Boleto falso e DDA: como conferir antes de pagar e quando o banco tem de devolver

Por que o boleto falso voltou ao noticiário

Dois casos de outubro de 2026 mostram que o golpe continua ativo.

O primeiro veio do Espírito Santo. Em 29 de outubro, a Polícia Civil fez a Operação Metástase contra um grupo suspeito de fraudar boletos de planos de saúde, segundo o ES Hoje. O esquema funcionava assim: o boleto verdadeiro não chegava ao cliente, e um boleto falso era enviado de um e-mail parecido com o da operadora. Quem pagava mandava o dinheiro para o grupo. A polícia estima que o esquema movimentou pelo menos R$ 1 milhão. Foram cumpridos seis mandados em Serra, Cariacica e Vila Velha, e quatro pessoas tinham sido presas até a publicação.

O segundo é um alerta da Febraban, noticiado em 21 de outubro pelo Jornal do Comércio: QR Codes adulterados podem desviar pagamentos, inclusive em boletos impressos. Segundo a federação, o código falso pode substituir o verdadeiro sem que o resto do documento pareça alterado.

Os dois golpes usam o mesmo truque. O papel parece certo, mas o dinheiro vai para outra conta. Por isso, conferir o boleto na tela do aplicativo vale mais do que olhar o papel.

Como conferir um boleto antes de pagar

São quatro checagens. A primeira, a segunda e a quarta são recomendações da Febraban divulgadas em abril de 2024, segundo a CNN Brasil; a terceira é cuidado básico. Leva menos de um minuto.

1. Beneficiário na tela de confirmação. Ao ler o código de barras, o aplicativo mostra quem vai receber antes de você confirmar. Compare esse nome com a empresa que você deve. Se o boleto da escola aparecer em nome de uma pessoa física ou de uma empresa estranha, pare. A Resolução BCB 443, que regula o boleto desde 3 de fevereiro de 2025, exige que o boleto traga nome, endereço e CPF ou CNPJ do beneficiário (art. 7º). Se a tela mostrar um nome e o papel outro, não pague.

2. Código do banco. Os três primeiros números do código de barras identificam o banco emissor. Eles precisam corresponder ao banco cujo logotipo aparece no boleto. Segundo a Febraban, golpistas costumam usar o logotipo de um banco diferente daquele que de fato emitiu o boleto.

3. Valor e vencimento. Confira se o valor bate com o da cobrança e se a data faz sentido. Desconto fora do normal para pagar "hoje" é sinal de alerta.

4. Origem do documento. A Febraban recomenda pedir o boleto em PDF em vez de imprimir, porque vírus no computador podem alterar os dados na hora da impressão, e procurar o SAC da empresa em caso de dúvida. Boleto que chega por WhatsApp ou por e-mail que você não conhece merece essa confirmação no canal oficial antes do pagamento.

No QR Code vale a mesma regra: confira na tela o nome do recebedor e o valor antes de confirmar.

O que é o DDA e por que ele ajuda

O DDA (Débito Direto Autorizado) é um cadastro feito no seu banco como "pagador eletrônico". Depois de aderir, os boletos registrados no seu CPF ou CNPJ aparecem direto no aplicativo, sem precisar do papel.

Duas coisas importam aqui.

A primeira é que o DDA não paga nada sozinho. Segundo a Febraban, ele não é débito automático: só apresenta o boleto, e cada pagamento depende da sua autorização.

A segunda é a segurança. Segundo a Febraban, como os dados vêm direto da plataforma em que o boleto foi registrado, o DDA elimina o risco de o papel ser adulterado no caminho por quem se passa pela empresa.

Mas o DDA também traz um problema próprio.

Boleto de empresa desconhecida no DDA: o boleto de proposta

Muita gente abre o aplicativo e encontra um boleto de uma empresa com a qual nunca contratou nada. Às vezes é golpe. Às vezes é um boleto de proposta, uma das espécies de boleto previstas na Resolução BCB 443 (art. 5º, II).

