--- title: "O cliente pagou uma cobrança que saiu do seu próprio domínio" description: "Invasão de e-mail corporativo usada para fraudar clientes: como descobrir onde houve a falha, por que ela recai sobre a empresa e o que fazer primeiro." url: "https://wikijuridica.com.br/digital/email-corporativo-invadido-fraude-cliente/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:736cd5c5a368cbe89ad3b49a6bf72ffc9192c1f975ae5c703c5098454bfdb953" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Código Penal (Decreto-Lei 2.848/1940), art. 154-A" url: "https://www.planalto.gov.br/ccivil_03/decreto-lei/Del2848compilado.htm" verified_at: "2026-08-04" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # O cliente pagou uma cobrança que saiu do seu próprio domínio Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 O cliente ligou perguntando por que o boleto de vinte e oito mil reais tinha vindo com outro beneficiário. A mensagem partiu do endereço financeiro da empresa, respondia à mesma conversa que já vinha sendo trocada havia semanas, repetia o número do pedido e mantinha a assinatura padrão. Só o código de barras era outro. Esse tipo de fraude não depende de o cliente ser distraído. Ela funciona porque o criminoso passou tempo dentro da caixa de mensagens, aprendeu o vocabulário da negociação e escolheu o momento exato de intervir. E a primeira pergunta a responder — dentro de qual caixa ele estava — determina quem vai suportar o prejuízo. ## Onde a invasão aconteceu decide quem paga Há três cenários possíveis e eles produzem consequências completamente diferentes. Se a conta comprometida foi a da empresa, a fraude explorou uma falha na estrutura do fornecedor. O cliente recebeu, do endereço legítimo do fornecedor, uma instrução de pagamento — e agiu conforme a comunicação oficial que lhe foi dirigida. Se a conta comprometida foi a do cliente, a interferência ocorreu do lado dele: a mensagem verdadeira chegou e foi alterada ou substituída no ambiente dele. Se houve criação de um domínio parecido, com uma letra trocada, não houve invasão de ninguém — houve falsificação de remetente, e o exame recai sobre a atenção de quem recebeu. Essa definição não se resolve por intuição nem por acusação recíproca. Resolve-se com os registros técnicos, e a coleta deles é urgente porque muitos são apagados por rotina em poucos dias. ## As providências técnicas que quase todo mundo esquece Antes de discutir responsabilidade, é preciso fechar a porta — e ela costuma continuar aberta depois da troca de senha. Troque as credenciais de todas as contas do domínio, não apenas da comprometida, e ative verificação em duas etapas em todas elas. Encerre todas as sessões ativas e revogue tokens de aplicativos autorizados, incluindo integrações antigas com sistemas de gestão. E, principalmente, verifique as regras de encaminhamento e os filtros de cada caixa. É o passo mais negligenciado: criminosos criam regras que copiam silenciosamente mensagens com palavras como "boleto", "pagamento" ou "nota fiscal" para um endereço externo, e movem as respostas para pastas ocultas. Trocar a senha sem remover essas regras significa continuar entregando toda a correspondência. Revise também delegações de acesso, contas de serviço e caixas compartilhadas — pontos por onde o acesso costuma persistir. ## Preservar os cabeçalhos antes que sumam A prova decisiva não é o texto do e-mail: são os cabeçalhos técnicos e os registros de acesso. Peça ao cliente que exporte a mensagem fraudulenta no formato original, com todos os cabeçalhos — o arquivo, e não uma captura de tela nem um encaminhamento, que descartam as informações relevantes. Faça o mesmo com as mensagens legítimas da mesma conversa, para comparação. Extraia do seu provedor o registro de acessos do período: horários, endereços de rede, dispositivos, localizações aproximadas e alterações de configuração. Esse relatório costuma ter prazo de retenção curto, o que torna o pedido imediato indispensável. Documente também a existência ou ausência das regras de encaminhamento encontradas, com captura antes de removê-las. Esse conjunto permite dizer, com base objetiva, de onde partiu a mensagem e por qual caminho o acesso indevido ocorreu — e é o que sustenta qualquer posição posterior, sua ou do cliente. ## Falha na estrutura do fornecedor não é evento externo Confirmado que a invasão se deu do lado da empresa, a discussão sobre responsabilidade tende a ser desfavorável a ela, e é melhor saber disso de antemão. Quando a relação é de consumo, aplica-se a responsabilidade por fato do serviço, que independe de culpa e alcança os defeitos relativos à prestação, incluindo falhas de segurança. Ainda em relações entre empresas, o risco de falha nos próprios sistemas integra a atividade de quem os opera e não se transfere ao cliente que confiou na comunicação recebida. O argumento de fraude de terceiro não costuma funcionar isoladamente, porque o terceiro só conseguiu agir a partir de uma vulnerabilidade interna — o que a doutrina e a jurisprudência tratam como risco inerente ao negócio, e não como evento estranho a ele. A defesa realista, portanto, raramente é negar responsabilidade por inteiro. É demonstrar a origem real da falha, quando ela não estiver do seu lado, e discutir a repartição quando houver contribuição do cliente — instruções de pagamento ignoradas, dados bancários fixados em contrato e desconsiderados, ausência de conferência em valor elevado. ## Comunicar antes que o prejuízo se multiplique Uma única fraude descoberta significa, quase sempre, que outras estão a caminho. Comunique imediatamente