Golpe do boleto falso: o e-mail verdadeiro é trocado dentro da sua caixa

O seu fornecedor mandou a fatura do mês. A mensagem está na caixa de entrada com o nome certo, o texto de sempre e o boleto anexado. O financeiro paga. Três semanas depois o fornecedor liga cobrando, e ninguém entende: o comprovante existe, o valor bate, a data bate. Só o dinheiro foi para outra conta.

Esse é o golpe do boleto falso na versão mais difícil de perceber. Ele não começa com um e-mail falso. Começa com uma senha.

Como funciona o golpe do boleto falso, passo a passo

São seis etapas, e só a última é visível para a empresa:

1. Uma senha vaza. Não precisa ser a senha do e-mail corporativo. Basta que a mesma senha tenha sido usada em outro serviço que sofreu vazamento — a reutilização é o que transforma um vazamento alheio num problema seu.
2. O criminoso entra na caixa. O acesso é remoto, pelo IMAP, o protocolo que quase todo webmail e todo e-mail corporativo mantém ligado para o celular e o programa de e-mail funcionarem.
3. Ele espera, sem tocar em nada. Uma ferramenta vigia as mensagens com anexo, procurando no assunto palavras como boleto, pix, duplicata e segunda via.
4. A cobrança chega — e é verdadeira. Fornecedor real, arquivo real, valor real.
5. A troca. O criminoso apaga a mensagem verdadeira e coloca outra no lugar, com a mesma aparência, mudando apenas o destino do pagamento dentro do documento.
6. A empresa paga. E a descoberta vem semanas depois, quando o fornecedor cobra de novo.

A troca de mensagem: o detalhe que quase ninguém explica

Como alguém coloca uma mensagem numa caixa de entrada sem enviá-la? A resposta está no próprio protocolo de e-mail, escrita em norma pública.

O IMAP tem um comando chamado APPEND. A especificação da internet que define o protocolo diz, na descrição dele, que o comando "acrescenta o argumento literal como uma nova mensagem ao fim da caixa de destino". E acrescenta: se uma data e hora forem especificadas, elas devem ser gravadas como data interna da mensagem.

Traduzindo: quem tem a senha pode colocar uma mensagem inteira dentro de uma pasta, escolhendo o remetente que ela exibe, o assunto e até a hora em que ela aparenta ter chegado. Some a isso apagar a original: o financeiro vê uma única mensagem, no lugar de sempre, no horário esperado.

E há uma consequência que explica todo o resto: essa mensagem nunca trafegou pela internet. Não houve entrega, não houve servidor de origem, não houve nada para um filtro examinar. Ela simplesmente apareceu na pasta.

Por que SPF, DKIM e DMARC dizem "legítimo"

As três proteções de autenticação de remetente impedem que alguém escreva em nome da sua empresa. Elas funcionam e valem o trabalho de configurar. Só que as três são verificadas no momento da entrega — e é aí que este golpe escapa. Há duas situações, e vale distinguir:

• O criminoso está na caixa de quem paga. Não existe entrega nenhuma: a mensagem é depositada na pasta. Não há o que conferir, porque não houve caminho a percorrer.
• O criminoso está na caixa de quem cobra. A mensagem sai da conta verdadeira, pelo servidor verdadeiro, com a assinatura verdadeira. As três verificações aprovam — e aprovam corretamente, porque, do ponto de vista técnico, aquilo é legítimo.

É por isso que esse golpe atinge empresas que fizeram tudo certo no e-mail. Explicamos as três, uma a uma, em por que o e-mail importante cai no spam e o golpe passa.

Por que o boleto adulterado vem dentro de uma imagem

O documento alterado quase sempre chega como imagem: um arquivo dentro do corpo da mensagem ou um PDF que, na prática, é uma fotografia. Isso não é capricho do criminoso, é cálculo. Filtro de conteúdo lê texto; imagem, ele não lê. E não existe link malicioso nem programa executável para o antivírus reprovar — o anexo é um documento comum, com números diferentes.

A alteração só se revela na leitura do código de barras ou do QR Code, ou seja, na hora do pagamento. Antes disso, não há nada visualmente errado para encontrar.

A Kaspersky documentou essa fraude no Brasil em março de 2024, a partir de uma ferramenta que edita o boleto direto na caixa da vítima. Fabio Assolini, chefe de equipe de analistas de segurança da empresa, resumiu o problema numa frase que vale repetir: "a edição fraudulenta do boleto acontece diretamente na caixa de e-mail da vítima — portanto todas as dicas de ter atenção ao remetente e erros de ortografia não ajudarão a identificar o golpe".

Os sinais que sobram — e dá para conferir hoje

O criminoso precisa esconder o rastro, e é aí que deixa marca. Vale conferir, na caixa que recebe cobranças:

• Regras de caixa que ninguém criou. Mover, marcar como lida ou apagar mensagens com certas palavras. O catálogo de técnicas de ataque do MITRE registra isso como técnica própria, porque é o passo padrão de quem quer operar sem ser notado.
• Pastas estranhas, com nomes discretos ou de um caractere só, para onde as mensagens são desviadas.
• Encaminhamento automático para fora da empresa, configurado na conta ou na regra.
• Acessos de local, horário ou aparelho incompatíveis com a rotina de quem usa a conta.
• Aplicativos conectados à conta que ninguém reconhece ter autorizado.
• A divergência que é prova: uma mensagem que está na caixa e não tem registro de entrega no servidor. Mensagem que aparece sem ter chegado não veio de fora — foi colocada ali.

