Fornecedor pediu troca de conta por e-mail? Pode ser golpe

O e-mail parece rotina. Um fornecedor que atende o escritório há dois anos avisa que trocou de banco e pede para o próximo boleto ser pago numa conta nova. A assinatura é a de sempre, o logo está certo, o jeito de escrever bate. Só que não foi ele quem mandou. Esse é o golpe da troca de conta bancária do fornecedor, e ele tem esvaziado o caixa de escritório de arquitetura pequeno com uma facilidade que assusta. O motivo é simples: escritório de projeto paga terceirizado, calculista, maquete eletrônica e taxa de prefeitura quase toda semana, e esse tipo de pagamento costuma ser liberado no automático por quem confia no remetente.

A fraude tem nome técnico, comprometimento de e-mail corporativo, mas para o dono do escritório o que importa é o efeito: o dinheiro sai da conta da empresa e cai na conta de um criminoso, sem volta na maioria dos casos. Abaixo está como o golpe funciona, como reconhecer o e-mail falso e o que montar no financeiro para não pagar na conta errada.

Como o golpe da conta trocada chega até o escritório

O ataque quase nunca começa no seu computador. Começa no e-mail do fornecedor. O criminoso invade a caixa de mensagens de um prestador de serviço menor, muitas vezes um profissional autônomo que usa senha fraca e não tem verificação em duas etapas. De dentro dessa conta, ele lê meses de conversa: quanto você paga, com que frequência, quem assina os e-mails, como é o tom da relação.

Quando chega uma cobrança de verdade, ele age. Pode responder no mesmo fio de conversa dizendo que os dados bancários mudaram, ou criar um endereço quase idêntico ao real, com uma letra trocada, e mandar de lá. Em alguns casos ele nem espera a fatura real: manda uma antecipada, com valor plausível, para você pagar antes de o fornecedor perceber. Como a mensagem vem do contato certo ou de algo muito parecido, o pedido de trocar a conta passa sem levantar suspeita.

Os sinais no e-mail que entregam a fraude

Nenhum sinal isolado prova que é golpe, mas alguns pedem uma parada antes de pagar. O mais comum é o pedido de urgência combinado com mudança de conta: "paga hoje senão perco o desconto do banco", "a conta antiga foi bloqueada". Golpista quer pressa porque pressa desliga a conferência.

Vale olhar também o endereço de resposta, não só o nome que aparece. Clique para expandir o remetente e confira letra por letra o domínio depois do arroba. Desconfie quando a conta nova é de outro titular, uma pessoa física quando você sempre pagou para a empresa, ou um banco digital que não combina com o histórico. Erro de português fora do padrão daquele fornecedor, boleto em PDF com dados batidos à mão em vez de gerado pelo banco, e mudança de forma de pagamento, de boleto para PIX ou transferência, são outros pontos de atenção. E tem o detalhe simples que muita gente ignora: se o fornecedor manda a fatura sempre no dia 5 e agora chegou no dia 20, pergunte por quê.

Quanto custa um boleto pago na conta errada

Imagine um escritório de arquitetura com seis pessoas que paga, por mês, cerca de doze prestadores: dois calculistas, um projetista de elétrica, um de hidráulica, maquete eletrônica, render, taxas e um contrato de terceirização de detalhamento. O ticket médio desses pagamentos gira em torno de 3.500 reais, sendo que o contrato de detalhamento sozinho passa de 9 mil.

Se o golpe acerta o pagamento do contrato de detalhamento, o prejuízo direto é de 9 mil reais que não voltam. Mas não para aí. O fornecedor de verdade continua cobrando, porque ele não recebeu, então ou você paga duas vezes ou entra em atrito com quem entrega parte do seu projeto. Some o tempo do financeiro tentando reverter a transação com o banco, o boletim de ocorrência, a conversa com a contabilidade e o dia perdido de quem deveria estar produzindo prancha. Para um escritório desse porte, um único boleto desviado equivale a semanas de margem. Dois ou três pagamentos menores no mesmo mês, que é o padrão quando o criminoso está dentro do e-mail de um fornecedor recorrente, chegam ao mesmo lugar.

