Golpe da falsa central e Pix fraudulento: quando o banco pode ser responsabilizado?

Empréstimos não reconhecidos, transferências realizadas em sequência, utilização repentina de limites elevados e movimentações muito diferentes do histórico da conta podem indicar falha nos mecanismos de segurança de uma instituição financeira.

Isso, porém, não significa que todo golpe bancário gere automaticamente direito ao ressarcimento.

Nos casos envolvendo golpe da falsa central, engenharia social, invasão de conta, acesso remoto ou Pix fraudulento, a responsabilidade da instituição financeira depende das circunstâncias concretas e das provas disponíveis.

O ponto central é verificar se houve defeito na prestação do serviço bancário, especialmente nos mecanismos de autenticação, prevenção, monitoramento e bloqueio de operações suspeitas.

Como funciona o golpe da falsa central?

No chamado golpe da falsa central, criminosos entram em contato com a vítima apresentando-se como funcionários de uma instituição financeira.

Normalmente, alegam a existência de uma compra suspeita, tentativa de invasão, movimentação irregular ou outro suposto problema de segurança. Para aumentar a credibilidade, podem utilizar dados pessoais da vítima, números telefônicos aparentemente legítimos ou informações relacionadas à sua conta.

Em seguida, induzem o consumidor a praticar determinados atos, como:

• instalar aplicativos;
• fornecer informações;
• alterar senhas;
• aumentar limites;
• confirmar operações;
• realizar transferências;
• enviar valores para uma suposta “conta segura”.

Em situações mais graves, o fraudador consegue assumir o controle do aplicativo bancário, contratar empréstimos em nome da vítima e transferir os recursos logo depois.

Quando o prejuízo é descoberto, surge a principal dúvida: o banco é obrigado a devolver o dinheiro? A resposta juridicamente adequada é: depende do caso concreto.

Responsabilidade objetiva não significa ressarcimento automático

O artigo 14 do Código de Defesa do Consumidor estabelece a responsabilidade objetiva do fornecedor pelos danos decorrentes de defeitos na prestação do serviço. A Súmula 297 do Superior Tribunal de Justiça reconhece a aplicação do CDC às instituições financeiras.

Já a Súmula 479 do STJ trata da responsabilidade objetiva das instituições financeiras pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. A matéria também foi examinada no Tema Repetitivo 466.

“Responsabilidade objetiva não significa ressarcimento automático. A existência do golpe deve ser analisada juntamente com a segurança do serviço e as provas do caso concreto.”

Para que exista dever de reparação, devem ser analisados, entre outros elementos:

• a existência do prejuízo;
• eventual defeito ou falha do serviço;
• o nexo causal entre essa falha e o dano;
• as circunstâncias concretas em que a fraude ocorreu.

Assim, não basta demonstrar que houve um golpe. É necessário verificar se o prejuízo foi viabilizado ou agravado por uma deficiência concreta dos mecanismos de segurança da instituição.

Quando o banco pode ser responsabilizado?

A responsabilização pode ser discutida quando existirem elementos indicando que a instituição permitiu movimentações manifestamente suspeitas ou deixou de adotar controles de segurança compatíveis com o risco da operação.

1. Transações incompatíveis com o perfil do consumidor

Os sistemas de prevenção a fraudes podem considerar valores, horários, frequência, destinatários, dispositivos utilizados e sequência das operações. Uma transferência isolada pode não apresentar anormalidade. O cenário pode ser diferente quando surgem diversas operações em poucos minutos, destinadas a novos favorecidos e em valores muito superiores aos habitualmente movimentados.

No REsp nº 2.052.228/DF, a Terceira Turma do STJ reconheceu a responsabilidade da instituição em situação envolvendo empréstimo fraudulento e operações que destoavam do histórico dos consumidores.

Nos REsp nº 2.222.059/SP e nº 2.229.519/SP, julgados em 2025, o Tribunal voltou a destacar a necessidade de mecanismos capazes de identificar transações suspeitas considerando valor, horário, local, intervalo, sequência das movimentações e contratação de crédito atípico.

Podem funcionar como indícios de atipicidade:

• valores muito superiores aos normalmente movimentados;
• vários Pix realizados em curto intervalo;
• operações em horários incomuns;
• transferências para novos beneficiários;
• utilização repentina de grande parte do saldo ou dos limites;
• alteração recente de senha, aparelho ou limite;
• empréstimo seguido da rápida transferência dos recursos;
• acesso por dispositivo não habitualmente utilizado.

