Você recebe a cobrança do fornecedor, a mensalidade do curso ou o DAS do MEI, abre o PDF, copia a linha digitável e paga. Dias depois chega o aviso de atraso, e o dinheiro já está na conta de outra pessoa. O golpe do boleto falso funciona porque quase ninguém lê um boleto: a gente só copia o código e confirma.
A explicação de que só cai quem é distraído não ajuda em nada. O boleto adulterado copia logotipo, valor e vencimento verdadeiros e às vezes chega na mesma conversa em que o fornecedor sempre mandou a cobrança. O que muda fica escondido em dois pontos que pouca gente olha: os números do código de barras e o nome de quem recebe.
O mecanismo é direto. Quem controla os números do código controla para onde vai o dinheiro, e o aplicativo do banco mostra esse destino na tela de confirmação, antes da senha. A seguir estão a ordem de conferência que leva menos de um minuto, os sinais que separam um boleto legítimo de um fraudado, o caso específico do DAS falso e o que fazer nas primeiras horas se o pagamento já saiu.
Por que o boleto falso parece idêntico ao verdadeiro
O golpista não precisa inventar uma cobrança. Ele aproveita uma que você já espera: a fatura do mês, a parcela de um curso, o imposto do MEI, a multa de trânsito. Como o valor e a data fazem sentido, o cérebro trata o documento como rotina e pula a conferência.
O boleto chega por quatro caminhos principais. Um e-mail com PDF anexo, muitas vezes com remetente parecido com o da empresa, no mesmo estilo dos exemplos de phishing que imitam bancos e lojas. Uma mensagem de SMS ou WhatsApp com tom de urgência e um link. Um site que imita a página de emissão de segunda via e aparece em anúncio patrocinado na busca. E, no caso mais difícil de perceber, um e-mail real de uma conta invadida, que manda o boleto adulterado a partir do endereço que você já conhece.
No terceiro caminho, o problema começa antes do boleto: a página de segunda via é falsa. As checagens de endereço, cadeado e dono do domínio que valem para compras também valem aqui, e estão explicadas no guia sobre como reconhecer uma loja ou página falsa antes de pagar.
Boleto falso: como identificar em seis conferências antes de pagar
A ordem abaixo foi pensada para caber no intervalo entre abrir o PDF e digitar a senha no aplicativo. Se uma das seis falhar, pare e confirme por outro canal.
- Origem. O boleto veio de onde você mesmo foi buscar, digitando o endereço do site ou abrindo o aplicativo oficial, ou chegou sozinho por mensagem? Boleto que você não pediu merece desconfiança dobrada.
- Código do banco. Os três primeiros números da linha digitável indicam o banco que emitiu o documento. Segundo o alerta do Procon do Amazonas sobre boletos falsos, 001 corresponde ao Banco do Brasil, 237 ao Bradesco, 104 à Caixa, 341 ao Itaú e 033 ao Santander. Se o logotipo é de um banco e o código aponta para outro, o boleto foi mexido.
- Beneficiário. Na tela de confirmação, o aplicativo do banco mostra o nome e o CPF ou CNPJ de quem vai receber. Esse é o dado que o golpista não consegue disfarçar. Você comprou de uma empresa e aparece o nome de uma pessoa física? O mesmo alerta do Procon trata isso como forte indício de fraude.
- Valor e vencimento. Compare com a cobrança do mês anterior. Fatura fixa que muda de valor sem explicação, desconto bom demais para quitar na hora ou vencimento curtíssimo são sinais de pressa fabricada.
- Linha digitável e impressão. Rasuras, números desalinhados ou um código de barras que o leitor do celular não reconhece e obriga você a digitar tudo à mão são marcas comuns de boleto adulterado. Depois de colar o código, compare os primeiros e os últimos números com os do PDF.
- Contato. Na dúvida, fale com a empresa pelo telefone ou e-mail que você já tinha antes, de contratos, notas ou do site oficial. Nunca pelo número impresso no próprio boleto suspeito.
Das seis, a terceira é a que mais salva dinheiro. O PDF pode ser editado à vontade, mas o nome do beneficiário vem do sistema bancário, e é ali que a fraude aparece.
Boleto legítimo e boleto adulterado lado a lado
A tabela resume o que comparar. Nenhum item sozinho prova a fraude, mas dois sinais juntos já justificam suspender o pagamento.
| O que olhar | Boleto legítimo | Sinal de boleto falso |
|---|---|---|
| Origem | Baixado no site ou aplicativo oficial que você abriu | Chegou por link em SMS, WhatsApp, e-mail inesperado ou anúncio |
| Três primeiros números | Batem com o banco do logotipo | Código de um banco diferente do impresso |
| Beneficiário no app | Nome e CNPJ da empresa que cobra | Pessoa física ou empresa sem relação com a compra |
| Valor | Igual ou próximo das faturas anteriores | Mudança sem aviso ou desconto para pagar na hora |
| Código de barras | Lido pela câmera sem erro | Rasura, falha de impressão ou leitura recusada |
| Contato impresso | Igual ao do site oficial | Telefone ou WhatsApp que você nunca viu |
DAS falso: o golpe do boleto que mira quem é MEI
Quem trabalha como MEI recebe uma variação feita sob medida. A mensagem diz que o CNPJ será cancelado por falta de pagamento do DAS e traz um boleto ou um link para regularizar. A pressa é o anzol: ninguém quer perder o CNPJ que emite nota para os clientes.
