Porque a fraude nos pagamentos é um problema de todas as empresas
Imagine que a sua equipa de contas a pagar recebe um e-mail. Parece exatamente uma mensagem de um fornecedor de longa data: o mesmo logótipo, a mesma assinatura, o mesmo tom familiar. A mensagem indica que os dados bancários do fornecedor foram alterados e pede-lhe que direcione o próximo pagamento para uma nova conta. O pagamento é efetuado. Uma semana depois, o fornecedor verdadeiro liga a perguntar porque é que a fatura está em atraso. Nessa altura, o dinheiro já desapareceu.
Este não é um cenário hipotético. Acontece a empresas em todo o mundo, todos os dias.
A fraude nos pagamentos não afeta apenas bancos ou sociedades de investimento. Afeta todas as empresas que pagam a fornecedores, liquidam faturas ou recebem pagamentos de clientes. E uma das ferramentas mais práticas disponíveis para a combater é o código LEI — algo de que a maioria das empresas comuns nunca ouviu falar.
A dimensão da fraude nos pagamentos é impressionante
A fraude nos pagamentos não é um problema marginal. Segundo a Association for Financial Professionals, 76% das organizações sofreram tentativas ou casos efetivos de fraude nos pagamentos em 2025. Isto significa que duas em cada três empresas enfrentam tentativas de fraude em qualquer ano.
Os ataques visam precisamente as pessoas que tratam das faturas e pagamentos do dia a dia: contabilistas, gestores financeiros e equipas de compras. Segundo o Internet Crime Report 2024 do FBI, o comprometimento de e-mail empresarial causou perdas de 2,77 mil milhões de dólares só nos Estados Unidos em 2024, em 21.442 incidentes reportados. E esses são apenas os casos que foram comunicados.
Como funciona a fraude nos pagamentos: três esquemas comuns
Todas as formas de fraude nos pagamentos partilham uma condição subjacente: o fraudador tem sucesso porque a vítima não consegue verificar rapidamente a identidade da contraparte.
Fraude de faturas e usurpação de identidade de fornecedores
O fraudador identifica um fornecedor habitual na sua rede e envia uma fatura que parece idêntica a uma verdadeira. Apenas os dados bancários são diferentes. Em muitos casos, não é necessário qualquer acesso a sistemas. Informação publicamente disponível, um endereço de e-mail semelhante e alguma paciência são suficientes. As pequenas empresas estão particularmente expostas, porque tendem a ter menos etapas formais de verificação implementadas.
Comprometimento de e-mail empresarial
O comprometimento de e-mail empresarial, ou BEC, é mais sofisticado e mais prejudicial. O fraudador obtém acesso à conta de e-mail do seu fornecedor, acompanha a correspondência durante semanas e intervém no momento exato, imediatamente antes de vencer uma fatura de valor elevado. Apenas os dados de pagamento são alterados, e o dinheiro vai para a conta errada.
O que torna isto difícil de detetar é que a mensagem vem de um endereço de e-mail genuíno, segue um fio de conversa real e não contém sinais técnicos de fraude. Os filtros de segurança de e-mail padrão não a bloqueiam.
Criação de fornecedor falso
O fraudador cria uma empresa fictícia, regista-a, cria um website e apresenta uma proposta. A empresa assina um contrato, paga um adiantamento e o fornecedor desaparece. Este esquema tende a visar organizações maiores, com processos de compras mais complexos.
Nos três casos, a vítima não conseguiu verificar de forma fiável com quem estava realmente a lidar. Um nome de empresa não é um identificador único, e os fraudadores exploram deliberadamente essa lacuna.
Porque é tão difícil verificar a identidade
Os números de registo são específicos de cada jurisdição. Um número de registo empresarial estónio não significa nada para um banco alemão ou para um parceiro em Singapura. Cada país utiliza o seu próprio formato, o seu próprio registo e a sua própria língua. Nos negócios transfronteiriços, isto significa que verificar a identidade de uma contraparte exige trabalho manual lento.
Os nomes das empresas não são únicos. Muitas jurisdições permitem nomes semelhantes ou até idênticos em países diferentes. Os fraudadores registam empresas com nomes muito parecidos com os de organizações conhecidas e contam com o facto de equipas financeiras ocupadas poderem não notar a diferença.
O que o código LEI realmente mostra
O código LEI, ou Legal Entity Identifier, é um identificador único de 20 caracteres que qualquer entidade jurídica no mundo pode obter. A GLEIF (Global Legal Entity Identifier Foundation) mantém uma base de dados pública com informação verificada e atualizada para cada entidade registada.
Uma pesquisa de LEI devolve o seguinte:
Dados de nível 1 (“quem é quem”): denominação legal, morada registada, país e jurisdição, número de registo comercial e respetivo registo, tipo de entidade, estado do LEI (Ativo ou Caducado) e histórico de alterações ao registo.
Dados de nível 2 (“quem detém quem”): entidade-mãe direta e entidade-mãe final dentro de uma estrutura societária.
O que uma pesquisa de LEI não mostra: dados de conta bancária, números de contacto ou pessoas singulares. Compreender isto é importante para utilizar a ferramenta corretamente.
A base de dados de LEI é gratuita, aberta e não requer registo. Está disponível em GLEIF LEI Search.
