Como identificar um boleto falso ou adulterado

As três formas do golpe do boleto

Quase tudo que circula cai em três formatos. Eles exigem esforços diferentes do fraudador e — o que importa aqui — deixam rastros completamente diferentes no arquivo.

1. O boleto verdadeiro, editado. O fraudador tem em mãos um boleto legítimo (interceptado no e-mail, achado numa caixa de entrada invadida, ou simplesmente reenviado por alguém da cadeia) e troca a linha digitável, o código de barras e às vezes o beneficiário por dados de uma conta que ele controla. O resto da página fica intacto: mesmo fornecedor, mesmo número de nota, mesmo valor impresso. É a forma mais comum em cobrança entre empresas, e é a que o arquivo denuncia — porque editar um PDF gerado por servidor deixa marca.
2. O boleto novo, com o “vencimento atualizado”. Chega um e-mail que parece do fornecedor, muitas vezes respondendo a uma thread real, dizendo que o boleto anterior venceu, que houve um problema com o banco ou que a empresa trocou de instituição — segue a 2ª via. O arquivo anexado foi gerado do zero pela ferramenta do fraudador, com o layout copiado. Estruturalmente ele é impecável: uma revisão, metadados coerentes, nenhum rastro de edição. Nenhum sinal estrutural pega isso, e a página diz isso de novo mais adiante porque é o ponto que mais engana quem compra ferramenta de forense.
3. O boleto trocado na máquina. Malware bancário que fica residente na estação de trabalho e reescreve a linha digitável no momento em que ela é copiada, ou substitui o PDF baixado. Aqui o arquivo que você analisa pode até ser o verdadeiro; o que foi adulterado é o que chegou ao campo de pagamento. Contra isso o remédio é conferir no app do banco, na hora de pagar, e não no arquivo — e é por isso que a conferência do cadastro, mais adiante, é a mais valiosa da lista.

Repare na assimetria: o primeiro formato é atacável pela estrutura do arquivo, o segundo não é atacável por ela de jeito nenhum, e o terceiro nem passa pelo arquivo. Uma ferramenta honesta diz em qual desses ela atua — esta atua no primeiro, ajuda a triar o segundo por outro caminho, e não tem nada a dizer sobre o terceiro.

Por que conferir no olho não funciona

A orientação que circula nos blogs de banco — “desconfie de erros de português, logotipo borrado, campos desalinhados” — descreve o fraudador amador de dez anos atrás. O boleto tem layout padronizado: a ficha de compensação, a posição dos campos, a fonte do código de barras e a estrutura da linha digitável são especificadas para que qualquer banco leia qualquer boleto. Reproduzir isso é trabalho de uma tarde, e existem geradores prontos que já fazem.

Pior: o que o pagamento usa não é o que você lê. O caixa eletrônico, o app e a compensação processam o código de barras ou a linha digitável. O nome do beneficiário impresso em letras garrafais no topo é enfeite — ele não participa da liquidação. Um boleto pode dizer “ACME Distribuidora Ltda” em cima e mandar o dinheiro para outro CNPJ em outro banco, sem nenhuma inconsistência visual, porque as duas informações nem sequer estão ligadas dentro do arquivo.

As conferências que você faz à mão

Nenhuma delas exige ferramenta, conta ou API. Em ordem de retorno pelo esforço, da melhor para a mais trabalhosa.

1. Leia o título no app do banco antes de pagar

Desde 2018 todo boleto de cobrança é registrado numa plataforma central antes de circular. Por isso, quando você digita ou escaneia a linha digitável no app do seu banco, a tela de confirmação mostra beneficiário, CNPJ, valor e vencimento como estão cadastrados no título — não como estão impressos no PDF que chegou para você. Se as duas coisas divergirem, você está com um boleto falso na mão, e descobriu isso antes de gastar um centavo.

Essa é, disparado, a conferência mais forte desta página, e é gratuita. Se a empresa usa DDA, melhor ainda: os boletos emitidos contra o seu CNPJ aparecem no próprio banco, e pagar por ali dispensa confiar em qualquer anexo de e-mail.

2. Compare o código do banco com o banco estampado no boleto

Os três primeiros dígitos da linha digitável são o código do banco onde o título foi registrado, e o quarto é o código da moeda — 9 para real. Um boleto com a marca do Itaú cuja linha começa em 237 está errado.

A ressalva importante, para não gerar alarme falso: é normal que o banco do boleto não seja o banco do seu fornecedor. Muita empresa emite cobrança por meio de fintechs e plataformas de gestão, e o código que aparece é o da instituição liquidante, não o da conta comercial do fornecedor. O sinal de alerta é a divergência entre o código e o logotipo impresso no próprio boleto, não entre o código e a sua expectativa.

