Golpe da Falsa Multa de Trânsito por SMS ou WhatsApp: Phishing com Link Malicioso e Responsabilidade do Banco

Em regra, o banco pode ser responsabilizado pelo prejuízo causado pelo golpe da falsa multa de trânsito quando a fraude se aproveita de uma falha identificável na segurança da própria instituição financeira — como ausência de dupla verificação para operações de risco ou não detecção de um padrão de transação atípico —, mas essa responsabilidade não é automática: quando a vítima informa senhas, códigos de autenticação ou dados bancários por iniciativa própria a uma página falsa, sem qualquer indução direta do sistema do banco, a análise do caso concreto tende a ser mais rigorosa e o resultado pode variar.

Como funciona o golpe da falsa multa por SMS ou WhatsApp

O golpe começa com uma mensagem — por SMS, WhatsApp ou, com menos frequência, e-mail — informando que existe uma multa de trânsito pendente em nome do destinatário, muitas vezes com ameaça de “pontuação na CNH”, “bloqueio do veículo” ou “protesto em cartório” caso o pagamento não seja feito em 24 ou 48 horas. O golpista se passa por órgãos como Detran, Polícia Rodoviária Federal, prefeituras ou até empresas de pedágio eletrônico, reproduzindo logotipos oficiais e usando linguagem formal para parecer legítimo.

Ao clicar no link contido na mensagem, a vítima é direcionada a uma página clonada, visualmente muito parecida com o site do órgão de trânsito ou com o aplicativo de um banco. Nessa página falsa, são solicitados CPF, dados do veículo e, principalmente, informações bancárias — número de cartão, senha, código de segurança ou até a senha de acesso ao aplicativo do banco.

Uma variação recorrente do golpe chega justamente pelo WhatsApp, às vezes partindo de um número que a vítima reconhece como de um contato ou de uma empresa conhecida. Isso costuma acontecer quando o criminoso promove antes uma troca de chip (SIM swap) ou clonagem do WhatsApp, o que aumenta a credibilidade da mensagem e pode inclusive abrir uma discussão paralela sobre a responsabilidade da operadora de telefonia pela liberação do número sem verificação suficiente.

Do link malicioso ao malware: as variações mais perigosas do golpe

Nem todo golpe de falsa multa se limita a copiar uma senha digitada em uma página falsa. Em versões mais sofisticadas, a página clonada induz a vítima a instalar um aplicativo de “suporte”, “verificação de identidade” ou “consulta unificada de débitos”. Esse aplicativo costuma ser, na realidade, um programa de acesso remoto ou um malware bancário, capaz de capturar tudo o que é digitado no aparelho ou de espelhar a tela do celular em tempo real para o criminoso.

Com esse nível de acesso, o golpista não precisa mais induzir a vítima a fazer uma transferência: ele mesmo passa a operar o aplicativo do banco a partir do dispositivo comprometido, muitas vezes enquanto mantém a vítima “entretida” em uma ligação telefônica ou em uma tela de carregamento falsa. Essa variação se aproxima de outros golpes que também usam acesso remoto ao computador ou ao celular como ferramenta central da fraude, casos em que a análise sobre eventual falha de segurança do banco costuma levar em conta se o sistema deveria ter identificado o comportamento anômalo da sessão antes de liberar a operação.

Por que esse golpe continua enganando tanta gente

Apesar de ser amplamente noticiado, o golpe da falsa multa continua fazendo vítimas por reunir vários gatilhos psicológicos ao mesmo tempo:

• Explora uma obrigação real e recorrente da vida do motorista, o que reduz a desconfiança inicial diante da mensagem;
• Usa urgência artificial — prazos curtos, ameaça de pontuação ou de bloqueio do veículo — para impedir que a vítima pare e reflita antes de clicar;
• Reproduz com fidelidade a identidade visual de órgãos públicos e de instituições financeiras, incluindo cores, logotipos e linguagem técnica;
• Chega por canais que a vítima já usa diariamente para receber notificações legítimas, como SMS e WhatsApp;
• É disparado em massa, o que faz com que, por coincidência, parte dos destinatários realmente tenha alguma pendência de trânsito — reforçando a credibilidade da mensagem para quem a recebe.

Essa mesma lógica de se passar por um canal oficial aparece em outras fraudes, como perfis falsos de atendimento ao cliente em redes sociais que se apresentam como bancos ou empresas conhecidas para captar dados de quem busca suporte. O padrão de fundo é sempre parecido: criar uma aparência de autoridade para reduzir a desconfiança da vítima exatamente no momento em que ela mais precisaria de cautela.

O que a lei penal prevê para esse golpe

Do ponto de vista penal, esse tipo de golpe costuma se enquadrar como estelionato eletrônico agravado — uma modalidade mais grave de estelionato, criada especificamente para fraudes praticadas com uso de contato telefônico, redes sociais ou mensagens eletrônicas fraudulentas. A pena prevista é de reclusão que pode chegar a oito anos, além de multa, patamar sensivelmente mais alto do que o do estelionato comum.

