O e-mail chega na mesma conversa de sempre, com o mesmo assunto, assinado pelo contato que você conhece há dois anos. A invoice anexada é a certa: número do pedido, quantidade, valor, tudo bate com o que vocês combinaram. No rodapé, uma frase curta explica que a empresa passou a receber por outro banco e pede que o pagamento desta vez vá para a conta nova.
Não há nada de errado no documento. É por isso que esse golpe funciona em empresa que já importa há anos.
O golpe usa os seus documentos, não documentos falsos
A versão que o material em português costuma descrever é a do fornecedor inventado, com site recém-criado e preço bom demais. Essa é a fraude do primeiro pedido, e ela morre numa checagem de cadastro.
A que pega importador experiente é outra. O criminoso entra na caixa de e-mail de alguém, do seu lado ou do lado do fornecedor, e fica lendo. Ele aprende o valor típico do pedido, o nome de quem aprova, o tom das mensagens e, principalmente, o calendário: quando a proforma costuma virar invoice, quando o pagamento costuma sair. Aí ele espera o momento certo e responde de dentro do fio, trocando um bloco de texto.
O FBI chama esse tipo de ataque de Business Email Compromise. No relatório anual de 2025 do IC3, o centro de queixas de crimes na internet do órgão, o BEC aparece com 24.768 queixas e perdas ajustadas de US$ 3,04 bilhões. São queixas registradas majoritariamente por vítimas nos Estados Unidos, então o número não mede o Brasil. Mede o tamanho da categoria, e esse tamanho indica operação organizada, com escala e método.
O que o banco confere quando você fecha o câmbio
Aqui está o ponto que nenhum alerta de segurança cobre, e é o que muda a conversa.
Quando você leva a operação para a mesa, a instituição confere se a documentação sustenta a natureza declarada e se a operação fecha com o que foi contratado. A invoice existe, o valor confere, o enquadramento faz sentido para uma importação de bens. Descrevemos essa sequência inteira em fechamento de câmbio de importação, passo a passo.
Nada nessa conferência responde à pergunta que interessa neste caso: a conta que está na instrução pertence mesmo ao fornecedor. O banco checa a consistência do seu dossiê. Ele não tem como saber que o número da conta no rodapé da invoice de setembro é diferente do de agosto, porque quem tem o histórico dos seus pagamentos é você.
Uma fraude bem feita passa por esse crivo sem atrito nenhum, e é exatamente isso que deixa o importador tranquilo até o fornecedor cobrar.
Quem credita o pagamento é o número da conta
Existe uma crença comum de que o nome do beneficiário funciona como uma segunda trava: se o nome na ordem é o do fornecedor e a conta é de outra pessoa, o banco lá fora barraria.
Na maior parte dos corredores, não barra. O crédito segue o número da conta, e a divergência de nome vira, na melhor das hipóteses, um pedido de esclarecimento que ninguém garante que vai acontecer.
O sinal mais claro de que essa lacuna é real é o esforço para fechá-la em um lugar só. Desde 9 de outubro de 2025, os prestadores de serviço de pagamento da União Europeia são obrigados a oferecer a Verification of Payee, uma checagem automática que compara o nome do beneficiário com o IBAN antes de o pagador autorizar a transferência. A obrigação vale para transferências em euro dentro do próprio bloco. Pagamento que sai do Brasil não é transferência SEPA e não passa por ela.
Na prática: o seu pagamento para a Europa não recebe a mesma checagem que um pagamento feito de dentro da Europa recebe. No corredor asiático não existe equivalente.
Recall é um pedido, não um direito
Descoberta a fraude, a primeira reação é ligar para o banco e mandar cancelar. A palavra técnica é recall, e ela é menos poderosa do que parece.
Um recall é uma mensagem que a sua instituição envia pedindo ao banco do beneficiário que devolva o valor. O banco do outro lado não devolve por conta própria dinheiro já creditado em conta de cliente: ele precisa do consentimento do titular ou de uma ordem da autoridade local. Se o titular é o criminoso, o consentimento não vem. O que pode salvar a operação é o valor ainda não ter sido sacado ou repassado adiante.
