Responsabilidade Civil por Golpe Digital: Quando o Banco Deve Indenizar?

A responsabilidade civil por golpe digital depende de como a fraude ocorreu, das medidas de segurança adotadas e da possível falha do banco ou da instituição de pagamento.

Em poucos minutos, um golpista pode realizar transferências, contratar empréstimos ou esvaziar uma conta. Depois do prejuízo, surge uma dúvida comum: o banco é obrigado a devolver o dinheiro?

Nem sempre.

A instituição pode ser responsabilizada quando o golpe está relacionado a uma falha de segurança, a uma operação incompatível com o perfil do cliente ou a outro defeito na prestação do serviço.

Por outro lado, a responsabilidade pode ser afastada quando não há falha bancária e o prejuízo decorre exclusivamente da conduta do consumidor ou de um terceiro.

Neste artigo, você entenderá quando o banco pode responder, como funciona o MED do Pix, quais provas reunir e quais medidas tomar após uma fraude.

Responsabilidade civil por golpe digital: quando o banco responde?

O banco pode ser obrigado a reparar o prejuízo quando a fraude decorre de um risco ligado à atividade financeira ou de uma falha que a instituição deveria ter evitado.

Isso pode acontecer quando:

• a conta é acessada por dispositivo desconhecido;
• operações muito acima do padrão são autorizadas;
• várias transferências são feitas em poucos minutos;
• um empréstimo é contratado e imediatamente transferido;
• dados bancários são utilizados por fraudadores;
• uma conta usada para receber golpes foi aberta sem verificação adequada;
• o banco ignora transações claramente anormais;
• o cliente comunica a fraude e a instituição não adota as providências cabíveis.

A análise depende das provas.

O simples fato de o golpe envolver uma conta bancária não torna a instituição automaticamente responsável.

O que a lei diz sobre golpes digitais?

As relações entre bancos e consumidores são protegidas pelo Código de Defesa do Consumidor.

O artigo 14 do CDC estabelece que o fornecedor de serviços responde, independentemente de culpa, por danos causados por defeitos na prestação do serviço.

O serviço é considerado defeituoso quando não oferece a segurança que o consumidor pode legitimamente esperar.

Consulte o Código de Defesa do Consumidor no Portal do Planalto.

O que significa responsabilidade objetiva?

A responsabilidade objetiva significa que o consumidor não precisa provar que o banco agiu com intenção ou negligência.

Isso não elimina a necessidade de demonstrar:

• existência do prejuízo;
• falha ou defeito do serviço;
• relação entre a falha e o dano.

O banco pode afastar sua responsabilidade se comprovar:

• que o serviço não apresentava defeito;
• culpa exclusiva do consumidor;
• culpa exclusiva de terceiro sem relação com o risco da atividade.

O que é fortuito interno?

Fortuito interno é um evento ligado ao risco normal da atividade desenvolvida pela empresa.

Fraudes bancárias podem ser consideradas fortuito interno quando fazem parte dos riscos previsíveis da prestação de serviços financeiros.

A Súmula 479 do Superior Tribunal de Justiça estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fraudes e delitos de terceiros relacionados às operações bancárias.

Isso não significa que o banco responda por qualquer golpe.

É necessário verificar se a fraude foi facilitada ou agravada por uma falha do serviço.

Quando o banco pode ser obrigado a indenizar?

Transações incompatíveis com o perfil do cliente

Os bancos devem utilizar mecanismos capazes de identificar movimentações anormais.

Podem ser consideradas suspeitas:

• transferências muito superiores ao padrão;
• várias operações sucessivas;
• movimentações em horário incomum;
• acesso por aparelho desconhecido;
• inclusão de novos favorecidos seguida de grandes transferências;
• contratação de crédito e retirada imediata;
• alteração de senha pouco antes das operações;
• esvaziamento repentino da conta.

O STJ já reconheceu que a instituição deve identificar e impedir operações que destoem do perfil do correntista.

Invasão da conta bancária

Quando o fraudador acessa a conta sem autorização, deve-se analisar:

• como o dispositivo foi cadastrado;
• qual autenticação foi exigida;
• se houve alteração de senha;
• se o banco enviou alertas;
• se as movimentações eram anormais;
• se existiam limites compatíveis;
• se o sistema detectou o risco.

A utilização correta de senha ou biometria é relevante, mas não encerra automaticamente a discussão.

