Tempo de leitura: 10 min · Publicado em 11/08/2026
O cartão virtual foi criado para reduzir a exposição dos dados do cartão físico em compras pela internet. Dependendo do banco, ele pode ser temporário, recorrente ou vinculado a uma carteira digital. Mesmo assim, criminosos podem obter seus dados por página falsa, invasão de conta, aplicativo malicioso, vazamento, engenharia social ou acesso indevido ao celular.
Quando aparecem compras não reconhecidas, o consumidor deve bloquear o cartão virtual, contestar cada lançamento e pedir informações sobre a autenticação utilizada. O simples fato de a compra ter sido aprovada não prova que o titular a realizou, mas a responsabilidade do banco também não é automática: ela depende da segurança oferecida, das circunstâncias da operação e das provas reunidas.
Quem paga as compras feitas com cartão virtual fraudado?
Resposta direta: o consumidor não deve suportar cobrança de compra que não realizou, mas precisa contestá-la e colaborar com a apuração.
O banco ou emissor pode responder quando houver defeito de segurança, autenticação ou monitoramento; o fornecedor poderá afastar a responsabilidade se demonstrar inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.
A conclusão depende de como os dados foram obtidos, se houve confirmação adicional, qual dispositivo foi usado e se as compras eram compatíveis com o perfil. Uma sequência de operações em sites desconhecidos, valores incomuns ou transações logo após alteração de senha pode indicar risco relevante.
Não se deve prometer estorno apenas com base na declaração de desconhecimento. A contestação administrativa precisa ser examinada, e eventual ação judicial exigirá análise dos registros técnicos e das circunstâncias concretas.
Como os dados do cartão virtual são roubados?
Os dados podem ser capturados em site clonado, formulário falso, computador infectado ou mensagem que imita comunicação do banco. Também podem ser obtidos quando o consumidor compartilha tela, código de segurança ou acesso ao aplicativo com pessoa que se apresenta como funcionário.
Em outras situações, a fraude decorre de invasão da conta bancária ou do e-mail utilizado para recuperar a senha. Vazamento em loja ou prestador de serviço é outra hipótese possível, mas a origem não deve ser afirmada sem elementos objetivos.
Nem todo uso indevido prova que o banco vazou os dados. Para responsabilizar determinada empresa por incidente de segurança, é necessário demonstrar tratamento irregular, dano e nexo causal, conforme os artigos 42, 44 e 46 da LGPD.
Cartão virtual é mais seguro que o cartão físico?
O cartão virtual pode reduzir alguns riscos porque permite gerar dados diferentes dos impressos no cartão físico. Versões temporárias expiram rapidamente, enquanto cartões recorrentes permanecem válidos para assinaturas e compras futuras.
Essa proteção não elimina fraudes. Se o criminoso controla a conta, o celular ou a sessão autenticada, ele pode visualizar ou criar novo cartão virtual. Também pode utilizar os dados antes que uma versão temporária expire.
A segurança depende do conjunto: autenticação do aplicativo, proteção do dispositivo, alertas, limites, tokenização e comportamento do usuário. Nenhuma modalidade torna a operação imune a golpes.
O banco deve provar que o consumidor fez a compra?
Em uma controvérsia, o consumidor apresenta os fatos e documentos disponíveis, enquanto o banco detém registros técnicos da autorização. O artigo 6º, inciso VIII, do CDC permite inversão do ônus da prova quando o juiz identifica verossimilhança ou hipossuficiência, mas essa inversão não é automática.
A instituição pode apresentar IP, dispositivo, método de autenticação, token, código de segurança, histórico e informações fornecidas pelo estabelecimento. Uma simples tela interna com a palavra “autorizada” pode ser insuficiente se não explicar como a identidade do titular foi validada.
O consumidor pode organizar sua documentação com base no guia sobre compra não reconhecida em cartão clonado, preservando faturas, alertas e protocolos.
O uso de senha ou token elimina a fraude?
Não necessariamente. Senhas e tokens podem ser obtidos por engenharia social, acesso remoto, invasão do dispositivo ou página falsa. A presença de autenticação é relevante, mas precisa ser relacionada à forma como a operação ocorreu.
Por outro lado, se o consumidor entregou voluntariamente credenciais e códigos a terceiro, esse comportamento pode pesar na análise. Não existe garantia de indenização quando senha, token ou acesso ao aplicativo são compartilhados espontaneamente.
A eventual contribuição do consumidor não elimina automaticamente uma falha bancária independente, como aprovação de operações manifestamente incompatíveis. A responsabilidade deve ser individualizada, sem transformar o banco em segurador universal nem transferir todo o risco à vítima.
O que fazer ao identificar a compra fraudulenta?
- Bloqueie o cartão virtual e gere outro apenas quando necessário.
- Conteste cada compra não reconhecida pelo canal oficial.
- Altere a senha bancária e encerre sessões desconhecidas.
- Revise dispositivos, e-mail e telefone cadastrados.
- Guarde fatura, alertas, comprovantes e protocolos.
- Peça detalhes sobre autenticação e estabelecimento.
- Registre boletim de ocorrência se houver indícios de crime.
- Verifique se existem outras compras ou contratos desconhecidos.
O consumidor não deve responder a contatos que ofereçam estorno em troca de senha ou código. Depois da contestação, criminosos podem tentar novo golpe fingindo atuar no setor de segurança do banco.
Como funciona a contestação da compra?
A contestação comunica ao emissor que o titular não reconhece a operação. O banco poderá pedir informações, encaminhar o caso ao arranjo de pagamento e realizar análise própria. Crédito provisório, quando oferecido, não significa decisão definitiva.
