5. A falsa central e o golpe do banco

Duas transferências e uma terceira, no dia seguinte

Em algum momento, numa data que o Superior Tribunal de Justiça não torna pública, o telefone de uma mulher tocou. O número que aparecia no visor era um 0800, o tipo de número que os bancos usam para falar com os clientes. Do outro lado, segundo o resumo do processo divulgado pelo próprio tribunal em 15 de julho de 2026, estavam pessoas que se apresentaram como funcionários da área de segurança do banco. Elas citaram dados pessoais dela. Disseram que havia uma tentativa de compra em sua conta.

Convém parar aqui, porque a cena inteira se decide neste ponto. A mulher não recebeu uma mensagem de um desconhecido pedindo dinheiro. Recebeu uma ligação de quem parecia ser a instituição em que ela guardava o que tinha, e a instituição dizia que a estava protegendo. Quem desconfia de um estranho que pede dinheiro não tem o mesmo reflexo diante de alguém que diz estar impedindo um roubo. A defesa natural de cada um de nós é treinada para o primeiro cenário. O segundo vira essa defesa do avesso: a pessoa colabora porque quer ser protegida.

Seguindo as orientações recebidas, ela fez duas transferências por Pix, uma de R$ 2.490,99 e outra de R$ 1 mil. Até aí, o desfecho ainda poderia ser pequeno. No dia seguinte, porém, a história continuou. Segundo o relato do tribunal, ela foi pessoalmente a uma agência e transferiu R$ 28 mil para a conta indicada pelos golpistas. Foi ao banco, olhou para os funcionários de verdade e, de acordo com a decisão que o STJ resume, não pediu esclarecimentos sobre a ligação que havia recebido.

Não sabemos o que ela pensou ao entrar na agência, e este livro não vai inventar. O que o processo permite afirmar é pouco e é suficiente: a ligação do dia anterior continuava a valer mais, na cabeça dela, do que o balcão que tinha diante dos olhos. Esse é o efeito de um golpe bem montado. O pretexto de autoridade e urgência fica instalado na pessoa como uma instrução em andamento, e as pessoas reais ao redor, mesmo quando vestem o uniforme do banco, passam a parecer figurantes.

O caso chegou ao STJ como o Recurso Especial 2.209.868, julgado pela Terceira Turma, por unanimidade, com relatoria do ministro Humberto Martins. O Tribunal de Justiça de São Paulo havia concluído que os dois Pix não eram incompatíveis com o histórico da conta, e que a operação de maior valor foi feita presencialmente. O STJ manteve a conclusão: o prejuízo decorreu, nas palavras do resumo, de culpa exclusiva da vítima e de terceiros, e o banco não foi condenado a devolver o dinheiro.

Sobre esse desfecho há muito a dizer, e ele aparece mais adiante, na seção sobre quem paga a conta. Mas a abertura serve para fixar três coisas. Primeiro, que a vítima de um golpe assim não é descuidada: ela atendeu o telefone de quem dizia protegê-la. Segundo, que o golpe nem sempre termina na primeira transferência, e que há um intervalo, às vezes de um dia, em que uma pessoa de fora poderia quebrar o encanto. Terceiro, que a pergunta jurídica, de quem arca com a perda, depende de detalhes que a vítima não tem como saber enquanto está ao telefone.

O que você vai levar deste capítulo

A falsa central funciona porque inverte o instinto de defesa: o golpista não pede nada, ele oferece proteção. O pedido vem como instrução de segurança.

Os dados que o golpista cita não provam que ele é do banco. Provam que alguém vazou ou vendeu informação, e esse é o ponto de partida do golpe, não a credencial dele.

A Súmula 479 do STJ não garante que o banco pague. A jurisprudência recente separa as situações em que o banco falhou em barrar operações fora do perfil daquelas em que o tribunal vê a conduta da vítima como causa exclusiva do prejuízo.

A defesa que funciona é de processo: encerrar o contato, ligar por um canal que você escolhe, e tratar qualquer pedido de transferir, instalar ou entregar algo como sinal de golpe, sem exceção.

Por que a ligação do "banco" convence

A anatomia do primeiro contato

O golpe da falsa central é uma família de golpes com a mesma espinha. Ele começa com a escolha do alvo a partir de dados. Segue com uma ligação, ou uma mensagem, que se apresenta como o setor de segurança de um banco. Constrói um problema (uma compra suspeita, um acesso estranho, um cartão clonado). Oferece uma solução que exige a colaboração da vítima. E termina com a perda de controle de dinheiro, cartão ou conta.

Cada elemento desse roteiro existe por uma razão, e entender a razão ajuda mais do que decorar sinais. O dado pessoal cumpre a função de credencial. Quando alguém diz seu nome, seu CPF e o banco em que você tem conta, seu cérebro faz uma inferência rápida: quem tem isso só pode ser da instituição. A inferência é razoável e está errada. Vazamentos, bases vendidas e cadastros mal protegidos fazem com que os dados de muita gente circulem fora do controle de seus donos (não há contagem confiável de quantos). O golpista não precisa de acesso ao banco para saber o seu nome. Ele precisa de uma lista.

