A mensagem chega do endereço habitual do fornecedor. A fatura é a certa: o mesmo número de encomenda, o mesmo valor, o mesmo aspeto. Só uma linha mudou, no fundo da página — o IBAN. Um mês depois, o verdadeiro fornecedor reclama uma fatura por pagar, e o dinheiro já seguiu há muito para uma conta aberta no estrangeiro.
Em França, este esquema tem vários nomes: fraude do falso fornecedor, fraude do «falso RIB» (o RIB, relevé d'identité bancaire, é o documento que os bancos franceses emitem com os dados da conta e o IBAN) ou, nos relatórios do Banco de França, o banco central francês, «substituição de IBAN». Está em forte crescimento. E assenta quase sempre num documento que ninguém se lembra de verificar: um PDF. Os números e os procedimentos que se seguem são franceses; o esquema, e a forma de examinar um PDF, são os mesmos em qualquer lado. O que muda em Portugal está resumido num destaque mais abaixo.
Qual é a dimensão do fenómeno?
Segundo o relatório de 2025 do Observatório da Segurança dos Meios de Pagamento (OSMP), publicado pelo Banco de França em setembro de 2026, a fraude nos meios de pagamento atingiu 1,24 mil milhões de euros em França. Uma das suas componentes volta a subir claramente: a fraude por manipulação — aquela em que a própria vítima faz o pagamento, enganada por um burlão —, que chegou aos 516 milhões de euros, mais 34% num ano (Banco de França, comunicado de imprensa). A substituição de IBAN figura entre as técnicas referidas.
As empresas sentem-no na pele. Segundo um inquérito a empresas francesas da Allianz Trade e do instituto de sondagens Odoxa, publicado em junho de 2026, 52% das grandes empresas e das empresas de dimensão intermédia (as ETI francesas, com 250 a 4999 trabalhadores) veem aumentar as tentativas de fraude, e 40% das empresas visadas sofreram pelo menos uma fraude efetiva. Sobretudo, só 41% voltam a ligar ao cliente ou ao fornecedor quando os dados bancários mudam (Allianz Trade). Nos Estados Unidos, o FBI registou 3 mil milhões de dólares de perdas ligadas ao comprometimento de e-mail empresarial em 2025, a segunda categoria de cibercrime mais onerosa (FBI IC3).
Como atuam os burlões?
O banco postal francês La Banque Postale descreve o esquema mais comum (La Banque Postale). Na versão mais elaborada, o burlão entra na caixa de correio eletrónico do fornecedor; não o conseguindo, imita o seu endereço. Lê as mensagens trocadas, identifica os clientes e as faturas pendentes e depois envia, a partir do endereço verdadeiro ou de um quase idêntico, uma fatura autêntica acompanhada de um «novo IBAN». Não apressa ninguém: espera pelo ciclo normal de pagamento.
Há duas variantes. Na primeira, a fatura está intacta e é um documento à parte — um «RIB» — que é falso. Na segunda, a própria fatura foi alterada: o burlão abriu o PDF num editor e substituiu o IBAN. É esta segunda variante que deixa vestígios técnicos.
As fugas de dados alimentam diretamente estas fraudes. Depois do ataque informático à plataforma francesa de faturação VosFactures, no fim de setembro de 2026, o prestador de serviços por trás dela reconheceu o roubo de IBAN e de dados de clientes (Fakturownia), e a própria VosFactures avisou os clientes contra fraudes com alteração de dados bancários e falsos fornecedores (Next). Contamos o caso em VosFactures: uma plataforma atacada através do seu gerador de PDF.
Que indícios denunciam um PDF alterado?
Um PDF guarda muitas vezes a memória da forma como foi feito. Os especialistas em análise forense de documentos apoiam-se em vários indícios, que devem ser lidos como pistas e não como provas: os metadados são facultativos e podem ser alterados (PDF Association).
O programa que produziu o ficheiro. Um PDF indica geralmente o programa de origem («Creator») e o que o produziu ou modificou em último lugar («Producer»). Uma fatura emitida por um programa de faturação cujo último «Producer» é um editor de PDF de uso corrente foi provavelmente retocada depois.