Conforme o aviso da Receita Federal aos microempreendedores, o órgão não usa SMS nem WhatsApp para cobrar débitos, e dívida com a Receita não é motivo para cancelamento de CNPJ. O DAS e a consulta de débitos saem apenas pelo Portal do Empreendedor, pelo e-CAC ou pelo aplicativo MEI. A Receita também alerta para sites que imitam o PGMEI e para cobranças por inscrição, alteração ou baixa que o empreendedor não pediu.
O ajuste prático é tratar o DAS como algo que você gera, nunca como algo que chega. Todo mês, entre no canal oficial, emita a guia e pague a partir dali. Os detalhes de prazo, multa e emissão estão no artigo sobre o que acontece quando o DAS atrasa e como emitir a guia.
Multa, taxa e cobrança de órgão público por mensagem
O mesmo roteiro aparece com multa de trânsito, taxa de conselho profissional e imposto municipal. A mensagem costuma trazer seu nome completo e dados reais, o que dá aparência de oficial. Segundo o alerta da Polícia Rodoviária Federal sobre boletos falsos, a PRF não envia boletos por e-mail, SMS ou WhatsApp, e as notificações de multa chegam pelos Correios, no endereço cadastrado.
A regra vale para quase todo órgão público: se a cobrança chegou por mensagem com link, abra o site oficial digitando o endereço e procure o débito por lá. Se ele não existir no sistema do órgão, não existe.
Por que quem trabalha em casa fica mais exposto
No home office, o pagamento de contas se mistura com o expediente. O freelancer paga ferramenta, hospedagem, curso e fornecedor no mesmo notebook em que responde cliente, muitas vezes entre uma tarefa e outra, sem ninguém do financeiro para conferir. É o cenário ideal para o boleto falso passar.
Três ajustes reduzem o risco. Separe as contas do trabalho em uma conta PJ separada do CPF, o que facilita perceber cobrança estranha no extrato. Mantenha uma lista curta com nome e CNPJ dos fornecedores que você paga com frequência, para conferir o beneficiário em segundos.
O terceiro ajuste protege contra o caso mais traiçoeiro, o boleto enviado de uma conta de e-mail invadida. Se um fornecedor muda de banco do nada, ligue antes de pagar. E proteja a sua caixa de entrada também: os sinais estão no guia sobre como saber se o seu e-mail foi invadido.
Depois de conferir a conta, feche a porta de entrada. A barreira mais eficiente é a verificação em duas etapas nas contas de trabalho.
Pagou um boleto falso? O que fazer nas primeiras horas
A velocidade pesa mais do que qualquer outra coisa. A chance de recuperar o valor depende de o banco que recebeu o dinheiro conseguir bloqueá-lo antes do saque, e nada disso está assegurado. Siga esta ordem:
- Ligue para o seu banco pelo número do verso do cartão ou pelo aplicativo, informe o pagamento fraudulento e peça a contestação. Anote o protocolo.
- Avise a empresa verdadeira pelos canais oficiais. A dívida original continua aberta, e ela pode ter registro de outras vítimas.
- Registre boletim de ocorrência, na delegacia ou na delegacia eletrônica do seu estado, com o PDF do boleto, a mensagem recebida e o comprovante.
- Procure o Procon do seu estado se a empresa ou o banco não resolverem.
- Troque senhas se o boleto chegou depois de você clicar em um link ou se o e-mail de origem era seu.
Guarde tudo: o arquivo original, a conversa inteira e os horários. Esse material sustenta a contestação no banco. Para comparar com outro golpe comum de pagamento, o artigo sobre os sinais que antecedem o prejuízo no Pix mostra a mesma lógica de pausa antes de confirmar.
Hábitos que tiram o boleto falso do caminho
Conferir na hora funciona, mas o melhor é não deixar o boleto suspeito chegar até a tela de pagamento. Estes hábitos fazem isso quase no automático:
- Gere a segunda via sempre no site ou aplicativo do credor, abertos por você, e nunca pelo link de uma mensagem.
- Ative no aplicativo do banco a função que lista os boletos emitidos no seu CPF ou CNPJ, quando ela existir, e pague por ali.
- Leia o nome do beneficiário em voz alta antes de digitar a senha. Parece bobo, mas quebra o piloto automático.
- Desconfie de qualquer cobrança que chega com ameaça e prazo de horas.
- Não pague boleto de serviço que você não contratou, mesmo com valor baixo.
Nenhum desses passos exige programa novo nem conhecimento técnico. Exige só trocar a ordem: primeiro olhar para quem recebe, depois confirmar.