As medidas que realmente seguram

1. A conferência que funciona mesmo depois de tudo falhar

É a camada mais importante: ela protege o dinheiro mesmo com a caixa já invadida.

• Confira o beneficiário na tela de pagamento. Com o boleto registrado, os dados de quem vai receber aparecem na hora do pagamento, em qualquer canal. A Febraban orienta comparar esse nome com o do credor: qualquer divergência interrompe a operação. É o único ponto do processo em que a alteração fica visível.
• Use o DDA. No Débito Direto Autorizado a empresa recebe a versão eletrônica dos boletos emitidos em seu nome direto da plataforma centralizada dos bancos. O documento deixa de depender do e-mail, e o criminoso dentro da caixa fica sem o que alterar.
• Confirme por outro canal qualquer dado bancário novo ou alterado, usando um telefone que você já tinha, nunca o que veio na mensagem. É a primeira recomendação do centro de crimes cibernéticos do FBI para esta família de fraude.

2. Fechar a porta da caixa

• Senha única por serviço. Foi a reutilização que abriu a porta; é ela que precisa acabar.
• Segundo fator em toda conta de e-mail, sem exceção para diretoria.
• Vigiar vazamento de credencial dos endereços da empresa — saber antes do criminoso.
• Revisar quem ainda tem acesso. Conta de quem já saiu é caixa sem dono, e ninguém estranha o que acontece nela — assunto que tratamos em demitir tira o crachá, quase nunca tira o acesso.

3. Onde o segundo fator não basta — e o que fazer

Aqui é preciso ser honesto, porque a maioria dos textos sobre o assunto encerra o assunto no "ative o segundo fator". Ele reduz muito o risco e é indispensável. Mas em 2026 o FBI publicou dois alertas sobre técnicas que contornam senha e segundo fator sem quebrar nenhum dos dois: o abuso de autorização por consentimento, em que a vítima aprova o acesso de um aplicativo controlado pelo criminoso, e o roubo de código de dispositivo, em que ela digita um código numa página legítima e autoriza o aparelho do atacante.

Desses alertas sai o fato mais útil deste artigo, e o que menos gente sabe: quando o acesso foi obtido por autorização de aplicativo, trocar a senha não expulsa o invasor. O acesso só termina quando a autorização é revogada nas configurações de segurança da conta. Então, na suspeita de invasão de caixa, a sequência correta é: trocar a senha, encerrar todas as sessões ativas e revogar os aplicativos e dispositivos conectados. Fazer só a primeira parte deixa a porta aberta com a sensação de que ela foi fechada.

Quem administra o ambiente pode ainda restringir a autorização por código de dispositivo às poucas situações em que ela é necessária — auditando o uso antes, sob risco de derrubar processo legítimo.

⛔ O que não protege contra este golpe

Dizer o que não funciona vale tanto quanto listar o que funciona — é o que evita a falsa sensação de segurança:

• SPF, DKIM e DMARC — aprovam, porque a mensagem é legítima ou nem passou por entrega.
• Filtro de spam e antivírus de anexo — não há link malicioso, não há programa, e os números estão dentro de uma imagem.
• O aviso de "remetente externo" — o remetente não é externo nem falsificado.
• Conferir o remetente e procurar erro de português — o texto é o original do fornecedor.
• Treinamento isolado — ajuda, mas não há o que a pessoa identifique olhando a mensagem. O que segura é o processo de pagamento, não o olho de quem lê.

Se o pagamento já saiu

As primeiras horas decidem quanto se recupera. Nesta ordem:

1. Ligue para o banco imediatamente e peça bloqueio e devolução do valor. O FBI é explícito: nesta fraude, tempo é o fator determinante da recuperação.
2. Preserve a mensagem como está e guarde os registros de acesso da conta — é o que permite entender por onde entraram.
3. Feche a caixa: troque a senha, encerre as sessões, revogue aplicativos e apague as regras que você não criou.
4. Avise o fornecedor. Se o criminoso estava na caixa dele, outros clientes estão recebendo o mesmo documento agora.
5. Registre boletim de ocorrência e formalize a reclamação com o banco por escrito.

O ponto

Este golpe não é um problema de atenção. Ele é um problema de processo: enquanto a autorização de um pagamento depender do que chegou na caixa de e-mail, uma senha vazada continua valendo o valor da fatura. As duas correções que mudam o jogo são baratas e não dependem de comprar nada — tirar o boleto do e-mail, com DDA, e conferir o beneficiário na tela antes de confirmar.

O resto é a camada que muita empresa descobre que não tem só depois do prejuízo: alguém olhando regras de caixa, acessos e sessões ativas com regularidade. É o que fazemos em proteção de e-mail corporativo e no monitoramento 24 horas do ambiente — e que já apareceu no golpe por telefone que a equipe aprova sem perceber.

Quer saber se a caixa que recebe as suas cobranças tem regra ou encaminhamento que ninguém criou? A gente confere numa conversa de quinze minutos, sem custo — pelo WhatsApp (98) 3197-0997.