O número que aparece no visor cumpre outra função, a de reforçar o que o dado já sugeriu. Há técnicas para fazer a ligação parecer vir de um número legítimo, e o livro não vai detalhá-las, porque o ponto aqui é de princípio: o identificador de chamada é uma informação que quem liga pode em certos casos manipular, e portanto não prova nada. O caso do STJ descrito acima começa com um 0800. Muita gente aprendeu a confiar nesse prefixo. A lição, em nível de perito, é que nenhum sinal que chega pelo canal da própria ligação pode servir para autenticar a ligação.

O problema inventado (a tentativa de compra, o acesso suspeito) cumpre a função de produzir urgência. Alguém está tentando tirar dinheiro de você agora, e você tem de agir antes que isso aconteça. É a combinação clássica descrita no capítulo 2: medo, pressa e autoridade. O golpista não precisa que a vítima acredite em tudo. Precisa que ela acredite o bastante para fazer o próximo passo, e o próximo passo costuma parecer pequeno.

A linha que não desliga

Um mecanismo reportado em investigações policiais merece atenção por causa da defesa. Em abril de 2026, a Polícia Civil de São Paulo deflagrou a Operação Chamada Bancária, que a seguir será tratada como caso. Segundo a divulgação, o grupo investigado usava uma central telefônica falsa com um recurso que mantinha a linha da vítima retida. A vítima era orientada a desligar e ligar para o número impresso no verso do cartão. Fazia exatamente isso, desligava, discava o número verdadeiro, e continuava falando com os golpistas, porque a linha original não tinha sido encerrada de verdade.

Esse detalhe importa porque derruba um dos conselhos mais repetidos, "desligue e ligue para o banco". O conselho é bom, mas incompleto. A versão correta é: desligue, espere ou use outro telefone, e confirme que há tom de discagem novo antes de ligar. A regra do retorno de ligação só funciona se o retorno acontece por um canal que o golpista não controla. Voltarei a isso na defesa, porque é um exemplo claro de por que conselhos de uma linha falham diante de golpes com engenharia.

Isolamento por diálogo

A quarta função do roteiro é o isolamento. O golpista pede que a vítima não conte a ninguém, ou diz que há funcionários do próprio banco envolvidos no esquema, de modo que ligar para a agência seria arriscado. É um recurso engenhoso, porque antecipa a defesa. A pessoa que chegaria à conclusão de que precisa confirmar com alguém recebe, antes disso, uma razão para não confiar em ninguém exceto na voz ao telefone. No caso do STJ, a mulher foi à agência e não perguntou nada, e a decisão registra isso contra ela. Não sabemos se alguém tinha lhe dito para não falar com os funcionários. Sabemos que esse é um pedido que aparece com frequência em relatos desse tipo de golpe.

O caso: a Operação Chamada Bancária

Em 8 de abril de 2026, a Polícia Civil de São Paulo, por meio do Departamento Estadual de Investigações Criminais, o Deic, cumpriu cinco mandados de prisão e sete de busca e apreensão na zona norte da capital. A operação recebeu o nome de Chamada Bancária. De acordo com a divulgação da polícia, reproduzida pela imprensa, os investigados eram cinco operadores de um grupo que atuava contra clientes de instituições financeiras, na maioria idosos. Três deles já tinham sido presos temporariamente quando as reportagens foram publicadas, e a polícia seguia procurando os demais. A reportagem não informa o número de vítimas nem os valores subtraídos. A polícia investigava crimes de estelionato e organização criminosa, e apurava ainda um possível caso de tentativa de latrocínio ligado ao grupo.

Todos os envolvidos são investigados. Até a data das reportagens consultadas, em abril de 2026, não havia notícia de condenação, e a eles se aplica a presunção de inocência.

A divulgação descreve o método em sequência. Os criminosos obtinham dados cadastrais das vítimas. Ligavam a partir de uma central falsa, que usava ainda um sistema automático de atendimento imitando o de um banco. A vítima era orientada a desligar e ligar para o número do cartão, e como a linha continuava ativa, seguia falando com o grupo. Uma pessoa do grupo se passava por funcionário do banco e obtinha informações da conta, incluindo a senha. Em seguida, um falso motoboy ia até a casa da vítima recolher o cartão, com a justificativa de que ele passaria por perícia e que os valores seriam estornados. Os cartões eram então usados em transações e em transferências por Pix.

A anatomia

Esse caso reúne em pequeno espaço quase todas as etapas do roteiro universal do capítulo 1. O alvo foi escolhido por perfil: idosos que são clientes de bancos e cujos dados estavam disponíveis. O contato foi por telefone, com uma estrutura que imitava o atendimento do banco. O pretexto foi a segurança do cartão. O gatilho emocional foi o medo de perder dinheiro, e o recurso de fechar a porta da fuga (a linha retida) cuidou de dar à ligação a aparência de verificação. O isolamento veio por um efeito colateral do próprio roteiro: o canal de confirmação estava dentro do golpe. O pagamento irreversível não foi uma transferência feita pela vítima. Foi a entrega de dois objetos, o cartão e a senha, que equivalem a uma procuração.

