Golpe do falso boleto: como verificar quem vai receber antes de pagar

Antes de pagar qualquer boleto, faça três checagens rápidas: confira se os 3 primeiros dígitos da linha digitável batem com o banco que você espera, leia o nome e o CNPJ do beneficiário no app do seu banco antes de confirmar, e desconfie de cobrança com desconto agressivo e prazo curto. Boleto legítimo tem beneficiário identificável; boleto de golpe esconde ou troca quem recebe.

O golpe do falso boleto funciona de duas formas: o criminoso gera um boleto novo se passando por uma empresa real, ou adultera um boleto verdadeiro trocando o código de barras pelo dele. Em 2024, o Brasil teve mais de 4,4 milhões de tentativas de fraude detectadas pelo Indicador de Tentativas de Fraude da Serasa Experian. O ponto fraco do golpista é sempre o mesmo: ele precisa que o dinheiro caia numa conta que ele controla.

É esse recebedor que você consegue investigar. A espectrosint pega o CNPJ ou o nome do beneficiário do boleto e cruza, numa busca só, registro na Receita, reclamações, processos e vazamentos ligados àquela conta, mostrando se quem vai receber tem cara de empresa real ou de laranja.

Como funciona o golpe do falso boleto?

O golpe tem duas modalidades, e as duas terminam com o dinheiro caindo na conta do criminoso. Na primeira, o golpista cria um boleto do zero imitando uma empresa real (loja, escola, condomínio, prestadora) e manda por e-mail ou WhatsApp. Na segunda, mais técnica, ele intercepta um boleto verdadeiro e troca só o código de barras, mantendo o resto do documento idêntico. Você lê "Loja X", confia, e paga para outra pessoa.

A boleto bancário no Brasil movimenta um volume gigante de cobranças, o que torna o vetor atraente para fraude. Segundo o Indicador de Tentativas de Fraude da Serasa Experian, o país registrou cerca de uma tentativa de fraude a cada 7 segundos em 2024, com cartão, empréstimo e cobranças entre os alvos mais comuns. O boleto entra nessa conta porque é fácil de falsificar visualmente e difícil de conferir no olho.

Na nossa experiência, o detalhe que denuncia 90% dos casos é simples: o golpista capricha no PDF, no logo e no valor, mas não consegue forjar quem recebe. O CNPJ do beneficiário e o banco emissor são os dados que ele precisa esconder ou trocar.

• Boleto fantasma: cobrança inventada de uma compra ou serviço que você nem fez.
• Boleto adulterado: documento real com o código de barras substituído.
• Boleto "2ª via": link falso de segunda via enviado por e-mail ou SMS com valor levemente alterado.

O que a linha digitável revela sobre o boleto?

A linha digitável não é aleatória: os 3 primeiros dígitos identificam o banco emissor, segundo o padrão da FEBRABAN e da CIP. Se o boleto diz que é do Banco do Brasil (001) mas a linha começa com 341, 237 ou um banco digital qualquer, há divergência entre quem cobra e quem emitiu. Isso sozinho já justifica não pagar e ligar para a empresa pelo canal oficial.

Decore os códigos dos bancos que você mais usa. Alguns dos principais: Banco do Brasil é 001, Bradesco é 237, Itaú é 341, Caixa é 104, Santander é 033. Bancos digitais e instituições de pagamento têm códigos próprios. Quando o boleto de uma loja conhecida aparece emitido por uma instituição obscura, trate como bandeira vermelha.

Outro ponto: a linha digitável tem dígitos verificadores. Se você digita o número no app e ele acusa erro ou "código inválido", não force, não tente outro caminho. Boleto válido carrega no app sem drama, com valor e beneficiário batendo com a cobrança.

• Posições 1 a 3: código do banco. Tem que bater com o banco que deveria cobrar.
• Valor no app x valor no PDF: qualquer diferença = não pague.
• Vencimento: boleto de golpe costuma vir com prazo curtíssimo para pressionar.

Por que conferir o CNPJ do beneficiário é o passo decisivo?

Porque o beneficiário é a única coisa que o golpista não consegue maquiar de verdade. Quando você lê o código de barras no app, o próprio banco mostra o nome e o CNPJ de quem vai receber antes de você confirmar o pagamento. Esse é o momento de checar. Se a tela diz que o dinheiro vai para "Fulano de Tal ME" e você esperava pagar para uma loja conhecida, pare.

