Prevenção a fraudes, segurança da informação e proteção do cliente para Escriturário do Banco do Brasil – Agente Comercial

Por que fraudes acontecem no atendimento bancário

Fraude no contexto bancário é qualquer tentativa de obter vantagem indevida explorando falhas de processo, tecnologia ou comportamento humano. No atendimento, o ponto crítico costuma ser a manipulação do cliente ou do atendente para autorizar uma transação, revelar dados, trocar um meio de pagamento ou permitir acesso à conta. A prevenção combina três frentes: identificar sinais (ameaças), aplicar controles (verificações e validações) e orientar o cliente com linguagem clara, sem pânico.

Ameaças comuns e como elas aparecem no dia a dia

Engenharia social

É a manipulação psicológica para induzir alguém a agir contra o próprio interesse (ex.: “sou do banco”, “é urgente”, “vai bloquear agora”). Normalmente envolve pressão de tempo, autoridade falsa, medo de prejuízo e pedido de sigilo (“não conte a ninguém”).

• Sinais típicos: urgência incomum, pedido para “pular etapas”, insistência em não seguir o procedimento, narrativa muito emocional, tentativa de isolar o cliente/atendente.
• Mitigação: seguir o roteiro de verificação, não aceitar exceções, confirmar por canais oficiais, registrar tentativa suspeita quando aplicável.

Phishing (e variações: smishing, vishing, QR fraud)

Phishing é a tentativa de capturar credenciais e dados por mensagens, links e páginas falsas. Smishing ocorre por SMS/WhatsApp; vishing por ligação; QR fraud usa QR codes adulterados para levar a sites falsos ou pagamentos indevidos.

• Sinais típicos: link encurtado, domínio estranho, pedido de senha/token, mensagem com “atualize cadastro” ou “reembolso” com pressa, erros de escrita, anexos inesperados.
• Mitigação: orientar o cliente a não clicar em links recebidos, acessar apenas app/site oficial digitado manualmente, nunca compartilhar senha, token ou código de verificação.

Golpes via PIX

O PIX pode ser explorado por engenharia social (pedido de transferência “urgente”), por QR code adulterado, por falso suporte técnico e por tomada de conta para realizar transferências rápidas.

• Sinais típicos: cliente relata que “alguém do banco” pediu PIX para “teste”, “desbloqueio”, “estorno”; QR code recebido de desconhecido; pedido para aumentar limite imediatamente sem justificativa consistente.
• Mitigação: reforçar que banco não pede PIX para regularização; validar destinatário (nome/CPF/CNPJ) antes de confirmar; usar limites, agendamento quando aplicável e dupla checagem em valores altos.

Falsos boletos

O boleto pode ser adulterado para desviar o pagamento a outro beneficiário. O golpe ocorre por envio de boleto falso por e-mail/WhatsApp, troca do PDF, ou alteração de código de barras.

Continue em nosso aplicativo

Você poderá ouvir o audiobook com a tela desligada, ganhar gratuitamente o certificado deste curso e ainda ter acesso a outros 5.000 cursos online gratuitos.

ou continue lendo abaixo...

Baixar o aplicativo

• Sinais típicos: beneficiário diferente do esperado, CNPJ/razão social divergente, valor alterado, boleto “reemitido” por canal não oficial, instruções estranhas.
• Mitigação: conferir beneficiário e dados antes de pagar; preferir emissão em canal oficial do credor; desconfiar de boletos recebidos por mensagem sem solicitação.

Troca de cartão e golpes em terminais/atendimento

Ocorre quando o fraudador troca o cartão do cliente por outro semelhante (ou retém o cartão) e obtém a senha por observação, indução ou “ajuda”. Pode acontecer em ambiente externo ou em situações de distração.

• Sinais típicos: terceiro “prestativo” insistente, cliente confuso com o cartão, pressa para sair, tentativa de impedir que o cliente confira o cartão.
• Mitigação: orientar o cliente a não aceitar ajuda de desconhecidos; manter cartão sempre em mãos; cobrir o teclado ao digitar senha; em caso de suspeita, bloquear imediatamente e registrar ocorrência.