3. Decodifique valor e vencimento da linha digitável

A linha digitável de um boleto bancário tem 47 dígitos e carrega dentro de si o valor e o vencimento. Se o número impresso no campo “Valor do documento” não bate com o valor codificado, alguém mexeu em um dos dois.

uma linha digitável de 47 dígitos, campo a campo

34191.09008  00123.451239  45678.900007  5  15650000150000

34191.09008    campo 1 · banco 341 · moeda 9 · campo livre · DV módulo 10
00123.451239   campo 2 · campo livre · DV módulo 10
45678.900007   campo 3 · campo livre · DV módulo 10
5              campo 4 · DV geral do código de barras · módulo 11
1565           campo 5 · fator de vencimento  →  10/09/2026
0000150000     campo 5 · valor em centavos    →  R$ 1.500,00

• Valor. Os 10 últimos dígitos são o valor em centavos, preenchido com zeros à esquerda. 0000150000 é R$ 1.500,00. Um boleto que imprime R$ 1.500,00 e codifica 0000180000 vai debitar R$ 1.800,00 — e o app vai mostrar o valor codificado, porque é ele que vale.
• Vencimento. Os 4 dígitos anteriores ao valor são o fator de vencimento, um contador de dias definido pela FEBRABAN. O contador chegou a 9999 em 21/02/2025 e voltou a 1000 no dia seguinte, então o mesmo fator pode corresponder a duas datas distantes 27 anos entre si; qualquer calculadora de fator online resolve. No exemplo acima, 1565 é 10/09/2026.
• Dígitos verificadores. Cada um dos três primeiros campos termina num DV módulo 10, e o dígito solto no meio é o DV geral do código de barras, módulo 11. Uma linha inventada na mão ou adulterada dígito a dígito quase sempre quebra aqui — o app do banco recusa antes mesmo de consultar o cadastro. Uma linha gerada por ferramenta, não: os DVs vão estar certos, porque a ferramenta os calculou. DV correto não é sinal de legitimidade, é só ausência de erro de digitação.

Boletos de arrecadação — água, luz, tributos, mensalidade de concessionária — seguem outro padrão: começam com 8, têm 48 dígitos e organizam os campos de outro jeito. As conferências de banco e de cadastro continuam valendo; o mapa de campos acima, não.

4. Confira o CNPJ do beneficiário, não o nome

Nome fantasia é livre; CNPJ, não. Pegue o CNPJ impresso no campo do beneficiário e consulte na Receita Federal: a razão social precisa ser a do fornecedor que você contratou, e a situação cadastral precisa estar ativa. Dois padrões que aparecem em boleto fraudado: um CNPJ aberto há poucas semanas, e uma razão social parecida com a do fornecedor mas não idêntica — a diferença de uma palavra que ninguém lê com atenção às 17h50 de uma sexta.

Confira também o campo sacador/avalista quando ele existe. É o campo onde a cobrança de terceiros mora legitimamente, e por isso é onde um beneficiário estranho passa mais despercebido.

O que o arquivo entrega

Um boleto é um documento gerado por máquina. Ele deveria ter sido escrito exatamente uma vez, por um gerador do lado do servidor — o internet banking, o ERP, a plataforma de cobrança —, numa única passada, com um conjunto de metadados e um subconjunto de fonte por tipografia. Todo desvio de “escrito uma vez por uma ferramenta” é uma pergunta que você pode fazer a quem enviou o arquivo.

• Mais de uma revisão. Bytes anexados depois do primeiro %%EOF. O sinal fica forte quando uma revisão posterior sobrescreve um objeto que já existia e carrega dados de página, de fluxo de conteúdo ou de imagem — quer dizer que a aparência exibida mudou depois da geração. É exatamente a assinatura de uma linha digitável trocada por cima do boleto original.
• Um editor de consumo na cadeia de ferramentas. Conversores online, editores de PDF de desktop, editores de imagem. Um sistema de cobrança não emite boleto passando pelo Photoshop. Causa legítima e frequente: o próprio destinatário re-salvou o arquivo para juntar num lote ou para comprimir o anexo.
• Dois repositórios de metadados que discordam. Dicionário Info contra pacote XMP. Editores costumam atualizar um e esquecer o outro, e às vezes só um deles chega a nomear a ferramenta usada.
• Datas internas incoerentes. Data de modificação anterior à de criação, ou datas que não conversam com o que a página afirma. A comparação entre a data gravada no arquivo e a data de emissão impressa no boleto é sua — o motor não lê a página —, e o visualizador de metadados mostra os dois campos sem precisar de conta.
• A mesma fonte incorporada duas vezes. Glifos da mesma tipografia embutidos em duas ocasiões separadas: a assinatura de texto acrescentado a um documento pronto por uma segunda ferramenta.
• Texto vetorial visível sobre uma página rasterizada. Boletos digitalizados legítimos não têm camada de texto, ou têm uma camada de OCR invisível. Alguns trechos de glifos visíveis sobre uma imagem de página inteira é como números são trocados numa digitalização.

