Boleto adulterado: como a linha digitável é trocada na tela

No golpe do boleto adulterado, o boleto que a loja emitiu é verdadeiro, mas o que aparece na tela do cliente não é. Um código malicioso troca a linha digitável e o código de barras por números de um boleto do criminoso, quase sempre mantendo valor e vencimento. O banco aceita o pagamento porque o boleto falso também é um boleto válido, só que de outro beneficiário. A defesa está em conferir quem vai receber antes de confirmar e em proteger a página onde o boleto é exibido.

Como a linha digitável é trocada

A linha digitável é a sequência de números que representa o código de barras. Pela descrição técnica usada pelas instituições, os três primeiros dígitos indicam o banco emissor, o quarto indica a moeda, os 25 seguintes são definidos pelo banco e identificam a cobrança, e os dez últimos trazem o valor. Trocar os números do meio basta para mandar o pagamento a outra conta; valor e vencimento podem continuar idênticos.

Pesquisas publicadas em 2014 mostram como isso acontece no computador de quem paga:

• Extensões de navegador. Pesquisadores da Kaspersky encontraram extensões, inclusive em lojas oficiais, que vigiavam páginas com boletos e substituíam os números ao exibi-los.
• Código injetado no navegador. Pragas que procuravam palavras como “boleto” e “pagamento” e trocavam a linha por outra recebida de um servidor dos criminosos. Algumas deixavam o código de barras ilegível para obrigar o cliente a digitar a linha alterada.
• Roteadores com configuração adulterada, desviando o acesso para páginas manipuladas.
• Sites falsos de segunda via, anunciados em buscadores, que reemitiam boletos vencidos com os dados do golpista.

A escala impressiona. Em 2014, a RSA descreveu uma única quadrilha que pode ter comprometido 495.753 transações com boleto em cerca de dois anos, em mais de 30 bancos, a partir de 192.227 computadores infectados. O valor estimado chegava a US$ 3,75 bilhões, sem confirmação de quanto foi efetivamente pago.

Por que o registro do boleto não basta

Desde 2018, todo boleto precisa estar registrado na plataforma centralizada dos bancos para ser pago, e o banco recusa o que não está na base. Só que isso não impede o golpista de usar um boleto registrado em nome de um beneficiário que ele controla. Para o sistema, o boleto trocado é legítimo; quem percebe a diferença é a pessoa que lê o nome do beneficiário antes de confirmar.

Para a loja, o efeito é conhecido: o pedido não é pago, o cliente diz que pagou e mostra o comprovante, e a desconfiança recai sobre a marca.

O que o cliente deve conferir antes de pagar

As orientações da Febraban apontam quatro checagens simples:

• Beneficiário. Todo canal de pagamento mostra o nome do beneficiário antes da confirmação. Se não for a empresa da compra, não conclua.
• Código do banco. Os três primeiros dígitos precisam corresponder ao banco que aparece no boleto.
• Valor e vencimento. Devem ser os mesmos da compra.
• DDA. Quem ativa o Débito Direto Autorizado no banco recebe os boletos emitidos em seu CPF ou CNPJ direto da base dos bancos, e pode comparar.

A Febraban também recomenda evitar imprimir boletos, porque a troca pode acontecer nessa etapa, e preferir o arquivo em PDF enviado pelo emissor.

Checklist para a loja que emite boleto

1. Informe na página e no e-mail do pedido o nome do beneficiário, o CNPJ e o banco emissor que o cliente verá no app.
2. Use um nome de beneficiário reconhecível. Se a razão social é diferente da marca, diga isso perto do boleto.
3. Disponibilize o PDF gerado pelo seu sistema e a segunda via apenas na área do cliente, nunca por link de terceiros.
4. Registre o boleto com o CPF ou CNPJ correto do comprador, para que ele apareça no DDA.
5. Reduza scripts na página do boleto e mantenha plataforma, tema e plugins atualizados.
6. Monitore a página em produção, conferindo se a linha exibida e copiada é a emitida.
7. Concilie boletos pagos e pedidos, investigando quem diz que pagou e não aparece na baixa.

Para ver como a conferência funciona na prática, leia sobre a proteção para boleto.

O Proteside protege esse momento: registra a linha digitável, o código de barras e o beneficiário de cada boleto emitido e confere, no navegador do comprador, se o que é exibido ou copiado é exatamente isso, bloqueando a troca e avisando o lojista. Funciona com qualquer plataforma e qualquer emissor, e dá para testar por 14 dias grátis em lojas virtuais.