Por isso o relógio é a única variável que você controla. A orientação do IC3 é direta: ao descobrir uma transferência fraudulenta, contate imediatamente a instituição financeira e peça o recall dos recursos junto com a documentação de indenização necessária.
O tamanho do estrago quando esse processo funciona bem também está no relatório de 2025. A equipe de recuperação de ativos do IC3 atuou em 3.900 incidentes, sobre US$ 1,16 bilhão em tentativas de desvio, e congelou US$ 679 milhões, uma taxa de sucesso de 58%. É um canal americano, com o FBI atrás dele e com acionamento em horas. Mesmo assim, perto de metade do dinheiro não volta.
O importador brasileiro que paga um fornecedor na China não tem esse canal. Tem a sua instituição, o correspondente dela e o tempo que levar.
| Momento da operação | O que é conferido | Pegaria a troca de conta? |
|---|---|---|
| Chegada da invoice | Valor, pedido, quantidade | Não. O documento é legítimo |
| Fechamento do câmbio | Documentação e enquadramento da operação | Não. O dossiê fecha do mesmo jeito |
| Crédito no banco do beneficiário | Número da conta | Não, fora da União Europeia |
| Conferência do histórico do beneficiário | A conta é a mesma dos pagamentos anteriores | Sim. É o único ponto que pega |
Só a última linha é um controle seu, e ela não existe em processo nenhum por padrão. Precisa ser criada.
O controle que funciona é chato e leva cinco minutos
A regra que resolve a maior parte dos casos cabe numa frase: mudança de dados bancários se confirma por voz, num número que você já tinha antes do pedido de mudança.
O detalhe está em "que você já tinha antes". O e-mail que pede a troca costuma trazer um telefone novo, ou a mensagem chega pelo WhatsApp de um número parecido com o do contato. Ligar para o número que veio junto com o pedido confirma a fraude com o próprio fraudador, e o importador desliga mais tranquilo do que estava.
O número que serve é o do contrato, o do cartão de visita, o do site institucional que você acessou digitando o endereço. Fale com uma pessoa, não com um canal de texto.
Três outras práticas que custam pouco:
- Guarde o bloco de dados bancários do fornecedor num cadastro interno, fora do e-mail, e confira a invoice contra ele em vez de conferir contra a invoice anterior.
- Defina que alteração de beneficiário exige aprovação de duas pessoas, mesmo quando o valor é baixo. A primeira tentativa costuma ser um pedido pequeno, para testar o processo.
- Trate um pedido de urgência como motivo para desacelerar. A pressa é a ferramenta principal do golpe, porque impede a ligação de cinco minutos.
Recebeu menos é outro problema
Vale separar duas reclamações que chegam parecidas do fornecedor. Quando ele diz que recebeu menos do que a invoice, na maioria das vezes isso é tarifa de banco intermediário, decidida pelo campo que define quem arca com os custos do caminho, assunto de OUR, BEN e SHA.
Quando ele diz que não recebeu nada, e o seu comprovante mostra o valor cheio saindo para uma conta que ele não reconhece, aí é a fraude deste texto. A diferença aparece na primeira pergunta que você faz: peça a ele os quatro últimos dígitos da conta que ele esperava receber, e compare com a ordem que você assinou.
Se o pagamento já saiu
A sequência importa mais do que a completude. Na primeira hora, ligue para a sua instituição e peça o recall por escrito, com o horário do pedido registrado. Avise o fornecedor por telefone, porque a caixa de e-mail de um dos dois lados pode estar comprometida e tudo o que você escrever ali está sendo lido.
Depois disso, preserve os e-mails originais com cabeçalho completo, em vez de encaminhar prints, e leve o caso ao jurídico e à polícia. Troque as senhas e ative segundo fator nas contas de quem participa do fluxo de pagamento, dos dois lados.
Se você paga fornecedor no exterior com alguma frequência, a tarefa desta semana cabe em meia hora: abra os últimos seis pagamentos, confira se a conta de destino foi a mesma em todos e, onde tiver mudado, descubra por quê. É a única conferência desta lista que não dá para fazer depois que o dinheiro sai.
Este texto tem um enfoque puramente educacional e não configura nenhuma indicação de investimentos ou relacionado. Dispor dinheiro ou suas finanças em qualquer forma de investimento configura um risco real e deve ser tratado com extrema seriedade.