A velocidade importa, mas o registro também

Golpes empresariais incluem falso fornecedor, boleto adulterado, invasão de e-mail, troca de conta para pagamento, falso diretor, Pix induzido, tomada de WhatsApp, malware e deepfake de voz. O pagamento pode ser o último passo de uma invasão iniciada dias antes.

O Banco Central mantém o Mecanismo Especial de Devolução do Pix. A partir de fevereiro de 2026, a funcionalidade aprimorada para rastrear possíveis caminhos dos recursos tornou-se obrigatória aos participantes, ampliando a possibilidade de bloqueios ao longo da trilha. Isso não garante recuperação e não elimina outras medidas. A contestação deve ser feita o mais rápido possível pelos canais oficiais.

Minuto 0 a 15: contenha a perda

Interrompa novos pagamentos relacionados.
Acione o banco pelo aplicativo e canais oficiais; solicite MED e registre protocolos.
Bloqueie credenciais, sessões, cartões ou usuários comprometidos sem apagar logs.
Avise financeiro e direção por canal seguro, diferente do possivelmente invadido.
Nomeie uma pessoa para coordenar o incidente e registrar horário e decisões.

Não espere o boletim de ocorrência para comunicar o banco. Providências podem ocorrer em paralelo conforme o caso.

Minuto 15 a 30: preserve a prova

comprovantes, extratos e identificação das contas;
mensagens completas, números, perfis, áudios e arquivos originais;
cabeçalhos de e-mail, regras de encaminhamento e acessos recentes;
URLs e páginas visitadas;
logs de sistemas, dispositivos e autenticação;
cronologia de quem recebeu, validou e aprovou;
contratos e cadastros do fornecedor supostamente envolvido.

Print isolado é útil, mas pode não preservar metadados e contexto. Quando possível, exporte o conteúdo, mantenha originais e utilize método de captura verificável.

Minuto 30 a 60: coordene as frentes

Defina o que está confirmado, o que é hipótese e o que precisa ser apurado. Avalie boletim de ocorrência, notificação aos bancos e plataformas, preservação técnica, comunicação a seguradora, medidas contra contas recebedoras e necessidade de resposta a incidente de dados.

Se e-mail ou sistema foi comprometido, apenas trocar a senha pode ser insuficiente. Revise sessões ativas, multifator, regras automáticas, usuários, integrações e dispositivos.

O MED não substitui a análise jurídica

O MED busca bloquear e devolver valores disponíveis nos critérios do Pix. O pedido pode ser formulado em até 80 dias, mas a rapidez aumenta a chance de encontrar saldo. O banco analisa o caso; ausência de saldo pode limitar a devolução, embora mecanismos de rastreamento e bloqueios subsequentes tenham sido ampliados.

Responsabilidade das instituições, do fornecedor, da empresa e de terceiros depende de falhas, alertas, autenticação, perfil da transação, deveres contratuais, prova e circunstâncias concretas. Não existe resposta automática para todo golpe.

Depois da primeira hora

Até 24 horas: consolidar cronologia, preservar dispositivos, verificar acessos, identificar perdas e medidas urgentes.
Até 72 horas: avaliar causa, risco residual, dados pessoais, contratos, comunicações e estratégia jurídica.
Até 30 dias: corrigir alçadas, autenticação, cadastro de fornecedor, confirmação de troca bancária e treinamento.

Controles preventivos de maior impacto

Dupla aprovação proporcional ao valor; confirmação de alteração bancária por canal previamente cadastrado; proibição de autorização por áudio ou mensagem isolada; multifator; limite por usuário; lista de beneficiários; pausa obrigatória em pagamento urgente; segregação entre cadastro, aprovação e pagamento; e simulações periódicas.

Treinamento deve ensinar processo. Dizer apenas “cuidado com golpes” não informa o que fazer quando o diretor pede urgência ou o fornecedor envia nova conta.

Perguntas frequentes

O MED garante devolução?

Não. Ele aumenta possibilidades de bloqueio e devolução conforme critérios e disponibilidade de recursos.

Devo apagar o e-mail ou mensagem fraudulenta?

Não antes de preservar o original, metadados e contexto. A exclusão pode dificultar análise.

Toda fraude empresarial é culpa do banco?

Não. A responsabilidade depende das falhas e circunstâncias comprovadas em cada relação.

Próximo passo: faça uma simulação de troca de conta bancária de fornecedor. Se uma única pessoa consegue cadastrar, aprovar e pagar, o controle precisa ser revisto.