← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Fraude de fornecedor: checklist para conferir troca de conta (BEC)

Fraude de fornecedor e BEC: checklist para o financeiro conferir pedidos de troca de conta, como fazer o call-back certo e o que fazer se o pagamento já saiu.

2026-11-01

O e-mail parece normal: o fornecedor de sempre avisa que mudou de banco e manda a nova conta para o próximo pagamento. Às vezes a mensagem vem até do endereço verdadeiro, porque a caixa de e-mail dele foi invadida. Esse é o coração do comprometimento de e-mail corporativo (BEC) e da fraude de fatura com troca de dados bancários. A defesa mais eficaz não é tecnológica: é um processo simples que o financeiro segue sempre.

Quanto as empresas perdem com fraude de fornecedor?

Nos EUA, o relatório 2024 do FBI IC3 registrou 21.442 queixas de BEC e US$ 2,77 bilhões em perdas, de um total de US$ 16,6 bilhões em crimes pela internet. No Reino Unido, a UK Finance contou 2.305 casos de fraude de fatura e de mandato em 2025, com £ 41,3 milhões em perdas; 68% desse valor saiu de contas de empresas, justamente porque elas fazem pagamentos altos com frequência e um pagamento falso se camufla melhor.

Como conferir um pedido de troca de conta bancária?

A regra de ouro do FBI é confirmar o pedido por um telefone obtido de fonte independente, nunca o que veio na mensagem, e combinar essa segunda verificação no início da relação com o fornecedor, fora do e-mail, segundo orientação do FBI. O J.P. Morgan lista onde o call-back costuma falhar, em artigo sobre BEC:

Erro comum	Por que falha	O certo
Ligar para o número do e-mail	Se o e-mail foi invadido, o número é do golpista	Usar o telefone do cadastro interno
Aceitar ligação recebida como confirmação	O fraudador liga antes, sabendo do controle	Só vale ligação feita pela empresa
Falar com quem atendeu	Pode indicar outro e-mail também comprometido	Confirmar com o responsável pelo pagamento
Acreditar que o controle foi feito	Um passo pulado basta para a perda	Registrar e auditar cada etapa

Checklist para o financeiro

Cadastro mestre protegido: mudar dado bancário de fornecedor exige pedido formal e aprovação de duas pessoas.
Call-back obrigatório para o telefone já cadastrado, antes de qualquer alteração.
Período de quarentena: primeiro pagamento para conta nova sob revisão extra; avalie um valor de teste.
Bandeiras vermelhas: urgência, sigilo, troca de banco ou de país, conta em nome diferente do fornecedor, pequenas mudanças no endereço de e-mail.
Confira o titular exibido pelo banco antes de confirmar. Na zona do euro, a Verificação do Beneficiário (VoP) é obrigatória desde 9 de outubro de 2025: o banco compara nome e IBAN e mostra se há correspondência, correspondência parcial ou nenhuma, sem custo. No Brasil, confira nome e CNPJ do beneficiário no app antes de pagar boleto ou Pix e não conclua se o nome for diferente, como orienta a Febraban.
Responda digitando o endereço, em vez de clicar em responder, para não cair num domínio parecido (recomendação do FBI).
Proteja o e-mail: MFA em todas as contas e autenticação de domínio. Veja SPF, DKIM e DMARC.
Treine a equipe que paga e a que atende fornecedores, com exemplos reais.

O que fazer se o pagamento já saiu?

A velocidade decide. Nos EUA, o FBI orienta contatar o banco imediatamente e registrar a denúncia no IC3. Em 2024, a equipe de recuperação de ativos do IC3 atuou em 3.020 casos e ajudou a congelar US$ 469,1 milhões em transferências domésticas, com taxa de sucesso de 66%, segundo o relatório. No Brasil, acione o banco na hora (no Pix, peça o MED), registre boletim de ocorrência e avise o fornecedor verdadeiro, cuja caixa de e-mail pode estar invadida. No Reino Unido, 48% das perdas com esse golpe voltaram às vítimas em 2025 (UK Finance).

Por fim, registre tudo: data do pedido de troca, quem ligou para quem, qual número foi usado e quem aprovou. Esse histórico ajuda o banco e a polícia a rastrear o dinheiro e mostra onde o processo precisa de ajuste. Revise a lista de fornecedores com dados bancários alterados nos últimos meses; se algum não passou por call-back, confirme agora.

O que fazer / Como se proteger

Nenhuma troca de conta sem call-back para número já cadastrado.
Duas aprovações para alterar dados bancários e para pagamentos altos.
Desconfie de urgência e de pedido de sigilo.
Conferir o titular da conta antes de confirmar é obrigatório no processo.
Pagou errado? Banco primeiro, depois polícia e fornecedor.

Mais em BEC, BEC na compra de imóveis, boleto falso e no radar.