Sua empresa emitiu a cobrança certa. O cliente pagou. E, mesmo assim, o dinheiro nunca chegou.

Esse é o retrato mais comum de um golpe que já derrubou o caixa de milhares de pequenas e médias empresas no Brasil: a interceptação do e-mail de faturamento. Um criminoso entra na conversa entre a sua empresa e o seu cliente, sem que nenhum dos dois perceba, e troca o boleto ou os dados de PIX no meio do caminho. O cliente paga. O golpista recebe. E a sua empresa fica devendo, para um cliente que jura — com razão — já ter pago.

Se você é empresário, CFO ou controller e está lidando com esse cenário agora, este artigo foi escrito para você. Vamos explicar, em linguagem direta, como esse golpe funciona, por que a prova técnica é o centro de tudo, e em que situações o banco pode ser responsabilizado por falha de segurança. Sem promessas fáceis. Com o que a lei e a técnica realmente permitem.

Como a interceptação de e-mail de faturamento funciona

O nome técnico é “ataque de interceptação” ou, na sigla em inglês usada no mercado de segurança, BEC — Business Email Compromise (comprometimento de e-mail corporativo). Na prática, funciona assim:

O criminoso invade a caixa de e-mail de uma das partes — pode ser o fornecedor, pode ser o cliente — geralmente por meio de phishing, senha vazada ou malware.
Uma vez dentro, ele não avisa nada. Ele observa. Lê as trocas de mensagens, identifica quando uma fatura está para ser enviada, entende o padrão de linguagem usado pela empresa.
No momento certo, ele intercepta o e-mail legítimo — ou envia um e-mail muito parecido, de um domínio quase idêntico — substituindo o boleto ou os dados bancários (chave PIX, número de conta, beneficiário) pelos dele.
O cliente, confiando que está lendo a mesma conversa de sempre, paga a “nova” cobrança. O dinheiro vai direto para o criminoso.
Dias depois, a cobrança original é reapresentada, ou o fornecedor cobra o valor em aberto. Só então as duas empresas descobrem que houve fraude.

O detalhe cruel desse golpe é que ninguém, isoladamente, fez algo obviamente errado. O fornecedor emitiu a cobrança certa. O cliente pagou o boleto que recebeu. O erro está no meio — na comunicação — e é justamente por isso que a investigação exige olhar para além das duas empresas: para a segurança do provedor de e-mail, para a validação feita (ou não) pelo banco na hora de registrar o boleto ou processar o PIX, e para eventuais vazamentos de dados que tornaram o golpe possível.

Por que esse golpe é tão difícil de perceber

O boleto ou os dados fraudados costumam ser visualmente idênticos ao original: mesma logo, mesmo layout de e-mail, muitas vezes até o mesmo texto de assinatura. A diferença real está em um único campo — o beneficiário do boleto ou a chave PIX — algo que a maioria das pessoas não confere manualmente antes de pagar.

Some a isso um fator psicológico: quando o valor e a data batem com o que já era esperado, a vítima simplesmente não desconfia. O golpe não depende de convencer ninguém de nada estranho. Ele se aproveita da rotina.

Por que a prova técnica (cabeçalho do e-mail e IP) é decisiva

Aqui está o ponto mais importante deste artigo, e o que normalmente separa um caso que avança de um caso que não sai do lugar: a prova de que houve interceptação não está no corpo do e-mail — está no cabeçalho técnico.

O cabeçalho técnico (em inglês, “headers”) é um conjunto de metadados que acompanha todo e-mail, mas que fica oculto na visualização padrão do Gmail, Outlook ou qualquer outro cliente de e-mail. Nele constam:

os servidores por onde a mensagem passou até chegar ao destinatário;
os endereços de IP de origem de cada etapa do envio;
carimbos de data e hora (timestamps) de cada salto entre servidores;
registros de autenticação (SPF, DKIM, DMARC), que indicam se o e-mail realmente saiu do domínio que ele diz ter saído.

Quando um e-mail é interceptado ou forjado, essas informações normalmente denunciam a fraude: um IP de origem incompatível com o histórico da empresa, uma falha de autenticação de domínio, um servidor de envio desconhecido, ou uma cadeia de encaminhamento que não bate com a rota costumeira da comunicação entre as duas empresas.