Clonagem e uso indevido de dados

Clonagem pode envolver captura de dados do cartão (físico ou digital), vazamento de credenciais e uso em compras. Nem sempre há “clonagem” técnica: muitas vezes é uso indevido por exposição de dados.

• Sinais típicos: transações desconhecidas, tentativas repetidas de compra, alteração de cadastro não reconhecida, notificações de login em dispositivo novo.
• Mitigação: orientar o cliente a revisar alertas, ativar notificações, atualizar senhas, bloquear cartão/conta conforme procedimento e contestar transações quando cabível.

Tentativas de tomada de conta (Account Takeover)

É quando o fraudador tenta assumir o controle da conta alterando senha, e-mail, telefone, dispositivo confiável ou habilitando novos meios de transação. Pode começar com phishing, vazamento de dados ou engenharia social.

• Sinais típicos: cliente relata perda de acesso, mudança de número/e-mail sem solicitação, pedidos de redefinição de senha não iniciados, inclusão de dispositivo desconhecido, aumento de limites sem motivo.
• Mitigação: reforçar autenticação forte, checar alterações cadastrais recentes, aplicar bloqueios preventivos quando necessário e orientar o cliente a recuperar acesso por canal oficial.

Procedimentos de verificação de identidade (passo a passo)

O objetivo é confirmar que a pessoa é quem diz ser, reduzindo risco de fraude sem tornar o atendimento hostil. Use postura neutra: “Vou realizar algumas confirmações de segurança para proteger seus dados”.

1) Verificação inicial (triagem)

• Identifique o tipo de demanda: informação, alteração cadastral, transação, contestação, bloqueio/desbloqueio.
• Classifique o risco: transação de valor alto, mudança de dados sensíveis, pedido fora do padrão, urgência incomum.
• Se houver sinais de coação (cliente nervoso, lendo roteiro, alguém ao lado orientando), eleve o nível de cautela.

2) Confirmação por fatores e consistência

• Dados cadastrais: confirme informações que já constam no cadastro (sem “soprar” a resposta). Ex.: “Qual é o seu endereço cadastrado?” em vez de “Seu endereço é X, correto?”.
• Documento e presença: quando aplicável, confira documento com atenção a foto, integridade, validade e coerência com a pessoa presente.
• Autenticação por canal: priorize validações pelo aplicativo/canais oficiais (ex.: confirmação no app) quando o procedimento permitir.
• Consistência comportamental: avalie se a narrativa faz sentido (ex.: cliente diz que “o banco pediu senha por telefone”).

3) Regra de ouro: nunca solicitar ou aceitar credenciais sensíveis

• Não solicitar senha, token, código de verificação (SMS/WhatsApp), senha do cartão, ou qualquer dado que permita acesso direto.
• Se o cliente oferecer espontaneamente, interrompa e oriente: “Por segurança, não compartilhe esse código com ninguém”.

4) Quando recusar ou pausar o atendimento

• Se houver divergência de dados, documento suspeito, pressão para burlar etapas, ou indícios de coação, pause a operação e siga o fluxo interno de segurança.
• Ofereça alternativa segura: reagendar, orientar a procurar a agência/canal oficial, ou realizar apenas ações de baixo risco (ex.: bloqueio preventivo) conforme procedimento.

Validação de transações e alterações cadastrais (passo a passo)

PIX e transferências

• Antes de confirmar: conferir nome do destinatário, CPF/CNPJ, instituição e valor; validar se a finalidade é coerente com o perfil do cliente.
• Em valores altos: incentivar dupla checagem (cliente ler em voz alta os dados do favorecido), considerar agendamento quando aplicável e respeitar limites.
• Em caso de suspeita: interromper, orientar o cliente a não prosseguir e registrar a ocorrência interna conforme fluxo.

Boletos

• Conferência mínima: beneficiário, CNPJ/CPF, valor, vencimento e origem do boleto.
• Se o boleto veio por mensagem: orientar o cliente a obter a 2ª via no canal oficial do credor (site/app/atendimento oficial) e comparar dados.
• Se já pagou e suspeita de fraude: orientar registro imediato e abertura de contestação/ocorrência conforme procedimento.

