O Pix saiu às 14h32 de uma segunda-feira. Na quarta-feira seguinte, o contador ligou perguntando sobre um pagamento de R$ 4.800 para um fornecedor que ninguém reconhecia. O dono da empresa tinha recebido um boleto por e-mail, pareceu legítimo, e pagou sem hesitar. O documento tinha o logo certo, o CNPJ do fornecedor real, mas a conta destino pertencia a uma pessoa física em Recife. O dinheiro sumiu em menos de 11 horas, escoado por uma rede de contas-laranja antes que alguém percebesse o erro.
Essa situação não é exceção. É o roteiro padrão.
Por que PMEs viram o alvo favorito dos golpistas brasileiros em 2025-2026
Uma pesquisa do Sebrae com 4.466 empreendedores, publicada em 2026, mostrou que 44% dos pequenos negócios brasileiros enfrentaram tentativas de golpe digital ou por telefone nos últimos 12 meses. Quando o golpe se completa, 31% das PMEs registram perdas financeiras. Nas médias e grandes empresas, esse número cai para 22%.
A diferença não é coincidência. Grandes empresas têm equipe de TI, setor jurídico, políticas de aprovação em duas etapas e treinamentos periódicos. A PME tem o gestor, o celular e uma lista de WhatsApp.
Só 17% dos pequenos negócios têm medidas estruturadas de proteção digital. Nas médias e grandes, esse índice chega a 72%. É por isso que o CNPJ da PME aparece na lista antes do da empresa maior.
O outro fator é velocidade. Segundo o relatório State of Scams in Brazil 2024 da GASA, 61% dos golpes no Brasil se completam em até 24 horas após o primeiro contato com a vítima. Enquanto você ainda está na dúvida se aquele boleto é legítimo, o dinheiro pode já ter saído.
Os 5 golpes que mais prejudicam empresas pequenas no Brasil hoje
Os formatos mudam, mas cinco esquemas representam a maior parte dos casos que chegam a PMEs brasileiras agora:
1. Boleto adulterado. O golpista replica um boleto de fornecedor real e troca só a linha digitável e o código de barras. O CNPJ, o logo, o valor: tudo parece certo. O destino é diferente.
2. Clonagem de WhatsApp do sócio ou gestor. Alguém assume o número de telefone de um sócio e manda mensagem pedindo transferência urgente. A pressão é deliberada: "estou em reunião, não consigo falar, precisa sair agora".
3. NF-e falsa. Uma nota fiscal eletrônica chega por e-mail com dados do emitente reais, mas nunca foi autorizada pela SEFAZ. O pagamento é feito contra um documento que não existe nos sistemas fiscais.
4. Phishing corporativo. E-mail que imita o domínio de banco, parceiro ou órgão público. Um clique instala programa que monitora transações ou captura credenciais bancárias.
5. Deepfake de voz ou vídeo. Um áudio ou vídeo curto replicando a voz de um sócio, pedindo aprovação de pagamento. Tecnologia acessível com barreira de entrada praticamente zero.
Para ter dimensão do tamanho do problema: entre julho de 2024 e julho de 2025, 24 milhões de brasileiros foram vítimas de golpe via Pix ou boleto falso, com prejuízo agregado próximo de R$ 29 bilhões, segundo o Data Rudder Report PIX 2025. A perda média foi de R$ 1.198 por vítima.
Boleto falso: 3 sinais que aparecem antes de você pagar (e como conferir no site do banco)
Uma distribuidora de alimentos em São Paulo pagou R$ 12.000 por um boleto que parecia ser do fornecedor de sempre. O documento tinha o timbre correto, o CNPJ certo, o valor exato do pedido. A diferença estava em quatro dígitos no meio da linha digitável, trocados por alguém que tinha interceptado o PDF original por e-mail.
Três sinais que aparecem antes de confirmar o pagamento:
1. O banco beneficiário não bate com o fornecedor. Você paga uma empresa de equipamentos e o beneficiário listado é uma fintech desconhecida. Esse dado aparece na tela de confirmação, antes de você autorizar.
2. O CPF ou CNPJ do destinatário é de pessoa física. Fornecedor corporativo tem CNPJ. CPF como destinatário final é sinal de adulteração.
3. A agência e conta de destino mudaram sem aviso formal. Se você já pagou esse fornecedor antes, compare. Troca de conta sem comunicação escrita e assinada é alerta vermelho.
A verificação definitiva é simples: acesse o site ou app do banco diretamente, nunca pelo link do e-mail, busque o boleto pelo valor e vencimento, e confira o beneficiário final. Qualquer divergência, não pague e ligue para o fornecedor no número que você já tem cadastrado, não no que está no e-mail.
