A regra que mais evita fraude de pagamento cabe em uma frase: mudança de dados bancários se confirma por canal já cadastrado, nunca pelo canal que trouxe o pedido. As outras cinco completam a rotina. Nenhuma delas custa dinheiro. E há um segundo motivo para adotá-las: quando o incidente acontece, a existência da rotina é o que decide se a culpa de terceiro foi exclusiva, e é item obrigatório da comunicação exigida pela LGPD.
Rotina não é só prevenção: é prova. O §3º do art. 14 do Código de Defesa do Consumidor só afasta a responsabilidade quando a culpa de terceiro é exclusiva. Empresa sem rotina alguma tem dificuldade de sustentar essa exclusividade. Empresa com rotina documentada tem o que mostrar.
Depois do prejuízo, a empresa quis saber quem tinha errado. Ninguém tinha. O e-mail era verdadeiro no formato, veio na conversa certa, com o valor de sempre. O financeiro até estranhou e ligou para conferir, no número que estava no rodapé daquela mensagem. O problema não foi falta de atenção: foi não existir uma regra dizendo em qual telefone ligar. Regra, não atenção, é o que se pode cobrar de alguém em dia de correria.
Quer a rotina escrita para a sua empresa?
Podemos revisar como os pagamentos são aprovados hoje e escrever a política em uma página, no formato que a equipe realmente usa.
Dúvidas que aparecem primeiro
| Pergunta | Resposta curta |
|---|---|
| Qual regra evita mais fraude? | Confirmar mudança de conta por canal já cadastrado. |
| Precisa de sistema caro? | Não. As seis regras são de processo, não de software. |
| A rotina ajuda depois da fraude? | Ajuda. Ela é prova e é item obrigatório da comunicação da LGPD. |
| Quanto tempo tenho se falhar? | Até 80 dias no Pix, mas o bloqueio só começa quando você avisa. |
| Quem escreve a política? | Quem aprova pagamento, não só o jurídico. |
Por que rotina vence atenção
Fraude de pagamento contra empresa não explora desatenção: explora ausência de regra. O golpista estuda a conversa real, imita o tom e aparece na semana em que o caixa está apertado. Contra isso, pedir que a equipe fique atenta não funciona, porque atenção varia com o dia.
O que não varia é procedimento. As seis regras abaixo transformam decisões individuais, tomadas sob pressão, em passos previsíveis.
Regra 1 · Mudança de dados bancários se confirma por canal já cadastrado
Esta sozinha resolve a maior parte dos casos. Se chega pedido de pagamento em conta diferente, a confirmação é feita no telefone que já estava no cadastro antes do pedido, nunca no número que veio junto com a mensagem.
É o ponto exato onde o golpe do falso fornecedor vive. O e-mail é verdadeiro no formato, responde a uma conversa que existia, e traz o próprio número para você conferir.
Regra 2 · Alçada de aprovação por valor
Defina um valor acima do qual o pagamento exige uma segunda assinatura, de pessoa diferente de quem cadastrou. Não é desconfiança da equipe: é o que impede que decisão e execução fiquem na mesma mão.
Empresa costuma ter poder de decisão concentrado e transferência rápida, e é justamente isso que faz dela alvo preferencial. A alçada quebra a velocidade que o golpe precisa.
Regra 3 · Cadastro de fornecedor com dupla conferência para alteração
Cadastrar fornecedor novo é raro e chama atenção. Alterar a conta de um fornecedor antigo é discreto, e é por onde a fraude entra. Trate alteração de dados bancários com o mesmo rigor de cadastro novo, com registro de quem alterou e quando.
Regra 4 · Confirmação de recebimento é crédito em conta, nunca comprovante
Nada sai da empresa contra print, PDF ou tela de aplicativo. A verificação é feita por quem recebe, no aplicativo da empresa.