Sem o cabeçalho técnico, a discussão vira “sua palavra contra a minha”. Com o cabeçalho técnico preservado, é possível demonstrar, tecnicamente, que:

o e-mail final não foi enviado pelo domínio legítimo da empresa cobradora; ou
houve acesso indevido à caixa de entrada antes do envio da cobrança adulterada; ou
o boleto ou a chave PIX foram alterados em algum ponto da cadeia de comunicação.

É essa prova técnica — não a alegação genérica de que “fomos vítimas de golpe” — que sustenta a perícia digital e, depois, a discussão sobre responsabilidade civil.

O papel da perícia digital

A perícia em informática (forense digital) é o procedimento técnico que analisa o cabeçalho, os logs de servidor, o histórico de acessos à conta de e-mail e outros vestígios digitais para reconstruir o que aconteceu. Um perito pode confirmar, por exemplo, se houve acesso não autorizado à caixa de e-mail em determinada data e a partir de qual IP, e comparar esse IP com bases de geolocalização e reputação para identificar padrões de fraude conhecidos.

Esse trabalho técnico é o que transforma uma suspeita em prova utilizável em juízo.

Preservar a prova: ata notarial e perícia

Um erro fatal em casos como este é deixar o tempo passar sem preservar as evidências. Cabeçalhos de e-mail podem se perder, contas podem ser encerradas, provedores podem reciclar logs após determinado período. Por isso, a preservação imediata é uma prioridade, não um detalhe.

A ferramenta jurídica mais robusta para isso é a ata notarial, prevista no artigo 384 do Código de Processo Civil. O tabelião de notas acessa o e-mail, o boleto fraudado, o boleto original, as trocas de mensagens e os cabeçalhos técnicos, e lavra um documento público que atesta o que foi visto, na forma em que foi visto, naquele momento específico. Esse documento tem presunção de veracidade e é uma das provas mais respeitadas em disputas envolvendo conteúdo digital, justamente porque reduz a alegação de que a evidência poderia ter sido manipulada depois.

Na prática recomendamos:

lavrar ata notarial o quanto antes, assim que a fraude for identificada;
extrair e preservar o cabeçalho técnico completo de todos os e-mails envolvidos (original e adulterado);
não apagar, não arquivar definitivamente e não “limpar” a caixa de entrada até que a prova esteja documentada;
reunir também o comprovante de pagamento do cliente, o boletim de ocorrência e o extrato bancário da conta de destino, quando possível.

Além da ata notarial, pode ser necessária uma perícia técnica formal, seja de forma extrajudicial (contratada diretamente) ou por meio de produção antecipada de provas judicial (CPC, art. 381) — instrumento que serve exatamente para isso: colher e formalizar prova, inclusive com apoio judicial para obter dados de provedores, servidores e instituições financeiras, antes que ela se perca ou antes mesmo do ajuizamento da ação principal.

Quando o banco responde: Súmula 479 do STJ e CDC

Aqui é preciso ser honesto: nem toda interceptação de e-mail gera responsabilidade do banco. A responsabilização depende de haver uma falha atribuível ao sistema bancário na cadeia de eventos. É a prova, reunida no passo anterior, que vai mostrar se essa falha existiu.

O sistema bancário brasileiro pode ser chamado a responder quando, por exemplo:

o boleto fraudulento foi registrado com beneficiário divergente do contrato original, sem que o banco tenha feito a validação de titularidade esperada;
houve falha nos mecanismos de checagem que deveriam detectar inconsistências no registro da cobrança;
ficou demonstrado que os dados usados no golpe (nome do beneficiário, histórico de cobranças, dados da empresa) vieram de um vazamento de segurança do próprio banco.

A base jurídica central aqui é a Súmula 479 do Superior Tribunal de Justiça, segundo a qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Isso significa que, comprovada a falha do sistema bancário, não é necessário provar culpa — a responsabilidade decorre do risco da própria atividade.

Essa responsabilidade também se apoia no artigo 14 do Código de Defesa do Consumidor, que trata da responsabilidade objetiva do fornecedor de serviços por defeitos relacionados à prestação do serviço, incluindo falhas de segurança.