A parte que mais interessa a um perito é a divisão de trabalho. Quem liga não é quem recolhe o cartão. Quem recolhe o cartão não é quem usa o cartão. Cada papel é executado por alguém diferente, e quem fica mais exposto fisicamente, o falso motoboy, é o elo mais fácil de a polícia alcançar. Esse arranjo explica por que operações policiais costumam prender quem está na ponta, e é um dos motivos pelos quais, de modo geral, a prisão de um motoboy não derruba a central que o enviou.

A defesa

Para a pessoa, a regra é que nenhum banco legítimo manda alguém buscar seu cartão em casa. Essa frase é a única do capítulo que vale a pena memorizar sem condições. Cartão não se entrega a ninguém, senha não se diz a ninguém, e perícia de cartão não se faz na casa do cliente. Se alguém aparece para buscar o cartão, o golpe já está no último estágio, e a ação certa é não entregar e ligar para o número oficial do banco usando outro aparelho ou esperando o tom de linha.

Para a família, a defesa é combinar de antemão. Um pai ou uma mãe idosos que moram sozinhos não vão decidir em dois minutos, sob pressão, se a voz ao telefone é verdadeira. O que dá para fazer é uma regra definida em um momento calmo, que não depende de julgamento na hora: o banco nunca vai pedir que eu entregue cartão, diga senha ou instale algo; se alguém pedir, eu desligo e telefono para um filho antes de qualquer outra coisa. O capítulo 18 desenvolve esses protocolos.

Para o banco, a lição é que o golpe só termina quando o cartão é usado. Se o sistema do banco reconhece que um cartão que nunca saiu da cidade está sendo usado em compras de alto valor em sequência, ou que uma conta de uso modesto começou a fazer transferências por Pix que nunca fez, existe uma chance de bloquear. É esse o ponto da jurisprudência que vem a seguir.

Mão fantasma: quando o golpista dirige o seu celular

O caso: o empréstimo de R$ 45 mil

Em 13 de novembro de 2025, o STJ divulgou uma decisão da Terceira Turma, por unanimidade, com relatoria do ministro Ricardo Villas Bôas Cueva, no Recurso Especial 2.220.333. Segundo o resumo do tribunal, um estelionatário se passou por funcionário do banco e convenceu uma cliente a instalar um aplicativo no celular, sob o pretexto de regularizar a segurança da conta. É o que se chama de golpe da "mão fantasma", ou do acesso remoto. Com isso, o criminoso contratou um empréstimo de R$ 45 mil, sem o consentimento da correntista, e fez transações incompatíveis com o perfil da conta.

Na primeira instância, o banco foi condenado a restituir integralmente o prejuízo. O Tribunal de Justiça do Distrito Federal reconheceu culpa concorrente da cliente e reduziu a condenação pela metade. O STJ reformou essa parte e condenou o banco a ressarcir toda a perda.

O argumento central do STJ, tal como divulgado, foi que não se pode dividir proporcionalmente o prejuízo com base em culpa concorrente quando a vítima sofre o golpe em razão de falha no sistema de segurança do banco, e que a culpa concorrente só se aplica quando a vítima assume conscientemente o risco do dano. O tribunal divulgou uma frase atribuída ao relator: "O acesso de terceiros a aplicativos e senhas pessoais não ocorre por falta de cautela dos correntistas". A validação de operações fora do perfil do cliente, concluiu a Turma, caracteriza defeito na prestação do serviço e gera responsabilidade objetiva do banco.

A anatomia

O nome "mão fantasma" descreve o efeito: os comandos no celular parecem vir de uma mão invisível. O que importa para o perito é o princípio. O golpista cria um pretexto de segurança que justifica dar a ele controle sobre o aparelho da vítima. Uma vez que tem esse controle, não precisa mais enganar a pessoa em cada passo: ele mesmo opera o aplicativo do banco, com o aparelho dela e, muitas vezes, na presença dela. O golpe passa de persuasão para operação. Este livro não vai explicar quais ferramentas são usadas nem como o controle é obtido, porque isso seria manual de execução. O que a vítima precisa saber é o contrário: nenhuma instituição financeira legítima exige que você instale um programa para "regularizar" sua conta por telefone.

Por que a técnica é tão eficaz? Por dois motivos. Primeiro, ela elimina o obstáculo que mais atrapalha o golpista: a vítima que hesita na hora de digitar a senha ou autorizar uma operação. Segundo, ela faz com que as operações pareçam legítimas aos olhos do banco, porque saem do aparelho habitual, com a conta habitual, na rede habitual. Para o sistema antifraude, o que muda é o comportamento, e é ali que o banco ou acerta, ou falha. Um empréstimo de R$ 45 mil contratado numa conta que nunca tomou empréstimo, seguido de transferências em série, é um comportamento fora do perfil. Foi o que o STJ enfatizou.

A defesa

Para a pessoa, a regra é simples e vale sempre: instalação de aplicativo por orientação de telefone é sinal de golpe. Se alguém liga e pede que você abra a loja de aplicativos, que digite um código que ele fornece, ou que compartilhe a tela, interrompa. Alguns celulares e alguns aplicativos de banco avisam quando há compartilhamento de tela ou controle remoto ativo. A pessoa que se acostuma a olhar esses alertas ganha uma segunda linha de defesa.

