A cena é sempre parecida. O telefone toca, o número que aparece no visor é o mesmo impresso no verso do cartão, e do outro lado alguém identificado como “setor de segurança” avisa que há uma transação suspeita em curso. Em poucos minutos, a vítima aumenta o próprio limite, autoriza um empréstimo ou transfere o saldo para uma suposta “conta segura”. Quando a ligação cai, o dinheiro já passou por três contas diferentes.
Não se trata de descuido de pessoas ingênuas. As fraudes financeiras deixaram de depender de invasão de sistemas e passaram a explorar o elo mais previsível da cadeia: a confiança do usuário, alimentada por dados pessoais que circulam em bases vazadas e permitem ao criminoso citar o nome completo, o CPF, a agência e até a última compra realizada.
A boa notícia é que o arcabouço de proteção mudou bastante nos últimos meses, tanto na regulação do Banco Central quanto na jurisprudência. A má notícia é que quase toda a chance de recuperar o valor se concentra nas primeiras horas.
O QUE FAZER NAS PRIMEIRAS 24 HORAS
- Conteste a transação pelo aplicativo, imediatamente. Desde outubro de 2025, todas as instituições que operam o Pix são obrigadas a oferecer um botão de contestação dentro do próprio aplicativo, no ambiente Pix. É por ali que se aciona o MED, o Mecanismo Especial de Devolução. Não é necessário esperar investigação interna do banco, nem falar com gerente, nem ir à agência.
- Registre boletim de ocorrência. Praticamente todos os estados dispõem de delegacia eletrônica. O BO não devolve dinheiro, mas é o documento que sustenta a versão da vítima perante o banco, o Judiciário e, eventualmente, o seguro. A ausência dele é o primeiro argumento usado pela defesa das instituições.
- Preserve as provas antes de qualquer coisa. Prints das conversas, número que originou a ligação, horário exato, comprovantes, e-mails, links recebidos. Apagar o histórico do aplicativo de mensagens por vergonha ou por raiva é o erro mais comum e o mais caro. Guarde também o número de protocolo de cada atendimento bancário.
- Peça o bloqueio de tudo. Cartões, chaves Pix, acesso ao aplicativo, senhas. Troque as credenciais de e-mail e do próprio celular, porque muitos golpes começam pelo comprometimento da conta de e-mail ou pela portabilidade indevida do número, o chamado SIM swap.
- Verifique o que foi aberto em seu nome. O Registrato, sistema gratuito do Banco Central, mostra contas, chaves Pix, relacionamentos e operações de crédito vinculadas ao CPF. É a forma mais rápida de descobrir se, além do valor transferido, houve empréstimo contratado, conta aberta ou consignado lançado sem autorização.
- Formalize a reclamação por escrito. Atendimento telefônico é o campo em que a prova evapora. Registre no SAC, com resposta em até sete dias corridos nos termos do Decreto 11.034/2022, e, se a resposta não vier ou vier negativa, escale para a ouvidoria da instituição, que tem prazo de até dez dias úteis. Sem essa escada percorrida, a via administrativa junto ao Banco Central e ao consumidor.gov.br perde força.
O QUE É O MED, E O QUE ELE NÃO É
O Mecanismo Especial de Devolução é o procedimento obrigatório que permite às instituições bloquear e devolver valores em casos de fraude, golpe ou falha operacional. Desde fevereiro de 2026, ele opera em versão ampliada, o MED 2.0, capaz de rastrear o dinheiro para além da primeira conta que o recebeu, seguindo o caminho em camadas. O prazo para acionamento é de até 80 dias contados da transação, e as instituições envolvidas têm até sete dias corridos para analisar a notificação, com devolução em torno de onze dias quando o pedido é considerado procedente.
Três limites precisam ficar claros, porque é aqui que nasce a maior parte da frustração:
O MED só vale para fraude, suspeita de fraude ou falha operacional. Pix enviado por engano para a chave errada, arrependimento de compra ou desacordo comercial não entram. Para esses casos existe a devolução voluntária pelo recebedor ou a via judicial.
A devolução depende de saldo. Se o dinheiro já foi sacado ou pulverizado em contas fora da cadeia rastreada, não há o que bloquear. Por isso a pressa não é retórica: cada hora reduz materialmente a chance de recuperação.
Acionar o MED não garante devolução. A análise é da instituição, e a devolução pode ser integral, parcial ou nenhuma. A negativa administrativa, porém, não encerra o assunto: apenas transfere a discussão para o campo da responsabilidade civil.
Vale registrar uma novidade que entrou em vigor em 1º de setembro de 2026. Pela Instrução Normativa BCB nº 766, o prazo para contestar uma devolução feita por MED subiu de 30 para 80 dias. A mudança protege o outro lado do balcão, o comerciante que recebeu um pagamento legítimo e teve o valor devolvido por uma contestação falsa, no esquema já apelidado de golpe do MED. Quem vende produtos e serviços por Pix precisa conhecer esse prazo tanto quanto a vítima do golpe clássico conhece o seu.
O QUE DIZ O DIREITO
O ponto de partida é a Súmula 297 do STJ: o Código de Defesa do Consumidor aplica-se às instituições financeiras. Estabelecida a relação de consumo, incide o artigo 14 do CDC, que impõe responsabilidade objetiva pelo defeito na prestação do serviço, independentemente de culpa.