Vale inclusive para comprovante verdadeiro. No Pix agendado, a ordem só é processada na data prevista, quando a instituição do pagador verifica se há saldo. E se falhar, quem recebe o aviso de insucesso é o pagador: o vendedor não é comunicado e só descobre conferindo.
Regra 5 · Antes de contratar crédito, conferir a autorização
Pelo art. 18 da Lei 4.595/1964, instituições financeiras só podem funcionar no País mediante prévia autorização do Banco Central, e a relação de autorizadas é pública.
Some a isso a regra estrutural: crédito legítimo desconta os custos do valor liberado e nunca pede depósito antes. Se é preciso pagar para receber, não é crédito.
Regra 6 · Acesso revogado no dia do desligamento
Parece tema de tecnologia, mas é jurídico. O art. 46 da LGPD exige medidas de segurança técnicas e administrativas, aptas a proteger os dados de acessos não autorizados.
Revogar credencial de quem saiu é medida administrativa, e é das mais baratas que existem. Credencial esquecida ativa é uma das portas mais comuns de vazamento, e vazamento alimenta as fraudes das regras 1 e 5.
A parte que quase ninguém enxerga: a rotina é prova
Aqui está o motivo jurídico de escrever tudo isso, e ele vale mais do que a prevenção em si.
No Código de Defesa do Consumidor
O art. 14, §3º do CDC admite apenas duas excludentes: a inexistência do defeito e a culpa exclusiva do consumidor ou de terceiro.
A palavra decisiva é exclusiva. Quando existe rotina documentada e ela foi cumprida, a discussão sobre onde a falha entrou muda de lugar. Quando não existe rotina nenhuma, fica mais difícil sustentar que a causa foi só do criminoso.
E vale lembrar do art. 17: equiparam-se aos consumidores todas as vítimas do evento, o que alcança a empresa atingida por fraude.
Na LGPD
O art. 44 considera irregular o tratamento que não fornece a segurança que o titular dele pode esperar, e o parágrafo único responsabiliza quem deixou de adotar as medidas do art. 46.
E o detalhe cirúrgico está no art. 48, §1º: a comunicação de incidente precisa informar as medidas técnicas e de segurança utilizadas. Quem não tem o que escrever nesse item já sabe onde está a fragilidade, e vai precisar escrever assim mesmo.
A rotina de validação de pagamento que mais reduz fraude empresarial se apoia em confirmar alteração de dados bancários por canal previamente cadastrado, alçada de aprovação por valor, dupla conferência na alteração de cadastro de fornecedor, confirmação de recebimento pelo crédito em conta, verificação da autorização do Banco Central antes de contratar crédito, e revogação de acesso no desligamento. Juridicamente, a existência da rotina importa porque o art. 14, §3º do Código de Defesa do Consumidor só admite excludente por culpa exclusiva de terceiro, e porque o art. 46 da LGPD exige medidas técnicas e administrativas aptas, cuja descrição é item obrigatório da comunicação de incidente prevista no art. 48, §1º.
Observatório João Coelho
A rotina em quatro números
CDC, Lei 4.595/1964, LGPD e documentação do Pix conferidos nas fontes oficiais em 19 e 20/08/2026.
A política em uma página
1. Escreva a regra 1 em uma frase e cole onde a equipe aprova pagamento. É a que mais rende.
2. Defina o valor da alçada. Qualquer número é melhor que nenhum.
3. Registre quem pode alterar cadastro de fornecedor e exija segunda conferência.
4. Combine que entrega só ocorre com crédito confirmado no extrato da empresa.
5. Ponha a revogação de acesso no mesmo checklist do desligamento, junto com crachá e notebook.
6. Guarde a política assinada e datada. É ela que você vai precisar mostrar depois.
Se falhar mesmo assim
A ordem importa e é contraintuitiva: avise o banco antes de confirmar com o fornecedor. No Pix, o bloqueio na conta de destino ocorre imediatamente após a notificação, e tudo o que acontece antes disso é tempo para o valor sair. O prazo para acionar é de até 80 dias, mas o prazo que decide é o das primeiras horas.
