Levantamento registra quase 23 mil ocorrências em apenas seis meses e revela uma mudança preocupante no modus operandi dos fraudadores: em vez de depender apenas de documentos falsos, criminosos passam a explorar empresas legalmente constituídas para conquistar confiança, abrir contas, obter crédito e induzir vítimas a realizar pagamentos.

O uso de pessoas jurídicas como instrumento para a prática de fraudes financeiras ganhou dimensão preocupante no Brasil. Dados divulgados pela Associação Nacional das Instituições de Crédito, Financiamento e Investimento (Acrefi) apontam 22.764 ocorrências relacionadas a empresas utilizadas em tentativas de fraude somente no primeiro semestre de 2026.

O número representa aproximadamente 125 registros por dia e evidencia uma transformação importante na dinâmica das fraudes: o CNPJ, tradicionalmente associado à identificação e à formalização de uma atividade empresarial, também passou a ser utilizado como mecanismo de construção de credibilidade para operações criminosas.

O problema é particularmente relevante porque muitas dessas empresas não apresentam, inicialmente, uma irregularidade cadastral evidente. O CNPJ existe, está ativo e pode passar pelas verificações convencionais realizadas em bases públicas.

É justamente essa aparência de legitimidade que torna o golpe mais sofisticado.

A empresa existe — e esse é um dos principais problemas

Durante muitos anos, parte significativa das fraudes cadastrais esteve relacionada à utilização de documentos falsificados, identidades roubadas ou dados de terceiros.

O cenário identificado pela Acrefi aponta para uma estratégia diferente: a utilização de pessoas jurídicas formalmente constituídas como infraestrutura para a fraude.

Segundo o levantamento, sete em cada dez instituições financeiras participantes identificaram padrões nos quais empresas são criadas com denominações destinadas a transmitir familiaridade ou confiança. Algumas utilizam nomes semelhantes aos de marcas conhecidas; outras incorporam expressões relacionadas ao sistema financeiro, como “pagamentos”, “banco”, “fatura” ou “soluções financeiras”.

A estratégia explora um comportamento simples do consumidor.

Imagine que uma pessoa esteja negociando a quitação de uma dívida, comprando um produto ou contratando determinado serviço. Ao chegar à etapa do pagamento, aparece na tela um nome empresarial aparentemente relacionado à operação.

A existência de um CNPJ pode funcionar como uma espécie de selo psicológico de legitimidade.

O raciocínio da vítima tende a ser: “Se existe uma empresa registrada e o nome aparece no sistema bancário, provavelmente é legítimo.”

Esse pressuposto, porém, deixou de ser seguro.

Regularidade cadastral não significa confiabilidade

Esse é talvez o ponto mais importante do fenômeno.

Consultar um CNPJ continua sendo uma medida relevante de segurança, mas confirmar apenas que determinada empresa está ativa não é suficiente para demonstrar que ela é confiável ou que realmente mantém relação com a marca, instituição ou serviço que afirma representar.

Uma empresa pode existir juridicamente e, ainda assim, estar sendo utilizada para finalidade fraudulenta.

Segundo a Acrefi, justamente aí está uma das dificuldades enfrentadas pelos mecanismos tradicionais de prevenção: determinados controles verificam a existência e a regularidade cadastral da pessoa jurídica, mas os sinais concretos de comportamento fraudulento podem aparecer somente posteriormente, quando aquela estrutura começa efetivamente a operar.

Isso cria uma janela de oportunidade.

Entre a constituição da empresa e a identificação de padrões suspeitos, os responsáveis podem tentar abrir contas, contratar serviços, solicitar crédito, receber transferências ou utilizar aquela identidade empresarial para abordar consumidores.

Fraude passa a explorar identidade empresarial

Do ponto de vista da segurança digital, estamos diante de um problema que ultrapassa a falsificação documental tradicional.

O criminoso passa a explorar aquilo que pode ser denominado abuso de identidade empresarial.

Em vez de simplesmente inventar uma organização inexistente, cria-se ou utiliza-se uma entidade juridicamente reconhecida e constrói-se ao redor dela uma narrativa aparentemente legítima.

Sites, números de telefone, perfis em redes sociais, contas comerciais em aplicativos de mensagens, logotipos e documentos podem ser adicionados posteriormente para formar uma identidade digital convincente.

Esse modelo é especialmente eficiente quando combinado com técnicas de engenharia social.

O Centro Integrado de Segurança Cibernética do Governo Digital já alertou, por exemplo, para campanhas nas quais criminosos utilizam informações verdadeiras das vítimas, identidade visual de instituições e páginas de phishing para conferir credibilidade às abordagens.

