Se você tivesse que adivinhar qual método de pagamento os criminosos mais miram em 2026, você escolheria um pedaço de papel que existe desde os anos 1600, ou uma transferência eletrônica digital em tempo real? A resposta, de acordo com a mais recente Pesquisa de Fraude e Controle de Pagamentos da Association for Financial Professionals (AFP), é o cheque de papel. Cinquenta e oito por cento das organizações relataram fraude envolvendo cheques em 2025 — mais do que débitos ACH (30%) e transferências eletrônicas (25%) combinados nem chegam perto.
No geral, 76% das organizações dos EUA sofreram tentativas ou fraudes de pagamento reais no ano passado. Esse não é um problema de nicho que afeta um punhado de empresas azaradas — é o ambiente operacional padrão para qualquer um que movimenta dinheiro. E as empresas menos equipadas para absorver o golpe são exatamente as que têm maior probabilidade de se machucar: empresas pequenas e médias sem um departamento de tesouraria, um analista de fraude ou um gerente de relacionamento bancário na discagem rápida.
Se você administra uma pequena empresa e ainda emite ou aceita cheques — e a maioria das empresas o faz — isso vale 10 minutos da sua atenção.
Por que Cheques, de Todas as Coisas, Ainda São o Principal Alvo de Fraude
Parece quase ao contrário. Transferências eletrônicas movimentam dinheiro instantânea e irreversivelmente, o que deveria torná-las o alvo mais atraente. Mas os cheques têm uma fraqueza estrutural que os meios de pagamento mais novos não têm: eles carregam todas as informações que um fraudador precisa — seu número de roteamento bancário, número da conta, assinatura e nome da empresa — impressas em texto simples em um pedaço de papel que viaja pelo correio, fica em uma gaveta destrancada ou é fotografado em um telefone.
A "lavagem de cheques" — remover quimicamente a tinta de um cheque roubado e reescrever o beneficiário e o valor — tornou-se tão comum que a Inspeção Postal dos EUA realiza campanhas dedicadas de conscientização pública sobre isso. Adicione a falsificação total (imprimir cheques falsos usando seus números de conta e roteamento de um documento interceptado) e cheques alterados (aumentar um cheque de R 5.000), e você tem um vetor de fraude que é barato de executar e difícil de rastrear até um único ponto de falha.
Aqui está a parte que deveria fazer todo proprietário de pequena empresa pensar: apesar de saber tudo isso, 72% das organizações que usam cheques disseram à AFP que planejam continuar usando cheques de qualquer maneira, e 68% citaram requisitos de fornecedores como o motivo. Em outras palavras, as empresas não estão escolhendo cheques porque acham que cheques são seguros — elas estão presas aos cheques porque um fornecedor, proprietário ou contratante insiste em ser pago dessa forma.
A Lacuna de Vulnerabilidade das Pequenas Empresas
A pesquisa da AFP destaca uma divisão que importa muito se você não está administrando um departamento financeiro da Fortune 500. As taxas de perda diferem acentuadamente por porte da empresa: 48% das empresas com receita anual inferior a US$ 1 bilhão relataram perdas financeiras reais decorrentes de fraude, em comparação com 66% das organizações maiores.
À primeira vista, isso parece uma boa notícia para pequenas empresas — menos delas perdem dinheiro. Mas leia de outra forma: organizações maiores têm camadas de controles (autorização dupla, equipes dedicadas de fraude, apólices de seguro construídas para este cenário exato) que capturam tentativas de fraude antes que o dinheiro saia do prédio, ou que recuperam fundos depois por meio de relacionamentos bancários e recursos legais que uma empresa de cinco pessoas simplesmente não tem. Quando a fraude realmente passa em uma pequena empresa, geralmente não há rede de segurança. A perda não é absorvida por um programa de seguro corporativo — ela sai diretamente do fluxo de caixa do proprietário.
Essa é a verdadeira manchete enterrada nesta pesquisa: pequenas empresas não são atacadas menos porque são menos vulneráveis. Elas são frequentemente atacadas menos porque são alvos menores com cheques menores para roubar. Mas quando um ataque é bem-sucedido, uma pequena empresa tem muito menos espaço para absorvê-lo.
O Comprometimento de E-mail Empresarial Também Está Aumentando Rapidamente
Cheques não são a única história. O comprometimento de e-mail empresarial (BEC) — onde um fraudador se passa por um fornecedor, executivo ou cliente por e-mail e solicita uma transferência eletrônica ou uma alteração nos dados bancários de pagamento — afetou 74% das organizações pesquisadas em 2025, um salto acentuado em relação aos anos anteriores.
A versão clássica: alguém enviando um e-mail de um endereço que parece ser do seu CFO ("um favor rápido, preciso que você transfira US$ 8.000 para esta nova conta de fornecedor hoje, estou em reuniões"). A versão mais sofisticada que está aparecendo agora: um fraudador que realmente comprometeu ou falsificou a thread de e-mail de um fornecedor real e envia uma fatura com dados bancários "atualizados" que direcionam seu pagamento legítimo diretamente para a conta deles. Se o seu processo de contabilidade trata cada fatura enviada por e-mail como confiável sem uma etapa de verificação, você está exposto a isso, independentemente do porte da empresa.
A pesquisa da AFP também sinalizou algo mais novo pela primeira vez este ano: áudio e vídeo deepfake gerados por IA usados para se passar por executivos em chamadas telefônicas ou de vídeo, solicitando transferências eletrônicas urgentes. Ainda é uma ameaça emergente em vez de generalizada, mas é a direção para onde a fraude está indo — e significa que "ouvi a voz do CEO, então deve ser real" não é mais uma suposição segura.