O que esperar, com honestidade
Nenhum advogado pode garantir resultado. Rotina não torna a empresa imune: reduz a superfície e melhora a posição, o que é diferente de eliminar o risco.
Também é honesto dizer que política guardada em gaveta não conta. O art. 46 da LGPD fala em medidas aptas, e aptidão se demonstra por uso, não por arquivo. Rotina que a equipe não conhece é papel, não é medida.
Como reconhecer golpe nesse assunto
Adequação completa em três dias por preço fixo. O que a lei mede é aptidão da medida, não volume de documento.
Software antifraude que dispensa procedimento. Nenhuma ferramenta decide em qual telefone ligar para confirmar mudança de conta.
Treinamento para identificar e-mail falso. A falsificação melhora sempre; a regra de confirmar por canal cadastrado não perde validade.
Recupero seu dinheiro mediante taxa antecipada. Cobrança prévia para recuperar valor de fraude costuma ser a segunda fraude sobre a mesma vítima.
Perguntas frequentes
Qual é a regra que mais evita fraude?
Confirmar por canal já cadastrado. Toda mudança de dados bancários se confirma no contato que já estava no cadastro antes do pedido, nunca no que veio junto com a mensagem.
Precisa de sistema ou software caro?
Não precisa. As seis regras são de processo. A LGPD, no art. 46, fala em medidas técnicas e administrativas, e política de acesso e alçada são medidas administrativas.
A rotina serve para alguma coisa depois que a fraude acontece?
Serve, e é o ponto menos conhecido. O §3º do art. 14 do CDC só afasta a responsabilidade quando a culpa de terceiro é exclusiva, e o art. 48, §1º da LGPD exige descrever as medidas de segurança utilizadas na comunicação do incidente.
Por que comprovante não vale como confirmação?
Porque é reproduzível, inclusive quando é verdadeiro. No Pix agendado a liquidação só ocorre na data marcada, com verificação de saldo, e o aviso de insucesso vai para o pagador, não para quem vendeu.
Como confiro se quem oferece crédito é autorizado?
Pela relação pública do Banco Central. O art. 18 da Lei 4.595/1964 exige prévia autorização para funcionamento. E vale a regra estrutural: crédito legítimo desconta os custos do valor liberado, nunca pede depósito antes.
Basta escrever a política e guardar?
Não basta. O art. 46 da LGPD fala em medidas aptas, e aptidão se demonstra por uso. Rotina que a equipe não conhece é papel, não é medida de segurança.
Se a fraude acontecer, qual é a primeira providência?
Avisar o banco, antes de confirmar com o fornecedor. No Pix o bloqueio na conta de destino ocorre imediatamente após a notificação, e o prazo para acionar a devolução é de até 80 dias.
Quer a política escrita do jeito que a equipe usa?
Alguém do escritório pode mapear como os pagamentos são aprovados hoje, escrever a rotina em uma página e deixar registrado o que a lei pede que se demonstre depois.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
- Falso fornecedor: o e-mail que muda a conta de pagamento
- Boleto de fornecedor adulterado: quem responde pelo pagamento
- Comprovante de Pix agendado: por que o dinheiro não entra
- Crédito empresarial com taxa antecipada: o golpe de quem precisa de caixa
- Vazamento de dados da empresa e responsabilidade por fraude de terceiro
Estado normativo em 20/08/2026. Lei 8.078/1990, arts. 14 e 17; Lei 4.595/1964, art. 18; Lei 13.709/2018, arts. 44, 46 e 48, todos em vigor, textos conferidos no Planalto. Prazos do Mecanismo Especial de Devolução conforme o guia publicado pelo Banco Central do Brasil. Não há, nesta página, citação de dispositivo revogado.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de textos legais conferidos nas fontes oficiais nas datas indicadas.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. A adoção de rotina reduz risco, não elimina, e cada caso depende das medidas efetivamente praticadas e documentadas.