Nenhum desses elementos, isoladamente, garante o ressarcimento. A combinação entre eles, entretanto, pode ser relevante para verificar se as operações deveriam ter sido submetidas a mecanismos adicionais de segurança.

2. Empréstimo não reconhecido seguido de transferências

Quando o criminoso consegue contratar empréstimo em nome da vítima e imediatamente transfere os valores, a análise não deve se limitar às transferências. Também é necessário investigar:

• como o empréstimo foi autorizado e qual dispositivo foi utilizado;
• qual mecanismo de autenticação foi empregado e se houve validação biométrica;
• se o valor era compatível com o histórico do cliente;
• se ocorreram alterações recentes de senha ou limite;
• quanto tempo transcorreu entre a contratação e a transferência;
• quais verificações de segurança foram realizadas.

A contratação de crédito atípico imediatamente seguida da dispersão dos valores pode ser importante na apuração de eventual falha do sistema antifraude.

3. Invasão da conta ou utilização de dispositivo desconhecido

É importante distinguir a situação em que a própria vítima transfere valores porque foi enganada daquela em que terceiros assumem o controle da conta e realizam operações sem autorização.

Nos casos de invasão, acesso remoto ou cadastramento de novo dispositivo, podem ser relevantes registros técnicos mantidos pela instituição:

• dispositivo, data e horário dos acessos;
• registros de autenticação e forma de validação;
• alterações de limites e cadastramento de favorecidos;
• utilização de senha, token ou biometria;
• abertura e encerramento de sessões no aplicativo.

Essas informações normalmente não aparecem integralmente no extrato do consumidor e, conforme as circunstâncias, poderão ser solicitadas administrativamente ou obtidas pelas medidas processuais cabíveis.

4. Instituições de pagamento e contas utilizadas por fraudadores

O dever de segurança não se restringe aos bancos tradicionais. Instituições de pagamento também estão sujeitas a deveres relacionados às atividades que desenvolvem. Isso não significa que a instituição responsável pela conta utilizada pelo criminoso responda automaticamente.

No REsp nº 2.124.423/SP, o STJ examinou conta utilizada em golpe de falso leilão e afastou a responsabilidade porque não ficou demonstrada falha nas diligências de identificação e qualificação do titular. O simples uso posterior de uma conta por criminosos não basta, por si só, para caracterizar defeito.

A vítima confirmou o Pix. O banco deixa de responder?

Não necessariamente. Nos golpes de engenharia social, é comum que o consumidor seja induzido a confirmar operação, fornecer informação ou instalar aplicativo. A autorização formal não encerra automaticamente a investigação sobre a segurança do serviço.

No REsp nº 2.220.333/DF, o STJ analisou situação em que a vítima foi induzida a instalar aplicativo falso e depois ocorreram movimentações incompatíveis com seu padrão. Reconhecida a falha, a Terceira Turma afastou a divisão do prejuízo por culpa concorrente.

A conduta da vítima deve ser analisada com os demais elementos, verificando o que ocorreu antes, durante e depois da atuação do fraudador e se as operações deveriam ter acionado proteções adicionais.

Quando o banco pode não ser responsabilizado?

A responsabilidade poderá ser afastada quando não ficar demonstrada falha do serviço ou quando houver ruptura do nexo causal.

Em julho de 2026, no REsp nº 2.209.868/SP, a Terceira Turma reafirmou que a responsabilidade no golpe da falsa central não é automática. As instâncias ordinárias concluíram que não existiam transações incompatíveis com o perfil da cliente nem defeito no serviço.

A responsabilização pode ser afastada quando as provas demonstrarem, por exemplo:

• operações compatíveis com o histórico da conta;
• ausência de deficiência relevante na autenticação;
• inexistência de sinais objetivos que permitissem identificar a fraude;
• movimentações no contexto habitual de uso;
• observância dos mecanismos de segurança aplicáveis;
• evento exclusivamente externo ao serviço bancário.

Os precedentes que reconhecem a responsabilidade e aqueles que a afastam demonstram uma característica essencial: o resultado depende das circunstâncias e das provas de cada caso.

