Golpe do Boleto na Escola: Como Proteger as Famílias na Matrícula
Como o golpe do boleto chega às famílias, o que o boleto verdadeiro mostra, checklist da escola, modelo de comunicado e o que fazer se alguém pagar ao golpista.
Autor: Jonathas Alves
No fim de dezembro, as famílias recebem o boleto da matrícula e o da primeira mensalidade. Os golpistas sabem disso. Mandam boleto falso pelo WhatsApp, com a logo da escola, ou trocam o QR Code do Pix por um que cai em outra conta. A família paga, a escola não recebe, e a conversa difícil fica para janeiro.
A escola não controla o celular de ninguém, mas controla três coisas: como o boleto verdadeiro chega, o que ela avisa antes e o que faz quando alguém cai no golpe. Este guia traz um checklist para a escola, um modelo de comunicado às famílias e o que fazer nas primeiras horas. As normas citadas foram conferidas nas fontes oficiais em 3 de novembro de 2026.
Como o golpe do boleto chega às famílias da escola
Os golpes mudam de roupa, mas quase sempre seguem um destes caminhos:
- Perfil falso no WhatsApp: número novo, foto com a logo da escola e uma mensagem do tipo "o sistema mudou, segue o boleto atualizado".
- E-mail parecido: endereço com uma letra trocada ou domínio diferente do da escola.
- Boleto adulterado: o PDF verdadeiro é alterado antes de chegar à família, ou um programa malicioso no computador troca o código na hora de imprimir.
- Desconto para pagar hoje: ligação ou mensagem oferecendo abatimento se o pagamento for feito por Pix, para uma chave que não é da escola.
- Dados reais na mensagem: nome do aluno, série, valor e vencimento corretos. É o golpe mais convincente e o que mais preocupa, porque pode indicar que dados saíram de algum lugar.
O golpista se apoia na confiança que a família tem na escola. Por isso a defesa começa por um canal único e conhecido de cobrança.
O que o boleto verdadeiro precisa mostrar
A Resolução BCB nº 443, de 12 de dezembro de 2024, disciplina o boleto desde 3 de fevereiro de 2025 e revogou as circulares antigas sobre o tema. Conferimos o texto atualizado, com as alterações de 2025 e de setembro de 2026, nenhuma delas nos pontos abaixo. O art. 7º exige que todo boleto traga, no mínimo:
- nome e CPF ou CNPJ do pagador;
- a instituição emissora e, quando houver, o terceiro que habilitou o beneficiário;
- nome, endereço e CPF ou CNPJ do beneficiário, inclusive quando ele foi habilitado por terceiro;
- valor, vencimento e eventuais condições de desconto.
O art. 6º, § 2º, permite que o boleto seja apresentado para pagamento também por outro arranjo, como o Pix. É o boleto com QR Code.
Na prática, o dado que mais protege é o beneficiário. Ele é a escola, identificada pela razão social e pelo CNPJ, mesmo quando o boleto sai por uma instituição de pagamento, que aparece em campo separado. A razão social pode ser diferente do nome fantasia que a família conhece. Por isso a escola precisa dizer antes qual nome vai aparecer.
Outra ajuda é o DDA (Débito Direto Autorizado), que leva ao aplicativo do banco os boletos emitidos contra o cliente. A família pergunta ao próprio banco se ele oferece.
O que a carta de cobrança precisa conter por força do Código de Defesa do Consumidor está no modelo de carta de cobrança de mensalidade escolar. Aqui o foco é outro: fazer a família reconhecer a cobrança verdadeira.