Para a família, vale conversar com os mais velhos sobre o que o celular deles tem instalado, e deixar claro que ninguém do banco nunca vai pedir isso. Para a empresa, o ponto é diferente: uma conta empresarial controlada por acesso remoto pode movimentar valores muito maiores. Funcionários do financeiro precisam do mesmo treinamento, e a empresa deve usar limites e dupla aprovação, de modo que nenhuma pessoa sozinha consiga liberar uma transferência grande, ainda que esteja sob a influência de alguém ao telefone.

A maquininha, o motoboy e os outros objetos

O golpe da falsa central tem variações em que o objeto físico entra em cena. O falso motoboy é a mais conhecida, e a Operação Chamada Bancária mostra uma versão. Outras variantes envolvem maquininhas de cartão: a vítima é o comerciante, e a falsa central diz que é a operadora de pagamentos, oferece troca de equipamento ou atualização, e a pessoa acaba usando um aparelho que desvia as vendas para outra conta.

O princípio comum é o do canal de entrega. Se o golpista fosse tentar sacar dinheiro direto da conta, esbarraria em controles do banco. Ao pedir que a vítima entregue o cartão, ou use o equipamento dele, o golpista aproveita a entrega para contornar os controles. A vítima autentica o acesso em seu lugar. O banco enxerga um cartão legítimo, uma senha correta, e, no caso da maquininha, vendas reais de clientes reais que vão parar na conta errada.

Cenário ilustrativo: a padaria e o aparelho trocado

Imagine uma padaria que fatura R$ 3.500 por dia em cartão, seis dias por semana. O dono recebe uma ligação de alguém que se diz da operadora da maquininha e informa que o equipamento será substituído por um modelo novo. Alguém aparece, troca o aparelho e leva o antigo. Durante três semanas, o dono entende que as vendas continuam normais, porque as vendas aparecem na tela dele. O que ele não vê é que a liquidação vai para outra conta. Em três semanas de seis dias, são 18 dias de venda, e 18 vezes R$ 3.500 dão R$ 63.000.

O dono só percebe quando o dinheiro não cai, e a essa altura a conta de destino já foi esvaziada. O exemplo é inventado, os números são arredondados para a conta fechar, e o objetivo é mostrar um efeito: o desvio demora a aparecer porque as vendas continuam acontecendo, o que dá ao golpista semanas de vantagem. A defesa da empresa é simples e pouco glamourosa: toda troca de equipamento é confirmada por um contato que a empresa escolhe, a partir do cadastro oficial da operadora, nunca pelo telefone de quem se apresenta. E a conciliação diária entre vendas e depósitos pega o desvio no segundo dia, não na terceira semana.

Quem paga a conta: Súmula 479 e o que o STJ decidiu entre 2023 e 2026

O que a súmula diz, e o que ela não diz

A Súmula 479 do STJ afirma que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Ela foi aprovada com base na tese do Tema Repetitivo 466. O raciocínio tem lógica econômica: o banco lucra com o serviço, e os riscos inerentes a ele fazem parte do custo do negócio. Responsabilidade objetiva, aqui, significa que o consumidor não precisa provar culpa do banco, apenas o defeito do serviço e o dano.

O que a súmula não diz é que o banco devolve qualquer dinheiro perdido em qualquer golpe. Ela se limita ao fortuito interno, ou seja, ao risco ligado à atividade bancária. Quando o prejuízo decorre de um fato que o tribunal entende como externo ao serviço, ou da culpa exclusiva da vítima, o nexo de causalidade se rompe, e o banco não responde. A discussão jurídica se resume, em quase todos os casos de falsa central, a saber em qual dessas duas situações o caso se encaixa.

O que mudou em três anos

O Superior Tribunal de Justiça tem produzido, nos últimos anos, uma série de decisões que desenham uma fronteira. Um levantamento publicado pelo próprio tribunal em outubro de 2026 reúne vários desses casos.

Em setembro de 2023, no Recurso Especial 2.052.228, a Terceira Turma, com a ministra Nancy Andrighi como relatora, julgou o caso de dois clientes idosos, titulares de uma mesma conta. Um estelionatário telefonou, passou-se por funcionário do banco e orientou um deles a ir a um caixa eletrônico para aumentar o limite de transações. Em seguida, em nome do cliente, contratou um empréstimo e usou todo o valor, inclusive o saldo da conta, para pagar dívidas de cartão de crédito e tributos de outro estado. O Tribunal de Justiça do Distrito Federal tinha reconhecido culpa exclusiva dos clientes. O STJ reformou: declarou o empréstimo inexigível e mandou o banco restituir o saldo desviado. A tese foi que o banco tem o dever de identificar movimentações incompatíveis com o histórico da conta e de impedi-las, e que a ausência de procedimentos de verificação para operações que aparentem ilegalidade é defeito na prestação do serviço. A relatora ainda levou em conta a condição de idosos das vítimas.

