Boleto verdadeiro, conta errada: quem paga o prejuízo quando o e-mail do fornecedor é invadido

O e-mail chega da mesma pessoa de sempre, do mesmo domínio e com a mesma assinatura. No mesmo fio da conversa vêm a nota fiscal e o pedido de compra. Desta vez, o boleto vem acompanhado de um aviso: “nossa conta bancária mudou”. O valor bate com a nota, e o contas a pagar quita no vencimento. Trinta dias depois, o fornecedor cobra a fatura em aberto.

Esse é o roteiro mais comum do chamado comprometimento de e-mail corporativo, conhecido no mercado pela sigla em inglês BEC (business email compromise). Não se trata de golpe de amador. No relatório anual de 2025 do Internet Crime Complaint Center do FBI, publicado em abril de 2026, o BEC aparece como a segunda modalidade de crime digital em perda financeira: mais de US$ 3 bilhões declarados em um único ano, contra US$ 2,77 bilhões no ano anterior. No Brasil, a versão mais frequente envolve o boleto e a troca de dados bancários.

A pergunta que chega ao jurídico logo depois é sempre a mesma: quem paga essa conta? A resposta não é única. Ela depende de onde a fraude aconteceu e, principalmente, da prova que cada empresa consegue produzir sobre os próprios controles.

Três relações jurídicas, e não uma

O primeiro erro é tratar o caso como um conflito só. Em uma fraude de boleto entre empresas, existem pelo menos três relações em jogo:

1. entre quem pagou e o fornecedor (o credor verdadeiro);
2. entre quem pagou e o banco ou a instituição de pagamento envolvida;
3. entre o fornecedor e a própria infraestrutura de e-mail e de emissão de cobrança.

Cada uma tem regras diferentes. Misturá-las é o caminho mais curto para perder a discussão em todas.

Pagador e fornecedor: o problema do credor putativo

O Código Civil é direto: o pagamento deve ser feito ao credor ou a quem o represente (art. 308). Pagar a terceiro, em regra, não extingue a obrigação. Ou seja, quem paga mal pode ter de pagar de novo.

A exceção está no art. 309: “o pagamento feito de boa-fé ao credor putativo é válido, ainda que provado depois que não era credor”. É a aplicação da teoria da aparência. Mas a jurisprudência do STJ não aceita qualquer aparência. No REsp 1.601.533/MG, a Terceira Turma afirmou que, para o erro ser escusável, é preciso que existam “elementos suficientes para induzir e convencer o devedor diligente”.

A palavra-chave é diligente. Em uma relação entre empresas, o juiz vai perguntar o que o setor financeiro fez diante de um pedido de troca de conta. Foi feita uma ligação para um número já cadastrado? O beneficiário que aparece no boleto é o fornecedor ou uma pessoa desconhecida? Havia sinais visíveis, como um domínio parecido, mas diferente, ou urgência fora do padrão?

O outro lado da balança é o fornecedor. Se a fraude partiu da invasão da caixa de e-mail dele, ou se o criminoso usou dados que só ele tinha (número do pedido, valor exato, histórico da conversa), cresce o argumento de que o risco nasceu na esfera do credor. Entre empresas, o fundamento não costuma ser o Código de Defesa do Consumidor, e sim a boa-fé objetiva do art. 422 do Código Civil, que impõe deveres de proteção e de informação a ambas as partes, combinada com a responsabilidade por ato ilícito dos arts. 186 e 927. Quando a invasão também expõe dados pessoais (de sócios, empregados ou contatos), entram os deveres de segurança dos arts. 46 e 48 da LGPD.

O resultado, na prática, é uma divisão de riscos que os tribunais estaduais vêm resolvendo caso a caso. Há decisões que reconhecem o fortuito externo e livram o fornecedor quando ele prova que o boleto saiu de fora dos seus canais e que nada recebeu. Há outras que validam o pagamento quando a fraude foi possível por falha de segurança do credor. E há a solução intermediária da culpa concorrente, do art. 945 do Código Civil, que divide o prejuízo conforme a gravidade da conduta de cada um.

Em comum, essas decisões mostram que o caso não se resolve no abstrato. Ganha quem prova melhor.

Pagador e banco: quando a Súmula 479 alcança o boleto

A Súmula 479 do STJ responsabiliza objetivamente as instituições financeiras pelo fortuito interno relativo a fraudes praticadas por terceiros no âmbito de operações bancárias. A expressão que define o resultado é “no âmbito de operações bancárias”.

O STJ tem traçado essa fronteira com bastante precisão em casos de boleto:

• no REsp 2.046.026 (Terceira Turma, Rel. Min. Nancy Andrighi, 2023), o banco não respondeu porque o boleto falso foi emitido por terceiro, fora dos sistemas da instituição, que não foram acessados. Prevaleceu o fato exclusivo de terceiro;
• no REsp 2.077.278 (Terceira Turma, Rel. Min. Nancy Andrighi, 24/10/2023), a solução foi a inversa: o criminoso tinha dados vinculados à própria operação bancária do cliente. O tribunal distinguiu dados cadastrais (nome, CPF), que podem vir de qualquer fonte, de dados de operações e serviços bancários, cuja guarda é dever da instituição. Com base no art. 44 da LGPD, reconheceu falha de segurança e restabeleceu a decisão que declarou válido o pagamento feito ao fraudador;
• no REsp 2.124.423 (Terceira Turma, Rel. Min. Nancy Andrighi, notícia de 27/1/2025), envolvendo boleto emitido por banco digital em favor de golpistas, o STJ afirmou que a instituição que cumpre os mecanismos de identificação e qualificação previstos na regulação do Banco Central não falha. O inverso também vale: sem prova dessa diligência, há defeito no serviço.