Checklist da escola antes de enviar os boletos de matrícula
Checklist nosso, sem base em norma. Faça antes da primeira cobrança de 2027.
| Item | O que fazer |
|---|---|
| 1. Canal oficial | Defina um número de WhatsApp e um e-mail do financeiro. Só eles enviam boleto e Pix. |
| 2. Teste de pagamento | Pague um boleto e um Pix de valor baixo. Anote o nome e o CNPJ exatos na tela do banco. Se o beneficiário não for a escola, questione a instituição de pagamento. |
| 3. Chave Pix | Se a escola divulga chave Pix, use a do CNPJ da escola. Nunca CPF de funcionário ou do dono. |
| 4. Segunda via | Ofereça um caminho que a família abre por conta própria, como o portal do responsável, em vez de PDF repassado. |
| 5. Comunicado prévio | Envie o aviso às famílias antes dos boletos, não depois do primeiro golpe. |
| 6. Acessos | Revise quem exporta a lista de alunos e responsáveis. Ex-funcionário sem acesso, senha trocada, cada um vendo só o que precisa. |
| 7. Planilhas soltas | Apague listas com nome, CPF e valor que circulam por e-mail ou pendrive. |
| 8. Grupos de turma | Proíba cobrança em grupo. Boleto vai só para o contratante, em conversa privada. |
| 9. Roteiro de atendimento | Treine a secretaria para responder "esse boleto é verdadeiro?" em minutos, conferindo no sistema. |
| 10. Registro | Crie uma planilha ou formulário para anotar cada relato de golpe: data, canal, valor e o que a família recebeu. |
O item 8 também é regra de LGPD. O guia de comunicação escola-família pelo WhatsApp mostra como separar recado coletivo de assunto financeiro.
Modelo de comunicado às famílias
Envie pelo canal oficial e repita no site. Os colchetes saem do teste do item 2.
Assunto: como reconhecer os boletos e o Pix da [nome da escola]
Prezadas famílias,
Nos próximos dias vocês vão receber o boleto da matrícula e o da primeira mensalidade de 2027. Para evitar golpes, combine com a gente estas regras:
- Enviamos cobranças só pelo WhatsApp [número] e pelo e-mail [endereço]. Qualquer outro número, mesmo com a nossa logo, não é da escola.
- Antes de digitar a senha, confira a tela do banco. O beneficiário deve ser [nome exato que aparece], CNPJ [00.000.000/0000-00]. No Pix, o recebedor deve ser [nome exato].
- A segunda via está sempre em [portal do responsável ou caminho oficial].
- Não oferecemos desconto por telefone para pagamento imediato e nunca pedimos Pix para conta de pessoa física.
- Recebeu algo estranho? Não pague. Mande um print para [canal] e respondemos em até [prazo], em dias úteis.
Se você já pagou e desconfia, avise o seu banco na hora e fale com a gente no mesmo dia.
Atenciosamente,
[Nome], [cargo]
[Razão social], CNPJ [00.000.000/0000-00]
Se uma família caiu no golpe
O primeiro passo é da família, com o banco dela. O caminho depende de como ela pagou.
Pagou por Pix, inclusive pelo QR Code do boleto
O Pix tem o Mecanismo Especial de Devolução, o MED. A Resolução BCB nº 493, de 28 de agosto de 2025, criou a recuperação de valores: rastrear, bloquear e devolver o dinheiro, inclusive de contas para onde ele foi repassado. Pelo regulamento do Pix, esse procedimento é iniciado pelo banco de quem pagou, depois da reclamação do cliente, quando há fundada suspeita de fraude. Ele é obrigatório para os bancos e instituições que oferecem conta desde 2 de fevereiro de 2026. A devolução depende de haver saldo, por isso a orientação é contestar no aplicativo do banco no mesmo dia.
Pagou pelo código de barras
Até 3 de novembro de 2026 não localizamos, nas normas do Banco Central, mecanismo de devolução por fraude equivalente ao MED para boleto pago pelo código de barras. A família deve avisar o banco imediatamente, guardar o comprovante e registrar boletim de ocorrência. Não prometa que o valor volta.
O que a escola faz no mesmo dia
- Registre o relato com prints, data, canal e valor.
- Confira no sistema se a parcela verdadeira continua em aberto.