Em outubro de 2025, no Recurso Especial 2.222.059, a Terceira Turma, sob a relatoria do ministro Villas Bôas Cueva, tratou de um caso de falsa central em que o consumidor sofreu 14 transações em um dia, num total superior a R$ 140 mil. A decisão estendeu o dever de indenizar às instituições de pagamento, e não apenas aos bancos tradicionais, e listou critérios que servem para identificar uma operação suspeita: perfil do cliente, horário, local, intervalo entre as operações, sequência, meio utilizado e empréstimos atípicos.

Em novembro de 2025, no Recurso Especial 2.220.333, já descrito acima, a Terceira Turma rejeitou a divisão do prejuízo por culpa concorrente no caso da mão fantasma.

Em maio de 2026, no Recurso Especial 2.209.868, a mesma Terceira Turma, agora com relatoria do ministro Humberto Martins, decidiu em sentido diferente no caso da mulher que abre este capítulo. A fraude, entendeu a Turma, não configurou fortuito interno, e a Súmula 479 e o Tema 466 foram afastados. O STJ afirmou, segundo a notícia do tribunal, que a responsabilidade do banco não é automática e depende de prova de falha na prestação do serviço: a não identificação de operações incompatíveis com o perfil do cliente, mecanismos de segurança insuficientes, ou outro elemento que ligue a fraude ao risco da atividade bancária. Como o tribunal paulista tinha concluído que os Pix não destoavam do histórico da conta e que a maior transferência foi feita presencialmente, sem que a cliente buscasse esclarecimento junto aos funcionários, o STJ não viu como rever essa conclusão sem reexaminar as provas, o que a Súmula 7 do próprio tribunal proíbe.

O levantamento do STJ cita ainda uma decisão de setembro de 2026, o Recurso Especial 2.269.747, segundo a qual a falta de validação de operações suspeitas, incompatíveis com o perfil do depositante, indica defeito na prestação do serviço bancário e justifica a responsabilização da instituição. Não consegui confirmar a turma desse julgamento nem o detalhe dos fatos, e registro isso aqui como limite.

A lógica que une decisões aparentemente contrárias

À primeira vista, as decisões se contradizem: num caso o banco paga, noutro não. Se você olhar bem, elas seguem uma regra comum, que é perguntar se o banco tinha como perceber e impedir. Quando as operações destoam do padrão da conta (empréstimo que nunca existiu, 14 transações em um dia, esvaziamento do saldo), o tribunal vê um defeito do serviço. Quando as operações cabem no perfil (dois Pix de valor modesto e uma transferência presencial de R$ 28 mil, feita ao balcão por quem diz querer fazê-la), o tribunal vê um fato que o banco não tinha como identificar, e a conduta da vítima entra na balança.

Isso tem uma consequência prática que nenhum aconselhamento genérico menciona: a mesma pessoa, vítima do mesmo golpe, pode receber o dinheiro de volta ou não conforme o perfil da conta antes do golpe. Quem tinha o hábito de movimentar valores altos terá mais dificuldade de demonstrar que a operação era atípica. Quem tinha uma conta quase parada terá mais facilidade. Isso soa injusto, e é uma das verdades desconfortáveis deste capítulo.

Há também a questão do boleto, que mostra outro lado do raciocínio. No Recurso Especial 2.077.278, relatado pela ministra Nancy Andrighi, uma cliente pediu informações por e-mail ao banco para quitar um financiamento, foi contatada dias depois por uma suposta funcionária via WhatsApp e pagou um boleto de cerca de R$ 19 mil emitido por criminosos. A Terceira Turma restabeleceu a sentença, que tinha declarado válido o pagamento feito pelo boleto fraudado. O argumento, segundo a notícia do tribunal, é que o golpista conhecia dados bancários sigilosos, como o e-mail enviado para quitar a dívida e informações do financiamento, e que dados ligados a operações bancárias impõem ao banco o dever de armazenamento e proteção. O vazamento pode caracterizar falha na prestação do serviço. A relatora observou que um boleto falso pode ter diferenças em relação ao verdadeiro que uma pessoa comum não consegue identificar, e que "não se espera que uma pessoa comum seja sempre capaz de identificá-las", conforme o texto do tribunal.

O que fazer com isso, sem ser advogado

Este livro não é consultoria jurídica, e cada caso depende de provas. O que se pode dizer, como orientação de perito, é que a prova do que o banco poderia ter percebido costuma ser decisiva. Isso significa guardar o extrato, o histórico de movimentações dos meses anteriores, o registro das ligações, mensagens e prints, e pedir ao banco, formalmente, o registro das operações contestadas. O capítulo 19 trata da sequência das primeiras 24 horas. Por ora, basta fixar que a pergunta central de um juiz será se aquelas operações destoavam do perfil, e que a resposta se constrói com documentos, não com indignação.

Por que o banco falha, e quanto o golpe custa

O dilema do antifraude

Quando um cliente reclama que o banco deixou passar uma operação óbvia, parece evidente que bastaria bloquear. Na prática, o banco precisa decidir milhões de vezes por dia entre bloquear e deixar passar, e cada decisão tem custo. Bloquear uma operação legítima irrita o cliente, gera atendimento e, em casos extremos, faz o cliente trocar de banco. Deixar passar uma fraude gera perda direta, risco jurídico e dano à reputação.