A Lacuna de Adoção de IA — Uma Oportunidade, Não Apenas um Aviso
Apenas 17% das organizações pesquisadas atualmente usam ferramentas de IA para mitigação de fraudes, embora aquelas que usam relatem benefícios significativos: 49% viram melhoria na eficiência do relatório de fraudes, 45% relataram melhor detecção de deepfakes e 43% viram identificação mais rápida de fraudes em tempo real.
Para uma pequena empresa, "usar IA para detecção de fraudes" não precisa significar construir algo personalizado. A maioria das plataformas bancárias e ferramentas de tesouraria modernas para empresas já incluem detecção básica de anomalias — sinalizar um pagamento excepcionalmente grande, indo para um novo beneficiário ou com timing estranho em comparação com seus padrões normais — em sua oferta padrão. A lacuna que a pesquisa da AFP está descrevendo não é realmente uma lacuna de IA; é uma lacuna de adoção. As ferramentas existem e muitas vezes já estão incluídas na conta empresarial do seu banco. A maioria das empresas simplesmente não as ativou.
Uma Lista de Verificação Prática de Prevenção de Fraude para Pequenas Empresas
Você não precisa de um departamento de tesouraria para reduzir significativamente seu risco de fraude. Aqui está o que realmente faz a diferença, aproximadamente em ordem de custo-benefício:
1. Ative o Positive Pay
Positive Pay é um serviço que a maioria dos bancos empresariais oferece (às vezes por uma pequena taxa mensal, às vezes grátis com uma conta empresarial) que compara cada cheque apresentado para pagamento com uma lista de cheques que você realmente emitiu. Se o número do cheque, valor ou beneficiário não corresponder ao que você informou ao banco que escreveu, ele é sinalizado antes de ser compensado, em vez de depois. Dado que os cheques são o método de pagamento mais visado, este é o controle de maior alavancagem nesta lista — e muitas vezes está parado, sem uso, no seu portal bancário online agora mesmo.
2. Adicione Bloqueios ou Filtros de Débito ACH
Se você não autoriza débitos ACH automáticos de fornecedores, pode bloqueá-los totalmente no nível do banco, ou definir filtros que só permitam débitos de uma lista pré-aprovada de empresas e valores. Isso fecha o segundo método de pagamento mais visado com uma única alteração de configuração.
3. Exija uma Chamada de Retorno para Qualquer Alteração de Dados Bancários
Isso é gratuito e leva cinco minutos para implementar: se um fornecedor, contratante ou "executivo" enviar um e-mail pedindo para você enviar o pagamento para uma nova conta bancária, verifique por telefone — usando um número que você já tem registrado, não um fornecido no e-mail — antes de enviar qualquer coisa. Este único hábito derrota a maioria dos ataques BEC, porque todo o esquema do fraudador depende de você confiar no e-mail pelo valor de face.
4. Separe Quem Aprova Pagamentos de Quem os Envia
Mesmo em uma empresa de duas ou três pessoas, ter uma pessoa inserindo um pagamento e uma pessoa diferente aprovando-o antes de sair cria uma verificação natural (sem trocadilhos) contra fraudes externas e erros internos. Se você é um operador individual verdadeiro, o substituto é um atraso obrigatório de 24 horas em qualquer pagamento novo ou excepcionalmente grande, dando a você uma janela de resfriamento para verificar novamente.
5. Reconcilie Semanalmente, Não Mensalmente
Fraudes detectadas em dias geralmente são recuperáveis; fraudes detectadas após um mês geralmente não são. Se sua contabilidade segue um ritmo mensal, você está dando a um cheque fraudulento ou débito ACH até quatro semanas para ser compensado, gasto e se tornar irrecuperável antes mesmo de perceber que aconteceu. É aqui que livros contábeis limpos e atualizados deixam de ser algo "bom de ter" e se tornam seu sistema real de detecção de fraudes — você não pode identificar uma transação não autorizada em uma reconciliação que ainda não foi feita.
Por que Seus Hábitos de Contabilidade São Sua Primeira Linha de Defesa
Cada controle nessa lista — positive pay, filtros ACH, verificação por chamada de retorno, aprovação dupla — depende de um hábito subjacente: saber exatamente o que deveria estar em suas contas a qualquer momento, para que qualquer coisa inesperada se destaque imediatamente. Uma empresa que reconcilia diariamente ou semanalmente com um razão claro e detalhado detectará um cheque fraudulento de R$ 4.000 em dias. Uma empresa que reconcilia uma vez por mês com uma planilha que ninguém abriu em três semanas pode não detectá-lo até que o dinheiro tenha ido embora há muito tempo.
Este é um dos argumentos mais sutis para manter seus livros em um formato que você possa realmente auditar linha por linha, em vez de um aplicativo de caixa-preta que resume sua posição de caixa sem mostrar o rastro de transações subjacente. Beancount.io oferece a você contabilidade em texto simples e com controle de versão — cada transação é uma entrada legível e com carimbo de data/hora que você (ou seu contador) pode revisar, comparar e reconciliar com seu extrato bancário sem ter que procurar em uma interface proprietária. Quando algo parece errado, você pode ver exatamente o que mudou e quando. Comece gratuitamente e veja como é mais fácil a fraude se destacar quando seus livros são realmente construídos para serem lidos.