Golpes bancários: proteção para prefeituras e empresas

A maior parte das invasões de contas bancárias de prefeituras, autarquias e empresas não começa com um ataque sofisticado ao banco. Começa com uma ligação de um falso funcionário do banco, um anexo malicioso aberto no computador da tesouraria ou uma senha que só uma pessoa conhece. A proteção que funciona combina três camadas: regras de alçada (duas pessoas para autorizar cada pagamento, favorecidos pré-cadastrados e bloqueio fora do expediente), ferramentas básicas de segurança (computador exclusivo para o banco, token físico, antivírus corporativo, backup fora da rede) e pessoas treinadas para desligar o telefone e ligar de volta pelo número oficial. Quando o golpe acontece, a primeira hora decide quanto dinheiro pode ser recuperado.

Onde está o risco

Desde agosto de 2025, prefeituras de pequeno porte em Minas Gerais tiveram mais de R$ 17 milhões desviados de contas bancárias, segundo a Associação Mineira de Municípios. No caso com maior prejuízo, em Monte Sião, no Sul de Minas, foram 54 transferências do tipo TED em um único dia, quase todas de R$ 100 mil, a partir de 14 contas do município e em horário atípico. Segundo o prefeito, os criminosos tinham dados sigilosos da prefeitura e se passaram por funcionários do banco para obter os acessos. O ressarcimento só veio por um acordo com o banco, firmado em julho de 2026 com a mediação do Tribunal de Contas do Estado e do Tribunal Regional Federal da 6ª Região, cerca de dez meses depois dos desvios.

Casos semelhantes foram noticiados em Santa Catarina, Goiás, Paraná e Ceará. O padrão se repete:

• Muito dinheiro parado em conta e equipe pequena. Prefeituras, câmaras, institutos de previdência (RPPS), serviços autônomos de água e esgoto e empresas médias movimentam valores altos com uma ou duas pessoas no financeiro.
• Uma única credencial abre tudo. Se a senha e o token de uma servidora bastam para transferir, basta enganar uma pessoa.
• O computador do banco é o mesmo do e-mail e do WhatsApp. Um clique em um anexo instala um programa que entrega o controle da máquina ao criminoso.
• Ninguém está olhando na hora em que o golpe acontece. Transferências à noite, em fim de semana ou na véspera de feriado só são percebidas na conciliação do dia seguinte, quando o dinheiro já passou por várias contas.

Para empresas, os golpes mais comuns são a falsa central bancária, o e-mail falso de fornecedor informando "nova conta para pagamento", o boleto adulterado e a mensagem urgente que parece vir do sócio ou do diretor pedindo uma transferência.

Como o golpe funciona, em três etapas

A organização controla as duas primeiras etapas. Na terceira, quem atua é o banco, a polícia e o Judiciário, e o tempo de reação faz a diferença.

Prefeituras, câmaras e autarquias: o que fazer

1. Regras de alçada (custo zero, maior impacto)

• Dupla custódia. Nenhuma transferência sai com uma única senha. Uma pessoa cadastra o pagamento e outra aprova, com perfis diferentes no internet banking. Os grandes bancos oferecem essa configuração para contas de entes públicos e empresas.
• Alçadas por valor. Acima de um limite definido em ato normativo interno, a operação exige uma terceira aprovação (secretário de Fazenda, controlador ou prefeito).
• Favorecidos pré-cadastrados com quarentena. Pagamentos só para contas previamente cadastradas, e um cadastro novo só libera pagamento depois de 24 ou 48 horas, também com dupla aprovação. O TCE-MG já recomendou a prefeituras que as movimentações sejam feitas exclusivamente para contas previamente cadastradas.
• Janela de horário. Bloqueio de transferências fora do expediente, em fins de semana e feriados.
• Segregação de funções. Quem empenha não liquida e quem liquida não paga. É regra antiga de controle interno que também protege contra fraude externa.
• Revogação imediata de acessos. Na troca de gestão, de tesoureiro, de secretário ou de contador, os tokens, senhas, certificados digitais e procurações bancárias do servidor que sai são revogados no mesmo dia. Credenciais esquecidas de antigos servidores são uma porta de entrada pouco lembrada.
• Ato normativo próprio. Um decreto ou portaria que formalize essas regras dá base para cobrar o cumprimento e demonstra diligência perante o Tribunal de Contas. A Lei 14.133/2021 (art. 169) já organiza o controle das contratações em três linhas de defesa: servidores, controle interno e assessoria jurídica, e Tribunal de Contas. A mesma lógica serve para a segurança das contas.