Cenário ilustrativo: a conta do bloqueio

Suponha que um banco identifique, num mês, 1 milhão de operações que o sistema classifica como atípicas. Suponha que 0,5% delas sejam fraude, o que dá 5 mil operações fraudulentas, e que a perda média por fraude seja de R$ 3.000. O prejuízo potencial é de R$ 15 milhões.

Se o banco bloqueasse todas as 1 milhão de operações atípicas, estaria barrando 995 mil operações legítimas. Se cada bloqueio legítimo custasse ao banco R$ 3 em atendimento, o custo chegaria a cerca de R$ 2,99 milhões, mais o custo de relacionamento com 995 mil clientes incomodados, que é difícil de medir e certamente maior. Em termos puramente contábeis, bloquear tudo pode parecer vantajoso nesse exemplo, e por isso o cenário mostra a dificuldade de modo honesto: o custo que pesa na decisão não é o do atendimento, e sim o da fricção sobre a experiência do cliente, a perda de uso do produto e a concorrência com bancos que bloqueiam menos. O número é inventado e serve só para mostrar a forma do problema. A mensagem é que a decisão sobre o limiar de bloqueio é econômica, e a resposta depende do que o banco espera pagar pela fraude versus o que espera perder em clientes.

É por isso que decisões judiciais como as do STJ importam. Ao dizer que o banco responde objetivamente quando deixa passar o atípico, elas alteram a conta: aumentam o custo de deixar passar e deslocam o limiar para o lado do bloqueio. É o que os economistas chamam de colocar o custo da externalidade em quem está em melhor posição de evitá-la.

Os números do problema

Estatística de golpe é ruim, e este livro repete isso porque é verdade: subnotificação, definições que variam, instituições que divulgam o que convém. A Febraban divulgou, em 12 de março de 2025, que as fraudes e os golpes financeiros causaram prejuízo de R$ 10,1 bilhões, valor que a cobertura da imprensa apresentou como o resultado de 2024, uma alta de 17% sobre os R$ 8,6 bilhões de 2023. As perdas ligadas ao Pix teriam sido de R$ 2,7 bilhões, com alta de 43%. Parte da imprensa descreveu o valor de R$ 10,1 bilhões como somatório de dois anos, e não consegui conferir o relatório original, então trate os números como ordem de grandeza e não como medida exata. No mesmo evento, o diretor-geral da Polícia Federal, Andrei Rodrigues, disse que as operações contra crimes cibernéticos passaram de pouco mais de 300 em 2022 para mais de mil em 2024, segundo a cobertura do Poder360.

Do lado do Estado, o Anuário Brasileiro de Segurança Pública de 2026, do Fórum Brasileiro de Segurança Pública, registrou 2.261.055 casos de estelionato em 2025, conforme a divulgação da Agência Brasil, citada no capítulo 1. Esse número mede o que foi registrado, não o que aconteceu.

O que a polícia consegue e o que não consegue

Os casos que chegam a uma operação policial, como a Chamada Bancária, mostram que a polícia consegue desarticular grupos. O que a operação não mostra é a proporção. Com mais de dois milhões de registros de estelionato por ano, a capacidade de investigar cada um é, na prática, nula. A investigação se concentra em grupos, em sequências de casos com a mesma assinatura, e em casos de grande valor ou envolvimento de violência.

Há ainda uma peculiaridade jurídica que mudou. Entre 2019 e 2026, por causa do Pacote Anticrime (Lei 13.964/2019), o estelionato dependia, em regra, de representação da vítima para ser processado, e muita gente deixava de registrar por vergonha ou cansaço. A Lei 15.397, de 30 de abril de 2026, revogou o §5º do artigo 171, segundo o texto compilado do Código Penal, e o estelionato voltou a ser, em regra, de ação penal pública incondicionada: o Ministério Público não depende da representação da vítima. Não examinei como isso se aplica a fatos anteriores à lei, e quem está nessa situação deve consultar um advogado ou a Defensoria Pública.

E há a fraude eletrônica do §2º-A, introduzida pela Lei 14.155, de 2021, com pena de reclusão de quatro a oito anos e multa, que se aplica quando o golpe se vale de informações fornecidas pela própria vítima, ou por terceiro induzido a erro, por meio de redes sociais, contatos telefônicos ou e-mail fraudulento. A pena alta não resolve o problema da identificação, que é anterior à punição. Quem usa uma central falsa, um chip no nome de outro e uma conta aberta com documento de terceiro é difícil de rastrear, e o capítulo 6 mostra como o dinheiro desaparece depois.

A defesa em camadas

Para a pessoa

A defesa mais eficaz é uma regra que não admite exceção. Banco não liga para pedir que você transfira, instale, entregue ou digite. Se a ligação contém qualquer um desses quatro verbos, é golpe, mesmo que o número seja o do banco, mesmo que a pessoa saiba seus dados, mesmo que a voz seja convincente.

A segunda regra é tratar o telefone como canal inseguro para autenticar. Se você tem dúvida, encerre a ligação, espere ou use outro aparelho, e contate o banco por um canal que você mesmo escolheu: o número do cartão, o aplicativo oficial, a agência. O aplicativo costuma ser o canal mais seguro, porque a confirmação de segurança acontece dentro dele.

