Golpe do fornecedor falso: como a fraude de e-mail corporativo desvia pagamentos e como verificar a troca de conta
Um e-mail do “fornecedor” pedindo novos dados de pagamento é um dos golpes mais caros contra empresas. Veja como a fraude funciona, os números do FBI e um protocolo de verificação para aplicar antes de pagar.
Referência histórica: 9 de dezembro de 2025. Publicado neste site em 2 de novembro de 2026. As datas no texto identificam o período retratado.
Neste artigo
Em resumo
- A fraude de e-mail corporativo (BEC) engana a empresa para que ela pague a um terceiro: o golpista se passa pelo fornecedor ou por um executivo e pede novos dados de pagamento.
- O FBI contabilizou US$ 55,5 bilhões em perdas expostas com BEC entre 2013 e 2023 e 21.442 queixas só em 2024.
- O golpe explora o processo, não a tecnologia: pressa, e-mail comprometido ou parecido e nenhuma confirmação por outro canal.
- A defesa é um protocolo simples: nenhuma mudança de conta ou carteira vale sem confirmação por um segundo canal já conhecido, com dupla aprovação interna.
A empresa tem um fornecedor antigo, uma fatura em aberto e, na véspera do vencimento, chega um e-mail curto: “Mudamos de banco, use os novos dados a partir de hoje”. A mensagem tem o tom, a assinatura e até o histórico da conversa. O pagamento sai, e o fornecedor de verdade, semanas depois, cobra uma fatura que nunca recebeu. Esse é o roteiro-padrão da fraude de e-mail corporativo, conhecida pela sigla em inglês BEC (*business email compromise*).
O golpe é anterior às criptomoedas e vale para qualquer meio de pagamento: transferência bancária, boleto, Pix ou carteira de USDT. A diferença é o que acontece depois. Um pagamento confirmado em blockchain não volta, e uma transferência internacional recuperada depende de um prazo curto e de bancos dispostos a cooperar. Por isso a verificação precisa vir antes.
- Perdas expostas com BEC no mundo entre out/2013 e dez/2023 (FBI IC3, set/2024)
- US$ 55,5 bi
- Incidentes de BEC no mesmo período, em 186 países
- 305.033
- Queixas de BEC ao IC3 em 2024, com perdas de cerca de US$ 2,77 bilhões (relatório de abr/2025)
- 21.442
- Alta das perdas expostas globais de dez/2022 a dez/2023
- +9%
Como a fraude de e-mail corporativo funciona
O FBI define o BEC como um golpe sofisticado que atinge empresas e pessoas que fazem transferências legítimas de dinheiro. O criminoso toma uma conta de e-mail verdadeira, por engenharia social ou invasão, ou cria uma conta muito parecida. A partir daí, interfere em uma conversa real de cobrança ou abre uma nova. Há quatro variações comuns:
Nada disso depende de software malicioso sofisticado. A fraude se apoia em pressa, em hierarquia e na confiança que a empresa tem na conversa já existente. É o mesmo princípio dos golpes de falso suporte descritos em Golpes do falso suporte e da falsa recuperação de cripto: o criminoso quer que a vítima mesma faça a transferência.
O que dizem os números do FBI
Em setembro de 2024, o Internet Crime Complaint Center (IC3), do FBI, atualizou o alerta sobre o tema. Entre outubro de 2013 e dezembro de 2023, os incidentes de BEC no mundo somaram US$ 55.499.915.582 em perdas expostas. O termo “exposta” inclui perdas reais e tentativas, então o valor não equivale a dinheiro efetivamente desviado.
| Categoria | Quantidade | Perda exposta |
|---|---|---|
| Todos os incidentes, no mundo | 305.033 | US$ 55,5 bilhões |
| Vítimas nos EUA (queixas) | 158.436 | US$ 20,1 bilhões |
| Vítimas fora dos EUA (queixas) | 6.546 | US$ 1,6 bilhão |
| Contas receptoras nos EUA | 89.756 | US$ 17,5 bilhões |
| Contas receptoras fora dos EUA | 22.190 | US$ 9,0 bilhões |
A primeira linha cobre todos os países: o alerta do FBI não separa dados do Brasil. Também há uma mudança de rota. O IC3 registrou, em 2023, mais casos em que o dinheiro foi enviado a instituições que guardam recursos de processadoras de pagamento, de serviços de pagamento entre pessoas e de corretoras de criptomoedas. Bancos do Reino Unido e de Hong Kong foram as paradas intermediárias mais frequentes, seguidos pelos da China, do México e dos Emirados Árabes Unidos.
No relatório anual do IC3 divulgado em abril de 2025, o BEC aparece como o 7º crime mais reportado de 2024, com 21.442 queixas, mas o 2º em perdas, com cerca de US$ 2,77 bilhões, atrás só das fraudes de investimento. O total de todos os crimes somou US$ 16,6 bilhões. De 2022 a 2024, as perdas com BEC relatadas ao IC3 chegaram a quase US$ 8,5 bilhões, segundo a Nacha, entidade que define as regras da rede ACH de pagamentos dos Estados Unidos. É um golpe de pouco volume e alto valor por caso.
Sinais de alerta antes de pagar
- Pedido de mudança de conta, banco ou carteira feito apenas por e-mail ou mensagem.
- Urgência incomum, com pedido de sigilo ou de pagamento “ainda hoje”.
- Endereço de e-mail com diferença mínima: uma letra trocada, um domínio como .co em vez de .com, ou nome correto com domínio diferente.
- Conta bancária em outro país, em nome de terceiro, ou carteira diferente da usada antes.
- Recusa em fazer uma ligação ou videochamada para confirmar.
- Mudança de tom, de idioma ou de assinatura em relação às mensagens anteriores.
Dado de pagamento novo, em qualquer formato, é a hora de parar. Fornecedor legítimo aceita a confirmação: quem se incomoda com ela merece desconfiança, não pressa.
Protocolo de verificação por segundo canal
O FBI recomenda confirmar qualquer pedido de mudança de dados por um canal secundário ou por autenticação em dois fatores. Para transformar isso em rotina, as empresas podem adotar um procedimento escrito, com poucas etapas:
- Registre a mudança como exceção: nenhum pagamento a dados novos sai sem passar pelo procedimento, mesmo com valor pequeno.
- Confirme por um canal já conhecido, como o telefone do contrato ou do cadastro antigo, nunca pelo número ou link que veio no mesmo e-mail.
- Peça o dado novo em documento formal assinado pela pessoa autorizada pelo fornecedor, e compare o nome do beneficiário com o do contrato ou da invoice.
- Exija dupla aprovação interna: quem cadastra o dado não é quem libera o pagamento.
- Faça um pagamento de teste de valor baixo e peça confirmação do recebimento antes de liberar o total.
- Guarde o registro da confirmação (data, pessoa, canal) junto com a invoice.
Para pagamentos em USDT, a etapa 3 inclui conferir o endereço TRC-20 caractere por caractere, em dois canais, e olhar o histórico no explorador de blocos, como mostra o guia Como conferir uma transação de USDT no Tronscan. Quem copia endereços do histórico também corre o risco descrito em Envenenamento de endereço no USDT.
Se o pagamento já saiu
O tempo decide o resultado. O FBI orienta a acionar de imediato a instituição financeira para pedir o recall dos fundos e os documentos de indenização, e a registrar a queixa em ic3.gov o quanto antes, qualquer que seja o valor, para tentar congelar o dinheiro. No Brasil, a empresa também deve avisar o banco e registrar boletim de ocorrência. Em blockchain não há estorno: a única chance é avisar logo a corretora que recebeu o valor ou o emissor da stablecoin, que podem congelar o saldo enquanto ele não sair dali.
Perguntas frequentes
O que é fraude de e-mail corporativo (BEC)?
É um golpe em que o criminoso invade ou imita o e-mail de um fornecedor, de um executivo ou de um parceiro para induzir a empresa a fazer uma transferência legítima para uma conta ou carteira que ele controla. O FBI o descreve como um golpe sofisticado contra empresas e pessoas que fazem transferências de dinheiro.
Como confirmar uma mudança de conta de fornecedor?
Ligue para o número já cadastrado no contrato ou no sistema, nunca para o que veio no e-mail, e peça a confirmação por escrito de uma pessoa autorizada. Compare o nome do beneficiário com o contrato, exija dupla aprovação interna e faça um pagamento de teste antes do valor total.
Quanto o golpe de BEC causa de prejuízo?
O FBI IC3 registrou US$ 55,5 bilhões em perdas expostas entre 2013 e 2023, em todo o mundo. Em 2024, o IC3 recebeu 21.442 queixas de BEC, com perdas de cerca de US$ 2,77 bilhões.
Dá para recuperar um pagamento enviado ao golpista?
Em transferência bancária, às vezes, se o banco for avisado logo e o dinheiro ainda estiver na conta de destino. Em USDT, a transação confirmada é irreversível, e a única chance é avisar rapidamente a plataforma que recebeu o valor para tentar bloquear o saldo.
Achou útil? Compartilhe com quem paga fornecedor no exterior.
Fontes
- Business Email Compromise: The $55 Billion Scam (Alert I-091124-PSA) · FBI Internet Crime Complaint Center (IC3), 11/09/2024
- Internet Crime Report 2024 · FBI Internet Crime Complaint Center (IC3), 23/04/2025
- FBI's IC3 Finds Almost $8.5 Billion Lost to Business Email Compromise in Last Three Years · Nacha, 24/04/2025
Conteúdo informativo, sem recomendação de investimento. Marcas de terceiros citadas pertencem aos respectivos titulares; a menção é jornalística e não indica parceria ou vínculo com a Swapo Finance.
Pagamento internacional com a velocidade do Pix e regra do Banco Central.
Converta real em USDT e envie ao fornecedor na rede TRON. Tarifa única exibida antes, política de segregação patrimonial, atendimento humano. Ativo virtual sem cobertura do FGC; pedido de autorização protocolado no BCB.