Mas é importante registrar o outro lado da moeda, com a mesma honestidade: há também discussão sobre a segurança do ambiente digital das próprias partes envolvidas — ou seja, se a invasão do e-mail ocorreu por falha de segurança da empresa cobradora ou do cliente pagador (senha fraca, e-mail comprometido por phishing, ausência de autenticação de dois fatores), a responsabilidade pode ser, total ou parcialmente, das próprias partes da relação comercial, e não do banco.

Não existe fórmula automática. A repartição de responsabilidade — entre banco, empresa cobradora e cliente pagador — depende diretamente das provas reunidas: de onde partiu a falha de segurança, quem tinha o dever de evitá-la, e o que os cabeçalhos técnicos e a perícia efetivamente demonstram. Qualquer promessa de resultado nesse tipo de caso, sem análise da prova concreta, não é séria.

O papel da LGPD em vazamentos que viabilizam a fraude

Quando a investigação técnica aponta que os dados usados na fraude — como o histórico de cobranças, dados cadastrais ou informações da relação comercial entre as empresas — vieram de um vazamento de dados, entra em cena a Lei Geral de Proteção de Dados (Lei 13.709/2018).

A LGPD estabelece deveres de segurança da informação para qualquer agente que trate dados pessoais, incluindo instituições financeiras. Se ficar demonstrado que o vazamento decorreu de falha do agente de tratamento — por exemplo, o banco, uma processadora de pagamentos ou até a própria empresa — esse descumprimento reforça a tese de responsabilização, porque evidencia que havia um dever legal de proteção que não foi cumprido.

Em termos práticos, a LGPD funciona como uma camada adicional de fundamentação: ela não substitui a Súmula 479 nem o CDC, mas os reforça quando há evidência de vazamento de dados na origem do golpe.

Medidas judiciais cabíveis

Identificada a fraude e reunida a prova técnica, as medidas judiciais possíveis incluem:

Ação declaratória cumulada com indenização: pede-se ao juiz que declare inexistente (ou já quitada) a dívida original — evitando a cobrança em duplicidade — e, quando cabível, indenização pelos danos materiais e morais decorrentes da falha de segurança.
Tutela de urgência (CPC, art. 300): quando há risco de dano imediato — por exemplo, protesto do título original, inclusão em cadastros de inadimplentes ou bloqueio de operações — é possível pedir uma decisão liminar para suspender esses efeitos enquanto o caso é discutido.
Produção antecipada de provas (CPC, art. 381): usada para obter, com respaldo judicial, dados que instituições financeiras e provedores de e-mail normalmente não fornecem espontaneamente — como o histórico de titularidade de uma conta bancária de destino, os IPs de acesso a determinado boleto, ou informações que ajudem a identificar os autores do golpe e rastrear a origem da fraude.

Essas medidas costumam ser usadas em conjunto: primeiro se busca preservar e ampliar a prova, depois se discute a responsabilidade e o ressarcimento.

Prevenção corporativa: como reduzir o risco

Para empresas que faturam recorrentemente por e-mail, a prevenção reduz drasticamente a exposição a esse tipo de golpe:

Validação de dados bancários por canal alternativo: sempre que houver alteração de beneficiário, conta ou chave PIX em uma cobrança, confirmar por telefone (número já conhecido, nunca o que consta no e-mail suspeito) antes de efetuar o pagamento.
Autenticação de dois fatores em todas as contas de e-mail corporativas, sem exceção.
Protocolos de segurança de e-mail como SPF, DKIM e DMARC configurados corretamente no domínio da empresa, dificultando a falsificação de remetente.
Treinamento periódico da equipe financeira para reconhecer sinais de phishing e de e-mails suspeitos.
Conferência manual do boleto — nome do beneficiário e CNPJ — antes de qualquer pagamento de valor relevante, especialmente quando há mudança recente de dados.
Política interna de dupla checagem para qualquer alteração de dados de pagamento recebida por e-mail, ainda que aparentemente vinda do parceiro comercial de sempre.

Nenhuma medida elimina o risco por completo, mas juntas elas reduzem substancialmente a chance de sucesso do golpe — e, se ele ocorrer, deixam um rastro de boas práticas que ajuda na discussão sobre responsabilidade.