Na prática, o pivô que resolve a maioria dos casos é cruzar esse CNPJ com a realidade da empresa. Um beneficiário legítimo tem CNPJ antigo, situação ativa, endereço físico e histórico. Um laranja típico tem CNPJ aberto há poucas semanas, capital social irrisório, endereço de coworking ou virtual e um rastro de reclamações de "paguei e não recebi". Esses sinais existem em fontes públicas, mas estão espalhados.

É aqui que o trabalho manual desmonta: você teria que abrir a Receita para o cadastro, o Reclame Aqui e o Consumidor.gov para a reputação, tribunais para processos e ainda checar vazamentos. São cinco ou seis abas, cada uma com um captcha. A espectrosint faz esse cruzamento numa busca só, partindo do CNPJ do boleto.

• Idade do CNPJ: aberto há semanas para receber sua cobrança? Suspeito.
• Coerência: o ramo da empresa bate com o que está sendo cobrado?
• Reputação: reclamações públicas de boleto não entregue são o alerta mais direto.

Como a espectrosint valida o recebedor numa busca só?

A espectrosint foi feita para o exato problema do boleto: você tem um CNPJ (ou um nome) do beneficiário e quer saber, em segundos, se vale confiar. Em vez de você visitar site por site, a busca cruza registro na Receita, reclamações de consumidores, processos judiciais, sócios e vazamentos ligados àquela empresa, e devolve um retrato único de risco.

O ganho não é velocidade só, é completude. O método manual é fragmentado: cada fonte mostra um pedaço e nenhuma conversa com a outra. Você pode olhar a Receita e ver "empresa ativa" sem perceber que o mesmo endereço e o mesmo sócio aparecem em outras três empresas com reclamação de boleto fantasma. O cruzamento é o que liga esses pontos.

Tudo isso usa dado público com finalidade legítima, o que a LGPD permite: você está verificando uma cobrança recebida, prevenindo fraude contra si mesmo. Não é vigiar ninguém, é conferir quem está pedindo o seu dinheiro antes de mandar.

• Entrada: CNPJ ou razão social do beneficiário que aparece no app.
• Cruzamento: Receita, reclamações, processos, sócios e vazamentos numa tela.
• Saída: sinais de laranja (CNPJ novo, endereço virtual, reclamações) destacados em vermelho.

Paguei um boleto falso, o que fazer agora?

Aja nas primeiras horas, porque a janela de recuperação é curta. Ligue imediatamente para o seu banco, registre a fraude e peça a abertura do procedimento de contestação. Se o pagamento foi por Pix (caso comum em boleto falso "agilizado"), o Banco Central oferece o MED, o Mecanismo Especial de Devolução, que pode bloquear e devolver valores em transações fraudulentas.

Pelas regras do Banco Central, a notificação de fraude que aciona o MED tem prazo de até 80 dias para ser registrada junto à instituição. Quanto antes você avisa, maior a chance de o dinheiro ainda estar na conta do golpista e ser bloqueado. Registre também boletim de ocorrência (muitas delegacias têm BO online) e reúna prints da cobrança e do comprovante.

Depois, reporte. Reclamações no Consumidor.gov.br e no Procon ajudam a expor o CNPJ do golpista e protegem a próxima vítima. E investigue o beneficiário: o CNPJ ou o nome que recebeu seu dinheiro é o melhor ponto de partida para rastrear um golpista na internet e instruir a contestação com evidência.

• 1. Ligue ao banco e abra contestação; se foi Pix, exija o MED.
• 2. Registre BO e guarde todos os comprovantes e mensagens.
• 3. Denuncie o recebedor no Consumidor.gov.br e investigue o CNPJ.

Conclusão

Verificar boleto não é paranoia, é hábito de segundos: leia o código pelo app, confira o banco na linha digitável e olhe o CNPJ de quem vai receber antes de confirmar. O documento pode ser falsificado; o beneficiário, não. Antes de pagar o próximo boleto que chegou com pressa, jogue o CNPJ do recebedor na espectrosint e veja, numa busca só, se é empresa de verdade ou laranja montado para receber o seu dinheiro.