Segundo a Serasa Experian, boleto falso e Pix fraudulento representaram 32,8% de todos os golpes sofridos por brasileiros em 2024, o segundo tipo mais comum, atrás apenas de uso indevido de cartão.
WhatsApp clonado do sócio: o protocolo de confirmação antes de qualquer transferência
O golpe funciona na pressão: o golpista assume o número de alguém em quem você confia, monta um pretexto de emergência e conta que você não vai parar para checar.
Uma distribuidora em Porto Alegre quase transferiu R$ 18.000 depois de receber mensagem do WhatsApp do sócio pedindo pagamento urgente. A palavra-código não apareceu na mensagem. O funcionário não pagou. O dinheiro ficou.
A solução não é tecnológica. É um protocolo de palavra-código entre sócios e gestores, combinado previamente fora de qualquer canal digital. Uma palavra qualquer, fora de contexto, que confirma que a pessoa do outro lado é real. Qualquer transferência acima de um valor que a empresa define exige essa confirmação por ligação de voz, não por mensagem de texto.
Em chamadas ao vivo, o áudio sintético costuma apresentar atraso de resposta perceptível e distorção em fricativas. Ouça uma pausa estranha antes de a 'voz' completar uma frase. Mensagem de texto é trivial de falsificar.
Regra prática: se o sócio está pedindo transferência urgente por mensagem e não atende ligação, o pagamento não sai. A emergência construída pelo golpista é exatamente a ferramenta do golpe.
NF-e falsa: como validar uma nota fiscal em 60 segundos no portal da SEFAZ
Um escritório de contabilidade de Belo Horizonte pagou R$ 8.500 por serviços que nunca foram prestados. A NF-e tinha CNPJ real de uma empresa ativa, dados fiscais corretos e layout idêntico ao do emitente verdadeiro. O problema: a nota nunca existiu nos sistemas da Receita Federal. Ninguém verificou.
Toda Nota Fiscal Eletrônica autorizada no Brasil tem uma chave de acesso de 44 dígitos, impressa no DANFE logo abaixo do código de barras ou QR Code. Esse número é o seu atalho para a verificação.
Validação em 60 segundos:
Passo 1: Acesse o portal oficial: nfe.fazenda.gov.br/portal
Passo 2: Clique em "Consulta por Chave de Acesso" e cole os 44 dígitos.
Passo 3: Confira três informações na tela de resultado: o CNPJ do emitente (tem que bater com quem enviou a nota), a situação da nota (tem que aparecer "Autorizada") e o valor (tem que coincidir com o que você vai pagar).
Se a chave não existir no sistema, a nota é falsa. Se o CNPJ não bate, alguém adulterou o documento. Se a situação for "Cancelada", o documento não tem mais validade fiscal.
Um segundo passo que custa mais 60 segundos: consulte o CNPJ do emitente no portal da Receita Federal, em gov.br/receitafederal. O sistema mostra se a empresa existe, está ativa, qual é o endereço registrado e quais atividades econômicas exerce. Empresa de consultoria de TI com CNAE de comércio atacadista de cereais merece uma ligação antes de qualquer pagamento.
Deepfake de voz e vídeo: o Golpe do CEO 2.0 chegou às PMEs brasileiras
Em 2023, esse golpe era coisa de multinacional. Um executivo recebia ligação imitando o CEO pedindo transferência urgente para conta no exterior. O custo de produção era alto e o alvo precisava ter nome reconhecido.
Em 2025, a tecnologia de síntese de voz funciona com 30 segundos de áudio de amostra. O preço de entrada é praticamente zero. O alvo virou qualquer gestor de PME com presença no Instagram ou no LinkedIn.
O formato mais comum agora: áudio de WhatsApp imitando a voz do sócio principal, criado a partir de vídeos públicos, pedindo que um funcionário aprove um pagamento urgente durante horário de almoço ou depois das 18h, quando menos gente está disponível para consultar.
A defesa continua sendo a mesma do item anterior: ligação de voz em tempo real para confirmar qualquer pagamento relevante. Peça que a pessoa diga algo imprevisível: o nome do cachorro, o apelido de um sócio. O áudio sintético improvisa mal em nomes próprios e costuma travar ou distorcer.
Defina esta regra agora: qualquer pagamento acima de R$ 500 exige confirmação verbal direta do aprovador, por ligação, independente de quem pediu e por qual canal chegou o pedido.
Já caiu no golpe? O protocolo das primeiras 2 horas para tentar reverter o prejuízo
Minuto 0: ligue para o seu banco imediatamente.