Credenciais podem ser obtidas por fraude, aplicativo malicioso, acesso remoto ou falha de segurança.

Empréstimo contratado pelo golpista

Alguns golpes envolvem a contratação de empréstimo seguida de transferências imediatas.

Esse conjunto pode indicar anormalidade, principalmente quando:

• o cliente nunca contratou operação semelhante;
• o valor é elevado;
• o crédito é transferido logo após a liberação;
• existe novo dispositivo;
• várias operações são realizadas em sequência.

O banco deve explicar como ocorreu a autenticação e por que o comportamento não foi bloqueado.

Falha na abertura da conta do fraudador

A conta usada para receber o dinheiro também pode ser relevante.

A instituição responsável pela conta beneficiária pode ser questionada quando houver indícios de:

• abertura com documentos falsos;
• ausência de verificação da identidade;
• movimentação incompatível com o cadastro;
• recebimento repetido de valores ligados a fraudes;
• demora injustificada no bloqueio;
• falta de diligência na manutenção da conta.

O STJ decidiu que a responsabilização do banco que mantém a conta usada no golpe depende da demonstração de falta de diligência na abertura, no controle ou no encerramento da conta.

Falha após a comunicação do golpe

A rapidez da vítima é importante.

Se o consumidor avisa imediatamente e o banco não adota as providências disponíveis, essa omissão pode ser analisada como falha adicional.

É preciso verificar:

• horário da comunicação;
• saldo ainda existente na conta recebedora;
• providências solicitadas;
• resposta da instituição;
• possibilidade técnica de bloqueio;
• funcionamento do MED;
• circulação posterior dos recursos.

A comunicação rápida não garante a recuperação, mas pode aumentar as chances.

Vazamento de dados bancários

O uso de informações que deveriam estar sob controle da instituição pode indicar falha de segurança.

Exemplos:

• dados detalhados da conta;
• informações sobre contratos;
• valores exatos;
• histórico de atendimento;
• dados de cartão;
• informações sobre empréstimos.

O conhecimento de dados pelo golpista, isoladamente, não prova que houve vazamento pelo banco.

É necessário investigar a origem das informações.

Quando o banco pode não ser responsabilizado?

Operação autorizada sem sinais de anormalidade

O banco pode não responder quando o próprio cliente realiza a transferência e:

• as operações são compatíveis com seu perfil;
• o aparelho já estava autorizado;
• não houve alteração suspeita;
• o valor estava dentro dos limites;
• não existiam sinais objetivos de fraude;
• o sistema de segurança funcionou corretamente.

Em julho de 2026, o STJ divulgou decisão que afastou a responsabilidade bancária em golpe da falsa central porque não foram identificadas transações incompatíveis com o perfil da cliente nem falha nos mecanismos de segurança.

Culpa exclusiva do consumidor

A culpa exclusiva pode existir quando a conduta do consumidor é a única causa do prejuízo.

Exemplos possíveis:

• transferência consciente para pessoa errada;
• compartilhamento voluntário de senha sem qualquer falha do sistema;
• entrega do cartão e da senha a terceiro;
• confirmação de operação após alertas claros;
• pagamento realizado fora do ambiente bancário sem anormalidade detectável;
• participação do consumidor na fraude.

A culpa exclusiva precisa ser demonstrada.

O banco não pode apenas afirmar que a operação foi feita com senha.

Golpe sem relação com falha bancária

Algumas fraudes ocorrem inteiramente fora do serviço financeiro.

Exemplo:

Uma pessoa compra um produto de falso vendedor, confere os dados e realiza voluntariamente um Pix. A conta funciona normalmente e não há sinal de operação anormal.

Nesse caso, o conflito pode estar principalmente entre vítima e golpista.

Isso não impede a análise da conta recebedora ou de eventuais falhas, mas o simples uso do Pix não cria responsabilidade automática.

Engenharia social afasta a responsabilidade do banco?

Não necessariamente.

Engenharia social ocorre quando o criminoso manipula a vítima para obter informações ou induzi-la a realizar uma operação.

Exemplos:

• falsa central;
• falso funcionário;
• falso advogado;
• falso parente;
• falso entregador;
• falso investimento;
• falso suporte técnico.

A participação da vítima não elimina sempre a responsabilidade da instituição.

É necessário verificar se o banco permitiu operações anormais, falhou na autenticação ou deixou de aplicar mecanismos antifraude.

