WhatsApp

Caí no golpe da falsa central: quando o banco pode responder pelo prejuízo?

Capa: Caí no golpe da falsa central: quando o banco pode responder pelo prejuízo?

Atualizado em 20 de outubro de 2026.

O banco pode responder pelo prejuízo do golpe da falsa central quando a fraude só deu certo porque houve falha no serviço bancário: operações muito fora do perfil do cliente que passaram sem bloqueio ou dados bancários sigilosos que vazaram do próprio sistema do banco. Quando o próprio cliente fez as operações, elas eram compatíveis com o seu histórico e nada indicava anormalidade, os tribunais costumam afastar a responsabilidade. Não existe indenização automática: cada caso é decidido conforme as provas.

A regra geral: responsabilidade objetiva e fortuito interno

O Código de Defesa do Consumidor se aplica aos bancos (Súmula 297 do STJ). Pelo art. 14 do CDC, o fornecedor responde pelos danos causados por defeito na prestação do serviço, sem que o consumidor precise provar culpa. Isso se chama responsabilidade objetiva. O serviço é defeituoso quando não oferece a segurança que dele se pode esperar.

A Súmula 479 do STJ diz que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Fortuito interno é o risco que faz parte da própria atividade do banco, como a fraude que explora brechas do sistema. A mesma ideia está no Tema 466 dos recursos repetitivos, julgado em 2011.

O mesmo art. 14, no § 3º, prevê as excludentes: o banco não responde se provar que o defeito não existiu ou que houve culpa exclusiva do consumidor ou de terceiro. É nessa disputa que se decide quase todo processo de golpe: o cliente aponta a falha de segurança e o banco sustenta que o prejuízo decorreu apenas da conduta da vítima e do golpista.

Como o STJ tem decidido

As decisões abaixo são de casos concretos e orientam os demais tribunais, mas não são precedentes vinculantes.

  • REsp 2.052.228/DF (Terceira Turma, 2023). Um dos titulares de uma conta de clientes idosos recebeu ligação de falso funcionário e foi orientado a aumentar o limite de transações no caixa eletrônico. Em seguida, o golpista contratou empréstimo em nome do cliente e usou todo o dinheiro, inclusive o saldo que já havia na conta. O STJ afirmou que o banco tem o dever de criar mecanismos que identifiquem e impeçam movimentações que destoam do perfil do consumidor. O empréstimo foi declarado inexigível e o saldo desviado teve de ser devolvido.
  • REsp 2.077.278/SP (Terceira Turma, 2023). A cliente pagou um boleto falso depois de contato de golpista que conhecia dados do seu financiamento. O STJ reconheceu a responsabilidade do banco pelo vazamento de dados bancários sigilosos, com apoio também na LGPD. A ministra relatora registrou que é preciso demonstrar que a origem do tratamento indevido dos dados foi o sistema bancário, pois dados cadastrais básicos podem ter outras fontes.
  • REsp 2.222.059 e REsp 2.229.519 (Terceira Turma, 2025). Houve 14 operações em um único dia, em conta que tinha poucas movimentações por mês. O STJ entendeu que validar operações suspeitas e alheias ao perfil do correntista caracteriza defeito do serviço, regra que alcança também as instituições de pagamento.
  • REsp 2.209.868 (Terceira Turma, 2026). A consumidora fez dois Pix de valores compatíveis com o histórico da conta e, no dia seguinte, foi pessoalmente à agência transferir R$ 28 mil para o golpista. O STJ manteve a improcedência: a responsabilidade do banco não é automática e depende de prova de falha, como a falta de identificação de operações incompatíveis com o perfil. No caso, ficou reconhecida a culpa exclusiva da vítima e de terceiros.

No REsp 2.209.868, o STJ também deixou de reexaminar as provas por causa da Súmula 7, que impede essa análise em recurso especial. Na prática, o que se prova no primeiro grau tende a definir o resultado.

Quem fez a operação faz diferença

Há dois cenários diferentes. No primeiro, o golpista usa dados, senha ou aparelho obtidos de forma ilícita e faz as transações sem participação do cliente. Costuma ser tratado como fortuito interno, inclusive quando há empréstimo não reconhecido contratado em nome da vítima.

No segundo, o próprio cliente, enganado pela falsa central, faz o Pix, a transferência ou o pagamento. Aqui a análise é mais rigorosa. O juiz costuma examinar se as operações fugiam do padrão da conta (valor, horário, frequência, destinatário novo, sequência de transações em poucos minutos), se o banco emitiu alertas, se houve contratação de crédito seguida de saída imediata do dinheiro e se a vítima é idosa ou tem outra vulnerabilidade, ponto considerado pelo STJ no REsp 2.052.228.

Situações em que a responsabilidade costuma ser afastada

  • o cliente entregou senha, token ou código de confirmação voluntariamente, fora dos canais do banco, sem que houvesse falha no sistema;
  • as operações eram compatíveis com o perfil e o histórico da conta;
  • o golpe começou fora da relação bancária, como em rede social ou falsa venda, e o banco apenas executou ordens regulares do titular;
  • a vítima fez a operação presencialmente e não houve indício de anormalidade que o banco devesse detectar.