A terceira é configurar o que o banco oferece. Limites de transferência baixos por padrão, com aumento sob solicitação, reduzem o dano do pior caso. Alertas de cada operação dão uma chance de reação. Em muitos bancos é possível definir limite específico para o período noturno, regra tratada no capítulo 6.

Para a família

O protocolo é combinar e ensaiar. A pessoa mais velha não precisa entender de golpes. Precisa de uma regra clara e de alguém para quem ligar. A regra pode ser: se alguém falar de banco por telefone, eu desligo e ligo para você. A pessoa que recebe a ligação, o filho ou a filha, precisa estar disposta a atender a qualquer hora e a não repreender. A vergonha é uma das razões pelas quais as vítimas demoram a pedir ajuda, e uma reação irritada faz a próxima ligação não acontecer.

Para a empresa

A empresa tem três vulnerabilidades específicas. A primeira é o financeiro, alvo da falsa central empresarial. A segunda é o equipamento de cobrança (maquininha, terminal), alvo de trocas fraudulentas. A terceira é o telefone do dono, cuja conta pessoal e empresarial se misturam. A defesa é processo: dupla aprovação para pagamentos acima de um limite, lista de contatos oficiais da operadora e do banco, conciliação diária entre vendas e liquidações, e treinamento que inclua o caso da ligação do "banco" pedindo instalação de um aplicativo.

Verdades desconfortáveis

O banco sabe mais sobre você do que o golpista, e ainda assim os golpes funcionam. A informação para identificar a operação fora do perfil existe no sistema do banco. O que falta, em muitos casos, é a decisão de usá-la contra o conforto do cliente. As decisões do STJ mostram que, quando o banco não usou essa informação, a Justiça tende a cobrar. Quando usou e a operação passou mesmo assim, ou quando ela cabia no perfil, tende a não cobrar.

A pessoa que entrega o cartão ou instala o aplicativo não está sendo descuidada, mas pode ser tratada como se estivesse. A decisão que abre este capítulo registra, entre os fatos contra a vítima, que ela não pediu esclarecimentos aos funcionários da agência. Isso reproduz, na esfera jurídica, a lógica da vergonha: a vítima que seguiu uma instrução que parecia de segurança é depois questionada sobre por que não duvidou. A contrapartida é que a decisão sobre a mão fantasma disse o oposto, que o acesso de terceiros às senhas e aplicativos não decorre de falta de cautela dos correntistas. A jurisprudência ainda procura seu equilíbrio, e a vítima fica no meio da disputa.

O vazamento de dados é o combustível, e quase ninguém paga por ele. O golpista começa com uma lista. Quem vazou ou vendeu a lista raramente aparece na conta final. O caso do boleto mostra que, em certas circunstâncias, o STJ responsabiliza o banco quando os dados vazados são bancários e sigilosos. Mas para a enorme massa de dados cadastrais básicos, como nome e CPF, o mesmo tribunal disse que não há responsabilidade exclusiva do banco, porque eles podem vir de outras fontes. O resultado é que o primeiro elo da cadeia, a origem do dado, é o mais difícil de punir.

A polícia prende quem aparece. O falso motoboy, o titular da conta que recebeu o dinheiro, o operador de telefone são elos substituíveis, e o grupo que os contrata encontra outros. Isso não significa que a investigação seja inútil, mas que o efeito de dissuasão é limitado enquanto a estrutura de comando permanece fora do alcance.

E o conselho "desconfie sempre" é inútil. A pessoa não consegue desconfiar de tudo, o tempo todo, sem deixar de usar o banco. O que funciona é a regra de processo, aplicada sem exceção, que não exige que a pessoa decida se a voz é verdadeira.

Protocolo de defesa

Para a pessoa e a família:

• Defina uma regra única: banco não pede para transferir, instalar, entregar cartão ou ditar senha ou código. Qualquer pedido assim encerra a conversa.
• Ao desligar, espere ou use outro telefone antes de ligar para o banco, e confirme que ouviu o tom de discagem. Ligue para o número do cartão ou use o aplicativo.
• Nunca entregue cartão a um desconhecido, em casa ou na rua, seja qual for o motivo.
• Não instale aplicativo nem compartilhe a tela por orientação de ligação. Se já instalou, desinstale e ligue para o banco de outro aparelho.
• Reduza o limite de transferência e de Pix ao uso real, e peça aumento só quando precisar.
• Ative alertas de operação e leia-os.
• Combine com o pai ou a mãe idosos o que fazer ao receber ligação do "banco", e a quem ligar. Acolha, sem repreender.
• Se caiu: ligue imediatamente para o banco, peça o bloqueio e a contestação, registre o boletim de ocorrência e guarde tudo (capítulo 19).

Para a empresa:

• Exija dupla aprovação para pagamentos acima de um limite definido.
• Mantenha lista de contatos oficiais do banco e da operadora de pagamentos, e confirme qualquer troca de equipamento por ela.
• Faça a conciliação diária entre vendas e depósitos.
• Treine o financeiro e quem atende o telefone com o caso do falso funcionário do banco pedindo instalação de aplicativo.
• Separe a conta da empresa do uso pessoal dos sócios.