Alterações de cadastro (telefone, e-mail, endereço) e recuperação de acesso

• Criticidade: trate como alto risco, pois pode habilitar tomada de conta.
• Validação: confirmar múltiplos elementos do cadastro e usar autenticação por canal oficial.
• Se houver tentativa de alteração não reconhecida: bloquear preventivamente, orientar troca de senhas e revisão de dispositivos, e registrar ocorrência.

Orientações de segurança ao cliente (com comunicação clara e não alarmista)

O foco é empoderar o cliente com hábitos simples. Evite frases alarmistas; prefira orientações objetivas e repetíveis.

• Sobre contatos: “O banco não pede senha, token ou código por ligação/mensagem. Se alguém pedir, encerre o contato e procure o canal oficial.”
• Sobre links: “Não clique em links recebidos. Acesse o app ou digite o endereço oficial no navegador.”
• Sobre PIX: “Antes de confirmar, confira o nome e o CPF/CNPJ do destinatário. Se estiver diferente, não envie.”
• Sobre boletos: “Confira o beneficiário e prefira boletos emitidos no canal oficial do credor.”
• Sobre cartão e senha: “Nunca entregue o cartão a terceiros e cubra o teclado ao digitar a senha.”
• Sobre dispositivos: “Mantenha o celular com senha/biometria, atualizações em dia e notificações de transações ativadas.”

Registro de ocorrências: o que coletar e como encaminhar

Registrar corretamente ajuda a proteger o cliente, acionar medidas internas e apoiar investigações. O registro deve ser factual, sem julgamentos.

Checklist de registro (mínimo recomendado)

• Data/hora do relato e do evento (se diferente).
• Canal do golpe: ligação, WhatsApp, e-mail, site, presencial, redes sociais.
• O que foi solicitado ao cliente (senha, PIX, boleto, instalação de app, etc.).
• Dados do destinatário/beneficiário (PIX: chave, nome, CPF/CNPJ; boleto: beneficiário, CNPJ/CPF, banco emissor).
• Valores, transações envolvidas, IDs/recibos quando existirem.
• Alterações percebidas: troca de telefone/e-mail, novos dispositivos, redefinição de senha.
• Evidências: prints, e-mails, números de telefone, URLs, QR codes (quando o procedimento permitir anexar/registrar).

Ações imediatas comuns (conforme procedimento interno)

• Bloqueio preventivo de cartão/conta/canais quando houver risco de continuidade.
• Orientação para troca de senhas e revisão de dispositivos autorizados.
• Abertura de contestação/solicitação de análise de transação.
• Encaminhamento ao time responsável por fraude/segurança, com relato estruturado.

Checklists operacionais rápidos (uso no atendimento)

Checklist “Sinais de alerta” (pare e valide)

• Cliente sob pressão, com pressa ou medo de “bloqueio imediato”.
• Pedido para burlar etapa (“faz sem confirmar”, “não precisa disso”).
• Solicitação de dados sensíveis (senha, token, código).
• Transação fora do padrão do cliente (valor, horário, destinatário).
• Alteração cadastral seguida de transação de alto valor.
• Cliente lendo instruções de alguém ou com terceiro orientando.

Checklist “Antes de autorizar” (PIX/transferência)

• Conferi nome e CPF/CNPJ do destinatário.
• Confirmei valor e finalidade com o cliente.
• Verifiquei se há indícios de coação/engenharia social.
• Orientei dupla checagem em valores altos.
• Se suspeito, interrompi e segui o fluxo de segurança.

Checklist “Boleto seguro”

• Beneficiário confere com o esperado.
• CNPJ/CPF confere.
• Origem do boleto é canal oficial do credor.
• Cliente entende que boleto recebido por mensagem pode ser falso.

Mini-casos (identifique sinais e escolha a ação correta)

Caso 1: “Funcionário do banco” pedindo PIX de teste

Situação: cliente diz que recebeu ligação “do banco” informando tentativa de fraude e que precisa fazer um PIX para uma chave “segura” para “validar a conta”.

