Modus operandi

Golpe do boleto: o documento é verdadeiro, a instrução é que é falsa

Desde 2018 o código de barras adulterado é bloqueado no pagamento. O golpe mudou de lugar, e a prova de quem mandou a instrução está no cabeçalho do e-mail.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 9 de fevereiro de 2027

Quase tudo que se escreve sobre golpe do boleto ainda descreve um golpe que parou de funcionar. A imagem é sempre a mesma: o criminoso adultera o código de barras, você paga, o dinheiro vai para outra conta.

Desde novembro de 2018 todo boleto emitido no Brasil precisa estar registrado na base centralizada operada pela Núclea, a antiga CIP. Quando você paga, o banco consulta essa base e confere os dados. Se o código de barras não bate com o registro, o pagamento é recusado na hora.

Ou seja, a porta técnica foi fechada. E, no entanto, as pessoas continuam pagando para quem não deviam. Vale entender para onde o golpe se mudou, porque isso muda completamente o que se deve preservar como prova.

O boleto de hoje quase sempre é verdadeiro

O boleto que chega ao pagador em um golpe atual costuma ser legítimo no sentido técnico: emitido de verdade, registrado corretamente, com beneficiário real, CNPJ real e conta real. Ele passa em qualquer validação, porque não tem nada de adulterado.

O que é falso é outra coisa: a ideia de que aquele boleto é o que você deveria pagar.

Isso desloca o problema inteiro. Não existe mais uma falsificação para periciar. Existe uma conta de verdade, aberta por alguém, que recebeu o dinheiro. E aí a pergunta deixa de ser “o documento foi adulterado?” e passa a ser “quem abriu aquela conta, e com que diligência”.

É exatamente onde a conta laranja entra na história, e é por isso que esses dois temas, que parecem distantes, são o mesmo assunto visto de dois lados.

Uma consequência prática disso: o DDA é mais útil do que conferir o código de barras. No Débito Direto Autorizado, o aplicativo do banco lista as cobranças efetivamente vinculadas ao seu CPF ou CNPJ. Um boleto verdadeiro emitido por um terceiro contra você não aparece ali. Conferir se o boleto está no DDA responde uma pergunta que olhar o documento não responde.

A variante que nem usa boleto: a troca de dados por e-mail

O mesmo raciocínio explica a fraude que atinge empresa e escritório, e que costuma ser chamada de troca de dados bancários ou de golpe do e-mail.

Funciona assim: existe uma negociação real, entre duas partes reais, com uma fatura real. No momento do pagamento, chega uma mensagem avisando que os dados bancários mudaram. O valor está certo, o número do pedido está certo, o histórico da conversa está certo. Só a conta de destino é outra.

Nada foi falsificado no sentido tradicional. A instrução de pagamento é que foi substituída.

E aqui aparece a pergunta que decide o caso: onde a substituição aconteceu. Na caixa de quem enviou, na caixa de quem recebeu, ou no caminho. As três hipóteses levam a responsáveis diferentes, e a resposta não está no corpo do e-mail. Está no cabeçalho.

O cabeçalho é onde está a resposta

Todo e-mail carrega um cabeçalho técnico que o leitor comum não vê. É lá que os servidores que tocaram a mensagem deixaram registro, e é isso que se examina.

A cadeia Received. Cada servidor que manuseia a mensagem acrescenta uma linha no topo. A leitura é de baixo para cima: as linhas mais antigas ficam embaixo, as mais recentes em cima. Detalhe que muda tudo na hora de avaliar: as linhas de baixo podem ter sido escritas por quem enviou, então são as menos confiáveis. As de cima, acrescentadas pela infraestrutura de quem recebeu, são as que valem.

SPF. Diz se o servidor que entregou a mensagem estava autorizado a enviar em nome daquele domínio. Responde sobre o servidor, não sobre a pessoa.

DKIM. É assinatura criptográfica aposta pelo domínio remetente sobre partes da mensagem. Demonstra que aquele conteúdo não foi alterado depois de assinado e que o domínio assinante chancelou o envio.

DMARC. Amarra as duas coisas anteriores ao endereço que aparece para o usuário, e define a política de quem não passa.

Agora a parte que quase nunca é dita, e que é a mais importante de todas:

Passar em SPF, DKIM e DMARC não prova que o remetente é legítimo. Prova que a caixa é legítima.

Numa fraude de troca de dados bem feita, a caixa é legítima. Ela foi invadida. A mensagem sai do servidor certo, com a assinatura certa, do endereço certo, e passa em tudo. Perito que conclui “o e-mail é autêntico, logo o fornecedor mandou” errou a pergunta. Autenticidade do envio e legitimidade da ordem são coisas diferentes.