Como confirmar os dados bancários antes de pagar

A defesa que funciona não é tecnológica, é de processo, e cabe em qualquer escritório sem custo de software. A regra central: nenhuma mudança de dados bancários entra em vigor só por e-mail.

Quando um fornecedor pedir para trocar a conta, ligue para ele no telefone que você já tinha cadastrado antes, nunca no número que aparece no e-mail suspeito. Confirme de viva voz o banco, a agência e a conta. Se não conseguir falar, segure o pagamento. Um fornecedor sério entende a espera de um dia; um golpista some.

Outras travas simples que ajudam:

• Cadastro de fornecedor com dados bancários registrados uma vez, num arquivo que só duas pessoas alteram, sempre com confirmação por telefone.
• Dupla checagem para pagamento acima de um valor definido, por exemplo 2 mil reais: quem lança não é quem aprova.
• Primeiro pagamento para qualquer conta nova feito com valor simbólico, de poucos reais, e confirmado com o fornecedor antes de mandar o restante.
• Verificação em duas etapas ligada no e-mail do escritório e recomendada aos fornecedores próximos, já que o elo mais fraco costuma ser a caixa de mensagens deles.

Do lado da LGPD (Lei Geral de Proteção de Dados), lembre que a lista de fornecedores, valores e contatos que o criminoso lê dentro do e-mail invadido também é dado pessoal e comercial sob sua responsabilidade. Manter esses e-mails com senha forte e segundo fator é parte da obrigação de proteger informação de terceiros, não só uma boa prática.

O dinheiro já saiu: o que fazer nas primeiras horas

Velocidade decide se há chance de recuperar algo. Assim que a fraude for percebida, ligue para o seu banco e peça o bloqueio ou a devolução do valor pelo mecanismo de contestação; no caso do PIX, existe um processo específico de devolução por suspeita de golpe que precisa ser aberto rápido, de preferência nas primeiras horas.

Registre boletim de ocorrência, guarde o e-mail fraudulento inteiro, com cabeçalho, e avise o fornecedor verdadeiro para que ele verifique a própria caixa de mensagens e troque a senha. Comunique a contabilidade, porque o pagamento foi feito e precisa de tratamento correto. Se dados de clientes ou de outros fornecedores também circularam na conta invadida, avalie com apoio jurídico se o caso exige comunicação à Autoridade Nacional de Proteção de Dados.

Erro comum

O erro que mais aparece é confiar no fio de conversa. Como a mensagem chega como resposta a um e-mail antigo de verdade, com todo o histórico embaixo, a equipe assume que só o fornecedor poderia estar ali. Poderia não. Se o criminoso está dentro da caixa dele, ele responde do endereço legítimo, com o histórico legítimo. Continuidade de conversa não é prova de identidade. A prova é a ligação para o número que você já tinha.

Checklist para o financeiro do escritório

1. Todo dado bancário de fornecedor fica num cadastro fixo, alterado por poucas mãos e só após confirmação por telefone.
2. Pedido de troca de conta por e-mail nunca é executado no mesmo dia: liga-se antes para o contato já conhecido.
3. Pagamento acima do valor de corte passa por duas pessoas, uma que lança e outra que aprova.
4. Conta nova recebe primeiro um valor de teste baixo, confirmado com o fornecedor antes do pagamento cheio.
5. E-mail do escritório com verificação em duas etapas ativada, sem exceção.
6. Se o dinheiro já saiu: banco na hora, boletim de ocorrência, fornecedor avisado, contabilidade e jurídico acionados no mesmo dia.

Conclusão

O escritório que trata pedido de troca de conta como evento normal vai, mais cedo ou mais tarde, pagar um boleto de vários milhares de reais para um desconhecido e ainda dever o fornecedor de verdade. O escritório que adota uma única regra, a de sempre ligar para o número já cadastrado antes de mudar qualquer dado bancário, tira do golpe o que ele mais precisa, que é a sua pressa e a sua confiança automática. Não custa nada implantar e você pode começar hoje, mandando um e-mail para a equipe do financeiro com as seis linhas do checklist acima.