• Sinais: autoridade falsa, urgência, pedido de PIX como “procedimento”.
• Ação correta: orientar a encerrar contato, não realizar PIX, acessar apenas canais oficiais; verificar se houve tentativa de alteração cadastral ou acesso; registrar ocorrência e aplicar medidas preventivas conforme fluxo.

Caso 2: Boleto de condomínio “reemitido” por WhatsApp

Situação: cliente recebeu um PDF por WhatsApp dizendo ser a 2ª via do boleto do condomínio. Ao pagar, percebeu que o beneficiário era diferente.

• Sinais: canal informal, reemissão fora do padrão, beneficiário divergente.
• Ação correta: orientar a obter boletos no canal oficial do condomínio/administradora; registrar detalhes do pagamento, beneficiário e comprovante; abrir ocorrência/contestação conforme procedimento.

Caso 3: Cliente quer alterar telefone e aumentar limite “porque vai viajar hoje”

Situação: cliente solicita troca de telefone e aumento de limite imediatamente, demonstrando irritação com perguntas de segurança.

• Sinais: alteração sensível + aumento de limite + urgência + resistência a validações.
• Ação correta: aplicar validação reforçada; se não houver segurança suficiente, recusar/pausar e orientar canal/presença conforme regra; registrar tentativa suspeita se aplicável.

Caso 4: Suspeita de troca de cartão após “ajuda” em terminal

Situação: cliente relata que um desconhecido ajudou no terminal e agora o cartão “não funciona”, e há compras não reconhecidas.

• Sinais: intervenção de terceiro, possível troca de cartão, transações não reconhecidas.
• Ação correta: bloquear cartão imediatamente, orientar contestação e troca de senha; registrar dados das transações e do ocorrido; orientar cuidados futuros (não aceitar ajuda, cobrir teclado).

Caso 5: Cliente recebeu SMS de “compra aprovada” com link para cancelar

Situação: SMS informa compra alta e oferece link para “cancelar agora”. Cliente clicou e inseriu dados.

• Sinais: smishing com link, indução por medo, captura de dados.
• Ação correta: orientar troca imediata de senhas e revisão de dispositivos; verificar transações; bloquear/mitigar conforme fluxo; registrar evidências (número, link) e ocorrência.

Perguntas objetivas e situacionais (treino)

1) Um cliente informa que um “atendente do banco” pediu o código recebido por SMS para “cancelar uma compra”. O que você orienta?

• A) Informar o código para agilizar o cancelamento.
• B) Não informar o código, encerrar o contato e buscar o canal oficial; registrar a tentativa.
• C) Enviar o código apenas se o número tiver foto e nome.
• D) Pedir ao cliente para tentar novamente mais tarde.

2) No PIX, qual conferência é indispensável antes da confirmação?

• A) Apenas o valor.
• B) Apenas a chave PIX.
• C) Nome e CPF/CNPJ do destinatário, além do valor.
• D) Apenas o banco do destinatário.

3) Cliente quer alterar e-mail e telefone e, em seguida, realizar transferência alta. Qual é a postura mais segura?

• A) Fazer tudo rapidamente para reduzir fila.
• B) Tratar como alto risco, reforçar validações e, se necessário, pausar/recusar e seguir fluxo de segurança.
• C) Realizar a transferência e deixar a alteração cadastral para depois.
• D) Pedir a senha do app para confirmar.

4) Qual é um sinal típico de engenharia social?

• A) Cliente pede extrato impresso.
• B) Mensagem com urgência e ameaça de bloqueio imediato se não agir agora.
• C) Cliente pergunta sobre horário de atendimento.
• D) Cliente solicita atualização de endereço com comprovante.

5) Boleto recebido por WhatsApp: qual orientação prática reduz o risco?

• A) Pagar rapidamente para evitar juros.
• B) Pagar e depois conferir o beneficiário.
• C) Emitir/confirmar a 2ª via no canal oficial do credor e conferir beneficiário/CNPJ.
• D) Confiar se o PDF estiver bem formatado.

6) Em suspeita de tomada de conta, qual informação é inadequada solicitar ao cliente?

• A) Relato do que ocorreu e quando.
• B) Prints/URLs/número de telefone do contato suspeito.
• C) Senha, token ou código de verificação recebido.
• D) Quais transações ele não reconhece.