O que analisamos em casos como esse

Quando uma empresa nos procura relatando interceptação de e-mail de faturamento, o trabalho de análise passa por:

reconstrução da linha do tempo completa da comunicação, do primeiro contato até o pagamento;
exame do cabeçalho técnico de todos os e-mails envolvidos, para verificar indícios de invasão, falsificação de remetente ou desvio de rota;
avaliação do processo de registro do boleto ou da chave PIX junto à instituição financeira, buscando eventual falha de validação;
verificação de indícios de vazamento de dados que possam ter viabilizado o golpe;
levantamento de todas as provas documentais disponíveis (contratos, notas fiscais, comprovantes, histórico de cobranças anteriores);
avaliação realista das chances de responsabilização, com base no que a prova efetivamente sustenta — sem prometer o que a prova não sustenta.

Documentos e provas que costumam ser decisivos

Cabeçalho técnico completo (headers) do e-mail original e do e-mail fraudado.
Os dois e-mails na íntegra — original e adulterado — preferencialmente com ata notarial.
Comprovante de pagamento feito pelo cliente (recibo de PIX, autenticação bancária do boleto).
Boletim de ocorrência registrado assim que a fraude foi identificada.
Extrato da conta de destino, quando obtido por meio de produção antecipada de provas ou ordem judicial.
Histórico de comunicação anterior entre as empresas, para demonstrar o padrão que foi rompido pelo golpe.
Registros internos de segurança da informação (se houve auditoria de TI após o incidente).
Contrato ou nota fiscal referente à cobrança original.

Erros comuns que podem comprometer a recuperação

Apagar os e-mails envolvidos, seja o original, seja o fraudado, por constrangimento ou pressa em “resolver” a situação.
Não preservar o cabeçalho técnico antes de excluir contas, mudar de provedor de e-mail ou reformatar equipamentos.
Demorar para lavrar ata notarial, permitindo que o tempo e trocas de sistema apaguem vestígios importantes.
Pagar novamente sem documentar formalmente a situação, o que pode dificultar depois a distinção entre o pagamento fraudado e o pagamento correto.
Não registrar boletim de ocorrência, documento simples, mas frequentemente exigido em qualquer diálogo posterior com bancos e seguradoras.
Tentar resolver informalmente com o banco sem reunir provas antes, o que costuma resultar em respostas genéricas de “fraude de terceiros” sem qualquer análise aprofundada.
Achar que é “problema só do cliente” ou “só do fornecedor”: a origem da falha muitas vezes está em um terceiro ponto da cadeia — e só a investigação técnica revela isso.

Quando procurar orientação jurídica

O momento certo para buscar orientação jurídica é assim que a fraude for identificada, antes de qualquer negociação informal com banco, cliente ou fornecedor. Quanto mais cedo a prova é preservada — com ata notarial e resguardo do cabeçalho técnico — maior a chance de reconstruir com precisão o que aconteceu.

Procure orientação especialmente se:

o valor envolvido é relevante para o caixa da empresa;
o cliente está cobrando novamente o pagamento, já feito (só que para conta fraudada);
há indícios de que os dados usados no golpe vieram de um vazamento;
o banco já negou responsabilidade sem qualquer investigação aprofundada;
há risco de protesto, negativação ou judicialização por parte do cliente ou fornecedor.

Perguntas frequentes

Como provo que meu e-mail foi interceptado? A prova central é o cabeçalho técnico (headers) dos e-mails envolvidos, que registra servidores, IPs e autenticação de domínio. Idealmente, essa prova deve ser preservada por meio de ata notarial e analisada por perícia técnica.

O banco pode ser responsabilizado? Pode, quando fica demonstrada falha atribuível ao sistema bancário — como registro de boleto com beneficiário divergente ou falha de validação. A base é a Súmula 479 do STJ e o art. 14 do CDC. A responsabilização depende sempre da prova reunida no caso concreto.

O que é o cabeçalho do e-mail? É um conjunto de metadados técnicos que acompanha toda mensagem eletrônica, mas fica oculto na visualização padrão. Nele constam servidores de trânsito, IPs de origem, horários e registros de autenticação de domínio (SPF, DKIM, DMARC).