2. Ferramentas e configurações

• Computador exclusivo para o banco. Uma máquina usada só para o internet banking, sem e-mail, sem WhatsApp Web, sem navegação livre e sem pen drive, de preferência em rede separada.
• Autenticação forte. Token físico ou certificado digital em mídia (cartão ou token USB) guardado com o responsável, nunca deixado conectado ao computador. Para os demais sistemas (e-mail, sistema contábil, portal de compras), autenticação em dois fatores por aplicativo autenticador, como Google Authenticator ou Microsoft Authenticator, ou por chave de segurança física (padrão FIDO2). O SMS sozinho é o fator mais fraco, por causa da clonagem de chip.
• Bloqueio de programas de acesso remoto (como AnyDesk e TeamViewer) na máquina do banco. O roteiro da falsa central quase sempre passa por "instale este aplicativo para resolvermos".
• Antivírus corporativo com detecção e resposta (EDR), sistema operacional e navegador atualizados e usuário sem perfil de administrador. Há soluções corporativas acessíveis para estruturas pequenas, como o Microsoft Defender para Empresas.
• Gerenciador de senhas corporativo, como Bitwarden ou 1Password, para acabar com senhas em papel, planilhas ou repetidas em vários sistemas.
• Proteção do e-mail institucional. Configurar SPF, DKIM e DMARC no domínio da prefeitura impede que criminosos enviem e-mails "em nome" do órgão para fornecedores, golpe que tem crescido em licitações falsas. Ferramentas gratuitas de verificação, como as da MXToolbox, mostram se o domínio está protegido.
• Backup fora da rede, com cópia que o ransomware não alcança, e teste periódico de restauração.
• Monitoramento. Município sem equipe de TI pode contratar monitoramento de segurança ou aderir a consórcio intermunicipal de tecnologia, como recomendou o TCE de Santa Catarina às prefeituras daquele estado.

3. Pessoas

• Protocolo "desligue e ligue de volta". Nenhum pedido feito por telefone, WhatsApp ou e-mail é atendido na mesma conversa. A servidora desliga e liga para o gerente pelo número que consta no contrato ou no cartão da agência.
• Palavra-código com o gerente da conta, combinada pessoalmente e trocada periodicamente.
• Treinamento com simulação. Ligações e e-mails falsos de teste, feitos sem aviso, mostram quem precisa de reforço. Treinamento apenas expositivo muda pouco o comportamento. A Cartilha de Segurança para Internet do CERT.br é material gratuito e de boa qualidade para a capacitação.
• Sinais de alerta conhecidos por todos: ligação "do banco" com urgência; pedido de instalação de programa ou de "atualização do módulo de segurança"; tela travada com "aguarde, estamos atualizando"; computador lento ou mouse que se move sozinho; token pedido mais de uma vez para a mesma operação.

4. O contrato com o banco

O ente público é cliente relevante e pode negociar condições. Vale pedir por escrito:

• limites diários e por operação compatíveis com o histórico real das contas;
• alerta em tempo real ao prefeito, ao controlador e ao contador para operações acima de um valor;
• confirmação ativa pelo banco, por telefone cadastrado, em operações fora do padrão;
• canal de emergência 24 horas para bloqueio;
• relatório periódico de acessos, com data, hora e dispositivo.

