é que velocidade importa. A devolução depende de haver saldo nas contas envolvidas, e cada hora conta. O financeiro deve saber, antes de qualquer golpe, como acionar o MED no aplicativo do banco e quem é o contato do gerente para casos urgentes. A devolução não é garantida, e a análise da responsabilidade em cada caso deve ser feita com advogado.

Golpe 4: invasão de contas

A invasão de contas, chamada em inglês de account takeover, é o ponto de partida de boa parte dos outros golpes. Com acesso ao e-mail de um funcionário, o criminoso lê conversas reais com fornecedores e escolhe o momento certo para pedir a troca de conta. Com acesso ao WhatsApp, ele pede Pix a colegas e clientes. Com acesso ao painel do e-commerce, ele altera a chave Pix exibida no checkout.

O IBM Cost of a Data Breach 2025 mostra que, no Brasil, o phishing foi a porta de entrada de 18% das violações, com custo médio de R$ 7,18 milhões. O comprometimento de terceiros e da cadeia de fornecedores respondeu por 15%, com custo médio de R$ 8,98 milhões. Os dois números reforçam a mesma ideia: o elo mais fraco costuma ser uma pessoa ou um parceiro, e não o servidor.

As contas que mais precisam de proteção são:

1. e-mail corporativo, principalmente de financeiro, compras e diretoria;
2. internet banking e aplicativos de pagamento da empresa;
3. painel administrativo do e-commerce, do ERP e do portal do cliente;
4. contas de WhatsApp Business usadas para atendimento e cobrança;
5. contas de nuvem e hospedagem, que dão acesso a tudo o que roda nos servidores;
6. contas de redes sociais da marca, usadas para golpes contra clientes.

Em todas elas, a autenticação em dois fatores deve ser obrigatória. Senha sozinha não é proteção suficiente.

Golpe 5: falso suporte e falso diretor

Neste golpe, alguém liga ou escreve dizendo ser do suporte do banco, do fornecedor de software ou do próprio diretor da empresa. O objetivo é obter um código de verificação, instalar um programa de acesso remoto ou fazer alguém aprovar um pagamento urgente.

A defesa é sobretudo de processo. Nenhum suporte legítimo pede código de verificação ou senha. Pedidos urgentes de pagamento fora do fluxo normal devem ser confirmados por outro canal, mesmo que pareçam vir do presidente da empresa. Treinamento curto e frequente funciona melhor do que uma palestra por ano.

Os controles que o sistema da empresa deve ter

Processo e treinamento resolvem parte do problema. A outra parte depende de como o sistema foi construído. Um ERP, um portal de cobrança ou um e-commerce bem desenhado impede que um único erro humano vire perda financeira.

Lista de controles recomendada pela Mind Group para sistemas que emitem cobranças ou movimentam pagamentos, com base nos tipos de golpe descritos neste artigo.

Muitos desses controles são simples de implementar quando o sistema é planejado com eles desde o início. Ficam caros quando precisam ser encaixados em um sistema antigo, sem trilha de auditoria e com perfis de acesso genéricos. As boas práticas de desenvolvimento seguro estão no guia sobre o OWASP Top 10.

Quanto custa colocar esses controles em um sistema existente

O custo depende muito do estado do sistema. Um ERP com código organizado e acesso ao banco de dados recebe esses controles com menos esforço do que um sistema antigo sem documentação.

Metodologia: horas estimadas × valor-hora de R$ 110 a R$ 190 praticado pela Mind Group em 2026, conforme a senioridade do time. A faixa de sustentação (20 a 80 horas por mês) é a usada pela Mind; as demais são estimativas de referência, e o valor final depende do escopo, da tecnologia do sistema e do banco integrado.

Para comparar, o custo médio de uma violação de dados no Brasil medido pela IBM em 2025 foi de R$ 7,19 milhões. Um único pagamento desviado para a conta errada pode custar mais do que todo o projeto de controles.

Plano de ação em 30 dias

Para empresas que querem começar já, este é um roteiro curto, que não depende de grandes projetos.

1. Liste todas as contas críticas (e-mail, banco, ERP, e-commerce, nuvem, WhatsApp) e ative a autenticação em dois fatores em cada uma.
2. Crie a regra de dupla aprovação para mudança de dados bancários de fornecedores, mesmo que manual no início.
3. Proíba a liberação de pedidos com base em comprovante enviado por imagem.
4. Defina um valor acima do qual todo pagamento exige duas pessoas.
5. Configure SPF, DKIM e DMARC no domínio de e-mail da empresa, padrões que dificultam que golpistas enviem mensagens se passando por ela.
6. Escreva um procedimento de uma página para golpe de Pix: quem aciona o banco, como abrir o MED e quem avisa a diretoria.
7. Faça um treinamento de 30 minutos com o financeiro, compras e atendimento sobre os golpes descritos neste artigo.
8. Peça ao fornecedor do sistema uma avaliação dos controles da tabela acima e um plano para os que faltam.