Mesmo nesses casos, a conclusão depende do conjunto de provas. Um detalhe como a ligação feita de número oficial do banco, dados sigilosos que o golpista conhecia ou um limite elevado sem confirmação adicional pode mudar a análise.

Golpe com Pix: MED, MED 2.0 e prazos

O regulamento do Pix, anexo à Resolução BCB nº 1/2020, criou o Mecanismo Especial de Devolução (MED), que permite a devolução de valores em casos de fraude ou falha operacional. A vítima pede a contestação ao próprio banco, o que bloqueia os valores na conta recebedora. O pedido pode ser feito para transações ocorridas há no máximo 80 dias. Os aplicativos devem oferecer, no ambiente Pix, uma função para contestar a transação em caso de golpe e acompanhar o andamento, sem depender da central de atendimento.

A Resolução BCB nº 493/2025 trouxe o chamado MED 2.0, que permite rastrear o caminho do dinheiro, fazer múltiplos bloqueios e devoluções parciais, inclusive de contas para onde os valores foram repassados. A adoção foi facultativa a partir de 23 de novembro de 2025 e passou a ser obrigatória em 2 de fevereiro de 2026. A Resolução BCB nº 546/2026 dispensou a abertura de processo de apuração contra as instituições por descumprimentos dessa implantação ocorridos entre 2 de fevereiro e 10 de maio de 2026. A dispensa alcançou só a apuração: a obrigação de implantar foi mantida.

A devolução pelo MED depende de saldo nas contas atingidas. Se o dinheiro não voltar, a responsabilidade do banco ainda pode ser discutida na Justiça. As regras do Pix, com a redação da Resolução BCB nº 403/2024, também exigem que as instituições usem solução de gerenciamento de risco de fraude capaz de identificar transações atípicas ou incompatíveis com o perfil do cliente, o que reforça o dever reconhecido pelo STJ. Veja mais sobre o tema em golpe do Pix.

Existe lei nova ou tese repetitiva sobre o assunto?

Até 20 de outubro de 2026, não localizamos lei federal vigente que trate especificamente da responsabilidade dos bancos por golpes de engenharia social, nem tese repetitiva do STJ sobre a falsa central. Valem o CDC, a Súmula 479, o Tema 466 e as normas do Banco Central. Há projetos em tramitação na Câmara dos Deputados, como o PLP 6/2025, que trata de medidas contra fraudes em transferências autorizadas pela própria vítima. Projeto de lei não obriga ninguém enquanto não for aprovado, sancionado e publicado.

E se a vítima for uma empresa?

O CDC se aplica quando a empresa é destinatária final do serviço bancário ou quando demonstra vulnerabilidade diante do banco, segundo a jurisprudência do STJ. Fora dessas hipóteses, a discussão segue as regras do contrato e do Código Civil. O MED vale para qualquer usuário do Pix, pessoa física ou jurídica. Veja também a página de advogado bancário.

O que fazer e quais provas guardar

  1. Avise o banco imediatamente pelos canais oficiais, peça o bloqueio e a contestação pelo MED e anote cada número de protocolo.
  2. Registre boletim de ocorrência.
  3. Guarde prints de conversas, SMS e e-mails, o extrato com o horário de cada operação e o registro de chamadas com o número que ligou.
  4. Se o banco não resolver, registre reclamação no canal de reclamações do Banco Central e no consumidor.gov.br.
  5. Guarde as respostas do banco, inclusive a negativa da devolução pelo MED.

Avisar o banco logo aumenta a chance de bloqueio dos valores. O prazo do CDC para a ação de reparação por defeito do serviço é de cinco anos, contados do conhecimento do dano e de sua autoria (art. 27), mas a demora dificulta a recuperação do dinheiro. Outros direitos do consumidor estão na página de direito do consumidor.

Cada caso depende das operações, dos registros e das provas disponíveis. Se quiser uma análise individual, envie seu caso pela página de atendimento ao consumidor ou fale com a equipe pelo WhatsApp (61) 99833-1103.

Perguntas frequentes

O banco é obrigado a devolver todo Pix feito em golpe?

Não. O MED permite pedir a devolução em até 80 dias da transação, mas ela depende de saldo nas contas atingidas. A responsabilidade do banco por indenizar exige prova de falha no serviço, analisada caso a caso.

Passei a senha ao golpista. Ainda posso responsabilizar o banco?

Depende. A entrega voluntária da senha costuma ser tratada como culpa da vítima, mas o banco ainda pode responder se deixou passar operações muito fora do perfil da conta ou se os dados usados no golpe vazaram do sistema bancário.

Preciso pagar o empréstimo que o golpista contratou em meu nome?

No REsp 2.052.228/DF, o STJ declarou inexigível o empréstimo contratado pelo golpista em operação fora do perfil do cliente. O resultado em outro caso depende das provas, por isso conteste a contratação no banco assim que perceber a fraude.

Quer que um advogado analise a sua situação?

Preencha a ficha de atendimento e, se já tiver, envie os documentos do caso. Cada situação é analisada de forma individual.

Preencher a ficha de atendimentoEnviar documentos

Fontes oficiais

Por Sidnei Pedro Dias, advogado, OAB/GO 48.603, OAB/DF 68.207 e OAB/SP 501.693.