A ligação que sabia o seu nome, o seu banco e o final do seu cartão

No golpe da falsa central, a resposta depende da conduta da vítima, do perfil das transações e dos controles antifraude que o banco efetivamente aplicou.

Ana Carolina Moraes · publicado em 30/08/2026 · leitura de 7 min

A ligação começa bem. Educada, sem pressa, com música de espera igual à do banco de verdade. Quem fala do outro lado diz o seu nome completo, cita os quatro últimos dígitos do cartão e informa uma compra que você não fez, em outro estado, naquele valor esquisito que ninguém gastaria de propósito.

Não é uma abordagem estranha. É a abordagem que você esperaria de um banco atento.

Uma hora depois, a conta está zerada, existe um empréstimo aprovado no seu nome e o aplicativo mostra um aparelho novo cadastrado. Você liga para o número verdadeiro. E o atendimento responde que a operação foi feita com a sua senha, então não haveria o que estornar.

Essa frase encerra o atendimento. Ela não encerra a discussão jurídica.

O banco é obrigado a devolver o dinheiro do golpe?

Nem sempre. A devolução depende do enquadramento jurídico e da prova disponível, não apenas da forma de autenticação registrada pelo banco.

O ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, segundo a qual as instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. Isso não significa devolução em qualquer golpe: é preciso demonstrar a ligação entre o dano e uma falha ou risco interno do serviço.

Responsabilidade objetiva quer dizer que não se discute se o banco quis, se foi desatento ou se agiu de má-fé. Discute-se se o serviço falhou. É o mesmo raciocínio do artigo 14 do Código de Defesa do Consumidor.

Então a pergunta útil não é apenas "eu fui ingênuo?". É outra, bem mais técnica: o conjunto da prova revela falha do serviço, ou culpa exclusiva da vítima ou de terceiro?

Por que "você entregou a senha" não encerra a discussão

Vamos ser honestos sobre o ponto desfavorável, porque ele existe e fingir o contrário não ajuda ninguém.

Quando a pessoa digita o código de verificação a pedido de quem ligou, fora do ambiente do banco, parte dos tribunais reconhece culpa exclusiva da vítima ou de terceiro, e a devolução é negada. Isso acontece, e acontece com frequência.

Só que essa análise costuma parar cedo demais. Ela olha para o único momento em que o cliente errou e ignora tudo o que veio depois, que é justamente onde o banco atua sozinho.

Pense na sequência real de um caso desses. Uma conta que há três anos movimenta valores de dois ou três dígitos, sempre nos mesmos horários, sempre para os mesmos destinatários. Em quarenta minutos: um dispositivo desconhecido cadastrado, o limite de Pix elevado, um empréstimo pré-aprovado contratado, quatro transferências para contas abertas há poucas semanas.

Cada uma dessas etapas passou por um sistema antifraude que existe, que o banco anuncia em propaganda e que é remunerado pela tarifa que você paga. Nenhuma delas exigiu o cliente. Todas exigiram o banco.

A comparação com os extratos anteriores ajuda a identificar o padrão da conta. Esse histórico permite avaliar a autenticação utilizada e a resposta dos sistemas de segurança às operações posteriores.

O que o extrato mostra e o atendimento não olha

Um extrato de fraude não se lê por valor, se lê por carimbo de tempo. Horário de cada operação, canal usado, ordem dos eventos. Quando você alinha isso com o registro das ligações no seu celular, aparece uma linha do tempo que costuma ser bem mais eloquente do que qualquer petição.

Há um segundo conjunto de dados que quase nunca é pedido, e que o banco tem: identificador do dispositivo que cadastrou o novo aparelho, endereço IP, geolocalização informada, canal de autenticação usado em cada transação, registro do acionamento (ou do não acionamento) das regras antifraude.

Esses dados não estão no seu aplicativo. Estão no servidor do banco. E podem ser pedidos, inclusive judicialmente. O Código de Defesa do Consumidor admite a inversão do ônus da prova quando presentes os requisitos do art. 6º, VIII, mas a medida depende de decisão judicial.

Esse pedido pode esclarecer se os controles funcionaram e dar consistência à análise do caso.

Pix: o MED e a corrida contra o relógio

Se o dinheiro saiu por Pix, existe uma providência que não depende de advogado, não custa nada e é a mais urgente de todas.

O Mecanismo Especial de Devolução, o MED, foi criado pelo Banco Central para situações de fraude e falha operacional. A contestação é feita à própria instituição em até 80 dias após o Pix. Os bancos analisam o caso e podem bloquear e devolver o saldo disponível; o mecanismo não garante recuperação.

O detalhe cruel é que a eficácia do MED cai a cada hora. O dinheiro de golpe raramente fica parado: ele é pulverizado em contas de terceiros em minutos. Bloquear o que sobrou às nove da manhã é uma história. Às nove da noite costuma ser outra.

Não é garantia de devolução. É a diferença entre ter chance e não ter.

O que fazer nas primeiras horas

A ordem importa, porque cada passo gera um registro datado, e é o conjunto desses registros que sustenta a discussão depois.

• Conteste no próprio banco e anote o protocolo. Sem número de protocolo, meses depois o banco sustenta que você nunca reclamou.
• Peça o MED, se foi Pix. Ao seu banco, imediatamente, mesmo que o atendente desanime você.
• Registre boletim de ocorrência. Na maioria dos estados dá para fazer on-line no mesmo dia. Ele não devolve valor; ele fixa a data e a sua versão dos fatos.
• Reclame no Banco Central e no consumidor.gov.br. O valor real disso é gerar mais um registro datado da negativa.
• Salve o que expira. Extrato do dia, histórico de chamadas do celular, prints das mensagens, e-mails automáticos do banco. Parte desse material some do aplicativo em semanas.

Sobre prazo: a pretensão de reparação por fato do serviço prescreve em cinco anos (CDC, art. 27). O prazo legal é confortável. A prova, não. Ela envelhece rápido, e é ela que decide.

A pergunta que fica

O discurso oficial sobre golpe bancário organiza tudo em torno da distração do cliente. Cartilha de segurança, aviso no aplicativo, campanha explicando que o banco nunca liga pedindo senha. A culpa vai toda para um lado da mesa.

Só que a mesma indústria que pede atenção máxima ao cliente aprova empréstimo em nove segundos, eleva limite de transferência por biometria facial capturada em vídeo e cadastra dispositivo novo com um código de seis dígitos por SMS. A conveniência foi vendida como produto. O risco dessa conveniência foi entregue ao usuário.

A pergunta relevante não é apenas "como isso aconteceu?". É também esta: diante de operações fora do padrão da conta, quais controles foram efetivamente aplicados pelo banco?

Fontes oficiais para conferência

• Banco Central — como funciona o MED
• STJ — caso sem transações incompatíveis com o perfil do cliente
• Código de Defesa do Consumidor

Perguntas frequentes

Leia também

• Golpe bancário: análise da responsabilidade do banco o checklist do que separar e os caminhos possíveis
• Golpe do falso advogado quando o contato falso é sobre um processo seu
• Todos os artigos golpes, plataformas, imóveis e execução

Fontes oficiais

• Banco Central — Como funciona o MED
• STJ — Banco não responde sem transações incompatíveis com o perfil
• Planalto — Código de Defesa do Consumidor