Boleto falso em nome da sua empresa: como o golpe funciona e como proteger seus clientes

O cliente liga irritado: recebeu aviso de protesto, mas pagou o boleto em dia. O comprovante é verdadeiro, o dinheiro saiu da conta dele. Só não entrou na sua. O boleto tinha o seu logotipo, o seu CNPJ, o valor certo e chegou por um e-mail que parecia ter saído do seu domínio.

Esse é o golpe do boleto falso em nome da empresa, e ele tem uma característica cruel: quem perde o dinheiro é o cliente, mas quem perde o cliente é você. Na cabeça de quem pagou, a empresa dele fez negócio com a sua e foi a sua que deixou o golpe acontecer. A discussão sobre quem responde vai longe, e enquanto ela anda a relação comercial já acabou.

A boa notícia é que o golpe depende de brechas que a própria empresa consegue fechar: parte é configuração de domínio e de e-mail, parte é processo de cobrança combinado com o cliente.

Como o golpe do boleto falso funciona

O boleto bancário tem uma fraqueza estrutural: ele é um documento que qualquer pessoa consegue gerar com aparência oficial. Logotipo, razão social e CNPJ são públicos. O que define para onde o dinheiro vai é a linha digitável e o beneficiário cadastrado no banco, e é justamente o que ninguém confere na hora de pagar.

O criminoso não precisa invadir banco nenhum. Basta saber que o seu cliente tem uma cobrança a pagar, montar um boleto parecido com o seu e fazê-lo chegar por um canal confiável, quase sempre o e-mail. O dinheiro cai numa conta de passagem e some em minutos.

As três portas por onde o golpe entra

O boleto falso chega ao cliente por uma de três rotas, e cada uma pede uma defesa diferente. Vale identificar qual delas foi usada, porque arrumar a errada dá sensação de segurança sem resolver nada.

1. O remetente forjado com o seu próprio domínio

O protocolo de e-mail permite que qualquer servidor escreva qualquer endereço no campo de remetente. Se o seu domínio não tem as políticas de autenticação publicadas, um criminoso consegue enviar uma mensagem que aparece como financeiro@suaempresa.com.br, e o servidor do cliente não tem como saber que ela não saiu de você.

É a rota mais fácil de fechar, e ainda assim a mais comum, porque muitas empresas nunca configuraram SPF, DKIM e DMARC, ou configuraram pela metade. Explicamos os três registros em detalhe no post sobre e-mail da empresa caindo em spam, e a mesma configuração que melhora a entrega é a que impede o uso do seu domínio por terceiros.

2. O domínio parecido

Quando o domínio verdadeiro está protegido, o criminoso registra um quase igual. Troca a letra l pelo número 1, acrescenta um hífen, usa .com no lugar de .com.br, ou coloca uma palavra a mais, como suaempresa-financeiro.com.br. Na tela do celular, com fonte pequena, ninguém percebe.

Esse domínio tem SPF e DKIM próprios e passa em todos os filtros, porque tecnicamente não está fingindo ser ninguém. A defesa aqui não é tecnologia de e-mail, é monitoramento e processo: saber quando alguém registra um nome parecido com o seu e ter combinado com o cliente que boleto só chega de um endereço específico.

3. A caixa de e-mail invadida

É a mais perigosa e a mais difícil de perceber. Alguém da sua equipe cai em um e-mail de phishing, digita a senha numa página falsa e o criminoso passa a ter acesso à caixa verdadeira. Ele não manda nada de imediato. Ele lê. Descobre quais clientes têm parcela a vencer, em que tom o financeiro escreve, quando costuma enviar a cobrança.

No momento certo, ele responde uma conversa real avisando que houve troca de banco e anexa o novo boleto. Muitas vezes cria uma regra que esconde as respostas do cliente, e o funcionário nem percebe. Nenhum filtro de autenticação bloqueia isso, porque a mensagem realmente saiu do seu servidor.