A pena tende a ser ainda maior quando o golpe utiliza servidores mantidos fora do Brasil para dificultar o rastreamento — característica comum nesses esquemas, que costumam operar com infraestrutura no exterior — e também quando a vítima é idosa ou está em situação de vulnerabilidade, hipótese em que a lei prevê aumento expressivo de pena, justamente porque esse público costuma ser alvo preferencial por menor familiaridade com fraudes digitais. Essa previsão de aumento de pena para vítimas vulneráveis já é lei em vigor, não uma proposta em tramitação.

Vale destacar que essa qualificação penal, embora relevante para a responsabilização do golpista, é uma discussão separada da responsabilidade civil do banco pelo prejuízo da vítima — são duas frentes jurídicas distintas, que podem e costumam ser conduzidas em paralelo.

A responsabilidade do banco pela fraude

Um ponto central para quem sofre esse golpe é entender que a instituição financeira não é, por definição, alheia ao prejuízo. A relação entre banco e correntista é regida pelo Código de Defesa do Consumidor, e o entendimento consolidado do Superior Tribunal de Justiça reconhece que as instituições financeiras respondem, independentemente de culpa, pelos danos causados por fraudes e delitos praticados por terceiros no âmbito das operações bancárias — a chamada responsabilidade por “fortuito interno”. Esse entendimento já está pacificado há anos em súmula do próprio tribunal e não se trata de tese isolada nem de tendência recente de mercado; a parte que ainda comporta discussão caso a caso é a aplicação concreta desse entendimento a cada golpe específico, conforme os fatos de cada situação.

Sinais de que o banco pode ter falhado

Mesmo quando a fraude começa fora do banco — com um link malicioso enviado por SMS ou WhatsApp —, a instituição pode ser responsabilizada quando:

• o sistema de segurança falha em identificar padrões de transação atípicos, como transferências de valores incomuns para destinatários novos em curto intervalo de tempo;
• não há dupla verificação — biometria, confirmação por outro canal, tempo de espera — para operações de risco elevado, como Pix de valor alto ou empréstimos liberados via aplicativo;
• há um aumento do limite de Pix pouco antes da fraude, sem justificativa aparente, o que pode indicar que o próprio sistema do banco deveria ter sinalizado o comportamento como suspeito;
• existem indícios de que o golpista já sabia dados como saldo, banco ou financiamento da vítima antes mesmo do primeiro contato, o que pode sugerir vazamento de informações do próprio sistema bancário;
• há indícios de que o próprio aplicativo ou canal de atendimento do banco possuía vulnerabilidades exploradas pelo esquema.

Quando a responsabilidade da vítima pesa mais na análise

Por outro lado, cada caso concreto exige análise própria, e a responsabilidade do banco não é automática. Fatores como a rapidez da comunicação da fraude pela vítima, a existência (ou não) de falhas identificáveis na segurança da instituição e o comportamento da própria vítima — por exemplo, se ela informou senhas, códigos de autenticação ou dados do cartão por iniciativa própria, em um aplicativo ou site que ela mesma baixou ou acessou, sem qualquer falha de segurança identificável no sistema do banco — costumam ser avaliados para definir a extensão da responsabilidade de cada parte. Isso não significa que a vítima de phishing perca automaticamente o direito de reclamar: significa apenas que, quanto mais a fraude explorar uma fragilidade própria do banco, mais forte tende a ser o argumento pela responsabilização da instituição, e quanto mais a fraude depender exclusivamente de uma decisão isolada da vítima, mais essa discussão se aproxima da culpa exclusiva do consumidor — tema sobre o qual a jurisprudência ainda examina caso a caso, sem uma fórmula fixa aplicável a todas as situações.

Comunicação imediata ao banco e o papel do MED

Assim que a vítima percebe a fraude, o primeiro passo prático é comunicar formalmente o banco, solicitando o bloqueio de operações e o acionamento do Mecanismo Especial de Devolução (MED) do Pix, um procedimento regulamentar do Banco Central que permite tentar bloquear e reaver valores transferidos por fraude enquanto ainda estiverem disponíveis na conta de destino. É importante ter em mente que o MED é um mecanismo regulatório com prazos e condições próprias, não uma devolução automática garantida por lei — e mesmo relatos de quem avisou o banco imediatamente e ainda assim não teve o dinheiro bloqueado a tempo mostram que a efetividade do mecanismo depende de fatores como a velocidade de resposta do banco de destino e a existência de saldo na conta do golpista no momento do pedido.