As instituições financeiras são obrigadas a manter política de segurança cibernética e controles para prevenir e detectar incidentes (Resolução CMN 4.893/2021). O ente público pode e deve cobrar que esses controles funcionem para as suas contas.

Empresas: o que fazer

• Dupla aprovação no internet banking empresarial e alçadas por valor, como nas prefeituras.
• Confirmação de mudança de dados bancários. Qualquer aviso de "mudamos de banco" de um fornecedor é confirmado por telefone, com um contato já conhecido e nunca pelo número que está no próprio e-mail. Esse cuidado vale também na due diligence de fornecedores e parceiros.
• Conferência do boleto. Antes de pagar, conferir se o beneficiário e o CNPJ exibidos pelo banco são os do fornecedor.
• Regra para pedidos urgentes da diretoria. Mensagem do sócio pedindo transferência imediata só é atendida depois de confirmação por voz, em outro canal.
• Computador de pagamentos protegido, gerenciador de senhas, autenticação em dois fatores e backup fora da rede.
• Cláusulas de segurança nos contratos com fornecedores de tecnologia, com dever de aviso rápido de incidentes e cooperação. Veja como estruturar um contrato de prestação de serviços.
• Seguro de riscos cibernéticos. Para empresas com operação digital relevante, vale avaliar a apólice com corretor especializado, lendo com atenção as exclusões ligadas a engenharia social.

Sócios, gestores e pessoas físicas: o básico que protege

• Verificação em duas etapas no WhatsApp, no e-mail e no aplicativo do banco.
• PIN no chip do celular, contra clonagem.
• Limite de Pix reduzido, principalmente no período noturno, e cadastro apenas dos aparelhos confiáveis.
• Registrato, do Banco Central: consulta gratuita, pelo gov.br, de todas as contas, chaves Pix e operações de crédito em seu CPF ou CNPJ. Ajuda a descobrir se os seus dados estão sendo usados para abrir contas de passagem.
• Celular Seguro, do governo federal: permite avisar bancos e operadoras rapidamente em caso de furto ou perda do aparelho.
• Have I Been Pwned: mostra se o seu e-mail apareceu em vazamentos conhecidos, sinal para trocar senhas.
• Palavra-código na família e na empresa contra golpes com voz clonada por inteligência artificial.

Ferramentas e referências citadas

Os nomes de produtos são exemplos de mercado, sem indicação comercial. A escolha depende do porte, do orçamento e da estrutura de TI de cada organização.

Plano da primeira hora

1. Ligar para o canal de emergência do banco e pedir o bloqueio da conta, das transferências agendadas e o bloqueio cautelar nas contas de destino.
2. Desconectar o computador da internet, sem desligar e sem formatar. Os vestígios na memória e no disco são prova.
3. Avisar quem decide: prefeito ou diretoria, controle interno, contador e assessoria jurídica.
4. Se foi Pix, contestar pelo MED. Desde fevereiro de 2026, a versão 2.0 do Mecanismo Especial de Devolução é obrigatória para todas as instituições, rastreia o dinheiro por várias contas e permite a contestação pelo próprio aplicativo. O Banco Central estima a devolução em até 11 dias, quando há saldo a recuperar.
5. Se foi TED ou boleto, não há MED. A recuperação depende da reação imediata do banco e, se for o caso, de medida judicial urgente.
6. Registrar a ocorrência na Polícia Civil ou na Polícia Federal. Quando o prejuízo atinge banco público federal ou verbas federais, a investigação tende a ficar com a Polícia Federal.
7. Notificar o banco por escrito, pedindo a preservação dos registros de acesso (data, hora, IP, dispositivo) e informações sobre as contas de destino. O Marco Civil da Internet prevê guarda de registros por prazos limitados, e o acesso a eles depende de ordem judicial.
8. Preservar tudo: extratos, prints, número que ligou, e-mails, mensagens.
9. No setor público: comunicar a Câmara e o Tribunal de Contas e instaurar sindicância.
10. Avaliar a LGPD. Se houve exposição de dados pessoais, pode haver dever de comunicar a ANPD e os titulares em até três dias úteis. Veja o passo a passo em incidente de segurança: o que fazer.