Em outubro de 2025, o STJ reconheceu a responsabilidade de bancos e instituições de pagamento em casos de golpe da falsa central quando falhas na prestação do serviço viabilizaram as fraudes.

Em novembro de 2025, o tribunal também decidiu que uma falha no sistema de segurança podia afastar a alegação de culpa concorrente da vítima.

Portanto, não existe uma resposta única para todo golpe de engenharia social.

Compartilhar a senha retira o direito à indenização?

Não de forma automática.

O compartilhamento pode ser uma prova importante contra o consumidor. Porém, ainda é necessário analisar:

• como a senha foi obtida;
• quais operações foram realizadas;
• se houve acesso remoto;
• se o dispositivo era conhecido;
• se os valores destoavam do perfil;
• se a instituição emitiu alertas;
• se existiam falhas de segurança;
• se o banco ignorou sinais evidentes.

A responsabilidade pode ser exclusiva do consumidor, concorrente ou da instituição, conforme as circunstâncias.

Pix enviado em golpe pode ser cancelado?

O Pix concluído não possui um botão comum de cancelamento.

Quando há fraude, golpe ou crime, o consumidor pode solicitar a abertura do Mecanismo Especial de Devolução, conhecido como MED.

O Banco Central informa que o pedido deve ser registrado na instituição do pagador em até 80 dias após a transação.

A comunicação deve ser feita o quanto antes. Quanto maior a demora, maior o risco de o dinheiro já ter sido retirado ou transferido.

Leia também Posso Cancelar um Pix? Guia para Erro, Golpe ou Pagamento Indevido.

Como funciona o MED?

O procedimento começa quando a vítima comunica sua instituição.

Em linhas gerais:

1. O cliente registra a contestação.
2. A instituição analisa o relato.
3. O banco da conta recebedora pode bloquear os valores disponíveis.
4. As instituições verificam se há indícios de fraude.
5. Se a fraude for reconhecida e houver saldo, o valor pode ser devolvido.

Segundo o Banco Central, as instituições analisam o caso em até sete dias corridos. Confirmada a fraude, a devolução ocorre em até 96 horas após o fim da análise, observada a disponibilidade de recursos.

O MED garante o ressarcimento?

Não.

A recuperação depende de fatores como:

• saldo existente;
• rapidez da comunicação;
• movimentações posteriores;
• reconhecimento da fraude;
• identificação das contas;
• resultado da análise.

Mesmo que o MED não recupere o dinheiro, ainda pode existir fundamento para cobrança ou ação judicial.

O MED serve para qualquer desacordo?

Não.

O mecanismo não foi criado para:

• arrependimento;
• compra insatisfatória;
• conflito comercial comum;
• Pix feito por erro do pagador;
• descumprimento contratual sem fraude;
• divergência sobre a qualidade de produto ou serviço.

O banco pode devolver apenas parte do valor?

Sim.

Se apenas uma parte do dinheiro estiver disponível na conta recebedora, pode ocorrer devolução parcial.

O restante poderá exigir:

• novas tentativas pelo mecanismo aplicável;
• cobrança contra o fraudador;
• investigação de outras contas;
• ação contra instituições responsáveis, quando houver falha;
• medida judicial de bloqueio.

Como provar que houve golpe digital?

A prova deve mostrar tanto a fraude quanto a possível falha bancária.

Documentos importantes

Guarde:

• extratos completos;
• comprovantes de transferência;
• conversas;
• e-mails;
• SMS;
• capturas de tela;
• números de telefone;
• links utilizados;
• anúncios;
• protocolos;
• gravações de atendimento;
• boletim de ocorrência;
• faturas;
• notificações;
• horários das operações;
• identificação das contas recebedoras.

Preserve o aparelho

Não formate o celular imediatamente.

O dispositivo pode conter:

• histórico de acesso;
• aplicativo malicioso;
• mensagens;
• chamadas;
• notificações;
• e-mails;
• registros importantes.

Depois de proteger as contas, avalie a preservação dos dados antes de restaurar o aparelho.

Peça informações ao banco

Podem ser relevantes:

• aparelhos cadastrados;
• endereço IP;
• localização aproximada;
• método de autenticação;
• data da inclusão do dispositivo;
• alterações cadastrais;
• horários;
• limites;
• alertas;
• dados da conta beneficiária;
• relatório da contestação.

Algumas informações podem depender de pedido formal ou ordem judicial.

O boletim de ocorrência é suficiente?