Se a contestação for negada, o consumidor deve solicitar justificativa e registros utilizados. O artigo sobre chargeback negado em compra fraudulenta explica como questionar uma conclusão sem fundamentação suficiente.
É importante cumprir os prazos operacionais informados na fatura e no contrato. A perda de prazo administrativo não elimina automaticamente toda pretensão judicial, mas pode dificultar a preservação de dados e a solução rápida.
Quais provas devem ser reunidas?
- Fatura completa e identificação dos lançamentos contestados.
- Alertas recebidos no momento das compras.
- Protocolos de bloqueio e contestação.
- Registro de dispositivos e sessões desconhecidas.
- Comprovantes de localização do titular.
- Mensagens, páginas ou links suspeitos acessados.
- Resposta do banco e do estabelecimento.
- Boletim de ocorrência, quando pertinente.
O consumidor deve explicar por que as compras não correspondem ao seu comportamento. Localidade incompatível, produto que nunca adquiriu, estabelecimento desconhecido e horário em que estava sem acesso ao aparelho são elementos úteis.
Para obter registros técnicos, consulte o conteúdo sobre como pedir ao banco os dados de uma fraude. O pedido deve ser específico e relacionado às operações contestadas.
Cartão virtual temporário, recorrente e carteira digital
| Modalidade | Funcionamento | Risco a investigar |
|---|---|---|
| Virtual temporário | Dados possuem validade curta ou uso limitado | Compra dentro da janela de validade ou controle da conta |
| Virtual recorrente | Permanece ativo para assinaturas e cobranças futuras | Uso indevido contínuo ou assinatura não reconhecida |
| Carteira digital | Cartão é associado a dispositivo ou token | Cadastro fraudulento, aparelho roubado ou sessão invadida |
| Cartão físico | Dados estão no plástico e no chip | Clonagem, perda, troca ou uso presencial |
Identificar a modalidade permite direcionar a apuração. Se o cartão era temporário e já havia expirado antes da compra, o banco deve explicar como a operação foi processada. Se era recorrente, deve-se verificar qual comerciante armazenou o vínculo.
A cobrança deve ser excluída ou devolvida em dobro?
Se a compra aparece na fatura, mas ainda não foi paga, o pedido principal é de reconhecimento da inexigibilidade e retirada do débito. Não existe valor pago a ser repetido naquele momento.
O artigo 42, parágrafo único, do CDC prevê repetição do indébito quando o consumidor paga cobrança indevida, ressalvada a hipótese de engano justificável. Por isso, a devolução em dobro não é automática nem se aplica a toda contestação antes do pagamento.
Se a fatura foi quitada, é necessário identificar o valor efetivamente pago em razão das compras fraudulentas e analisar a justificativa apresentada pelo emissor. Não se deve aplicar em dobro sobre toda a fatura sem distinguir os lançamentos.
E se a compra estiver vinculada a assinatura?
Algumas fraudes aparecem como cobrança recorrente porque o cartão virtual foi cadastrado em serviço digital. O consumidor deve cancelar o vínculo, contestar os lançamentos e verificar se houve criação de conta com seus dados.
Uma cobrança inicialmente legítima também pode continuar depois do cancelamento. Essa hipótese é diferente de fraude desde a origem e exige documentos sobre contratação, pedido de encerramento e cobranças posteriores.
Se o serviço afirma que houve adesão, peça data, IP, dispositivo, e-mail, aceite e forma de autenticação. A mera existência de cadastro não prova que o titular realizou a contratação.
Quando pode haver dano moral?
O dano moral não é automático. Uma compra de pequeno valor retirada rapidamente, sem pagamento, bloqueio relevante ou negativação, pode ser tratada como problema patrimonial solucionado.
A análise muda quando há múltiplas compras, comprometimento de limite, negativação, retenção de verba essencial, recusa prolongada ou necessidade de repetidas tentativas para corrigir a fatura. Mesmo assim, a reparação depende das provas e das consequências concretas.
Não existe percentual fixo nem promessa de condenação. O consumidor deve documentar o impacto efetivo em vez de formular pedido baseado apenas na existência da fraude.
Perguntas frequentes sobre fraude com cartão virtual (FAQ)
1. Cartão virtual pode ser clonado?
Seus dados podem ser capturados ou utilizados indevidamente. A dinâmica pode envolver página falsa, invasão da conta, vazamento ou acesso ao aparelho, ainda que não exista cópia física.
2. O banco deve estornar imediatamente?
Não há estorno automático. O banco deve receber a contestação e analisar a operação. Eventual crédito provisório não representa decisão final.
3. Posso pedir devolução em dobro sem pagar a fatura?
Não. Antes do pagamento, a tese é de inexigibilidade do débito. A repetição do artigo 42 pressupõe cobrança indevida efetivamente paga.
4. Compartilhar código com terceiro elimina meu direito?
Esse comportamento pode influenciar a análise e afastar responsabilidade em certas situações, mas também devem ser examinadas falhas independentes de segurança ou monitoramento.
5. Toda compra fraudulenta gera dano moral?
Não. O dano moral depende de consequências concretas, como negativação, retenção de verba, recusa prolongada ou comprometimento relevante do crédito.
Fontes oficiais consultadas
- Código de Defesa do Consumidor — Lei nº 8.078/1990
- Lei Geral de Proteção de Dados — Lei nº 13.709/2018
- Banco Central do Brasil — cidadania financeira
Leia também
Limite do cartão aumentado em fraudeEntenda quando o aumento de limite seguido de compras atípicas pode indicar falha de segurança.Ler o guia
Cartão entregue a terceiroSaiba como apurar compras feitas depois de entrega ou ativação irregular de um novo cartão.Ler o guia