Esse último ponto é o mais útil para empresas. O dinheiro desviado de um boleto não some no ar: ele cai em uma conta aberta em alguma instituição, quase sempre em nome de laranja. A Resolução CMN nº 4.753/2019 disciplina a abertura e a manutenção de contas de depósito, e as regras de prevenção à lavagem de dinheiro (Lei nº 9.613/1998) impõem monitoramento. Quando a instituição recebedora não consegue demonstrar que cumpriu esses deveres, a discussão de responsabilidade passa a ter um alvo concreto.

O mesmo raciocínio vale para intermediadores de pagamento que emitem boletos em nome de usuários de suas plataformas. O TJSP, na Apelação nº 1087557-33.2022.8.26.0100 (36ª Câmara de Direito Privado), reconheceu o nexo entre a falha de identificação do usuário e a emissão do boleto falso.

O que a empresa precisa ter nas mãos

Em todas essas frentes, quem decide o caso é a reconstrução técnica do que aconteceu. Recomendamos tratar os itens abaixo como protocolo, e não como improviso.

Na primeira hora:

1. Comunicar imediatamente o próprio banco e a instituição que recebeu o valor, informando a fraude e pedindo o bloqueio do saldo remanescente. Registrar protocolos, datas e horários.
2. Preservar o e-mail fraudulento no formato original, com o cabeçalho completo. Imprimir ou encaminhar o e-mail destrói justamente os metadados que mostram de onde ele saiu.
3. Isolar a caixa de e-mail suspeita e preservar os registros de acesso do provedor (Microsoft 365, Google Workspace ou outro) antes que o prazo de retenção apague o histórico.

Nos dias seguintes:

4. Identificar, pelo código de barras, a instituição destinatária e o beneficiário registrado do boleto. Esse é o ponto de partida da cadeia.
5. Pedir judicialmente a preservação e o fornecimento dos registros que estão com terceiros: dados de abertura da conta recebedora, documentos de identificação, IPs e dispositivos de acesso. O art. 22 do Marco Civil da Internet e a produção antecipada de prova do art. 381 do CPC servem a isso.
6. Avaliar se houve exposição de dados pessoais. Se sim, pode haver dever de comunicar a ANPD e os titulares no prazo de três dias úteis previsto na Resolução CD/ANPD nº 15/2024.

Prevenção é cláusula, processo e prova

A maior parte das fraudes de boleto entre empresas explora um processo, e não uma falha de tecnologia. Três medidas mudam o jogo, inclusive na posição da empresa em juízo:

• Cláusula contratual de canal único. Contratos com fornecedores devem prever que alteração de dados bancários só vale se confirmada por canal específico, como telefone previamente cadastrado ou portal autenticado, e alocar expressamente o risco de quem descumprir o procedimento.
• Dupla verificação e segregação de funções. Quem cadastra o fornecedor não aprova o pagamento. Toda mudança de conta exige confirmação ativa (callback) por um número que já constava no cadastro, nunca o que veio na mensagem.
• Higiene de e-mail corporativo. Autenticação em dois fatores, políticas SPF, DKIM e DMARC configuradas no domínio e alertas para regras de encaminhamento automático, que são a assinatura clássica de uma caixa invadida.

Também vale revisar a apólice de seguro cyber, quando a empresa tiver uma. Muitas excluem fraude por engenharia social, a menos que haja cobertura específica contratada.

Nenhuma dessas medidas afasta, por si só, a responsabilidade de quem falhou na outra ponta. Mas são elas que permitem à empresa chegar ao processo como a parte que foi diligente. E, como mostram o art. 309 do Código Civil e a jurisprudência recente do STJ, diligência demonstrada é exatamente o que separa quem recupera o prejuízo de quem paga duas vezes.

---

Referências

• Código Civil, arts. 186, 308, 309, 422, 927 e 945.
• Código de Processo Civil, art. 381.
• Lei nº 12.965/2014 (Marco Civil da Internet), art. 22.
• Lei nº 13.709/2018 (LGPD), arts. 44, 46 e 48.
• Lei nº 9.613/1998 (prevenção à lavagem de dinheiro).
• Resolução CMN nº 4.753/2019 (abertura, manutenção e encerramento de contas de depósito).
• Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança).
• Superior Tribunal de Justiça. Súmula 479.
• STJ, REsp 1.601.533/MG, Rel. Min. João Otávio de Noronha, Terceira Turma, j. 14/6/2016.
• STJ, REsp 2.046.026, Rel. Min. Nancy Andrighi, Terceira Turma, 2023.
• STJ, REsp 2.077.278, Rel. Min. Nancy Andrighi, Terceira Turma, j. 24/10/2023.
• STJ, REsp 2.124.423, Rel. Min. Nancy Andrighi, Terceira Turma, notícia publicada em 27/1/2025.
• TJSP, Apelação nº 1087557-33.2022.8.26.0100, Rel. Des. Milton Paulo de Carvalho Filho, 36ª Câmara de Direito Privado.
• Federal Bureau of Investigation, Internet Crime Complaint Center (IC3). Internet Crime Report 2025, abril de 2026.

---

Sobre os autores

Danilo Pardi é advogado e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance pelo IBMEC, especialista em Privacidade e Proteção de Dados pelo Data Privacy Brasil, professor do módulo Legal no MBA em Empreendedorismo Digital da IEBS Business School e membro da ANPPD.

Afonso Morais é advogado (OAB/SP 77.133) e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. É criador e apresentador do podcast Falando de Fraudes, com mais de 115 episódios, colunista semanal do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.

A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atendimento em todo o Brasil. Para empresas: pardimorais.com.br/empresas

Este artigo tem caráter informativo e não substitui a análise de um caso concreto.

Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.