O que de fato ajuda a separar as hipóteses são sinais mais chatos e mais reveladores: o Reply-To apontando para endereço diferente do From, um domínio parecido mas não idêntico, o horário de envio fora do padrão daquele remetente, e a ausência da mensagem na caixa de enviados de quem supostamente mandou. Esse último é decisivo e é o primeiro a ser conferido.

A prova expira, e mais rápido do que o processo anda

Essa é a parte com prazo, e é por isso que o texto vale mais para quem acabou de descobrir do que para quem está há meses no assunto.

O Marco Civil da Internet, a Lei 12.965/2014, fixa dois prazos de guarda:

Seis meses é pouco. Quem descobre a fraude em março, procura advogado em junho e ajuíza em outubro chega depois de o registro ter sido descartado legalmente. Não houve má vontade de ninguém: o prazo venceu.

Existe um caminho que quase ninguém usa a tempo. A autoridade policial, a administrativa ou o Ministério Público podem requerer a guarda por prazo maior, e a partir do requerimento correm sessenta dias para pedir a autorização judicial de acesso. Ou seja, dá para pedir a preservação antes de ter a ordem judicial. Preservar é rápido, acessar é que demora.

Para o caminho civil, a ferramenta está na produção antecipada de prova, que existe justamente para a hipótese em que esperar o processo significa perder o objeto.

O que a decisão do STJ sobre boleto mostra

No REsp 2.124.423/SP, julgado pela Terceira Turma do Superior Tribunal de Justiça em 20 de agosto de 2024, sob relatoria da ministra Nancy Andrighi, o caso era um leilão falso com pagamento de R$ 47 mil por boleto emitido por banco digital.

O entendimento foi que, tenha a instituição atuado só em meio digital ou não, se ela cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de descumprimento das diligências de abertura, aí sim se configura falha no dever de segurança.

Repare onde a discussão foi parar: não no boleto, e sim na abertura da conta que o recebeu. É a confirmação judicial do que a mudança técnica já indicava. Com o documento validado na origem, o que sobra para examinar é quem está na ponta.

Isso não é tese fechada. Como tratamos em responsabilidade do banco, até hoje não há tema repetitivo pacificando responsabilidade civil em golpe com autorização da vítima, e os julgados são de turma, com peso persuasivo e não vinculante.

O que preservar, na ordem

Aqui a ordem importa mais que a pressa, e um erro comum destrói a prova antes de qualquer perícia.

1. Exporte a mensagem original em .eml ou .msg. Não tire print e não encaminhe. Encaminhar gera uma mensagem nova, com cabeçalho novo, e o original se perde. Print de tela mostra o que o programa escolheu mostrar, que é justamente a parte falsificável.
2. Gere hash do arquivo exportado e anote o valor junto com data e hora. É o que permite demonstrar depois que nada mudou.
3. Não responda pelo mesmo encadeamento. Se a caixa do outro lado estiver comprometida, você está conversando com quem aplicou o golpe e informando o andamento da sua reação.
4. Confirme por canal independente, telefone conhecido de antes, nunca o número que veio no e-mail.
5. Peça a preservação de registros ao provedor e registre ocorrência, sem esperar a decisão de processar. O prazo de seis meses já está correndo.
6. Junte o que prova a negociação legítima: pedido, contrato, faturas anteriores com os dados bancários antigos. A comparação entre o antes e o depois é o que evidencia a substituição.

O passo 1 e o passo 2 são o começo da cadeia de custódia. Sem eles, o resto do trabalho fica em pé sobre material que a outra parte vai conseguir contestar.

Se a caixa invadida foi a sua

Cenário pior e mais comum do que se imagina: o cliente pagou errado porque o e-mail saiu de dentro da sua empresa.

A tentação é tratar como problema do cliente. Não é, e a postura defensiva costuma piorar a posição. Se o acesso indevido partiu da sua infraestrutura, existe incidente de segurança a apurar, existe dever de comunicação a considerar, e existe registro que precisa ser preservado antes de a rotina de retenção apagar.

O primeiro movimento é preservar os logs de autenticação da caixa afetada, incluindo IP, horário e dispositivo de cada acesso do período. O segundo é verificar regra de encaminhamento automático criada na conta, que é o mecanismo mais usado para acompanhar a negociação sem precisar entrar de novo. Regra de encaminhamento silenciosa costuma ser a prova mais limpa de que houve invasão, e é a primeira coisa que se apaga quando alguém decide “arrumar” a caixa antes de chamar quem entende.