Golpe do boleto e troca de dados bancários: quem arca com o prejuízo

No golpe do boleto, a empresa recebe por e-mail ou por mensagem um boleto adulterado, ou um aviso de que o fornecedor mudou de banco, e paga a quem não é o credor. A regra legal é antiga: o pagamento feito a terceiro não extingue a dívida (Código Civil, art. 308), e a exceção do credor putativo exige boa-fé do pagador (art. 309). Quem arca com o prejuízo, na prática, depende de onde estava a falha e de quanto cuidado cada parte teve.

O tema faz parte da rotina das pequenas empresas. Na sondagem Sebrae/FGV feita em junho de 2026, 44% dos pequenos negócios relataram tentativa de golpe digital ou por telefone nos doze meses anteriores (36% dos MEI e 56% das micro e pequenas empresas). Entre as vítimas, 31% tiveram algum impacto financeiro. O boleto falso é o tipo de golpe que mais preocupa (38% dos pequenos negócios; 56% das micro e pequenas empresas), e só 17% dizem ter medidas estruturadas de prevenção e orientação regular da equipe.

A regra: pagar a quem não é credor não quita a dívida

O Código Civil manda que o pagamento seja feito ao credor ou a quem o represente; feito a outra pessoa, só vale se o credor o ratificar ou na medida em que reverter em proveito dele (art. 308). É a origem do ditado de que quem paga mal paga duas vezes. A exceção está no artigo seguinte: o pagamento feito de boa-fé ao credor putativo, isto é, a quem tinha toda a aparência de ser o credor, é válido mesmo que depois se prove que não era (art. 309).

O Tribunal de Justiça de São Paulo tem lido essa exceção com rigor. A aparência precisa ser forte o bastante para enganar um devedor diligente, e a boa-fé deixa de existir quando havia sinais visíveis de que algo estava errado.

Como os tribunais têm decidido

Entre empresas, o pagador precisa demonstrar cautela

Em julho de 2026, o TJSP manteve a condenação de uma empresa compradora a pagar de novo cerca de R$ 102 mil ao fornecedor, depois de quitar boletos fraudados (Apelação 1015174-05.2024.8.26.0127). Os boletos tinham código bancário divergente, vinham de um domínio de e-mail suspeito e indicavam como beneficiário alguém estranho à relação comercial. Para o tribunal, inconsistências desse tipo afastam a boa-fé exigida para o credor putativo. A decisão acrescentou que, sendo a relação de insumo e não de consumo, não se aplica a responsabilidade objetiva típica do direito do consumidor, e que não havia prova técnica de invasão dos sistemas do fornecedor.

No mesmo mês, outra câmara do TJSP negou indenização a uma empresa que pagou boleto adulterado recebido de endereço eletrônico genérico, por entender que cabia a ela verificar a procedência do remetente e os dados do beneficiário no momento do pagamento; o banco, que apenas emitiu o boleto e mantinha a conta do beneficiário, não respondeu (Apelação 4002200-86.2025.8.26.0566).

Quando a falha está do lado de quem recebe

O risco também corre no sentido inverso. Em maio de 2026, o TJSP afastou a cobrança feita a uma consumidora que recebeu o boleto falso do mesmo endereço de e-mail que a credora usava nas negociações, com os dados corretos da obrigação e a mesma numeração. O tribunal viu, no mínimo, falha na segurança da cadeia de comunicação da empresa credora, declarou o débito inexigível e ainda a condenou por danos morais pela negativação (Apelação 1001509-82.2024.8.26.0009). A empresa cujo e-mail é invadido pode perder o recebível.

E o banco?

A Súmula 479 do STJ diz que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Não é responsabilidade automática. Em junho de 2026, o STJ manteve decisão que afastou a responsabilidade do banco em um golpe do falso boleto, por não haver defeito no serviço e sim culpa exclusiva da vítima (AgInt no REsp 2.202.585). Em sentido oposto, o TJSP manteve a condenação do banco que emitiu o boleto e mantinha a conta do fraudador no caso de um produtor rural que pagou boleto falso em nome de uma empresa de fertilizantes, por ver falha de segurança no ambiente do próprio banco (Apelação 1000266-23.2024.8.26.0262). O resultado depende da prova de onde o golpe se apoiou.

Rotina de verificação antes de pagar

• Conferir, na tela do banco, o nome e o CNPJ do beneficiário antes de confirmar. Devem coincidir com os do fornecedor.
• Tratar como suspeita toda reemissão de boleto ou troca de conta comunicada só por e-mail ou mensagem, e confirmar por telefone já cadastrado, nunca pelo número informado na própria mensagem.
• Exigir dupla aprovação para pagamentos acima de um valor definido pela empresa.
• Manter cadastro de fornecedores com dados bancários conferidos e registro de quem os alterou e quando.
• Olhar o endereço completo do remetente, não só o nome exibido, e o código do banco no boleto.
• Proteger o próprio e-mail com autenticação em dois fatores. Se a invasão acontecer do lado da empresa, o prejuízo tende a ficar com ela.

O contrato também distribui o risco

Contratos de fornecimento podem prever que a alteração de dados bancários só vale por comunicação formal, assinada pelo representante legal e confirmada por um canal definido; que o pagamento será feito apenas em conta de titularidade do credor, com o mesmo CNPJ; qual o canal oficial de envio de boletos e notas; e o dever de cada parte de avisar a outra sobre invasão de seus sistemas. Com essas regras escritas, fica mais claro quem descumpriu o combinado e quem deve suportar a perda. O tema se soma às cláusulas essenciais do contrato com fornecedores.

Se o pagamento já foi feito

1. Comunicar o próprio banco imediatamente e registrar a contestação. Se houve Pix, pedir a devolução pelo Mecanismo Especial de Devolução; desde 2 de fevereiro de 2026, os bancos são obrigados a oferecer a funcionalidade de recuperação de valores, que rastreia e bloqueia recursos também nas contas para onde o dinheiro foi repassado (Resolução BCB nº 493/2025).
2. Avisar formalmente o verdadeiro credor.
3. Preservar as provas: e-mails com cabeçalho completo, o arquivo do boleto, comprovantes e mensagens, e registrar boletim de ocorrência.
4. Verificar se o vazamento partiu dos sistemas da própria empresa. Se houve exposição de dados pessoais, podem surgir as obrigações de comunicação de incidente explicadas no artigo sobre LGPD para pequenas empresas.
5. Avaliar, com os documentos em mãos, se há direito contra o credor, contra o banco ou contra ambos.

Rotina de pagamentos e cláusula contratual custam pouco e são exemplos típicos de jurídico preventivo. Do lado de quem vende, a mesma organização ajuda na cobrança do cliente que alega ter pago a outra conta.