Não.

O boletim registra a versão apresentada pela vítima, mas não comprova sozinho que o banco falhou.

Ele deve ser combinado com:

• extratos;
• protocolos;
• conversas;
• registros técnicos;
• comprovantes;
• comportamento das transações;
• respostas da instituição.

Mesmo assim, o registro policial é importante para documentar a fraude e permitir investigação criminal.

O dano material pode ser indenizado?

Sim.

O dano material corresponde ao prejuízo econômico comprovado.

Pode incluir:

• valores transferidos;
• empréstimos fraudulentos;
• tarifas;
• juros;
• multas;
• despesas geradas pela fraude;
• pagamentos não realizados em razão do golpe.

O consumidor deve demonstrar os valores e a ligação com o fato.

Todo golpe gera dano moral?

Não.

O dano moral não é automático.

A análise considera:

• valor perdido;
• tempo sem acesso à conta;
• bloqueio de salário;
• contratação fraudulenta de empréstimo;
• negativação;
• demora na solução;
• recusa injustificada;
• consequências pessoais;
• gravidade da falha;
• vulnerabilidade da vítima.

Situações que podem justificar indenização

• esvaziamento da conta;
• retenção de salário;
• empréstimo fraudulento;
• negativação;
• bloqueio prolongado;
• perda de valor essencial;
• resistência injustificada do banco;
• exposição relevante de dados;
• repetição das fraudes.

Situações que podem não gerar dano moral

• falha rapidamente corrigida;
• estorno imediato;
• pequena indisponibilidade sem consequência;
• ausência de prejuízo além do transtorno;
• falta de prova do abalo.

Para aprofundar o tema, leia Como Provar Dano Moral na Justiça?.

O que fazer imediatamente após o golpe?

1. Comunique o banco

Use apenas canais oficiais.

Informe:

• data;
• horário;
• valor;
• tipo de golpe;
• transações contestadas;
• conta beneficiária;
• providência desejada.

Anote o protocolo.

2. Solicite o bloqueio

Peça:

• bloqueio da conta;
• bloqueio do cartão;
• cancelamento de credenciais;
• redução de limites;
• bloqueio do aparelho;
• abertura do MED;
• contestação das operações.

3. Altere as credenciais

Troque:

• senha do banco;
• senha do e-mail;
• senha das redes sociais;
• PIN do aparelho;
• códigos de recuperação.

Encerre sessões desconhecidas.

4. Avise a operadora

Quando houver roubo, furto ou clonagem da linha, solicite:

• bloqueio do chip;
• bloqueio do aparelho;
• emissão de nova linha;
• registro do protocolo.

5. Registre boletim de ocorrência

Informe:

• valores;
• contas;
• telefones;
• nomes utilizados;
• links;
• horários;
• forma de abordagem.

6. Preserve as provas

Faça cópias em local seguro.

7. Acione a ouvidoria

Se o atendimento comum não resolver, apresente a reclamação à ouvidoria.

8. Utilize canais administrativos

Também podem ser utilizados:

• Procon;
• Consumidor.gov.br;
• Banco Central.

A reclamação ao Banco Central ajuda na supervisão, mas não substitui uma decisão judicial sobre indenização.

Consulte o canal oficial de reclamações do Banco Central.

Cinco situações comuns de golpe digital

Golpe da falsa central

O criminoso liga afirmando que existe uma compra suspeita.

Depois, pede:

• senha;
• instalação de aplicativo;
• transferência para “conta segura”;
• confirmação de código;
• acesso remoto.

Bancos não pedem transferências para contas de segurança.

A responsabilidade dependerá da atuação do cliente e da capacidade do sistema de identificar as operações.

Clonagem ou tomada do WhatsApp

O criminoso assume o perfil ou utiliza uma fotografia conhecida para pedir dinheiro aos contatos.

Quem realiza o Pix deve verificar:

• nome do beneficiário;
• CPF ou CNPJ;
• instituição;
• relação com a pessoa que pediu.

A conta usada para receber o golpe também pode ser investigada.

Link falso

A vítima acessa uma página semelhante à oficial e informa credenciais.

Depois, surgem operações não reconhecidas.

É necessário apurar:

• como os dados foram capturados;
• se houve acesso à conta;
• quais mecanismos de autenticação foram usados;
• se as transações eram atípicas.

Invasão de conta

O fraudador acessa diretamente o aplicativo e movimenta os valores.