Quanto maior a quantidade de elementos verdadeiros presentes na história apresentada pelo fraudador, menor tende a ser a percepção de risco da vítima.

O CNPJ pode funcionar como parte da engenharia social

A engenharia social moderna raramente depende de uma única mentira.

Fraudes mais elaboradas combinam informações verdadeiras, elementos verificáveis e informações falsas.

Um criminoso pode apresentar:

• um CNPJ verdadeiro e ativo;
• uma razão social existente;
• endereço empresarial;
• telefone comercial;
• página na internet;
• identidade visual profissional;
• contrato aparentemente regular;
• conta bancária vinculada a uma pessoa jurídica.

Depois acrescenta justamente o elemento falso que interessa à fraude: a alegação de que aquela empresa representa determinado banco, presta determinado serviço, possui autorização específica ou mantém relação comercial com determinada organização.

O CNPJ verdadeiro passa, portanto, a sustentar uma narrativa fraudulenta.

Essa distinção é fundamental: autenticidade cadastral e legitimidade comercial não são sinônimos.

O problema alcança diferentes segmentos financeiros

O levantamento da Acrefi foi realizado entre junho e julho de 2026 e reuniu informações fornecidas por 45 instituições associadas.

Entre as organizações que identificaram ocorrências estavam bancos, financeiras, sociedades de crédito direto, instituições de pagamento e cooperativas de crédito. Isso indica que o fenômeno não está restrito a um único segmento do sistema financeiro.

O desafio passa a ser identificar não apenas quem é a empresa, mas também como ela se comporta.

É uma mudança importante no paradigma antifraude.

Uma análise exclusivamente cadastral responde perguntas como:

“Esta empresa existe?”

Um sistema moderno de prevenção precisa responder questões adicionais:

“Quando ela foi criada?”

“Quem são seus responsáveis?”

“A atividade declarada é compatível com as operações realizadas?”

“Existem vínculos suspeitos com outras empresas, dispositivos, contas ou beneficiários?”

“O comportamento financeiro é compatível com o perfil esperado dessa organização?”

É nessa segunda camada que técnicas de análise comportamental, inteligência antifraude e correlação de dados passam a assumir papel decisivo.

Integração de dados pode reduzir a janela de atuação dos fraudadores

A Acrefi defende maior integração entre informações já disponíveis em bases governamentais e privadas.

Uma das propostas é antecipar determinadas verificações para o momento da própria constituição empresarial, incluindo cruzamentos capazes de detectar possíveis conflitos entre razões sociais e marcas registradas, além de outras inconsistências cadastrais.

A discussão é relevante porque sistemas antifraude modernos funcionam melhor quando diferentes sinais são analisados conjuntamente.

Um único indicador pode não demonstrar fraude.

Dez indicadores correlacionados podem contar uma história completamente diferente.

É o princípio utilizado em modelos de risk scoring, nos quais cada comportamento ou característica contribui para aumentar ou diminuir a pontuação de risco de uma operação.

No sistema financeiro brasileiro já existem mecanismos regulatórios de compartilhamento de informações sobre indícios de fraude entre instituições. O Banco Central destaca, entre outras medidas, a Resolução Conjunta nº 6 e a Resolução BCB nº 343, de 2023, voltadas ao compartilhamento eletrônico de dados e informações sobre indícios de ocorrência ou tentativa de fraude.

O combate às fraudes envolvendo pessoas jurídicas tende, portanto, a depender cada vez menos de verificações isoladas e cada vez mais de correlação, inteligência e análise comportamental.

Como se proteger: análise técnica antes de confiar em um CNPJ

A principal mudança de comportamento necessária é relativamente simples:

não utilize a existência de um CNPJ como prova definitiva de legitimidade.

O CNPJ deve ser tratado como apenas um dos elementos de verificação.

Uma análise de segurança mais consistente deve trabalhar com múltiplas camadas.

1. Verifique o CNPJ, mas vá além da situação cadastral

Consulte os dados da empresa diretamente nos canais oficiais e confira:

Razão social: corresponde exatamente à organização com a qual você acredita estar negociando?

Nome empresarial: existem pequenas alterações destinadas a imitar outra empresa?

Data de abertura: uma empresa criada recentemente está oferecendo operações incompatíveis com seu histórico?

Atividade econômica: os CNAEs declarados são compatíveis com o serviço oferecido?

Endereço: corresponde à presença pública declarada pela organização?

Quadro societário: quando disponível e pertinente à análise, os responsáveis apresentam coerência com a atividade informada?

Nenhum desses fatores, isoladamente, comprova uma fraude. O objetivo é identificar inconsistências.