As datas. Em princípio, a data de modificação muda a cada edição. Uma fatura datada de 2 de outubro, criada a 2 de outubro e modificada a 9, merece uma pergunta.
As versões sucessivas. Muitos editores não reescrevem o ficheiro: acrescentam as alterações no fim, e a versão anterior continua lá dentro. Cada revisão termina com um marcador %%EOF; vários marcadores indicam várias versões. O investigador Didier Stevens publicou uma ferramenta que os conta (SANS ISC), e a PDF Association observa que o histórico de versões é uma das melhores formas de perceber a intenção por trás das alterações (PDF Association). Atenção: uma assinatura eletrónica ou um formulário preenchido também criam versões legítimas, e um ficheiro otimizado para visualização na Web tem muitas vezes dois marcadores logo de origem.
As incoerências visuais. Um tipo de letra, um tamanho ou um espaçamento diferentes apenas na linha do IBAN; um retângulo branco por cima do texto antigo; um «carimbo» sobreposto. A empresa de cibersegurança Group-IB enumera estes sinais e considera, também ela, que a data de modificação, por si só, prova pouco (Group-IB).
Para ler estas informações sem enviar a fatura para um site de terceiros — ela contém os seus dados bancários e os do seu fornecedor —, basta o leitor de PDF que já tem instalado no computador. No Acrobat Reader, Ficheiro › Propriedades (ou Ctrl+D; Cmd+D no Mac) mostra, no separador Descrição, as datas de criação e de modificação, a aplicação de origem (o Creator) e o produtor do PDF (o Producer). No Mac, na Pré-visualização, Ferramentas › Mostrar inspetor apresenta os mesmos campos. O ExifTool, uma ferramenta livre de linha de comandos, também os lê, juntamente com os metadados XMP (ExifTool). Já as versões sucessivas não aparecem nestas janelas: para isso, é preciso uma ferramenta como a de Didier Stevens. Explicamos o que os metadados podem revelar em O que os metadados do seu PDF dizem sobre si.
Um PDF limpo prova que a fatura é autêntica?
Não, e este é o ponto essencial. Um burlão que controla a caixa de correio do fornecedor pode enviar uma fatura perfeitamente intacta acompanhada de um falso RIB à parte. Pode também produzir um PDF novo com um programa de faturação comum. A análise do ficheiro pode confirmar uma suspeita; nunca a pode afastar.
Uma fatura francesa conforme inclui menções obrigatórias — número, data, identidade e SIREN (o número de identificação das empresas francesas) das partes, descrição das prestações, IVA (LegalPlace). A presença dessas menções mostra que um documento se parece com uma fatura, não que venha do emissor certo.
A única verificação realmente fiável
A ficha prática que o Cybermalveillance.gouv.fr, o serviço público francês de assistência às vítimas de cibercriminalidade, dedica à fraude nas transferências resume-o: perante qualquer pedido de transferência para um novo IBAN, contactar diretamente o credor pelo número habitual para que confirme a mensagem e os dados (Cybermalveillance.gouv.fr). Habitual, ou seja, um número que já conhece — o do contrato, do orçamento assinado, da lista telefónica —, nunca o que vem na mensagem. Quase seis empresas em cada dez, segundo o inquérito acima, não o fazem.
Outras medidas reforçam a proteção:
- usar a verificação do beneficiário. Desde 9 de outubro de 2025, os bancos da zona euro têm de verificar, antes de cada transferência SEPA, se o nome do beneficiário corresponde ao IBAN, e indicar uma correspondência exata, aproximada ou inexistente (INC). Se avançar apesar de um aviso, o banco deixa de poder ser responsabilizado. Esta verificação não protege de uma conta aberta pelo burlão em nome do próprio fornecedor, com documentos usurpados, e, em caso de correspondência aproximada, a decisão é sua;
- ativar a autenticação de dois fatores em todas as contas de e-mail da empresa, para cortar o esquema pela raiz;
- separar funções: quem regista uma alteração de IBAN não deve ser quem valida o pagamento.