E quando o golpe ocorre por clonagem ou invasão do WhatsApp?

A clonagem ou invasão de uma conta de WhatsApp também não torna o banco automaticamente responsável. Quando alguém transfere dinheiro acreditando conversar com familiar, amigo, cliente ou fornecedor, é preciso verificar se a operação bancária apresentava elementos objetivos de anormalidade.

Podem ser relevantes o valor, o histórico, transferências sucessivas, novo beneficiário, alterações de limite, eventual contratação de crédito, alertas do aplicativo, dispositivo utilizado e reação da instituição após a comunicação.

Quando a fraude ocorre exclusivamente fora do ambiente bancário e a movimentação não apresenta sinais identificáveis de anormalidade, a demonstração de responsabilidade tende a ser mais complexa.

O que fazer imediatamente depois de descobrir o golpe?

A rapidez é especialmente importante: os valores podem ser transferidos para outras contas, utilizados ou sacados.

1. Conteste imediatamente a transação

Use o aplicativo ou outro canal oficial e informe expressamente que sofreu fraude, golpe ou crime. No Pix, solicite o Mecanismo Especial de Devolução — MED, quando houver enquadramento regulamentar. Aguardar reduz a possibilidade prática de localização dos recursos.

2. Utilize o mecanismo de contestação da instituição

Informe data, horário, valor, identificação do recebedor, instituição destinatária, comprovante e descrição objetiva do ocorrido.

3. Não espere o boletim de ocorrência para avisar o banco

O boletim é importante para documentar os fatos, mas não deve atrasar a comunicação. O ideal é realizar as providências paralelamente.

4. Proteja imediatamente os acessos bancários

• bloqueie temporariamente o aplicativo e encerre sessões ativas;
• altere senhas e exclua dispositivos desconhecidos;
• bloqueie cartões e reduza limites;
• conteste empréstimos não reconhecidos;
• bloqueie novas contratações, quando disponível;
• confira chaves Pix e favorecidos cadastrados.

5. Preserve todos os protocolos

Guarde números, datas, horários, canais, respostas, prazos, comprovantes, resultado do MED e eventual negativa. Se possível, peça a justificativa da recusa por escrito.

Como funciona o MED em 2026?

O Mecanismo Especial de Devolução — MED é um procedimento do Pix destinado a ampliar as possibilidades de recuperação em situações enquadradas nas regras de fraude, golpe ou crime.

Desde 2026, a chamada Recuperação de Valores permite rastrear o caminho dos recursos após a transação original e alcançar, dentro das regras do sistema, transações posteriores usadas para dispersar o dinheiro.

Em linhas gerais, o procedimento pode envolver:

1. contestação da operação pelo usuário;
2. abertura da Recuperação de Valores;
3. identificação das transações relacionadas;
4. bloqueio dos recursos disponíveis;
5. análise das notificações de suspeita de fraude;
6. devolução total ou parcial dos valores localizados, quando confirmados os requisitos.

O MED garante que o dinheiro será recuperado?

Não. O mecanismo amplia rastreamento, bloqueio e recuperação, mas não garante ressarcimento. A devolução depende do enquadramento, da confirmação da fraude, da localização de recursos, da existência de saldo e do processamento pelas instituições.

Se os valores já tiverem sido sacados, consumidos ou transferidos para contas sem saldo, a recuperação poderá ser parcial ou inviável. A impossibilidade de recuperar pelo MED também não exclui, por si só, eventual responsabilidade civil: a recuperação administrativa e a análise jurídica do defeito do serviço são questões distintas.

Quando o MED não se aplica?

O MED não é um sistema geral de cancelamento de pagamentos. Em regra, não se destina a:

• simples arrependimento;
• desacordo comercial ou insatisfação com produto ou serviço;
• Pix enviado por engano;
• controvérsia contratual sem fraude;
• pagamento a terceiro de boa-fé que não participou do golpe.

Também não se confunde com o chargeback dos cartões.

Quais documentos devem ser reunidos?