Sinais de alerta

• A ligação diz que você está sendo protegido de uma fraude que ainda vai acontecer.
• A pessoa cita seus dados como prova de que é do banco.
• Pedem que você desligue e ligue para o número do cartão, e você não tem certeza de que a linha foi encerrada.
• Pedem que você instale um aplicativo, compartilhe a tela ou digite um código no celular.
• Dizem que o cartão será recolhido para perícia ou substituição.
• Pedem sigilo, ou dizem que funcionários da agência estão envolvidos.
• Há pressa: o prazo é de minutos, e cada pergunta sua é tratada como atraso.
• Mandam fazer uma transferência para "uma conta segura" ou "conta de proteção".
• Alguém aparece para trocar a maquininha sem que você tenha ligado para a operadora.

Exercícios

1. Escreva a regra de família para ligações de banco, em até cinco linhas, e teste com um parente mais velho. Peça que ele repita a regra com as próprias palavras. Entrega: a regra final e a lista das objeções que ele fez.

2. Verifique no aplicativo do seu banco os limites de Pix e de transferência, o limite noturno e os alertas de operação. Compare com seu uso real dos últimos três meses. Entrega: uma tabela com limite atual, uso máximo real e limite que você pretende definir.

3. Releia a decisão resumida na abertura e liste, em duas colunas, o que ela diz a favor do banco e o que o caso da mão fantasma diz a favor da vítima. Entrega: a tabela e um parágrafo explicando o que mudaria se a vítima tivesse tido uma conta com movimentação alta.

4. Se você tem comércio, desenhe o caminho do dinheiro de uma venda no cartão, da maquininha à conta. Em cada ponto, anote quem poderia desviar e como você notaria no mesmo dia. Entrega: o desenho e a descrição do controle de conciliação.

5. Procure no site do tribunal do seu estado uma decisão recente sobre golpe da falsa central e classifique-a: o tribunal considerou fortuito interno ou externo? Houve discussão sobre operações fora do perfil? Entrega: o número do processo, a classificação e um parágrafo com suas observações.

Prompt de estudo

Vou descrever uma ligação ou mensagem que recebi de alguém que dizia ser do meu banco, sem incluir dados pessoais, números de conta ou nomes. Quero que você me ajude a analisá-la como um perito: identifique, em nível de princípio, qual era o pretexto, qual o gatilho emocional, qual o pedido final e em que ponto eu poderia ter quebrado o golpe. Em seguida, sugira três regras de processo para minha família. Não invente fatos nem cite decisões judiciais que não possa indicar.

Faça-me dez perguntas curtas sobre este capítulo: o que a Súmula 479 afirma, o que é fortuito interno, por que a mesma vítima pode ganhar ou perder conforme o perfil da conta e como se faz uma regra de retorno de ligação. Depois de cada resposta minha, diga se acertei e explique o que faltou.

Fontes e leituras

• Superior Tribunal de Justiça, notícia de 15 de julho de 2026, sobre o REsp 2.209.868 (Terceira Turma, relator ministro Humberto Martins): "Sem transações incompatíveis com perfil de cliente, banco não responde por golpe da falsa central", em stj.jus.br.
• Superior Tribunal de Justiça, notícia de 13 de novembro de 2025, sobre o REsp 2.220.333 (Terceira Turma, relator ministro Ricardo Villas Bôas Cueva): falha de segurança do banco afasta alegação de culpa concorrente em caso de golpe, em stj.jus.br.
• Superior Tribunal de Justiça, notícia de 30 de outubro de 2023, sobre o REsp 2.052.228 (Terceira Turma, relatora ministra Nancy Andrighi): dever do banco de identificar e impedir transações que destoam do perfil do cliente, em stj.jus.br.
• Superior Tribunal de Justiça, notícia de 24 de outubro de 2023, sobre o REsp 2.077.278 (Terceira Turma, relatora ministra Nancy Andrighi): vazamento de dados e golpe do boleto, em stj.jus.br.
• Superior Tribunal de Justiça, "Golpes virtuais, danos reais: o STJ diante das fraudes envolvendo instituições financeiras", de 11 de outubro de 2026, que reúne os REsp 2.222.059, 2.250.674, 2.124.423, 2.269.747 e o AREsp 3.193.758, em stj.jus.br.
• Súmula 479 do STJ e Tema Repetitivo 466, sobre a responsabilidade objetiva das instituições financeiras por fortuito interno.
• Código Penal, artigo 171; Lei 14.155, de 27 de maio de 2021; Lei 13.964, de 24 de dezembro de 2019; Lei 15.397, de 30 de abril de 2026, em planalto.gov.br.
• Cobertura da Operação Chamada Bancária (Deic, Polícia Civil de São Paulo, 8 de abril de 2026), em Metrópoles.
• Febraban e Poder360, 12 de março de 2025, sobre perdas com fraudes e golpes; Fórum Brasileiro de Segurança Pública, Anuário Brasileiro de Segurança Pública de 2026, e divulgação da Agência Brasil.