O que fazer agora: da mensagem suspeita ao boletim de ocorrência

Diante de uma mensagem suspeita — ou já depois de ter clicado no link —, alguns passos práticos fazem diferença real no resultado do caso:

• Nunca clique em links recebidos por SMS ou WhatsApp relacionados a multas, mesmo que a mensagem pareça oficial e use o nome de um órgão real;
• Consulte eventuais pendências diretamente nos canais oficiais do Detran do seu estado ou no aplicativo oficial da Polícia Rodoviária Federal, digitando o endereço manualmente no navegador, sem usar o link recebido;
• Desconfie de qualquer cobrança com desconto condicionado a pagamento imediato via Pix ou à instalação de um aplicativo desconhecido;
• Caso já tenha clicado no link, baixado algum aplicativo ou fornecido dados, troque imediatamente as senhas de acesso ao aplicativo bancário a partir de outro dispositivo e entre em contato com o banco para reportar a fraude, pedir bloqueio preventivo e solicitar o acionamento do MED;
• Registre boletim de ocorrência o quanto antes e reúna prints das mensagens, do link, da página falsa (quando possível) e de eventuais transações não reconhecidas — essa documentação costuma ser decisiva tanto para a investigação criminal quanto para discutir a responsabilidade do banco.

O golpe da falsa multa de trânsito é mais um exemplo de como criminosos digitais adaptam técnicas de engenharia social a situações cotidianas para reduzir a resistência das vítimas, e essa modalidade tende a continuar evoluindo — inclusive incorporando novos canais de contato e novas formas de burlar a autenticação das operações bancárias. Diante de um prejuízo financeiro decorrente desse tipo de golpe, reunir provas rapidamente e buscar orientação jurídica especializada ajuda a identificar com mais precisão se há falha do banco a ser discutida e quais medidas são cabíveis diante da instituição e das autoridades competentes.

Perguntas frequentes

Preciso pagar a multa da mensagem antes de verificar se ela é verdadeira?

Não é recomendável pagar nada a partir do link recebido por SMS ou WhatsApp. O caminho seguro é consultar a existência da multa diretamente no site oficial do Detran do seu estado ou da Polícia Rodoviária Federal, digitando o endereço manualmente no navegador, sem usar o link da mensagem.

O banco é obrigado a devolver o dinheiro transferido para o golpista?

Depende das circunstâncias do caso. Em regra, o banco pode ser responsabilizado quando há falha identificável em sua segurança — como ausência de dupla verificação ou não detecção de operação atípica —, mas quando a vítima fornece senhas e códigos de autenticação por iniciativa própria, sem qualquer indução direta do sistema bancário, a devolução tende a ser mais discutida caso a caso.

Cair no golpe e informar meus dados bancários é crime pelo qual posso ser responsabilizado?

Não. A vítima de um golpe de phishing não comete crime ao ser enganada — quem responde penalmente é o autor da fraude. Ainda assim, é importante reunir provas (prints, boletim de ocorrência) para demonstrar que houve indução fraudulenta, o que ajuda tanto na esfera criminal quanto em eventual discussão sobre a responsabilidade do banco.

O Mecanismo Especial de Devolução (MED) garante que vou receber o dinheiro de volta?

Não garante automaticamente. O MED é um procedimento regulamentar do Banco Central que permite ao banco da vítima solicitar o bloqueio e a devolução de valores transferidos por fraude, mas o resultado depende de fatores como a velocidade da comunicação, a existência de saldo disponível na conta de destino e o cumprimento dos prazos regulamentares pelas instituições envolvidas.

Recebi a mensagem mas não cliquei em nada. Preciso fazer alguma coisa?

Ainda assim vale registrar boletim de ocorrência sobre a tentativa de golpe e denunciar o número ou perfil utilizado às plataformas (WhatsApp, operadora de telefonia) e, se possível, ao órgão de trânsito citado na mensagem, para ajudar a mapear e conter a atuação do grupo criminoso.

Quanto tempo tenho para contestar uma transação feita pelo golpista?

Não há um prazo único aplicável a todos os casos: bancos costumam ter prazos internos para contestação de operações, e o MED do Pix tem etapas com prazos regulamentares próprios. Por isso, quanto mais rápida for a comunicação formal ao banco após a percepção da fraude, maiores tendem a ser as chances de bloqueio de valores ainda não repassados ao golpista.

Sobre o autor

Siga @phelipecardosoadv no Instagram →

Phelipe Pereira Cardoso é advogado desde 2009 e fundador do PHC Phelipe Cardoso Advogados. Atua principalmente em Direito Civil, Empresarial e do Consumidor, com experiência em responsabilidade civil, indenizações, contratos, conflitos patrimoniais e demandas envolvendo empresas e instituições financeiras.

Ao longo de sua trajetória, concedeu entrevistas e contribuiu com análises jurídicas para veículos como TV Globo, TV Record e Rádio Itatiaia, abordando temas de interesse público e questões relevantes das relações civis e de consumo. À frente do PHC, coordena a estratégia jurídica do escritório e combina experiência prática, linguagem clara e tecnologia aplicada ao Direito para conduzir casos de forma técnica, personalizada e orientada à solução.

Precisa de orientação sobre o seu caso?

Fale com o escritório  ·  Conheça o PHC Advogados  ·  Ver outros artigos

Este conteúdo tem caráter informativo e não substitui a análise individual do seu caso por um advogado.