A documentação pode ser decisiva para reconstruir a fraude e para a análise administrativa ou judicial. Preserve, conforme o caso:

• comprovantes completos e extrato bancário do dia;
• extratos dos meses anteriores;
• documentos de empréstimos não reconhecidos e liberação de crédito;
• protocolos, respostas do banco e resultado ou negativa do MED;
• boletim de ocorrência;
• capturas de mensagens, histórico de chamadas, números, gravações, áudios e links;
• alertas do aplicativo e comprovantes de alteração de senha ou limite;
• documentos de negativação e parcelas cobradas.

Os extratos anteriores ao golpe são particularmente importantes porque permitem comparar as operações contestadas com o padrão histórico da conta.

O banco negou o ressarcimento. Isso encerra o caso?

Não. A negativa administrativa é a conclusão da instituição a partir de sua análise e, conforme as provas, poderá ser juridicamente questionada.

Movimentações incompatíveis com o perfil, deficiência de autenticação, acesso por dispositivo desconhecido, empréstimo não autorizado, alteração irregular de limite, ausência de reação diante de operações atípicas, falhas na contestação e informações insuficientes sobre a autenticação podem justificar investigação aprofundada.

Uma análise jurídica poderá envolver pretensões sobre empréstimo contestado, cobranças, negativação, restituição ou obtenção de registros técnicos. A viabilidade depende sempre das provas e peculiaridades do caso.

O dano moral é automático?

Não. Fraude ou prejuízo patrimonial não significam automaticamente indenização por dano moral. Devem ser examinadas as repercussões concretas, como negativação indevida, cobranças de contrato contestado, comprometimento de recursos de subsistência, restrições injustificadas e intensidade das consequências.

Dano material e dano moral não devem ser tratados como consequências necessariamente idênticas de uma fraude bancária.

Cinco sinais de que o caso exige análise mais detalhada

1. houve empréstimo não reconhecido antes das transferências;
2. diversos Pix foram realizados em poucos minutos;
3. os valores eram muito superiores aos normalmente movimentados;
4. ocorreu acesso por dispositivo ou beneficiário desconhecido;
5. a instituição apresentou resposta genérica, sem esclarecer a autenticação.

Quanto mais rapidamente as informações forem preservadas, melhores serão as condições para reconstruir os acontecimentos.

Perguntas frequentes

A vítima fez pessoalmente o Pix. Ainda pode existir responsabilidade do banco?

Sim, dependendo das circunstâncias. A confirmação não afasta automaticamente eventual falha de segurança. Devem ser examinados a fraude, o histórico e as características das operações.

O boletim de ocorrência obriga o banco a devolver o dinheiro?

Não. Ele registra os fatos, mas normalmente não demonstra sozinho defeito no serviço. A análise deve considerar extratos, comprovantes, protocolos, mensagens e demais elementos.

O banco negou o MED. Ainda é possível discutir judicialmente?

Sim. O resultado administrativo não impede a análise judicial da eventual responsabilidade civil, dos mecanismos de autenticação, da segurança e da compatibilidade das operações com o perfil.

O banco pode continuar cobrando um empréstimo que o consumidor afirma não ter contratado?

A simples contestação não necessariamente interrompe a cobrança. Devem ser examinados documentos, autenticação, dispositivo e as circunstâncias em que o crédito foi contratado, liberado e movimentado. Conforme a situação, poderão ser avaliadas as medidas cabíveis.

Existe prazo para contestar um Pix pelo MED?

A contestação deve ser apresentada o mais rapidamente possível. Nas hipóteses abrangidas, determinadas transações podem ser contestadas em até 80 dias, mas esperar reduz substancialmente a possibilidade prática de recuperação.

Conclusão

Nos golpes da falsa central, engenharia social, acesso remoto, invasão de conta ou uso fraudulento do Pix, não existe solução jurídica automática para todos os casos.

A instituição poderá ser responsabilizada quando as provas demonstrarem defeito de segurança, falha de autenticação, contratação não autorizada ou operações manifestamente incompatíveis com o perfil. A responsabilidade poderá ser afastada quando os mecanismos funcionaram adequadamente e não existiam elementos objetivos que relacionassem o prejuízo a um defeito do serviço.

A análise exige reconstruir os fatos, comparar as operações com o histórico da conta, examinar a autenticação e avaliar as providências do banco após a comunicação.

Diante da descoberta do golpe, as providências mais importantes são comunicar imediatamente a instituição, utilizar os mecanismos de contestação, solicitar o MED quando cabível e preservar toda a documentação.