E se a transferência já foi feita? Avise imediatamente o seu banco para tentar recuperar os fundos, previna o fornecedor cuja identidade foi usurpada e verifique as regras de reencaminhamento da sua caixa de correio. Em França, apresenta-se depois queixa e contacta-se o Info Escroqueries, a linha telefónica nacional francesa contra burlas, pelo 0 805 805 817 (Cybermalveillance.gouv.fr). Pelas regras francesas, um banco que executa uma transferência de acordo com o IBAN indicado não é, em princípio, responsável; a 4 de março de 2026, porém, a Cour de cassation, o mais alto tribunal francês em matéria civil e penal, decidiu (recurso n.º 25-11.959) que um banco que tinha redigido ele próprio a ordem de transferência a partir de um RIB manifestamente falso era responsável e tinha de indemnizar o cliente (Eurojuris).
E em Portugal? A verificação do beneficiário aplica-se desde 9 de outubro de 2025 e completa a confirmação do beneficiário que já existia desde 2024: na generalidade das transferências nacionais, é apresentado o nome do primeiro titular da conta associada ao IBAN; quando esse nome não aparece (é o caso das transferências para outros países da zona euro) ou não é o do beneficiário pretendido, indica o nome do destinatário e o banco informa-o se corresponde a algum dos titulares da conta (Banco de Portugal). Se o IBAN que forneceu não for o do verdadeiro fornecedor, o banco não responde pela operação, que se considera corretamente executada; tem, ainda assim, de envidar esforços razoáveis para recuperar os fundos e, se não o conseguir, de lhe dar, a pedido por escrito, as informações de que precise para intentar uma ação judicial (regime jurídico dos serviços de pagamento e da moeda eletrónica, artigo 129.º); se o banco não cumprir as regras das transferências, pode reclamar no livro de reclamações ou diretamente junto do Banco de Portugal (Portal do Cliente Bancário). A Polícia Judiciária, que já alertou as empresas para este esquema e recomenda confirmar qualquer novo IBAN por telefone com representantes já conhecidos do fornecedor (PJ), recebe queixas eletrónicas com autenticação pelo cartão de cidadão (PJ); se a caixa de correio da empresa tiver sido comprometida, o incidente pode ser comunicado ao CERT.PT, do Centro Nacional de Cibersegurança, em cert@cert.pt (CNCS).
A faturação eletrónica vai resolver o problema?
Em parte. Desde 1 de setembro de 2026, as faturas entre empresas francesas passam progressivamente a circular por plataformas aprovadas, sob a forma de dados estruturados: todas as empresas têm de poder recebê-las, e as grandes empresas e as ETI já têm de as emitir desta forma (LegalPlace). Uma fatura recebida por este circuito vem de um emissor identificado, o que dificulta a fatura falsa enviada por e-mail. Mas a reforma visa sobretudo a fraude ao IVA, as PME e as microempresas só são obrigadas a emitir faturas eletrónicas a partir de 1 de setembro de 2027, e o próprio RIB continua muitas vezes a circular por e-mail. O caso VosFactures mostra, além disso, que as plataformas se tornam, elas mesmas, alvos ricos em IBAN. O telefonema continua a ser indispensável. O calendário completo da reforma está detalhado em Faturação eletrónica em França: a sua fatura em PDF ainda é válida?
Glossário
Fraude por manipulação: fraude em que a própria vítima faz o pagamento, enganada pelo burlão.
FOVI: faux ordre de virement international («falsa ordem de transferência internacional»), termo usado pela polícia francesa para estas fraudes.
Creator, Producer: campos dos metadados de um PDF que indicam o programa de origem e o que o produziu ou modificou.
Atualização incremental: modo de gravação que acrescenta as alterações no fim do ficheiro, conservando a versão anterior.
Verificação do beneficiário (VoP): verificação obrigatória na zona euro desde outubro de 2025, que compara o nome do beneficiário com o IBAN antes de uma transferência. Em Portugal, completa a confirmação do beneficiário, que mostra o nome do primeiro titular da conta na generalidade das transferências nacionais.