2. Cuidado com empresas que imitam marcas conhecidas

Observe diferenças discretas no nome.

Fraudadores podem utilizar técnicas semelhantes ao typosquatting, tradicionalmente empregado em domínios de internet, também na construção de identidades empresariais.

Uma palavra adicional, uma abreviação ou um termo como “Brasil”, “Pagamentos”, “Financeira”, “Digital” ou “Serviços” pode fazer uma empresa parecer vinculada a uma marca conhecida sem que exista qualquer relação entre elas.

Quando houver alegação de representação comercial, confirme essa relação diretamente com a empresa supostamente representada, utilizando telefone, aplicativo ou endereço eletrônico obtido independentemente.

Nunca faça essa confirmação utilizando exclusivamente o telefone ou link fornecido pela pessoa que está tentando convencê-lo a realizar o pagamento.

3. Antes de fazer um Pix, confira quem realmente receberá o dinheiro

A tela de confirmação do pagamento é uma das últimas barreiras entre a vítima e o fraudador.

Pare alguns segundos e leia os dados.

Verifique especialmente:

nome do recebedor;

CPF ou CNPJ apresentado;

instituição financeira destinatária;

compatibilidade entre o beneficiário e a operação realizada.

Se você acredita estar pagando a empresa X, mas o dinheiro será destinado à empresa Y, interrompa a operação até esclarecer a divergência.

Não aceite automaticamente justificativas como:

“É nossa empresa de cobrança.”

“Esse é o nosso intermediador.”

“É uma empresa do grupo.”

“Nosso financeiro utiliza outro CNPJ.”

Essas situações podem ser perfeitamente legítimas, mas precisam ser confirmadas por um canal independente.

4. No boleto, confira o beneficiário antes da autorização

O Banco Central recomenda verificar o nome do beneficiário apresentado no momento do pagamento e conferir se ele corresponde à empresa efetivamente contratada. Havendo divergência, a orientação é não concluir a operação antes da confirmação.

O mesmo princípio vale para documentos contendo QR Code Pix.

Não confie somente no logotipo, na aparência gráfica ou no nome impresso no documento. Esses elementos podem ser facilmente reproduzidos.

O dado relevante é quem efetivamente receberá o dinheiro.

5. Não valide uma empresa usando informações fornecidas pela própria empresa

Esse é um erro clássico de segurança.

Você recebe uma mensagem suspeita e decide telefonar para confirmar. Porém, utiliza justamente o número informado na mensagem.

Nesse caso, não houve validação independente.

A confirmação precisa ocorrer por um segundo canal confiável, obtido separadamente.

Esse procedimento é conhecido em segurança como out-of-band verification.

Recebeu a cobrança pelo WhatsApp?

Localize o site oficial por conta própria e confirme utilizando os canais publicados oficialmente.

Recebeu um boleto por e-mail?

Entre diretamente no aplicativo ou portal oficial da empresa e verifique se a cobrança também está registrada.

Quanto maior o valor ou a sensibilidade da operação, maior deve ser a independência entre o canal que iniciou a transação e o canal utilizado para confirmá-la.

6. Analise o domínio do site e o endereço de e-mail

Empresas fraudulentas podem possuir CNPJ regular e, simultaneamente, utilizar infraestrutura digital criada recentemente.

Por isso, investigue também a identidade digital.

Observe:

• domínio utilizado;
• idade aproximada do domínio;
• diferenças ortográficas em relação ao endereço oficial;
• uso excessivo de subdomínios;
• redirecionamentos inesperados;
• certificado HTTPS;
• endereço real de destino dos links;
• domínio utilizado nos e-mails corporativos.

E um alerta importante:

o cadeado do HTTPS não comprova que um site é legítimo.

Ele demonstra essencialmente que existe uma conexão criptografada entre o navegador e aquele servidor. Um site de phishing também pode possuir certificado TLS válido.

7. Desconfie da combinação “urgência + pagamento + ameaça”

Engenharia social costuma explorar pressão psicológica.

Expressões como:

“pague imediatamente”;

“última oportunidade”;

“sua conta será bloqueada”;

“seu CNPJ será cancelado”;

“o processo será encaminhado hoje”;

“o desconto termina nos próximos minutos”

devem elevar automaticamente o nível de atenção.

Campanhas recentes contra empresários e MEIs, por exemplo, utilizaram falsas ameaças relacionadas à regularização ou suspensão de CNPJs para induzir pagamentos. O Sebrae tem reiterado a necessidade de verificar cobranças por canais oficiais antes de efetuar qualquer pagamento.

