DDA e conferência do beneficiário: boas práticas para boleto

O DDA, Débito Direto Autorizado, mostra ao comprador, dentro do aplicativo do banco, os boletos registrados no CPF ou CNPJ dele, com dados vindos direto da base dos bancos, e não da página onde o boleto foi exibido. Somado à conferência do beneficiário que todo canal de pagamento faz antes da confirmação, é a forma mais simples de o cliente perceber um boleto trocado. Mas os dois só funcionam se a loja fizer a parte dela: registrar o boleto com o documento certo e dizer ao comprador qual nome ele deve ver.

O que é o DDA e o que ele mostra

Para usar o DDA, o cliente se cadastra como “pagador eletrônico” no próprio banco, em geral pelos canais digitais. A partir daí, passa a receber em formato eletrônico os boletos emitidos em seu nome, com dados obtidos da plataforma centralizada de boletos, inclusive os de outros bancos participantes. Três detalhes importam:

• Só aparecem boletos registrados, vinculados ao CPF ou CNPJ do pagador.
• O DDA não paga sozinho. Ele apresenta o boleto; o pagamento só acontece quando o cliente autoriza. É diferente do débito automático.
• A adesão é feita no banco. Instituições como o Bradesco avisam que não fazem cadastro de DDA por e-mail nem enviam links para isso.

Por que o DDA ajuda contra o boleto adulterado

No golpe do boleto adulterado, um código malicioso troca a linha digitável exibida na tela por outra, de um beneficiário controlado pelo criminoso. A versão que aparece no DDA não passa por essa tela: vem da base dos bancos, com o beneficiário verdadeiro. Se o comprador paga pelo DDA, ou compara a linha da página com a do app, a troca aparece. Não por acaso, pesquisadores da Kaspersky já indicavam o DDA como defesa em 2014, quando descreveram as pragas que alteravam boletos no navegador.

A conferência do beneficiário e o problema do nome

A Febraban lembra que caixa, app e internet banking mostram os dados do beneficiário antes da confirmação, e orienta: se a conta não for do beneficiário correto, não conclua o pagamento.

No e-commerce, essa conferência tropeça num detalhe: o comprador conhece a marca, não a razão social. Se o boleto sai em nome de um intermediário de pagamento ou de uma empresa com nome diferente da loja, o cliente se acostuma a ver um nome “estranho” e confirmar mesmo assim. É exatamente o hábito que o golpe explora. A conferência só protege se a loja disser, antes, qual nome esperar.

Boas práticas para quem emite boleto

1. Registre o boleto com o CPF ou CNPJ correto do comprador. Valide o documento no checkout; sem ele, o boleto não aparece no DDA.
2. Defina o beneficiário esperado e repita em todo lugar: nome, CNPJ e banco emissor, com os três primeiros dígitos da linha, na página do boleto, no e-mail do pedido e na área do cliente.
3. Explique intermediários. Se outra empresa emite o boleto por você, diga o nome dela perto do código.
4. Incentive o DDA. Uma frase simples ajuda: se você usa DDA, o boleto aparecerá no app do seu banco, e você pode pagar por lá.
5. Mantenha valor e vencimento idênticos aos registrados, para que qualquer diferença chame a atenção.
6. Entregue o PDF gerado pelo seu sistema e ofereça segunda via apenas na área do cliente; nunca por link de terceiros ou mensagem não solicitada.
7. Não peça cadastro de DDA por link. A adesão é sempre no banco do cliente.
8. Proteja a página do boleto: poucos scripts, plataforma e plugins atualizados e monitoramento do que é exibido em produção.
9. Concilie e investigue. Cliente que diz ter pago e não aparece na baixa merece atenção imediata.

O que o DDA não resolve

Nem todo comprador usa DDA, e muitos copiam a linha da própria página de pagamento, sem abrir o extrato de boletos. Nesse caso, a única barreira é a conferência do nome, e ela depende da atenção do cliente no momento da compra. Por isso, além das boas práticas, vale garantir que a linha exibida pela loja seja a emitida. Veja como funciona a proteção para boleto.

O Proteside cuida desse ponto: registra a linha digitável, o código de barras e o beneficiário de cada boleto e confere, no navegador do comprador, se o que aparece ou é copiado é exatamente isso, bloqueando a troca e alertando o lojista. Funciona com qualquer plataforma e qualquer emissor, e dá para testar por 14 dias grátis em lojas virtuais.