Quem responde pelo prejuízo

• Regra geral. A Súmula 479 do STJ afirma que as instituições financeiras respondem objetivamente pelos danos gerados por fraudes e delitos praticados por terceiros no âmbito de operações bancárias (o chamado fortuito interno).
• Não é automático. Em 2026, a Terceira Turma do STJ decidiu que, no golpe da falsa central, a responsabilidade do banco depende de falha no serviço, como deixar passar operações incompatíveis com o perfil da conta (REsp 2.209.868). Quando a vítima entrega senha e código sem qualquer falha do banco, pode haver culpa exclusiva, que afasta o dever de indenizar (CDC, art. 14, § 3º, II).
• O que pesa na análise: se as operações destoavam do histórico (valores, horário, quantidade, contas novas de destino), se o banco tinha mecanismos de bloqueio e se a vítima adotou os cuidados que o próprio banco orienta.
• Empresas e entes públicos. O Código de Defesa do Consumidor se aplica à pessoa jurídica quando ela é destinatária final do serviço ou vulnerável na relação. Fora dele, a responsabilidade pelo risco da atividade (Código Civil, art. 927, parágrafo único) e a própria Súmula 479 continuam como fundamentos.
• Por que os controles internos importam também aqui. Dupla aprovação, limites e registros documentados reforçam a posição de quem pede o ressarcimento e afastam a alegação de descuido da vítima.

Os crimes envolvidos

Um único golpe costuma envolver várias pessoas, com tarefas divididas, e vários crimes:

Três pontos práticos:

• Estelionato ou furto? Na fraude eletrônica, a vítima enganada faz a transferência. No furto mediante fraude, o engano serve só para obter o acesso, e o próprio criminoso transfere. Nos casos de prefeituras em que os golpistas operaram as contas, o enquadramento tende a ser o furto mediante fraude, somado à invasão de dispositivo.
• Quem empresta a conta não é inocente. A pessoa que cede ou "aluga" a conta para receber valores pode responder como partícipe e por lavagem de dinheiro, além de ficar exposta a ações de ressarcimento.
• E o servidor enganado? Ele é vítima do golpe. O Código Penal, porém, prevê o peculato culposo para o funcionário que, por negligência, concorre para que terceiro se aproprie de dinheiro público sob sua guarda (art. 312, § 2º), e o Tribunal de Contas pode examinar se os controles mínimos existiam. Desde a Lei 14.230/2021, a improbidade administrativa exige dolo. Regras de segurança formalizadas e cumpridas protegem a própria equipe.

Quanto ao local do processo, a Lei 14.155/2021 incluiu no Código de Processo Penal (art. 70, § 4º) que o estelionato praticado por transferência de valores é processado no domicílio da vítima.

Erros comuns

• Tratar o tema como assunto só de TI. As medidas de maior impacto são de gestão: alçadas, segregação de funções e protocolo de confirmação.
• Confiar no identificador de chamadas. O número exibido pode ser falsificado. O que vale é ligar de volta.
• Formatar o computador logo após o golpe. Apaga a prova de como o acesso aconteceu.
• Esperar a conciliação do dia seguinte. Sem alertas em tempo real, o dinheiro já atravessou várias contas.
• Deixar credenciais de quem saiu. Tokens e certificados de ex-servidores e ex-funcionários continuam ativos por meses.
• Não ter nada escrito. Sem ato normativo ou política interna, fica difícil demonstrar diligência ao banco, ao Tribunal de Contas ou ao juiz.

Checklist

Perguntas frequentes

Por que prefeituras pequenas são alvo de golpes bancários? Porque costumam ter valores altos em conta, equipe financeira reduzida, pouca estrutura de TI e, muitas vezes, uma única pessoa com acesso completo ao internet banking. Para o criminoso, basta enganar essa pessoa ou infectar o computador que ela usa.

