Quatro pessoas vasculhavam o Reclame Aqui à procura de vítimas. Em 16 de junho de 2026, a Delegacia de Repressão aos Crimes Patrimoniais Eletrônicos do Rio Grande do Sul prendeu essa quadrilha, formada por investigados de São Paulo, que monitorava reclamações de clientes com dificuldade para quitar empréstimos e respondia com um boleto de quitação falso, segundo apurou o ABC+. Pelo menos três vítimas confirmadas perderam mais de R$ 50 mil cada uma. Um dos casos documentados registrou R$ 52.239,27 debitados de uma só vez.
Nenhuma delas imprimiu nada. Nenhuma caiu num site clonado. Só respondeu a uma mensagem que parecia vir de quem já cobrava — e pagou um boleto que chegou pronto, com o valor certo e o nome certo.
É esse detalhe que separa o golpe do boleto falso em dois crimes diferentes, com consequências diferentes para quem cai. Um é phishing simples: um documento fraudulento criado do zero e entregue por e-mail ou WhatsApp. O outro é mais discreto — um vírus que intercepta um boleto verdadeiro e troca só o que decide para onde vai o dinheiro, no instante em que a vítima gera ou imprime o documento, sem mexer em nada que ela costuma conferir.
Os dois pagam a mesma conta: a de quem confia no papel e não confere o destinatário.
O boleto pronto que chega por e-mail ou WhatsApp
Nesse mecanismo, o criminoso não precisa invadir sistema nenhum. Ele cria um boleto inteiro, em nome de uma loja, de uma financeira, de uma administradora de condomínio, com um código de barras que aponta para uma conta de terceiro, e distribui esse arquivo por e-mail, SMS ou WhatsApp. O valor bate. O nome da empresa bate. Só o beneficiário final é outro.
Foi assim que um morador perdeu R$ 800 ao pagar um boleto de condomínio recebido por e-mail, segundo caso relatado pela Rádio Tupi em 13 de agosto de 2026. A administradora negou qualquer responsabilidade pela fraude, mas a Justiça determinou que ela quitasse a dívida do morador, por entender que a cobrança falsa nasceu de uma falha na proteção dos dados cadastrais do próprio condomínio, e não de um descuido de quem pagou.
Boleto de condomínio e boleto de financeira são os disfarces mais comuns porque carregam urgência embutida: quem atrasa a taxa condominial ou uma parcela teme juros e negativação, e paga sem checar. Foi exatamente esse instinto que a quadrilha do Rio Grande do Sul explorou: foi atrás de gente que já reclamava publicamente de dificuldade para pagar, sabendo que essas pessoas queriam resolver o problema depressa.
O vírus que troca o código de barras sem avisar
Esse mecanismo é mais antigo do que parece. Em 2013, o site Linha Defensiva já documentava um vírus que, ao detectar a palavra “boleto” e uma linha digitável na tela, enviava esses dados a um servidor de controle e recebia de volta um código adulterado, inserindo até um espaço invisível no meio do código de barras para forçar a vítima a digitar a linha manualmente em vez de copiá-la pronta. Passada mais de uma década, a técnica migrou para computadores e celulares e continua ativa: o Idec descreveu isso como uma nova versão do golpe do boleto em matéria de maio de 2020, ao explicar que o vírus muda a linha digitável mesmo quando o nome da empresa aparece correto no documento.
É por isso que a Febraban recomenda, desde pelo menos dezembro de 2019, evitar imprimir boletos sempre que possível: o vírus mais comum age no momento da impressão, alterando valor e conta de destino sem tocar no nome do beneficiário nem no vencimento. A federação repetiu o alerta em março de 2024, ao explicar que arquivos em PDF são mais difíceis de adulterar do que o papel impresso.
A resposta estrutural do sistema bancário para esse problema foi a Plataforma Centralizada de Recebíveis, em operação desde julho de 2017: todo boleto passa a ser registrado nela antes de circular, o que deveria inviabilizar a troca do código de barras. Em outubro de 2022, ao completar cinco anos, a Febraban contabilizava 30,6 bilhões de boletos registrados na plataforma e estimava em R$ 450 milhões por ano o volume de fraude evitado por ela. O número mede o tamanho do problema que a plataforma tenta resolver — não que ele acabou.
Como conferir um boleto antes de pagar
O ponto cego dos dois mecanismos é o mesmo: quem paga costuma conferir o valor e, no máximo, o nome de quem emitiu o boleto. São exatamente os dois dados que o golpe deixa intactos. O que quase ninguém confere é o beneficiário final, a informação que o próprio aplicativo do banco mostra na tela de confirmação, segundos antes do pagamento.
- Abra o aplicativo do banco e leia o nome do beneficiário na tela de confirmação, não o nome impresso no boleto. É o banco, lendo o código de barras naquele momento, quem informa para onde o dinheiro vai de verdade.