A urgência pode existir em situações legítimas, mas ela também é uma das ferramentas mais eficientes para impedir que a vítima tenha tempo de verificar as informações.

8. Empresas também precisam mudar seus controles antifraude

Para organizações que realizam onboarding de clientes, fornecedores ou parceiros, consultar apenas a situação cadastral do CNPJ já não representa uma estratégia suficiente.

Uma arquitetura mais robusta pode combinar:

KYB — Know Your Business: validação aprofundada da pessoa jurídica;

KYC — Know Your Customer: identificação dos indivíduos relacionados à operação;

validação documental: análise de autenticidade e consistência;

biometria e prova de vida: quando proporcional ao risco e juridicamente adequada;

device intelligence: análise de dispositivos associados aos cadastros;

análise de IP e geolocalização aproximada: identificação de inconsistências técnicas;

velocity checks: detecção de múltiplas operações realizadas em intervalos anormais;

graph analysis: identificação de vínculos entre pessoas, empresas, contas, dispositivos e beneficiários;

transaction monitoring: acompanhamento do comportamento financeiro após o cadastro;

risk scoring: classificação dinâmica do risco;

listas internas e compartilhamento de sinais de fraude: correlação de ocorrências entre operações e instituições.

A lógica é simples:

Identidade válida não significa comportamento legítimo.

Esse princípio deve orientar sistemas modernos de prevenção.

9. Proteja também os dados da própria empresa

Existe ainda outra dimensão do problema: criminosos podem utilizar informações empresariais verdadeiras para tornar golpes mais convincentes.

Dados relacionados a CNPJs podem estar disponíveis publicamente e ser empregados na elaboração de abordagens fraudulentas. O Sebrae alerta que criminosos exploram informações de pessoas jurídicas para realizar contatos e construir mensagens aparentemente legítimas.

Empresas devem, portanto, controlar especialmente informações que não precisam ser públicas, como:

• credenciais de sistemas;
• documentos internos;
• assinaturas digitalizadas;
• dados pessoais de funcionários;
• informações bancárias;
• documentos societários não públicos;
• dados de clientes;
• credenciais de e-mail;
• tokens e chaves de API.

Também é recomendável implementar autenticação multifator, preferencialmente resistente a phishing nos acessos críticos, além de políticas adequadas de privilégios, monitoramento de contas e treinamento contra engenharia social.

10. Se o pagamento já foi realizado, velocidade é fundamental

Ao perceber uma fraude, a vítima deve agir imediatamente.

Entre em contato com a instituição financeira pelos canais oficiais, informe a ocorrência e forneça todos os dados disponíveis sobre a transação.

Em fraudes envolvendo Pix, solicite à instituição financeira a avaliação do caso para utilização do Mecanismo Especial de Devolução (MED), quando aplicável.

O Banco Central orienta que vítimas comuniquem o banco e registrem Boletim de Ocorrência, apresentando as informações e documentos relacionados ao golpe.

Preserve também as evidências digitais.

Não apague conversas, mensagens ou e-mails.

Guarde:

• prints das conversas;
• números de telefone;
• endereços de e-mail;
• URLs;
• comprovantes de pagamento;
• dados do beneficiário;
• chaves Pix;
• CNPJ informado;
• boletos;
• QR Codes;
• contratos e documentos enviados;
• perfis utilizados em redes sociais;
• data e horário das comunicações.

Sempre que possível, preserve os arquivos originais, e não apenas capturas de tela, porque eles podem conter metadados úteis para uma análise técnica posterior.

O novo paradigma: confiança precisa ser construída por múltiplas evidências

O crescimento das fraudes envolvendo pessoas jurídicas revela uma mudança relevante no cenário de segurança financeira.

Durante muito tempo, verificar a existência de uma empresa era uma das principais recomendações para reduzir o risco de golpes.

Essa verificação continua necessária — mas deixou de ser suficiente.

Criminosos compreenderam que a confiança também pode ser industrializada. Uma empresa formalmente registrada, combinada com identidade visual profissional, site, conta bancária, atendimento por WhatsApp e informações verdadeiras sobre a vítima pode produzir uma aparência de legitimidade extremamente convincente.

A defesa precisa acompanhar essa evolução.

Em segurança digital, portanto, a pergunta já não deve ser apenas:

“Esse CNPJ existe?”

A pergunta correta é:

“Todas as evidências disponíveis são coerentes com a identidade, a atividade e o comportamento que essa empresa afirma possuir?”

É essa mudança — da simples verificação cadastral para a validação contextual e comportamental da identidade empresarial — que tende a definir a próxima geração de mecanismos de prevenção a fraudes no Brasil.