Cada família está documentada por completo — com as causas legítimas ao lado das maliciosas, que é o que interessa a quem monta uma fila de revisão — no guia das famílias de sinais. A versão manual das mesmas verificações, com comandos de terminal, está em como saber se um PDF foi editado.

O que isto não pega

Dito sem rodeios, porque uma ferramenta de fraude que se vende além do que entrega é pior que ferramenta nenhuma:

• Um boleto gerado do zero pelo fraudador não tem sinal nenhum. É o segundo formato lá do começo, e é o mais comum no golpe do “vencimento atualizado”. O arquivo foi escrito uma vez, por uma ferramenta, sem edição posterior — que é exatamente a descrição de um arquivo saudável. Pontuação baixa, e corretamente. Contra esse caso valem as conferências manuais, e nada mais nesta página.
• A Tamperlens não lê a linha digitável. Não há OCR, não há leitura de código de barras, não há validação de dígito verificador e não há comparação entre valor impresso e valor codificado. Toda a seção das conferências manuais é trabalho humano — e é de propósito: automatizar mal a leitura dos números daria um resultado com cara de veredicto e confiabilidade de OCR.
• Sinal não é veredicto, e ausência de sinal não é aprovação. Uma 2ª via legítima emitida pelo portal do banco é um arquivo novo e limpo: nenhum sinal. Um boleto verdadeiro que passou por três caixas de entrada e um compressor de anexos pode acender dois sinais sem que ninguém tenha adulterado nada.
• Nada aqui verifica se o débito existe. A ferramenta não sabe se você deve esse valor a esse fornecedor. Um boleto perfeitamente genuíno de uma cobrança que não é sua passa sem arranhão.

Para o boleto fabricado do zero existe um caminho na API, e ele é honesto sobre o preço: um baseline de emissor. Toda instituição gera seus PDFs com uma cadeia de ferramentas fixa, que deixa uma impressão estrutural consistente — mesmo produtor, mesma versão de PDF, mesmo conjunto de fontes, mesma geometria de página. Um boleto fabricado é internamente coerente e errado para o emissor cujo nome está nele. O preço: nenhum baseline de banco brasileiro vem embarcado — os perfis que acompanham o produto são de instituições norte-americanas, montados a partir de documentos publicados. Para boleto, o baseline útil é o que você treina com boletos que você mesmo já sabe serem genuínos, do fornecedor recorrente que você paga todo mês. O procedimento está na referência da API.

Encaixando no processo de contas a pagar

Quem sente essa fraude não é o time de segurança: é o financeiro de uma empresa de vinte pessoas, o escritório de contabilidade que paga contas de trinta clientes, a administradora de condomínio, o comprador que recebe boleto de fornecedor por e-mail. Todos com o mesmo perfil — muito volume, pouca gente e nenhum orçamento para plataforma antifraude.

1. Faça a conferência de cadastro sempre, para todo boleto. É de graça, leva quinze segundos e pega os três formatos de golpe. Nenhuma verificação de arquivo substitui isso.
2. Fixe uma regra de troca de dados bancários. Toda mudança de conta, banco ou CNPJ de fornecedor exige confirmação por voz num telefone que já estava no cadastro antes do pedido. Esse controle sozinho vale mais que qualquer ferramenta desta página, e o e-mail que pede a mudança é sempre convincente.
3. Use a verificação do arquivo para triar, não para recusar. Sinal alto vira “peça o boleto original ao emissor e confira o cadastro com atenção redobrada”, não “acuse o fornecedor”. A resposta mais eficaz a um sinal estrutural é um pedido específico: “pode baixar de novo direto do banco e reenviar sem abrir em nenhum outro aplicativo?”. Quem é legítimo consegue.
4. Guarde a evidência, não o arquivo. Persista os ids dos sinais e os objetos de evidência junto ao lançamento. É uma trilha de auditoria pequena, sem conteúdo do documento, e é o que sustenta a decisão se ela for questionada depois.
5. Meça o seu próprio fluxo antes de definir limiar. Rode uma amostra de boletos que você sabe serem genuínos, por fornecedor, antes de decidir o que é alarme. Cadeias de ferramentas variam enormemente entre emissores, e saber como é o “normal” dos seus fornecedores vale mais que qualquer padrão que a gente pudesse embarcar.

Leitura relacionada

• Fraude em extratos bancários O mesmo método aplicado ao documento que mais chega por upload.
• Guia das famílias de sinais em PDF Cada família, suas causas legítimas e como a severidade é decidida.
• Como saber se um PDF foi editado As mesmas verificações à mão, com comandos de terminal.
• Como a comparação funciona Quando você tem a 1ª e a 2ª via e precisa saber se uma veio da outra.