O banco é obrigado a devolver o dinheiro desviado? Depende de como o golpe aconteceu. Pela Súmula 479 do STJ, o banco responde por fraudes de terceiros ligadas às operações bancárias, mas o STJ também já decidiu que essa responsabilidade não é automática. Operações claramente fora do padrão da conta, sem bloqueio, pesam contra o banco. Senhas e códigos entregues pela vítima sem falha do banco podem afastar a indenização.

Qual a primeira medida para proteger a conta de uma prefeitura ou empresa? Exigir duas aprovações, de pessoas diferentes, para cada pagamento. É uma configuração oferecida pelos bancos, não custa nada e obriga o criminoso a enganar duas pessoas ao mesmo tempo.

O MED do Pix serve para TED? Não. O Mecanismo Especial de Devolução vale apenas para o Pix. Em TED e boleto, a recuperação depende do bloqueio rápido feito pelo banco e, se necessário, de medida judicial urgente.

O servidor que caiu no golpe pode ser responsabilizado? Ele é vítima do crime. A lei prevê, porém, o peculato culposo para o funcionário que concorre por negligência para a apropriação do dinheiro público por terceiros, e o Tribunal de Contas pode avaliar se havia controles mínimos. Por isso, regras formais de segurança e o registro do seu cumprimento protegem a equipe.

Quanto custa implantar essas medidas? As de maior impacto, como dupla aprovação, alçadas, favorecidos cadastrados, janela de horário e protocolo de confirmação, não têm custo de ferramenta. Computador exclusivo, antivírus corporativo e gerenciador de senhas têm custo baixo perto dos valores que circulam nas contas.

Próximo passo

O Diagnóstico de Risco Jurídico ajuda a identificar, em poucos minutos, onde a sua organização está mais exposta. Para estruturar as regras de alçada, o ato normativo ou a política interna, as cláusulas com bancos e fornecedores de tecnologia e o plano de resposta a incidentes, a Sessão Estratégica é o ponto de partida para uma conversa com orientação por escrito. Se o golpe já aconteceu, fale com o escritório para avaliar as medidas urgentes. Mais conteúdo em Proteção de Dados e no guia LGPD na prática.

Fontes

• Código Penal, arts. 154-A, 155, § 4º-B, 158, 171, §§ 2º-A e 3º, e 312, § 2º (redação da Lei 14.155/2021).
• Código de Processo Penal, art. 70, § 4º.
• Lei 9.613/1998 (lavagem de dinheiro) e Lei 12.850/2013 (organizações criminosas).
• Lei 14.230/2021 (improbidade administrativa) e Lei 14.133/2021, art. 169.
• Lei 13.709/2018 (LGPD), arts. 46 e 48, e Resolução CD/ANPD 15/2024.
• Lei 12.965/2014 (Marco Civil da Internet), arts. 13, 15 e 22.
• Código de Defesa do Consumidor, art. 14, e Código Civil, art. 927, parágrafo único.
• Resolução CMN 4.893/2021 (política de segurança cibernética das instituições financeiras).
• Banco Central do Brasil, regulamento do Pix e Mecanismo Especial de Devolução (MED 2.0, obrigatório desde 02/02/2026).
• STJ, Súmula 479, e REsp 2.209.868, Terceira Turma, notícia publicada em 15/07/2026.
• Assembleia Legislativa de Minas Gerais, audiência sobre golpes contra prefeituras (notícia institucional); Estado de Minas, Itatiaia e Metrópoles, reportagens de setembro de 2025 a julho de 2026 sobre os desvios e o acordo de ressarcimento.
• Tribunal de Contas de Santa Catarina, recomendação às prefeituras sobre segurança digital (maio de 2026).
• CERT.br, Cartilha de Segurança para Internet.
• NIST Cybersecurity Framework 2.0 (2024).

Conteúdo informativo. Não substitui consulta a um advogado.