O boleto de proposta serve para pagar a aceitação de uma oferta de produto, serviço ou associação. A norma do Banco Central impõe três regras que protegem o pagador:

Precisa de concordância prévia. A emissão e a apresentação do boleto de proposta dependem de você ter manifestado antes a intenção de recebê-lo (art. 8º).
Precisa deixar claro que é oferta. O boleto tem de informar que o pagamento é facultativo e que deixar de pagar não gera protesto, cobrança judicial ou extrajudicial nem inclusão em cadastro de inadimplentes (art. 9º, II).
Pagar é aceitar. Pela regra do art. 9º, IV, o pagamento significa aceitar a obrigação, e o vencimento é o prazo final para essa aceitação.

Na prática: se você não pediu, não pague. Se o boleto apareceu sem que você tenha concordado em recebê-lo, a emissão contraria o art. 8º. Vale registrar reclamação no banco em que você tem conta e na ouvidoria da instituição que emitiu o boleto (o código do banco nos três primeiros números ajuda a identificar qual é).

Já paguei um boleto falso: o que fazer agora

A ordem abaixo é a mais útil nas primeiras horas.

1. Avise o seu banco imediatamente pelo canal oficial do aplicativo ou pelo telefone do cartão. Informe que pagou um boleto fraudado, peça o número de protocolo e pergunte se a instituição que recebeu o dinheiro pode ser acionada. 2. Registre boletim de ocorrência, na delegacia ou pela delegacia online do seu estado, onde houver. Guarde o comprovante, o boleto, o e-mail ou a conversa em que ele chegou. 3. Avise a empresa que você realmente deve. Explique o que houve e peça a posição dela por escrito. Se o golpista sabia detalhes do seu contrato, isso pode indicar vazamento, e esse ponto pesa na discussão de quem paga a conta. 4. Não pague um segundo "boleto de correção" enviado pelo mesmo contato. É comum o golpista voltar dizendo que houve erro.

Atenção: o MED (Mecanismo Especial de Devolução) é um procedimento do Pix. Se o golpe foi por QR Code Pix, e não por boleto, veja o guia Golpe do Pix e o MED: como pedir a devolução.

Quando o banco tem de devolver: o que diz o STJ

Aqui é preciso separar regra de lei e entendimento de tribunal.

A regra. O art. 14 do Código de Defesa do Consumidor diz que o fornecedor de serviços responde pelos danos causados por defeito do serviço, independentemente de culpa. O serviço é defeituoso quando não oferece a segurança que o consumidor pode esperar. Na mesma linha, a Súmula 479 do STJ diz que os bancos respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos de terceiros em operações bancárias. O guia sobre o golpe do falso gerente e a Súmula 479 explica a súmula em detalhe.

Quando o banco foi condenado. No REsp 2.077.278, decisão da Terceira Turma divulgada pelo STJ em outubro de 2023, com relatoria da ministra Nancy Andrighi, uma cliente mandou e-mail ao banco pedindo orientação para quitar um financiamento. Dias depois, uma suposta funcionária a procurou pelo WhatsApp e enviou um boleto de cerca de R$ 19 mil, emitido por criminosos. O STJ restabeleceu a sentença que declarou o pagamento válido e mandou devolver as parcelas pagas indevidamente. O motivo: os golpistas tinham dados das operações bancárias da cliente, e a proteção desses dados cabia ao banco. Para a relatora, não se pode esperar que uma pessoa comum identifique todas as diferenças de um boleto falso.

O limite. No mesmo julgamento, o STJ separou dois tipos de dado. Nome e CPF são dados cadastrais básicos, que podem vir de outras fontes, e seu vazamento não basta para culpar só o banco. Já dados ligados às operações bancárias, como o contrato e a conversa com o banco, são sigilosos, e o vazamento pode ser falha do serviço. A análise é feita caso a caso.

Quando o banco foi absolvido. No REsp 1.786.157, a Terceira Turma decidiu, por unanimidade, que o banco que apenas emitiu o boleto de uma loja virtual não responde pelo produto que nunca foi entregue. Segundo a notícia do STJ publicada em fevereiro de 2020, o consumidor tinha pago cerca de R$ 5 mil por um refrigerador e uma adega. Para a Turma, não houve falha do serviço bancário, e o problema era da loja.