Sinais de que a sua empresa já está sendo usada

O golpe raramente aparece de uma vez. Ele costuma dar sinais pequenos que ninguém liga uns aos outros. Fique atento quando acontecer qualquer destes:

• Cliente diz que pagou e o pagamento não aparece, e o comprovante mostra beneficiário com nome diferente ou banco que você não usa.
• Cliente pergunta se a conta bancária mudou, ou comenta que estranhou o boleto ter vindo de outro endereço.
• Retornos de e-mail que ninguém enviou: mensagens de não entrega para destinatários com quem a empresa nunca falou indicam que alguém está mandando e-mail em nome do seu domínio.
• Regras de encaminhamento ou filtros que ninguém criou na caixa do financeiro ou do comercial.
• Login de lugar estranho nos alertas do provedor de e-mail, como acesso de outro estado ou de outro país.
• Relatório DMARC com envios desconhecidos, se o domínio já tiver DMARC publicado.

O que fazer nas primeiras horas

Quando um cliente aparece com um boleto falso pago, a ordem das ações importa. A tendência é discutir primeiro quem tem culpa, e esse é o pior uso do tempo disponível.

1. Peça ao cliente que contate o banco dele imediatamente, com o comprovante, e solicite a contestação. Se o pagamento foi recente, ainda existe chance de bloqueio na conta de destino, e via Pix há o Mecanismo Especial de Devolução.
2. Avise o seu banco emissor, informando a linha digitável do boleto falso. Os bancos compartilham informação sobre contas usadas em fraude.
3. Descubra qual foi a porta. Peça ao cliente o e-mail original, com cabeçalhos completos, e não apenas um print. O cabeçalho mostra de qual servidor a mensagem partiu e se passou ou falhou na autenticação.
4. Se houver suspeita de caixa invadida, troque a senha da conta, encerre todas as sessões ativas, revise regras de encaminhamento e ative a verificação em duas etapas antes de qualquer outra coisa.
5. Avise a base de clientes que tem cobrança em aberto, por um canal que você controle, explicando como os boletos verdadeiros chegam e como conferir.
6. Registre boletim de ocorrência, que pode ser feito pela delegacia eletrônica na maioria dos estados. Ele é o documento que o cliente e o banco vão pedir.

Quem paga a conta do boleto falso

Esta não é uma orientação jurídica, mas os tribunais costumam olhar para a cadeia de falhas. Quando o golpe passa por um vazamento de dados do lado da empresa que cobra, como uma caixa de e-mail invadida que deu ao criminoso o valor exato e a data do vencimento, cresce o entendimento de que a empresa responde, ao menos em parte. Quando o banco abriu a conta de passagem sem a verificação adequada, ele também costuma ser chamado. E o pagador que não conferiu dados evidentemente estranhos também divide a responsabilidade.

Em todos os cenários há custo de advogado e desgaste com o cliente. A empresa que consegue mostrar que tinha autenticação de domínio configurada, verificação em duas etapas ativa e um processo de cobrança comunicado ao cliente está numa posição muito melhor do que aquela que nunca tinha olhado para isso. A LGPD reforça o mesmo ponto: dado de cliente vazado pela caixa de e-mail é incidente de segurança, com dever de comunicar.

A defesa no domínio: SPF, DKIM e DMARC em modo de rejeição

A primeira rota, a do remetente forjado, fecha com configuração. O objetivo é chegar ao DMARC com política reject, que instrui os servidores do mundo inteiro a recusarem qualquer mensagem que diga vir do seu domínio e não passe na verificação.

O caminho seguro tem etapas:

• Mapeie tudo o que envia e-mail em seu nome: o servidor de e-mail corporativo, o sistema de emissão de boletos, o ERP, a plataforma de e-mail marketing, o formulário do site. Cada um precisa estar no SPF ou assinar com DKIM.
• Publique o DMARC com política none e um endereço para receber os relatórios. Durante algumas semanas, ele só observa e conta quem está enviando.
• Corrija os envios legítimos que falham. É normal descobrir um sistema esquecido nessa fase, como o emissor de nota fiscal.
• Passe para quarantine e depois para reject. A partir daí, o e-mail falso com o seu domínio vai para o lixo antes de chegar ao cliente.

