O cliente pagou uma cobrança que saiu do seu próprio domínio

Onde a invasão aconteceu decide quem paga

Há três cenários possíveis e eles produzem consequências completamente diferentes.

Se a conta comprometida foi a da empresa, a fraude explorou uma falha na estrutura do fornecedor. O cliente recebeu, do endereço legítimo do fornecedor, uma instrução de pagamento — e agiu conforme a comunicação oficial que lhe foi dirigida.

Se a conta comprometida foi a do cliente, a interferência ocorreu do lado dele: a mensagem verdadeira chegou e foi alterada ou substituída no ambiente dele.

Se houve criação de um domínio parecido, com uma letra trocada, não houve invasão de ninguém — houve falsificação de remetente, e o exame recai sobre a atenção de quem recebeu.

Essa definição não se resolve por intuição nem por acusação recíproca. Resolve-se com os registros técnicos, e a coleta deles é urgente porque muitos são apagados por rotina em poucos dias.

As providências técnicas que quase todo mundo esquece

Antes de discutir responsabilidade, é preciso fechar a porta — e ela costuma continuar aberta depois da troca de senha.

Troque as credenciais de todas as contas do domínio, não apenas da comprometida, e ative verificação em duas etapas em todas elas.

Encerre todas as sessões ativas e revogue tokens de aplicativos autorizados, incluindo integrações antigas com sistemas de gestão.

E, principalmente, verifique as regras de encaminhamento e os filtros de cada caixa. É o passo mais negligenciado: criminosos criam regras que copiam silenciosamente mensagens com palavras como "boleto", "pagamento" ou "nota fiscal" para um endereço externo, e movem as respostas para pastas ocultas. Trocar a senha sem remover essas regras significa continuar entregando toda a correspondência.

Revise também delegações de acesso, contas de serviço e caixas compartilhadas — pontos por onde o acesso costuma persistir.

Preservar os cabeçalhos antes que sumam

A prova decisiva não é o texto do e-mail: são os cabeçalhos técnicos e os registros de acesso.

Peça ao cliente que exporte a mensagem fraudulenta no formato original, com todos os cabeçalhos — o arquivo, e não uma captura de tela nem um encaminhamento, que descartam as informações relevantes. Faça o mesmo com as mensagens legítimas da mesma conversa, para comparação.

Extraia do seu provedor o registro de acessos do período: horários, endereços de rede, dispositivos, localizações aproximadas e alterações de configuração. Esse relatório costuma ter prazo de retenção curto, o que torna o pedido imediato indispensável.

Documente também a existência ou ausência das regras de encaminhamento encontradas, com captura antes de removê-las.

Esse conjunto permite dizer, com base objetiva, de onde partiu a mensagem e por qual caminho o acesso indevido ocorreu — e é o que sustenta qualquer posição posterior, sua ou do cliente.

Falha na estrutura do fornecedor não é evento externo

Confirmado que a invasão se deu do lado da empresa, a discussão sobre responsabilidade tende a ser desfavorável a ela, e é melhor saber disso de antemão.

Quando a relação é de consumo, aplica-se a responsabilidade por fato do serviço, que independe de culpa e alcança os defeitos relativos à prestação, incluindo falhas de segurança. Ainda em relações entre empresas, o risco de falha nos próprios sistemas integra a atividade de quem os opera e não se transfere ao cliente que confiou na comunicação recebida.

O argumento de fraude de terceiro não costuma funcionar isoladamente, porque o terceiro só conseguiu agir a partir de uma vulnerabilidade interna — o que a doutrina e a jurisprudência tratam como risco inerente ao negócio, e não como evento estranho a ele.

A defesa realista, portanto, raramente é negar responsabilidade por inteiro. É demonstrar a origem real da falha, quando ela não estiver do seu lado, e discutir a repartição quando houver contribuição do cliente — instruções de pagamento ignoradas, dados bancários fixados em contrato e desconsiderados, ausência de conferência em valor elevado.

Comunicar antes que o prejuízo se multiplique

Uma única fraude descoberta significa, quase sempre, que outras estão a caminho.

Comunique imediatamente toda a base de clientes com quem há cobranças em aberto, por canal diverso do e-mail — telefone e mensagem — informando o incidente e reafirmando os dados bancários corretos. Estabeleça, a partir daí, uma regra simples e divulgada: qualquer alteração de dados de pagamento será confirmada por ligação a número previamente cadastrado.

Comunique ao banco indicado no boleto falso a suspeita de uso fraudulento da conta, com os dados do documento.

Avalie a comunicação do incidente à autoridade de proteção de dados, obrigatória quando o acesso indevido alcança dados pessoais com risco relevante aos titulares, e informe os titulares atingidos.

Cada uma dessas comunicações deve ser datada e arquivada. Elas demonstram diligência e, em uma eventual discussão sobre responsabilidade, o comportamento posterior ao incidente pesa quase tanto quanto o anterior.

Quando o cliente já pagou

A pergunta prática é o que fazer com a dívida que continua em aberto.

Do ponto de vista jurídico, pagamento feito a terceiro não libera o devedor em regra, mas há exceção relevante: o pagamento feito de boa-fé a quem se apresentava, aos olhos do credor e por circunstâncias criadas por ele, como legítimo destinatário. Uma cobrança emitida do domínio verdadeiro do fornecedor, dentro de uma conversa autêntica, cria exatamente essa aparência.

A discussão, portanto, costuma girar em torno de repartir o prejuízo conforme a contribuição de cada lado, e não de simplesmente exigir que o cliente pague de novo.

A condução prática que preserva a relação comercial é conhecida: reconhecer o incidente com transparência, apresentar o resultado da apuração técnica, propor uma solução — parcelamento, desconto, absorção parcial — e formalizar por escrito o acordo, com quitação expressa daquela fatura.

Definir onde está a fronteira da responsabilidade em cada caso concreto, com os cabeçalhos e os registros em mãos, é serviço de advogado particular, contratável por meio digital, e vale fazê-lo antes da primeira proposta ao cliente.

Reduzir o risco daqui para frente

As medidas que efetivamente funcionam são poucas e conhecidas.

Verificação em duas etapas obrigatória em todas as contas do domínio, sem exceção para diretoria. Autenticação de remetente configurada no domínio, o que dificulta a falsificação de endereço. Bloqueio ou marcação automática de mensagens vindas de domínios semelhantes ao seu.

No lado do processo: dados bancários fixados em contrato, com cláusula expressa de que qualquer alteração exige confirmação por telefone em número previamente cadastrado; e regra interna de conferência dupla para pagamentos acima de determinado valor.

E revisão periódica de regras de encaminhamento em todas as caixas, que é onde a invasão se esconde por meses sem que ninguém perceba.