- Desconfie de boleto recebido por WhatsApp, mesmo que pareça vir de uma empresa conhecida, e peça a reemissão pelo canal oficial: site, aplicativo ou central de atendimento.
- Não copie o código de barras direto de um papel impresso ou de um arquivo suspeito sem checar o beneficiário primeiro; prefira baixar o boleto direto do site ou do aplicativo de quem está cobrando.
- Compare os três primeiros números do código de barras com o código do banco emissor: uma divergência ali é sinal de adulteração, mesmo que o resto do documento pareça normal.
- Ative o DDA (Débito Direto Autorizado) no seu banco. Ele entrega eletronicamente, direto da plataforma centralizada, todos os boletos emitidos no seu CPF, sem depender do arquivo que alguém te mandou.
Quando o banco paga a conta — e quando o prejuízo fica com quem pagou
A responsabilidade pelo prejuízo não segue uma regra única, e aqui a diferença entre os dois mecanismos importa de novo. A Súmula 479 do STJ, editada em 2012, consolidou o entendimento de que instituições financeiras respondem objetivamente por fraudes de terceiros quando o golpe nasce dentro da própria operação bancária, o chamado fortuito interno. Foi essa lógica, por analogia, que sustentou a decisão de obrigar a administradora de condomínio a quitar a dívida do morador que pagou o boleto falso de R$ 800: a fraude decorreu de uma falha na proteção dos dados cadastrais da própria empresa, não de um erro de quem pagou.
A 15ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo aplicou raciocínio parecido ao manter, em 6 de junho de 2022, a condenação solidária de um banco, uma operadora de plano de saúde e uma empresa de serviços financeiros: juntas, pagariam R$ 1.662,02 de danos materiais e R$ 8 mil de danos morais a um cliente que recebeu um boleto fraudulento depois de um vazamento de dados cadastrais entre as três empresas.
Essa mesma lógica falha quando o boleto nasce inteiramente fora do banco, sem que nenhum sistema da instituição seja tocado. Foi o que decidiu a Terceira Turma do Superior Tribunal de Justiça em 13 de junho de 2023, ao julgar o REsp 2.046.026: um comprador de veículo pagou um boleto fraudulento entregue pelo próprio vendedor, sem qualquer participação do banco Pan na fraude, e a relatora, ministra Nancy Andrighi, afastou a responsabilidade da instituição por se tratar de fato exclusivo de terceiro.
Na prática, a régua é essa: quando o golpe explora uma falha de segurança de quem emite ou processa o boleto, a Justiça tende a dividir a conta com o banco ou a empresa. Quando o boleto falso chega pronto de fora, sem vazamento nenhum envolvido, o prejuízo tende a ficar só com quem pagou sem conferir o beneficiário.
Das vítimas da quadrilha do Rio Grande do Sul, nenhuma tinha recuperado o dinheiro até a divulgação da operação. Uma vez sacado pelos golpistas, ele segue o mesmo caminho de qualquer transferência para conta de terceiro: difícil de reverter depois de poucas horas. A diferença entre quem caiu e quem não caiu não foi prestar atenção ao valor do boleto. Foi abrir o aplicativo do banco antes de confirmar o pagamento e ler ali um nome que não batia com o que esperava.
Fontes citadas no texto
- ABC+ — “Golpe do falso boleto: quadrilha usava o Reclame Aqui para fisgar vítimas e é alvo de operação” (16/06/2026)
- Rádio Tupi — “Morador paga boleto falso de condomínio de R$ 800 recebido por e-mail, administradora nega culpa, mas a Justiça determina a quitação da dívida” (13/08/2026)
- Linha Defensiva — “Vírus altera boletos na web e pagamento cai em conta indevida” (15/04/2013)
- Idec — “Nova versão do golpe do boleto faz mais vítimas” (31/05/2020, matéria originalmente publicada n’O Globo)
- Febraban — “FEBRABAN dá quatro dicas para evitar cair em golpes que usam boletos falsos” (19/12/2019)
- Febraban — “Febraban dá dicas para pagar boletos com segurança e evitar golpes” (19/03/2024)
- Febraban — “Plataforma Centralizada de Recebíveis completa 5 anos com 30,6 bilhões de boletos registrados” (13/10/2022)
- TJSP — “Vítima de golpe do boleto falso será indenizada por banco, plano de saúde e empresa de pagamentos”, Apelação nº 1001906-58.2021.8.26.0006, 15ª Câmara de Direito Privado (decisão mantida em 06/06/2022)
- Migalhas — “STJ: Banco Pan não indenizará consumidor que pagou boleto fraudado”, sobre o REsp 2.046.026-RJ, STJ, 3ª Turma, rel. min. Nancy Andrighi (julgado em 13/06/2023, DJe 27/06/2023)
- Migalhas — “Súmula 479: o risco moral do excesso de paternalismo judicial” (referência à Súmula 479/STJ, editada em 2012)