Não mande e-mail. Não abra chamado online. Ligue agora, peça para falar com o setor de prevenção a fraudes e solicite bloqueio cautelar. Para transferências Pix, o Mecanismo Especial de Devolução (MED) do Banco Central permite que o banco do recebedor retenha o valor por até 72 horas, se o dinheiro ainda estiver na conta. Essa janela existe e funciona, mas precisa ser acionada antes do escoamento para contas-laranja.
Anote o número do protocolo desta ligação. Você vai precisar dele em cada passo seguinte.
Segundo dados do Banco Central obtidos via Lei de Acesso à Informação, das 3,45 milhões de solicitações de devolução de Pix fraudulentos em 2024, a maioria foi rejeitada porque a conta receptora já estava sem saldo. O escoamento é rápido e proposital. Por isso o minuto 0 é a única janela real.
Minuto 5: preserve evidências antes de qualquer outra ação.
Antes de apagar, encaminhar ou responder qualquer coisa, capture e salve:
- Print com data e hora visíveis do sistema operacional de toda conversa suspeita
- Headers completos do e-mail fraudulento (no Gmail: "Mostrar original"; no Outlook: "Ver fonte da mensagem")
- Número da chave Pix ou dados da conta que recebeu o valor
- Comprovante da transferência gerado pelo banco
Esse conjunto é obrigatório para o boletim de ocorrência e para eventual ação judicial de ressarcimento. Sem evidência preservada, o processo trava.
Minuto 30: registre o boletim de ocorrência digital.
Cada estado tem sua plataforma própria. Em São Paulo é delegaciadigital.policia-civil.sp.gov.br. Para outros estados, busque "delegacia eletrônica [nome do estado]". O BO digital tem a mesma validade jurídica do presencial, está disponível 24 horas e pode ser feito pelo celular.
Segundo o relatório GASA 2024, 66% das vítimas de golpe no Brasil não reportaram o crime, alegando percepção de inefetividade. Esse número favorece o golpista. O BO formal é o que sustenta qualquer tentativa de recuperação e qualquer ação penal posterior.
Hora 2: registre reclamação formal no Consumidor.gov.br.
Acesse consumidor.gov.br e abra uma reclamação contra o banco envolvido, usando o número de protocolo da ligação do minuto 0. A plataforma é gerida pelo Senacon e tem integração com o Banco Central. O banco tem até 10 dias para responder. Quanto mais formal o rastro, maior a pressão sobre a instituição para processar a devolução.
O prazo oficial do MED para contestação é de até 80 dias após a transação, com análise bancária em até 11 dias úteis e devolução efetivada em até 96 horas após confirmação da fraude.
Mas sem acionar o protocolo nas primeiras horas, as chances de chegar nesse ponto com saldo na conta de destino são pequenas. Fraudes com Pix geraram R$ 4,941 bilhões em perdas não devolvidas em 2024, alta de 70% sobre 2023. Esse número cresce porque a maioria das vítimas reage tarde.
Checklist: o que montar agora, antes do golpe acontecer
Nenhum item abaixo exige investimento ou equipe de TI. Todos exigem que alguém na empresa seja responsável por aplicar.
- Palavra-código entre sócios e gestores, combinada fora de qualquer canal digital, usada para confirmar pedidos de pagamento urgente recebidos por mensagem
- Limite de aprovação sem confirmação verbal: qualquer transferência acima do valor definido exige ligação de voz com o aprovador
- Nunca usar a linha digitável que veio por e-mail: sempre buscar o boleto diretamente no app do banco pelo valor e vencimento
- Validação de NF-e como rotina para fornecedor novo: consultar a chave de acesso em nfe.fazenda.gov.br/portal antes do pagamento
- Consulta de CNPJ obrigatória para fornecedor novo: gov.br/receitafederal, antes do primeiro pagamento
- Número de emergência do banco anotado fora do celular: em algum lugar físico, para acionar sem depender do celular comprometido
- Saber exportar headers de e-mail: verificar agora, no cliente de e-mail que a empresa usa, como acessar os metadados completos de uma mensagem
Essa lista existe para não precisar ser construída no meio de uma crise.
O Pix do caso que abre este texto foi irreversível em menos de 11 horas. Se o seu fluxo de aprovação de pagamentos ainda passa por mensagem de WhatsApp e pela confiança na voz de quem pediu, essa janela de 11 horas é o seu risco real, não uma hipótese. A Coffe&Code faz diagnóstico de segurança digital para PMEs em uma sessão de 1 hora: mapeamos o fluxo de aprovações, os pontos de entrada de documentos fiscais e os canais de comunicação interna, e entregamos um plano priorizado. É o que precisa estar definido antes de você precisar acionar o protocolo das primeiras 2 horas. Acesse /contato para agendar.