O meu fornecedor enviou novos dados bancários. O que devo verificar?

Já paga ao mesmo fornecedor há meses, ou está prestes a pagar um adiantamento. Chega um email do contacto habitual: a empresa mudou de banco, ou a conta está «em auditoria», e este pagamento deve ir para uma conta nova. Segue em anexo uma fatura nova, com carimbo e o logótipo certo.

Trate a alteração como não confirmada até a verificar por um canal que não venha da própria mensagem. Não responda ao email para a confirmar e não ligue para um número impresso nele. Suspenda o pagamento até o fornecedor confirmar os novos dados por contactos que já tinha e até o novo beneficiário fazer sentido para esta encomenda. Se já pagou, contacte o seu banco imediatamente e peça a devolução da transferência.

Por que este pedido exige uma pausa

Um pedido de alteração de conta é o método padrão de comprometimento de email empresarial. O fraudador obtém acesso a uma caixa de correio real, a do fornecedor ou a sua, ou regista um domínio semelhante, lê a correspondência e envia novas instruções de pagamento no momento em que um pagamento é devido. O Internet Crime Complaint Center do FBI descreve-o como uma fraude que visa pedidos de transferência legítimos, levada a cabo pelo comprometimento de contas de email empresariais através de engenharia social ou intrusão. O seu anúncio de 2024, baseado em dados de 2023, observa que os bancos no Reino Unido e em Hong Kong serviram frequentemente de paragem intermédia para os fundos, seguidos da China, do México e dos Emirados Árabes Unidos. IC3.

Como a mensagem pode vir do endereço real do fornecedor e citar a sua encomenda real, nada na própria mensagem a pode confirmar. Um carimbo, um papel timbrado, uma fatura em PDF e um estilo de escrita habitual podem todos ser copiados de emails anteriores.

Os fornecedores às vezes mudam de banco ou começam a receber através de outra entidade. A pausa não é uma acusação; é a verificação que distingue uma alteração genuína de uma fraudulenta.

Confirme a alteração por um canal separado

O IC3 aconselha a usar canais secundários ou autenticação de dois fatores para verificar pedidos de alteração de dados de conta. IC3. Na prática:

• Ligue para um número que já tinha. Use o número de telefone do seu contrato, de uma fatura anterior que recebeu antes da alteração, ou de uma chamada que já fez antes. Não use um número do pedido de alteração nem da assinatura da mesma cadeia de emails.
• Fale com alguém que conhece. Peça ao seu contacto habitual, e se possível a uma segunda pessoa, como o responsável de vendas ou o departamento financeiro, que lhe leia o novo número de conta e o nome do beneficiário. Não lhes leia nada primeiro.
• Use um meio diferente que estabeleceu anteriormente. Uma conversa de WeChat ou WhatsApp anterior ao pedido é um canal separado; uma nova conta de chat que o email lhe pede para adicionar não é.
• Pergunte por que razão a conta mudou. Uma alteração genuína tem uma resposta comum: uma nova relação bancária, uma nova entidade recetora no grupo, uma mudança de empresa. Anote a resposta; vai compará-la com os documentos.

Se o fornecedor disser que nunca enviou o pedido, ambas as caixas de correio podem estar comprometidas. Avise o fornecedor, deixe de usar o email para instruções de pagamento nesta encomenda e guarde a mensagem para o seu banco.

Confirme que o novo beneficiário faz sentido

A confirmação por telefone diz-lhe que o fornecedor fez o pedido. Não lhe diz que o novo beneficiário é uma parte a quem deve pagar. Compare os novos dados com o que sabe sobre a encomenda:

• O beneficiário continua a ser o vendedor? Se o nome da conta corresponder à mesma empresa registada de antes e à que consta do contrato, a alteração é uma mudança de banco. Se o nome for diferente, é uma mudança de beneficiário, que exige mais do que um telefonema.
• É uma variante do mesmo nome? A conta de uma empresa chinesa pode aparecer com uma tradução inglesa do seu nome chinês. Verifique se o novo nome é uma variante de escrita ou de tradução antes de o tratar como outra parte. O guia sobre nomes de beneficiário que não coincidem com o fornecedor aborda este ponto.
• É uma empresa de Hong Kong? Uma sociedade recetora de Hong Kong pode ser legítima, mas uma mudança para uma delas a meio de uma relação exige as mesmas provas que qualquer novo beneficiário. Ver uma sociedade de Hong Kong a receber o pagamento.
• É uma pessoa individual? Um pedido para pagar a uma pessoa em vez de a uma empresa, com pouco aviso, deve fazer suspender o pagamento até o vendedor o explicar por escrito e até ficar satisfeito com a explicação.
• Mudou o país do banco? Um banco beneficiário num país sem ligação ao fornecedor ou à encomenda é motivo para parar e perguntar.

Peça os novos dados de pagamento numa fatura proforma atualizada ou numa alteração ao contrato do vendedor, que nomeie o beneficiário e indique que o pagamento ao mesmo liquida a sua obrigação para esta encomenda. Confirme esse documento pelo mesmo canal separado.

Verifique a empresa por trás do pedido

Se a alteração vier acompanhada de um novo nome de empresa, ou se nunca confirmou o original, verifique o registo da empresa continental. Pode consultá-la em inglês pelo nome inglês ou chinês ou pelo Código Unificado de Crédito Social (USCC). A pesquisa é gratuita; o relatório completo em inglês é pago. Um registo confirma que uma empresa existe e o que está registado sobre ela. Não confirma uma conta bancária e não lhe diz quem enviou o email.

Os passos para verificar a própria empresa, os seus documentos e os seus poderes para assinar estão no guia para verificar um fornecedor chinês.

Pergunte ao seu banco antes de enviar

Uma pesquisa no registo não verifica uma conta bancária. Antes de enviar o pagamento, pergunte ao seu banco que verificações pode fazer sobre o beneficiário de uma transferência internacional e o que pode fazer se reportar uma fraude depois de enviar. Alguns bancos conseguem comparar o nome do beneficiário com a conta recetora para alguns tipos de pagamento; pergunte se isso se aplica a esta transferência. Se não se aplicar, as restantes verificações deste guia suportam todo o peso.

Se já pagou

Aja no mesmo dia. Segundo o IC3, se descobrir uma transferência fraudulenta, o tempo é crucial: contacte imediatamente a sua instituição financeira, peça a devolução dos fundos e apresente uma queixa ao IC3, independentemente da quantia perdida. IC3. O IC3 é um serviço dos Estados Unidos; se estiver noutro lugar, apresente também queixa à polícia ou ao serviço de denúncia de fraude do seu país.

• Indique ao seu banco a data, o montante, a conta do beneficiário e a referência da transferência.
• Guarde os emails com os cabeçalhos completos, as faturas e quaisquer mensagens de chat. Não elimine a cadeia.
• Avise o fornecedor genuíno por um canal conhecido. A caixa de correio dele pode ser a que foi comprometida, e outros compradores podem estar a receber o mesmo pedido.
• Altere as palavras-passe do seu próprio email e verifique as regras de reencaminhamento, no caso de o comprometimento ter sido do seu lado.

A recuperação não é garantida e depende da rapidez com que o banco recetor é contactado. Quanto mais cedo for o pedido de devolução, maior a probabilidade.

O que estas verificações estabelecem

Uma alteração confirmada por telefone com um contacto conhecido, um beneficiário que é o vendedor ou uma parte recetora documentada, e instruções atualizadas do vendedor tornam, em conjunto, o pedido muito menos suscetível de ser uma fraude. Não garantem que a conta seja controlada pelo fornecedor nem que os bens serão entregues. Mantenha visível qualquer ponto por explicar e decida se vale a pena o pagamento.

O que este guia não abrange

Este guia aborda a verificação de um pedido de alteração de dados de pagamento antes de pagar a um fornecedor na China ou em Hong Kong. Não abrange a segurança do email em profundidade, processos de recuperação, estornos ou seguros, nem o direito de qualquer país em particular, e não constitui aconselhamento jurídico.

Se uma alteração de beneficiário o deixou com um contrato, uma fatura e dados bancários que já não coincidem, e quer que a empresa continental seja verificada face ao registo e o novo beneficiário comparado com ele, pode pedir uma verificação com os documentos que tem.