Esse cenário costuma exigir análise técnica sobre dispositivos, autenticação e perfil de uso.

Falso investimento

O consumidor transfere dinheiro para uma suposta plataforma de investimentos.

Promessas de rentabilidade garantida, pressão para novos depósitos e dificuldade de saque são sinais de risco.

Nesse caso, deve-se investigar a atuação da plataforma, das contas beneficiárias e das instituições envolvidas.

Como a Justiça analisa esses casos?

Não existe uma regra segundo a qual:

• todo golpe gera indenização; ou
• toda operação autorizada afasta o direito.

O Judiciário costuma analisar:

• comportamento habitual da conta;
• valores;
• horários;
• dispositivos;
• autenticação;
• alertas;
• rapidez da contestação;
• movimentação da conta recebedora;
• participação da vítima;
• diligência das instituições;
• origem dos dados;
• relatórios técnicos;
• consequências do golpe.

Em janeiro de 2026, informativo do STJ destacou que a validação de operações suspeitas, atípicas e alheias ao perfil do correntista pode revelar defeito na prestação do serviço.

Quanto tempo tenho para processar?

O prazo depende da natureza do pedido.

Para reparação por danos decorrentes de fato do serviço, o artigo 27 do CDC prevê prazo de cinco anos, contado do conhecimento do dano e de sua autoria.

Entretanto, algumas discussões podem envolver:

• obrigação contratual;
• declaração de inexistência de dívida;
• repetição de valores;
• responsabilidade de terceiro;
• relação não consumerista.

Por isso, não é recomendável esperar o fim de um prazo estimado.

Além da prescrição, a demora pode dificultar:

• recuperação do dinheiro;
• localização das contas;
• preservação de registros;
• obtenção de imagens;
• análise de dispositivos;
• comprovação dos fatos.

Preciso de advogado?

Nem toda reclamação exige advogado.

O consumidor pode iniciar pelos canais do banco, ouvidoria, Procon, Consumidor.gov.br e Banco Central.

A orientação jurídica pode ser relevante quando houver:

• valor elevado;
• empréstimo fraudulento;
• várias instituições;
• negativa de ressarcimento;
• necessidade de prova técnica;
• negativação;
• conta bloqueada;
• fraude com dados bancários;
• pedido de indenização;
• dúvida sobre responsabilidade.

Leia também Responsabilidade Civil: Quando Surge o Dever de Indenizar?.

Como reduzir o risco de golpe digital?

• Não compartilhe senhas.
• Não informe códigos recebidos por SMS.
• Não instale aplicativos indicados por telefone.
• Não permita acesso remoto.
• Confirme pedidos por outro canal.
• Confira o beneficiário do Pix.
• Desconfie de urgência.
• Use limites menores.
• Ative notificações.
• Mantenha o aparelho atualizado.
• Use autenticação em duas etapas.
• Bloqueie rapidamente o celular perdido.
• Não clique em links recebidos por desconhecidos.
• Acesse o banco apenas pelo aplicativo oficial.
• Revise dispositivos cadastrados.

Perguntas frequentes

Checklist após um golpe digital

• Bloqueei a conta ou o cartão
• Troquei as senhas
• Encerrei sessões desconhecidas
• Comuniquei o banco
• Anotei os protocolos
• Solicitei o MED
• Registrei boletim de ocorrência
• Salvei extratos
• Guardei conversas e links
• Preservei o celular
• Acionei a ouvidoria
• Registrei reclamação administrativa
• Documentei prejuízos adicionais
• Avaliei medida judicial

Conclusão

A responsabilidade civil por golpe digital depende da análise detalhada da fraude.

O banco pode ser obrigado a indenizar quando permite operações incompatíveis com o perfil do cliente, falha na autenticação, não protege adequadamente os dados ou mantém uma conta fraudulenta sem os cuidados exigidos.

A responsabilidade pode ser afastada quando não existe defeito no serviço e o prejuízo decorre exclusivamente da conduta do consumidor ou de terceiro.

Após o golpe, a vítima deve agir imediatamente. É importante bloquear os acessos, comunicar as instituições, solicitar o MED, registrar a ocorrência e preservar as provas.

Quando a solução administrativa não ocorre, os documentos e registros técnicos ajudam a avaliar uma possível medida judicial.

Para entender como funciona o pedido de reparação, leia Dano Moral: Quando Você Tem Direito à Indenização?.