Como o LEI atua contra a fraude na prática
Verificação manual em três passos
Passo 1 — Solicite o código LEI a qualquer novo fornecedor. Adicione um único campo ao seu processo de integração de fornecedores: código LEI. Isto é uma parte padrão da diligência devida da contraparte que um número crescente de empresas já aplica por rotina.
Passo 2 — Verifique o código na base de dados da GLEIF. Introduza o código LEI em GLEIF LEI Search ou utilize a ferramenta de pesquisa de LEI no nosso website. Verá imediatamente a denominação legal, a morada registada e o número de registo comercial. Compare estes dados com os que constam na fatura ou no contrato. Se tudo coincidir, a identidade fica confirmada. Se não coincidir, é um sinal de alerta claro.
Preste atenção também ao estado do LEI. Ativo significa que os dados estão atuais e verificados. Caducado significa que a entidade não renovou o seu LEI e a exatidão dos dados é incerta. Um LEI caducado é, por si só, um sinal de risco que não deve ser ignorado.
Passo 3 — Trate qualquer alteração de dados bancários como um processo em duas etapas. O LEI não mostra informação de contas bancárias, pelo que não pode substituir totalmente uma verificação manual nesta situação. Mas continua a ajudar. Se receber um pedido para alterar os dados de pagamento, primeiro verifique, através do LEI, que o remetente é quem afirma ser. Depois, ligue diretamente ao fornecedor utilizando um número de contacto já existente nos seus registos, e não um fornecido na nova mensagem. Estes dois passos, em conjunto, cobrem os cenários mais comuns de fraude de faturas.
Verificação automatizada para organizações maiores
Para organizações maiores que gerem centenas de fornecedores e processam elevados volumes de pagamentos, as verificações manuais são demasiado lentas. É aqui que o LEI se torna particularmente valioso, porque é um formato de dados estruturado e legível por máquina.
A GLEIF disponibiliza uma API pública que permite integrar dados de LEI diretamente em software empresarial. Uma plataforma de contas a pagar ou um sistema de gestão de fornecedores pode consultar automaticamente a base de dados da GLEIF para cada nova contraparte, comparar os resultados com os registos existentes e sinalizar quaisquer discrepâncias para revisão humana. A verificação de identidade acontece em segundo plano, sem necessidade de pesquisa manual.
O LEI no enquadramento regulamentar
O código LEI não é apenas uma ferramenta voluntária. Reguladores em todo o mundo começaram a associá-lo diretamente à segurança dos pagamentos e à prevenção de fraude.
O Regulamento da UE sobre Pagamentos Imediatos exige que todos os prestadores de serviços de pagamento da área do euro verifiquem o nome do beneficiário antes de processarem transferências imediatas desde outubro de 2025. O regulamento reconhece o LEI como uma ferramenta para automatizar a correspondência de um IBAN com o nome do titular da conta. Isto reduz diretamente o risco de fraude por pagamento autorizado (authorised push payment fraud), em que os fundos são enviados para uma conta controlada por um fraudador. Para mais detalhes, consulte o nosso artigo sobre LEI e verificação do beneficiário.
O Financial Action Task Force (FATF) atualizou o seu padrão internacional de transparência de pagamentos, a Recomendação 16, em junho de 2025. Ao abrigo do padrão revisto, os pagamentos transfronteiriços acima de 1.000 euros ou dólares devem incluir informação verificada tanto sobre o ordenante como sobre o beneficiário. Quando a parte é uma entidade jurídica, o LEI é um dos identificadores aceites. O padrão entra plenamente em vigor em 2030.
O que a sua empresa pode fazer hoje
Obtenha um código LEI para a sua empresa. Com um LEI, pode partilhar um identificador verificado com parceiros, incluí-lo em faturas e contratos e utilizá-lo como prova de que a sua empresa é quem afirma ser. Isto é especialmente importante em transações transfronteiriças, em que a sua contraparte pode não ter qualquer familiaridade com o seu registo comercial local. O registo demora alguns minutos e o LEI é emitido quase de imediato: registe o seu código LEI.
Exija um LEI aos seus fornecedores. Adicione um campo ao seu processo de integração de fornecedores. A verificação é gratuita e demora segundos. Se os dados coincidirem, tem confirmação. Se não coincidirem, tem motivos para colocar questões antes de efetuar um pagamento.
Aplique uma regra para alterações de dados bancários. Qualquer pedido de alteração de dados de pagamento deve exigir duas confirmações: uma verificação do LEI e uma chamada telefónica para um número de contacto já existente nos seus registos. Esta única regra teria evitado a maioria dos casos clássicos de fraude de faturas.
Inclua o seu LEI nas suas faturas. Isto ajuda os seus parceiros a verificar a sua identidade e sinaliza que a sua empresa leva a transparência a sério.
Resumo
A maioria das fraudes nos pagamentos tem sucesso porque a identidade da contraparte é difícil de verificar de forma rápida e fiável. O código LEI resolve um ponto fraco específico e muito comum: um único identificador globalmente único e publicamente verificável torna a fraude significativamente mais difícil de executar. As pequenas empresas podem fazer a verificação manualmente em segundos. As organizações maiores podem automatizar o processo por completo.
Se a sua empresa ainda não tem um código LEI, obtê-lo é o passo mais simples que pode dar hoje para melhorar a segurança dos seus pagamentos: registe o seu código LEI.
Se o seu código LEI precisar de renovação, pode fazê-lo aqui: renove o seu código LEI.