Uma ressalva importante: isso só é possível com e-mail no domínio próprio. Empresa que cobra a partir de um endereço de provedor gratuito não tem DNS para configurar, e qualquer pessoa pode criar um endereço igualmente convincente no mesmo provedor em dois minutos.

Confira também em nome de quem o domínio está registrado: veja domínio próprio, titularidade e renovação.

A defesa nas caixas: senha, duas etapas e regras escondidas

A terceira rota, a caixa invadida, se combate com regras de acesso da empresa, não com iniciativa individual.

• Verificação em duas etapas obrigatória em todas as contas, começando por financeiro, comercial e diretoria. Senha vazada sem o segundo fator não abre a caixa.
• Revisão periódica de regras de encaminhamento. O administrador do e-mail corporativo consegue listar regras de todas as contas e bloquear encaminhamento automático para fora do domínio.
• Alertas de login suspeito ligados e lidos por alguém. Alerta que cai numa caixa que ninguém abre não protege nada.
• Conta de quem sai é encerrada no mesmo dia, com a caixa convertida ou redirecionada. Conta abandonada é a porta preferida, porque ninguém está olhando. Veja como fazer isso em e-mail de funcionário que sai da empresa.

Para o detalhe técnico de cada uma dessas camadas, o post sobre e-mail corporativo seguro é o complemento natural deste.

A defesa no processo: combine com o cliente como a cobrança chega

A segunda rota, o domínio parecido, não tem configuração que resolva por completo, porque o criminoso está usando um endereço que é dele. Aqui a defesa é o cliente saber, de antemão, como reconhecer a cobrança verdadeira. Algumas práticas simples:

• Comunique por escrito, no início do contrato, de qual endereço os boletos saem e que a empresa nunca muda de banco por e-mail.
• Mudança de dados bancários só com confirmação por outro canal, como telefone para um número já conhecido. Vale para os dois lados: sua empresa também paga fornecedores.
• Ofereça a segunda via em área do cliente no site, com login. Se houver dúvida, o cliente confere o boleto lá, num endereço que ele digitou, e não num link recebido.
• Prefira o Pix com chave CNPJ quando fizer sentido. A chave é fixa e conferível, e o nome do recebedor aparece antes do pagamento.

Monitorar o registro de domínios parecidos com o seu também ajuda: um domínio quase igual costuma ser o primeiro passo de uma campanha que ainda não começou.

Por que a presença digital própria pesa aqui

O golpe do boleto se aproveita de tudo o que a empresa não controla: domínio em nome de terceiro, e-mail em provedor gratuito, cobrança que sai de cada sistema de um jeito. Cada peça solta é um espaço para o criminoso se encaixar.

Quando o domínio é da empresa, o e-mail sai dele com autenticação completa, os sistemas que enviam em nome dela estão mapeados e o site oferece um lugar oficial para conferir a cobrança, o cliente passa a ter uma referência firme para comparar. O boleto falso continua podendo ser criado, mas fica muito mais difícil fazê-lo parecer verdadeiro.

O que fica

O golpe entra por três portas. O remetente forjado se fecha com DMARC em rejeição, a caixa invadida com duas etapas obrigatórias, e o domínio parecido com um processo de cobrança combinado com o cliente.

Nenhuma delas é cara, e todas custam menos do que um único cliente perdido por um pagamento que foi parar na conta errada. Se você não sabe hoje em que pé está a autenticação do seu domínio ou a segurança das caixas do financeiro, fale com a NSWeb: fazemos o diagnóstico e deixamos o e-mail da sua empresa difícil de imitar.

Perguntas frequentes