Quando o golpe envolve dados pessoais

Alguns golpes são também incidentes de segurança com dados pessoais. Uma invasão do e-commerce que expõe cadastros de clientes, ou de um e-mail com documentos de funcionários, pode exigir comunicação à ANPD e aos titulares em até três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. A avaliação deve ser feita com o encarregado de dados e com advogado.

O registro de cada alteração no sistema, citado na tabela de controles, ajuda nesse momento. Sem ele, a empresa não consegue dizer o que o invasor viu ou alterou. O guia de cibersegurança para empresas traz o passo a passo de resposta.

Sistemas antigos são alvo preferido

Plataformas desatualizadas concentram falhas conhecidas, para as quais já existem ferramentas automáticas de ataque. Um e-commerce em versão sem suporte ou um painel administrativo exposto na internet são portas abertas para trocar a chave Pix do checkout ou o código de barras do boleto.

A falha PHP2Shell (CVE-2026-109618) é um exemplo recente de vulnerabilidade crítica em uma tecnologia muito usada em sistemas de empresas. Quando a atualização não é viável, o artigo sobre modernização de sistemas legados mostra caminhos e custos.

Como a Mind Group pode ajudar

A Mind Group é uma software house brasileira, fundada em 2016, que desenvolve sistemas, aplicativos e soluções de inteligência artificial sob medida para empresas de todo o Brasil. Tem mais de 60 desenvolvedores próprios, mais de 500 produtos digitais lançados, nota 5,0 no Clutch com 17 avaliações verificadas de clientes, entrega o código-fonte ao cliente e mantém uma frente de cibersegurança dedicada à correção de vulnerabilidades e à resposta a incidentes.

Em sistemas que emitem cobranças ou movimentam pagamentos, a Mind desenvolve integrações com bancos e gateways, conciliação automática de Pix e boleto, fluxos de aprovação e trilhas de auditoria. A frente de cibersegurança avalia sistemas existentes, corrige vulnerabilidades e apoia a resposta quando um golpe ou uma invasão acontece.

Se a sua empresa quer entender como o Pix e o open finance afetam os sistemas de cobrança, o artigo sobre fintech, open finance, Pix e Drex complementa este guia. Para projetos novos, conheça o trabalho da Mind em desenvolvimento de sistemas.

Atualizado em outubro de 2026.

Perguntas frequentes

Como identificar um boleto falso?

Antes de confirmar o pagamento, confira o nome e o CNPJ do beneficiário que o banco exibe e compare com o cadastro do fornecedor e com o pedido de compra. Desconfie de boletos “reemitidos” por e-mail ou de avisos de troca de banco. Sempre que possível, use o DDA, em que o boleto aparece direto no internet banking.

Caí em um golpe de Pix. Dá para recuperar o dinheiro?

É possível tentar pelo MED, o Mecanismo Especial de Devolução do Banco Central, acionado pelo banco da vítima. Desde fevereiro de 2026, o mecanismo pode rastrear e bloquear valores em várias contas, mas a devolução depende de haver saldo e não é garantida. Quanto mais rápido o acionamento, maior a chance.

Como evitar o golpe do comprovante falso de Pix?

A empresa não deve liberar pedidos com base em imagem de comprovante. O sistema precisa confirmar o crédito diretamente com o banco, pela API do Pix ou por notificação automática, e só então liberar a venda. Isso também resolve o golpe do Pix agendado e cancelado.

O que é o golpe da troca de dados bancários do fornecedor?

O golpista, se passando por um fornecedor, pede ao financeiro que atualize a conta de pagamento, e os pagamentos seguintes vão para ele. Nos Estados Unidos, o FBI registrou perdas de US$ 3,05 bilhões com esse tipo de fraude em 2025. A defesa é exigir dupla aprovação e confirmação por outro canal para qualquer mudança de conta.

Autenticação em dois fatores resolve a invasão de contas?

Reduz muito o risco, porque uma senha roubada deixa de ser suficiente para entrar. Ela deve estar ativa em e-mail, banco, ERP, e-commerce, nuvem e WhatsApp. Ainda assim, golpes de falso suporte tentam obter o código, então o treinamento da equipe continua necessário.

Quem responde pelo prejuízo quando a empresa cai em um golpe?

Depende das circunstâncias de cada caso, do contrato com o banco e do comportamento das partes envolvidas. Não existe resposta única, e a análise deve ser feita com advogado. Manter registros de cada aprovação e alteração no sistema ajuda a esclarecer o que aconteceu.

Fontes: Brasil 61: Anuário de Segurança Pública registra mais de 2,2 milhões de casos de estelionato em 2025 · Banco Central: Voto 105/2025, alterações no regulamento do Pix e no MED · Febraban e Deloitte: Pesquisa Febraban de Tecnologia Bancária 2026 · FBI: IC3 Internet Crime Report 2025 · IBM: custo médio de uma violação de dados no Brasil atinge R$ 7,19 milhões · ANPD: 3º Relatório de Ciclo de Monitoramento · Gazeta SP: Pix passa a operar sob novas regras