toda a base de clientes com quem há cobranças em aberto, por canal diverso do e-mail — telefone e mensagem — informando o incidente e reafirmando os dados bancários corretos. Estabeleça, a partir daí, uma regra simples e divulgada: qualquer alteração de dados de pagamento será confirmada por ligação a número previamente cadastrado. Comunique ao banco indicado no boleto falso a suspeita de uso fraudulento da conta, com os dados do documento. Avalie a comunicação do incidente à autoridade de proteção de dados, obrigatória quando o acesso indevido alcança dados pessoais com risco relevante aos titulares, e informe os titulares atingidos. Cada uma dessas comunicações deve ser datada e arquivada. Elas demonstram diligência e, em uma eventual discussão sobre responsabilidade, o comportamento posterior ao incidente pesa quase tanto quanto o anterior. ## Quando o cliente já pagou A pergunta prática é o que fazer com a dívida que continua em aberto. Do ponto de vista jurídico, pagamento feito a terceiro não libera o devedor em regra, mas há exceção relevante: o pagamento feito de boa-fé a quem se apresentava, aos olhos do credor e por circunstâncias criadas por ele, como legítimo destinatário. Uma cobrança emitida do domínio verdadeiro do fornecedor, dentro de uma conversa autêntica, cria exatamente essa aparência. A discussão, portanto, costuma girar em torno de repartir o prejuízo conforme a contribuição de cada lado, e não de simplesmente exigir que o cliente pague de novo. A condução prática que preserva a relação comercial é conhecida: reconhecer o incidente com transparência, apresentar o resultado da apuração técnica, propor uma solução — parcelamento, desconto, absorção parcial — e formalizar por escrito o acordo, com quitação expressa daquela fatura. Definir onde está a fronteira da responsabilidade em cada caso concreto, com os cabeçalhos e os registros em mãos, é serviço de advogado particular, contratável por meio digital, e vale fazê-lo antes da primeira proposta ao cliente. ## Reduzir o risco daqui para frente As medidas que efetivamente funcionam são poucas e conhecidas. Verificação em duas etapas obrigatória em todas as contas do domínio, sem exceção para diretoria. Autenticação de remetente configurada no domínio, o que dificulta a falsificação de endereço. Bloqueio ou marcação automática de mensagens vindas de domínios semelhantes ao seu. No lado do processo: dados bancários fixados em contrato, com cláusula expressa de que qualquer alteração exige confirmação por telefone em número previamente cadastrado; e regra interna de conferência dupla para pagamentos acima de determinado valor. E revisão periódica de regras de encaminhamento em todas as caixas, que é onde a invasão se esconde por meses sem que ninguém perceba. ## Perguntas frequentes ### O provedor de e-mail responde pela invasão? Responde quando a falha estiver no serviço dele — vulnerabilidade não corrigida, acesso indevido a partir da infraestrutura. Se o acesso decorreu de credencial obtida com um usuário ou de ausência de verificação em duas etapas, a discussão se desloca para as práticas de segurança de quem contratou. ### Convém avisar publicamente os clientes sobre o incidente? O aviso individual aos afetados é indispensável; a comunicação pública depende da extensão. Quando muitos clientes podem ter recebido a cobrança falsa e não há como identificar todos, o aviso público protege terceiros e demonstra diligência, e por isso costuma compensar. ## Proveniência - [Código Penal (Decreto-Lei 2.848/1940), art. 154-A](https://www.planalto.gov.br/ccivil_03/decreto-lei/Del2848compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Boleto do checkout com código de barras adulterado](https://wikijuridica.com.br/digital/checkout-boleto-codigo-barras-adulterado/index.md) - [Perfil falso da empresa aplicando golpe nos clientes](https://wikijuridica.com.br/digital/perfil-falso-empresa-golpe-clientes/index.md) - [Site clonado usou a marca: a loja verdadeira responde?](https://wikijuridica.com.br/digital/clone-marca-original-responde/index.md) - [Site com domínio parecido ao da marca: caí em golpe](https://wikijuridica.com.br/digital/clone-dominio-similar-typosquatting/index.md) - [REsp 2.104.921 do STJ: responsabilidade civil](https://wikijuridica.com.br/jurisprudencia/stj-resp-2104921/index.md) - [REsp 2.174.726 do STJ: processual civil e empresarial](https://wikijuridica.com.br/jurisprudencia/stj-resp-2174726/index.md) - [Paguei boleto falso da operadora: quem responde?](https://wikijuridica.com.br/telecom-energia/cob-boleto-falso-clonado-fatura/index.md) - [Acusado por mensagem que não enviou: perfil invadido](https://wikijuridica.com.br/criminal/defesa-perfil-hackeado-nao-fui-eu/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/digital/email-corporativo-invadido-fraude-cliente/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. O cliente pagou uma cobrança que saiu do seu próprio domínio. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/digital/email-corporativo-invadido-fraude-cliente/ Versão do conteúdo: sha256:736cd5c5a368cbe89ad3b49a6bf72ffc9192c1f975ae5c703c5098454bfdb953 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-digital-email-corporativo-invadido-fraude-cliente", "type": "webpage", "title": "O cliente pagou uma cobrança que saiu do seu próprio domínio", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/digital/email-corporativo-invadido-fraude-cliente/", "language": "pt-BR", "version": "sha256:736cd5c5a368cbe89ad3b49a6bf72ffc9192c1f975ae5c703c5098454bfdb953", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: