Golpe do Pix no escritório de advocacia: como ele chega e o combinado que o impede
Segurança · · 5 min de leitura · Equipe Adv3
O golpe do Pix no escritório de advocacia chega por dentro de uma conversa que já existia: alguém invade o e-mail ou clona o WhatsApp e manda a chave de recebimento trocada, no momento em que o cliente está mesmo esperando pagar. A defesa não é técnica, é combinada: chave única divulgada no contrato, confirmação por telefone antes de qualquer pagamento e a regra de que o escritório nunca muda a chave por mensagem.
O cliente pagou, mandou o comprovante e está tranquilo. A conta era de outra pessoa: o golpe do Pix chegou no meio da conversa que os dois já vinham tendo há semanas, e por isso ninguém percebeu.
Como o golpe do Pix chega ao escritório
Quase sempre por um de três caminhos, e nenhum deles exige tecnologia sofisticada:
- E-mail invadido. O criminoso entra na caixa, lê as conversas em andamento, espera a hora do pagamento e responde no mesmo assunto, com a chave dele.
- WhatsApp clonado. O número é tomado por engenharia social, e as mensagens saem do contato de sempre, com a foto de sempre.
- Endereço parecido. Um domínio com uma letra trocada, que o olho não pega na correria, mandando a mesma cobrança de sempre.
O que torna o golpe eficaz não é a técnica: é o contexto. O cliente estava mesmo esperando pagar, o valor bate com o combinado e o pedido chega de quem ele conhece.
A defesa que funciona é um combinado, não um software
| Regra | O que ela impede |
|---|---|
| Uma chave só, informada no contrato | Chave nova chegando por mensagem já nasce suspeita |
| Confirmação por telefone antes de pagar | Quebra a corrente mesmo com a conta invadida |
| O escritório nunca muda chave por mensagem | Elimina a dúvida na hora da pressa |
| Nada de pagamento com urgência inventada | Tira a arma principal do golpe |
A segunda linha é a única que funciona mesmo quando todo o resto falhou, e é por isso que ela precisa estar escrita no contrato de honorários e repetida na primeira conversa. O lugar dessa cláusula está descrito em contrato de honorários.
O que dizer ao cliente, na primeira reunião
Uma frase resolve, e ela precisa ser dita antes de existir qualquer cobrança: "nossa chave é esta e não muda; se chegar mensagem com outra chave, ou pedindo pagamento com urgência, me ligue neste número antes de pagar".
Dito no começo, o aviso soa profissional. Dito depois do golpe, soa desculpa. É a mesma lógica do que se combina em primeira consulta com o cliente.
Do lado de dentro: o que reduz a chance de ser você o invadido
- Segundo fator no e-mail e no WhatsApp, que é o que impede a invasão em primeiro lugar, pelo que está em autenticação em dois fatores.
- Conta por pessoa, para que um acesso comprometido não seja o acesso de todos, como descrito em senha compartilhada.
- E-mail no domínio do escritório, autenticado, que dificulta a falsificação do remetente, pelo que está em e-mail profissional do advogado.
- Cuidado com o número, porque WhatsApp clonado é o caminho mais curto para o seu cliente, tratado em WhatsApp clonado.
O que fazer na primeira hora depois do golpe
Na ordem, sem esperar entender tudo:
- Avise o cliente e peça que ele acione o banco dele imediatamente. O Banco Central prevê um mecanismo de devolução para casos de fraude, acionado pelo banco de quem pagou, e ele funciona melhor nas primeiras horas, enquanto o dinheiro ainda está na conta de destino.
- Registre boletim de ocorrência, com os prints e o comprovante.
- Recupere e tranque a conta comprometida, trocando senha e ligando o segundo fator antes de voltar a usá-la.
- Avise os outros clientes que estavam em conversa ativa, porque a mesma mensagem pode ter ido para vários.
- Anote o que aconteceu, incluindo horários. É o que sustenta a conversa com banco, polícia e, se for o caso, com o cliente.
Quando o incidente vira assunto de proteção de dados
Se a invasão expôs dados pessoais de clientes, e não só o pedido de pagamento, o escritório está diante de um incidente de segurança com dado pessoal, com deveres próprios de avaliação e comunicação previstos na LGPD. O que isso significa na prática, e o que se faz dentro de casa, está em LGPD no escritório de advocacia. E há a camada do sigilo profissional, que independe da LGPD, tratada em sigilo profissional do advogado.
Perguntas frequentes
O escritório responde se o cliente pagou para o golpista?
Depende de como o golpe aconteceu e do que o escritório fez para preveni-lo. Ter combinado por escrito a regra da chave única e do telefone de confirmação é o que separa o escritório vítima do escritório que facilitou.
Dá para recuperar o dinheiro?
Às vezes. O mecanismo especial de devolução é acionado pelo banco de quem pagou e depende de o valor ainda estar disponível na conta de destino. Quanto mais rápido, maior a chance.
Posso divulgar a chave Pix no site?
Pode, e ajuda: quanto mais pública e estável a chave, mais estranha fica qualquer outra. O cuidado é a chave apontar para conta do escritório, não para conta pessoal.
Boleto também entra nesse risco?
Entra, pelo mesmo caminho: o arquivo do boleto é trocado no e-mail. A defesa é a mesma, a confirmação por um canal diferente do que trouxe a cobrança.
Como o Adv3 trata isso
O Adv3 não emite cobrança, não gera boleto e não cria chave Pix: o Financeiro registra o que foi combinado e o que foi recebido, e quem dá a baixa é uma pessoa. Isso tem um efeito útil aqui: o valor combinado com cada cliente fica no sistema, ligado ao processo, e não só na conversa, o que torna mais fácil perceber quando uma cobrança que chegou por mensagem não bate com o que foi registrado.
Todos os artigos · Adv3: software jurídico para escritórios de advocacia · Criar uma conta