Revise hoje quem consegue cadastrar um favorecido e quem consegue pagar. Na empresa Cedro, exemplo hipotético, um e-mail pede troca urgente dos dados de um fornecedor. O valor e a nota parecem corretos; o risco está no destino novo. A aprovação precisa conferir essa mudança por um canal já conhecido.
A confirmação do favorecido deve acontecer antes da autorização, mesmo quando o pedido parece vir de alguém conhecido. Segurança depende de acesso protegido e de processo de pagamento. As medidas abaixo usam orientações do Banco Central e do CERT.br consultadas em 6 de outubro de 2026.
Como reduzir o poder de uma credencial comprometida?
Use contas de acesso individuais, autenticação forte disponível e dispositivos atualizados. O CERT.br reúne orientações específicas sobre autenticação, banco pela internet, furto de celular e resposta a golpes. A credencial do administrador não deve circular entre financeiro, contador e sócios.
Dê ao contador acesso de leitura ou exportações, conforme a ferramenta oferecer. Reserve poderes de cadastro e movimentação a quem realmente executa essas funções. Quando o banco permitir, separe preparação e aprovação de pagamentos e configure limites compatíveis com a rotina.
Nenhuma alçada de valor serve para toda empresa. Defina o que representa exposição relevante no seu caixa e confira se o produto realmente permite a regra. Se uma pessoa atua sozinha, combine limite reduzido, conferência deliberada de novos destinos e rotina segura de recuperação do acesso. Dois aparelhos com as mesmas credenciais compartilhadas não criam automaticamente independência.
Como conferir uma mudança de dados bancários?
Suspenda a alteração até confirmar com o fornecedor pelo contato previamente registrado. Não use o telefone ou o link que chegou na própria mensagem suspeita. Compare razão social, CPF ou CNPJ do favorecido, valor e relação com o documento que originou o pagamento.
No caso hipotético da Cedro, o nome parecido na tela não basta. A equipe deve registrar quem confirmou os novos dados, por qual canal e quando a alteração passou a valer. Se houver intermediário legítimo de cobrança, a relação também precisa ser comprovada antes de pagar.
| Evento | Conferência mínima | Registro |
|---|---|---|
| Novo favorecido | Titularidade e documento de origem | Cadastro validado |
| Troca de conta | Confirmação independente | Responsável e data |
| Pagamento fora do padrão | Valor, motivo e autorização | Justificativa aprovada |
| Saída de funcionário | Acessos, procurações e dispositivos | Revogação concluída |
| Nova integração | Escopo e instituição recebedora | Consentimento registrado |
O que fazer se houver fraude ou acesso indevido?
Contate imediatamente a instituição pelos canais oficiais, solicite bloqueios cabíveis e registre o incidente. Preserve comprovantes, mensagens, horários e protocolos; faça boletim de ocorrência. Em caso de dispositivo comprometido, use um meio confiável para comunicar o problema e recuperar credenciais, inclusive do e-mail associado.
Para Pix, a FAQ do Banco Central atualizada em setembro de 2026 informa prazo de até 80 dias para pedir devolução por fraude, golpe ou crime. A orientação operacional é agir imediatamente, sem esperar esse limite. O MED depende da análise e da disponibilidade de recursos, podendo resultar em recuperação parcial ou nenhuma recuperação.
MED não é garantia de estorno e não resolve toda divergência comercial nem simples erro de destinatário. Descreva o ocorrido com precisão. Evite contratar serviços que prometem recuperar dinheiro mediante pagamento antecipado a terceiros desconhecidos.
Como usar o BC PROTEGE+ e revisar a rotina?
O BC PROTEGE+ permite comunicar que a pessoa ou empresa não deseja abertura de conta nem inclusão como titular ou representante. É uma camada adicional contra uso indevido da identidade, sem substituir as proteções de contas existentes. A gestão ocorre no Meu BC, com conta gov.br e requisitos indicados pelo serviço.
Quando houver abertura legítima, siga as instruções para desativar a proteção necessária durante a contratação e reavaliar sua ativação depois. O guia de abertura de conta PJ inclui essa checagem. Não informe códigos de verificação a quem se apresentar como suporte.
Copie o plano de resposta: instituição; telefone oficial; responsável principal; substituto; procedimento de bloqueio; local dos comprovantes; acessos a revisar; protocolo; providências concluídas. Revise também os consentimentos do Open Finance.
A Cedro deve encerrar o exercício com um favorecido validado e uma pessoa capaz de acionar o banco sem procurar instruções em mensagens antigas. Repita a conferência quando mudar a equipe ou o produto, e registre as falhas encontradas no teste para corrigi-las antes do próximo pagamento.
Fontes e critérios da revisão
Consulta editorial em 06/10/2026. Exemplos numéricos identificados como hipotéticos não representam tarifas, pesquisas ou resultados de clientes. Confirme condições contratuais antes de decidir.
- CERT.br: autenticação, banco pela internet e resposta a golpes
- Banco Central: MED, atualizado em setembro de 2026
- Banco Central: BC PROTEGE+
Perguntas frequentes
Autenticação em duas etapas elimina fraude?
Não. Ela reduz riscos de acesso, mas o pagamento ainda pode ser autorizado ao destinatário errado por engenharia social. Confira favorecido, documento e pedido.
O MED garante devolução de Pix fraudulento?
Não. Há análise e dependência de recursos recuperáveis. Avise a instituição imediatamente e guarde protocolos e evidências.
BC PROTEGE+ bloqueia pagamentos da conta existente?
O serviço é voltado a impedir novas aberturas e inclusões como titular ou representante quando a proteção está ativa. Não substitui os controles da conta já existente.