A LGPD ajuda nesse tipo de caso? Sim, quando há indício de que dados vazados viabilizaram o golpe. A Lei 13.709/2018 impõe deveres de segurança da informação, e o descumprimento desses deveres pode reforçar a responsabilização do agente que falhou.

Preciso registrar boletim de ocorrência? Sim. É um documento simples e importante, tanto para formalizar a existência do crime quanto para instruir eventuais medidas judiciais e negociações com instituições envolvidas.

O cliente que pagou errado também pode ser responsabilizado? Depende da prova. Se a falha de segurança partiu do ambiente digital do cliente (por exemplo, senha fraca ou phishing na própria caixa de e-mail dele), isso pode influenciar a repartição de responsabilidade entre as partes envolvidas.

É possível recuperar o dinheiro transferido para a conta fraudada? A recuperação depende de agir rapidamente, com medidas como a produção antecipada de provas para identificar a conta de destino e buscar o bloqueio de valores, quando ainda disponíveis. Não há garantia de recuperação integral em todos os casos.

O que é a ata notarial e por que ela é tão importante? É um documento lavrado por tabelião de notas, com base no art. 384 do CPC, que atesta o que foi observado em determinado conteúdo digital (e-mails, cabeçalhos, telas) em determinado momento. Tem forte valor probatório justamente por reduzir a alegação de manipulação posterior.

Quanto tempo tenho para agir depois de identificar a fraude? Não há um prazo único aplicável a todos os aspectos do caso, mas a urgência é real: cabeçalhos técnicos, logs de servidor e contas envolvidas podem se perder com o tempo. Quanto antes a prova for preservada, melhor.

A produção antecipada de provas serve só para casos já judicializados? Não. Ela pode ser usada antes do ajuizamento da ação principal, exatamente para reunir e formalizar provas — inclusive obtendo dados de bancos e provedores por ordem judicial — antes que se percam.

Resumo prático

A interceptação de e-mail de faturamento (BEC) altera o boleto ou os dados de PIX no meio da comunicação entre empresa e cliente.
A prova decisiva está no cabeçalho técnico do e-mail (headers): IPs, servidores e autenticação de domínio.
Preserve tudo imediatamente: e-mails originais e adulterados, cabeçalhos, comprovantes, extratos e boletim de ocorrência.
A ata notarial (CPC, art. 384) dá segurança jurídica à prova digital coletada.
O banco responde objetivamente (Súmula 479 do STJ; CDC, art. 14) quando há falha atribuível ao sistema bancário — mas a responsabilidade depende sempre da prova concreta.
A LGPD reforça a responsabilização quando há vazamento de dados na origem do golpe.
Ação declaratória c/c indenização, tutela de urgência e produção antecipada de provas são as medidas judiciais centrais.
Prevenção interna (validação por canal alternativo, autenticação de dois fatores, protocolos de e-mail) reduz o risco de novos episódios.

Conclusão

A interceptação de e-mail de faturamento é um golpe silencioso: ele não depende de convencer ninguém de nada absurdo, só de se infiltrar na rotina de confiança entre empresas que já se conhecem. Quando isso acontece, a pior reação é apagar tudo por vergonha ou pressa. A melhor reação é preservar a prova técnica imediatamente e buscar entender, com clareza, onde a falha realmente ocorreu — se na segurança do próprio ambiente digital das partes ou em uma falha atribuível ao sistema bancário.

Não existe fórmula automática de responsabilização. Existe investigação séria, prova bem preservada, e análise honesta do que ela demonstra. Se sua empresa está enfrentando esse tipo de situação, buscar orientação jurídica o quanto antes é o que preserva as opções ainda disponíveis — antes que provas se percam e prazos se esgotem.

Este artigo tem caráter informativo e não substitui a análise individualizada de cada caso, que deve considerar as provas concretas, os documentos disponíveis e as circunstâncias específicas da fraude.

Autor: Dr. Gutemberg do Monte Amorim — OAB/GO 33.567. Escritório Gutemberg Amorim Sociedade Individual de Advocacia. Atualizado em julho de 2026.