- Veja se a mensagem falsa tinha dados que só a escola teria. Se tinha, siga a próxima seção.
- Reenvie o comunicado a todas as famílias, citando o novo número ou e-mail usado pelo golpista.
- Leve o caso ao advogado antes de decidir o que fazer com a parcela.
Golpe com dados reais: quando vira incidente de segurança
Golpista que só copia a logo não é vazamento. Mas se a mensagem trazia nome do aluno, série, valor e vencimento corretos, a escola precisa apurar se houve incidente de segurança. A LGPD obriga a escola a adotar medidas de segurança contra acesso não autorizado (art. 46) e a comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante (art. 48). Os dois artigos estão sem alteração no texto compilado.
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, detalha o rito. Até 3 de novembro de 2026 não localizamos alteração nela.
- Quando comunicar: o incidente é relevante quando pode afetar significativamente os titulares e envolve, entre outros, dados financeiros ou dados de crianças e adolescentes (art. 5º). Fraude financeira é citada como exemplo de dano (art. 5º, § 1º).
- Prazo: três dias úteis, contados de quando a escola soube que dados pessoais foram afetados, tanto para a ANPD (art. 6º) quanto para as famílias (art. 9º).
- Pequeno porte: a norma conta o prazo em dobro para agente de pequeno porte, mas a Resolução CD/ANPD nº 2/2022 exclui do benefício quem faz tratamento de alto risco, e dados de crianças e adolescentes estão entre os critérios. Confira o enquadramento com o advogado; na dúvida, trabalhe com três dias úteis.
- Aviso às famílias: linguagem simples, direto a cada uma, por e-mail, mensagem ou carta, com os dados afetados, os riscos, as medidas tomadas e um contato (art. 9º).
- Registro: todo incidente fica registrado por no mínimo cinco anos, mesmo o que não foi comunicado, com o motivo da decisão (art. 10).
O guia prático de LGPD para escolas ajuda a nomear o encarregado e a organizar esses registros antes que o problema apareça.
Quem responde pelo prejuízo
Não existe resposta única. O que a lei diz:
- O art. 14 do Código de Defesa do Consumidor diz que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos na prestação do serviço. O § 3º, II, diz que ele não responde se provar a culpa exclusiva do consumidor ou de terceiro.
- O art. 44, parágrafo único, da LGPD diz que "responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador" que, ao deixar de adotar as medidas do art. 46, der causa ao dano.
Se a escola deve aceitar o pagamento feito ao golpista, cobrar de novo ou dividir o prejuízo depende dos fatos de cada caso. Decida com o advogado da escola, caso a caso, e registre a decisão.
Perguntas frequentes
A escola pode cobrar a parcela de quem pagou o boleto falso?
A parcela verdadeira continua em aberto, mas o tratamento do caso se decide com o advogado. Enquanto isso, suspenda os lembretes automáticos da régua de cobrança para essa parcela.
Como a Toth ajuda nisso
A Toth não impede golpes fora do sistema nem devolve valores. Ela ajuda a escola a ter um caminho único e conferível. A gestão financeira gera boleto e Pix com QR Code em cada parcela, com segunda via no portal do responsável. A régua de cobrança por e-mail e WhatsApp usa modelos que a escola edita, e por isso o aviso sobre golpe pode entrar nas mensagens. A conciliação bancária mostra rápido se a parcela foi paga de verdade, como explica o post sobre conciliação bancária na escola. O acesso é por usuário, com permissões por perfil, e a comunicação com o sistema é criptografada.
Veja como isso funciona para escolas particulares e confira o que entra na taxa de matrícula da escola particular antes de emitir os boletos.
Fontes: Resolução BCB nº 443/2024 e alterações, Resolução BCB nº 493/2025, LGPD, CDC e Resoluções CD/ANPD nº 15/2024 e nº 2/2022, conferidas em 3 de novembro de 2026. Este conteúdo não é orientação jurídica.
Conheça por dentro o sistema de gestão escolar da Toth.