Sobre esse alicerce está a Súmula 479 do STJ, segundo a qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias, no mesmo sentido do Tema Repetitivo 466. A lógica é a do risco do empreendimento: quem oferece abertura de conta digital em minutos e transferência instantânea 24 horas por dia assume os riscos de segurança que essa facilidade cria.
Em 2023, ao julgar o REsp 2.052.228, o STJ deu um passo importante e reconheceu que o banco tem o dever de desenvolver mecanismos de segurança capazes de identificar e obstar movimentações que destoam do perfil do consumidor, considerando valores, frequência e objeto da operação. A ausência de procedimentos de verificação para transações atípicas configura, por si só, defeito do serviço.
Há, contudo, um contraponto recente que ninguém deve ignorar. Em 2026, no REsp 2.209.868, o STJ afastou a indenização em um caso de golpe da falsa central por entender que as operações não eram incompatíveis com o perfil da cliente e que não houve prova de falha concreta do serviço. A Súmula 479 continua íntegra, mas deixou de funcionar como cláusula geral de ressarcimento automático de qualquer golpe. Na prática, o eixo da discussão se deslocou: hoje se litiga sobre a existência de sinais objetivos de anormalidade que o banco poderia e deveria ter detectado.
Isso muda a estratégia de quem foi lesado. O caso deixa de se resumir a “fui vítima de golpe” e passa a exigir a demonstração de elementos como movimentações incompatíveis com o histórico da conta, elevação súbita de limite seguida de transferências em sequência, destinatários inéditos, horário atípico, contratação relâmpago de crédito, ausência de autenticação reforçada ou de qualquer contato de confirmação por parte da instituição. Quando o vazamento de dados alimentou o golpe, entra em cena a LGPD, com a responsabilização prevista nos artigos 42 e seguintes e o dever de comunicação de incidentes do artigo 48.
No plano penal, a Lei 14.155/2021 criou a figura da fraude eletrônica no artigo 171, § 2º-A, do Código Penal, com pena de quatro a oito anos, agravada quando a vítima é idosa ou vulnerável, e permitiu que a ação tramite no foro do domicílio da vítima, o que facilita bastante a persecução.
QUANDO A VIA JUDICIAL FAZ SENTIDO?
Esgotada a tentativa administrativa, ou quando o valor e a urgência não comportam espera, cabem pedidos de declaração de inexigibilidade do débito, útil nos casos de empréstimo contratado por terceiro, restituição do valor desviado, indenização por dano moral e, quase sempre, tutela de urgência para suspender descontos em conta, parcelas de consignado ou negativação em cadastros de inadimplentes.
COMO REDUZIR O RISCO ANTES QUE ELE APAREÇA
Nenhuma instituição financeira solicita transferência para conta segura, instalação de aplicativo enviado por link, leitura de QR Code por telefone ou entrega de cartão a portador. Diante de qualquer ligação nesse sentido, o procedimento é encerrar a chamada e retornar pelo número oficial, de outro aparelho quando possível.
Mantenha limites baixos como padrão e eleve-os apenas quando necessário, aproveitando os prazos de segurança que o próprio Banco Central impôs para alterações de limite. Ative a verificação em duas etapas em e-mail, aplicativos de mensagem e contas de nuvem. Consulte periodicamente o Registrato. E trate qualquer pressa imposta por terceiros, seja por telefone, mensagem ou e-mail, como o principal indicador de fraude, porque a urgência é a ferramenta central da engenharia social.
CONCLUSÃO
Fraude bancária deixou de ser um problema de tecnologia e passou a ser um problema de prova. A regulação evoluiu, o rastreamento do dinheiro melhorou e o Judiciário reconhece o dever de segurança das instituições, mas nada disso opera automaticamente em favor de quem perdeu o valor. O que decide o desfecho é a qualidade do registro feito nas primeiras horas e a consistência técnica com que a falha do serviço é demonstrada depois.
Se você foi vítima, aja hoje: conteste pelo aplicativo, registre o boletim de ocorrência, preserve as provas e formalize a reclamação por escrito. E, antes de aceitar a primeira negativa do banco como palavra final, procure orientação de um escritório com atuação em direito digital e proteção de dados. A diferença entre um prejuízo absorvido e um valor recuperado costuma estar exatamente aí, na leitura técnica de um caso que, para a vítima, parece perdido.
Calza Neto é advogado, sócio-fundador do CNK Advogados, com atuação em Direito Digital, Proteção de Dados, Propriedade Intelectual e Governança de IA. É perito judicial do TJSP e encarregado de proteção de dados (DPO).
Fontes normativas e jurisprudenciais: CDC, arts. 14 e 7º, parágrafo único; Súmulas 297 e 479 do STJ; Tema Repetitivo 466/STJ; REsp 2.052.228; REsp 2.209.868; Resolução BCB nº 493/2025; Instrução Normativa BCB nº 766/2026; Decreto 11.034/2022; Resolução CMN nº 4.860/2020; Lei 14.155/2021; Lei 13.709/2018 (LGPD).