Resumo prático: o banco tende a responder quando o golpe se apoiou em falha dele, como vazamento de dados que só ele tinha. Quando a fraude aconteceu toda fora do ambiente do banco, a discussão costuma ser com o vendedor ou com quem enganou o cliente.

A dívida verdadeira continua valendo?

Em regra, sim. O art. 308 do Código Civil diz que o pagamento deve ser feito ao credor ou a quem o represente. Pagar a um golpista não quita a dívida.

Existe uma exceção. O art. 309 diz que o pagamento feito de boa-fé a quem parecia ser o credor, o chamado credor putativo, é válido. Quando o golpe usa o nome, o layout e os dados reais da empresa, esse argumento pode ser usado, mas a aplicação depende de cada caso. No REsp 2.077.278, o STJ restabeleceu a sentença que declarou o pagamento válido.

Modelo curto de reclamação

Use no SAC, na ouvidoria ou no consumidor.gov.br, ajustando os dados:

> Em [data], paguei pelo aplicativo do [banco] um boleto de R$ [valor] que recebi por [e-mail/WhatsApp] como sendo de [empresa], referente a [contrato]. O beneficiário era [nome que apareceu na tela]. Descobri que o boleto era fraudado. O golpista conhecia [dados do contrato que ele tinha]. Peço: (1) registro formal da contestação, com número de protocolo; (2) informação sobre a instituição que recebeu o valor e as providências tomadas; (3) análise da devolução do valor. Anexo comprovante, boleto e boletim de ocorrência.

Onde reclamar, nesta ordem

SAC do banco e, sem solução, ouvidoria.
consumidor.gov.br.
Banco Central, pelo canal de reclamações do site.
Procon da sua cidade.
Juizado Especial Cível, em causas de até 40 salários mínimos; até 20, a pessoa pode ir sem advogado (Lei 9.099, arts. 3º e 9º). Em casos mais complexos, vale buscar a Defensoria Pública ou um advogado de sua confiança.

Para outros golpes e o que fazer logo depois deles, veja Golpes bancários mais comuns e o que fazer nas primeiras horas.

Erros comuns

Confiar no logotipo. É a parte mais fácil de copiar. Confira o beneficiário e o código do banco.
Pagar boleto recebido por WhatsApp sem confirmar. No caso julgado pelo STJ em 2023, o boleto chegou por esse canal.
Pagar boleto de proposta achando que é dívida. Se você não pediu a oferta, não há o que pagar.

Perguntas frequentes

Como saber se um boleto é falso antes de pagar?

Confira na tela de confirmação do app o nome e o CPF ou CNPJ do beneficiário e compare com a empresa que você deve. Veja também se os três primeiros números do código de barras correspondem ao banco que aparece no boleto, como orienta a Febraban.

O DDA é a mesma coisa que débito automático?

Não. Segundo a Febraban, o DDA só mostra no aplicativo os boletos emitidos no seu nome. Nenhum pagamento sai da conta sem a sua autorização.

Apareceu no DDA um boleto de empresa que eu não conheço. Tenho de pagar?

Se for um boleto de proposta, não. A Resolução BCB 443 diz que esse tipo de boleto exige que você tenha concordado antes em recebê-lo, e que o não pagamento não pode gerar protesto, cobrança nem negativação. Pagar significa aceitar a oferta.

Paguei um boleto falso. O banco tem de devolver?

Depende do caso. Em 2023, a Terceira Turma do STJ condenou o banco porque o golpista usou dados do financiamento da cliente que vazaram do sistema bancário. Em 2019, a mesma Turma livrou o banco que só emitiu o boleto de uma loja virtual que não entregou o produto.

A dívida verdadeira continua valendo se paguei o boleto falso?

Em regra, o credor pode cobrar de novo. O art. 309 do Código Civil diz que o pagamento feito de boa-fé a quem parecia ser o credor é válido, mas a aplicação depende das circunstâncias. No caso de 2023, o STJ restabeleceu a sentença que declarou o pagamento válido.

Onde reclamar se o banco negar?

No SAC e depois na ouvidoria do banco. Depois, no consumidor.gov.br, no Banco Central ou no Procon. Se não resolver, no Juizado Especial Cível, que julga causas de até 40 salários mínimos; até 20, dá para ir sem advogado.