Tempo de leitura: 8 min · Atualizado em 05/09/2026
Duas fraudes muito diferentes, um mesmo prejuízo
Nem toda fraude envolvendo Pix é igual. De um lado, há casos em que um criminoso invade a conta da vítima — clonando o celular, acessando o aplicativo bancário sem autorização ou explorando falha de segurança — e realiza a transferência sozinho, sem que o correntista saiba de nada. De outro, há uma situação bem diferente: a própria vítima, enganada, digita a senha, confirma a transação e aperta o botão “enviar”. É o golpe do falso funcionário do banco, do link de phishing, da falsa central de atendimento ou do “sequestro” de WhatsApp, em que o golpista convence a pessoa a autorizar o Pix com as próprias mãos.
Essa distinção — fraude sem autorização versus fraude por engenharia social — não é apenas acadêmica. Ela é o ponto de partida para responder à pergunta que motiva este artigo: o banco é sempre obrigado a devolver o dinheiro quando a vítima foi induzida a erro?
O papel do Banco Central: o Mecanismo Especial de Devolução (MED)
Para tentar conter o volume de golpes que passou a acompanhar a popularização do Pix, o Banco Central alterou o regulamento do arranjo por meio da Resolução BCB nº 103, de 8 de junho de 2021, que incluiu no normativo do Pix o capítulo sobre devolução de recursos e criou o chamado Mecanismo Especial de Devolução (MED), em vigor desde novembro de 2021.
O MED é um procedimento operacional — não uma indenização automática — que permite à instituição do pagador comunicar à instituição do recebedor a existência de fundada suspeita de fraude, pedindo o bloqueio cautelar dos valores ainda disponíveis na conta de destino. Em linhas gerais:
- a vítima deve notificar o próprio banco o quanto antes, formalizando a suspeita de fraude;
- a instituição do pagador pode abrir uma notificação de infração perante a instituição que recebeu os valores;
- a instituição recebedora tem prazo regulamentar para analisar o caso e, confirmada a fraude, bloquear e devolver o saldo remanescente;
- desde 2025, o Banco Central vem aprimorando esse fluxo (o chamado “MED 2.0”), tornando o rastreamento e o bloqueio entre instituições mais ágil.
O ponto importante é que o MED devolve o que ainda estiver disponível na conta de destino — ele não resolve, por si só, a discussão sobre quem deve arcar com o prejuízo quando o dinheiro já foi sacado ou pulverizado pelo golpista. Essa segunda discussão é travada no campo da responsabilidade civil.
A teoria do risco e a responsabilidade objetiva do banco
A relação entre banco e correntista é de consumo, regida pelo Código de Defesa do Consumidor. O art. 14 do CDC estabelece a responsabilidade objetiva do fornecedor de serviços por defeitos na prestação, e o art. 927, parágrafo único, do Código Civil consagra a teoria do risco da atividade: quem exerce atividade que, por sua natureza, gera risco a terceiros responde pelos danos independentemente de culpa.
Com base nesses dispositivos, o Superior Tribunal de Justiça consolidou, na Súmula 479, o entendimento de que “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. A lógica é simples: falhas de segurança fazem parte do risco do próprio negócio bancário, e não podem ser repassadas ao consumidor.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Esse entendimento foi construído principalmente para casos de fraude sem autorização — cartões clonados, senhas descobertas por falha do sistema, transações feitas por terceiros que burlaram os mecanismos de segurança do banco. Quando o próprio cliente é quem aciona a transferência, ainda que enganado, a análise se torna mais complexa.
Engenharia social: por que o resultado não é automático
Nos golpes de engenharia social, a vítima participa ativamente do ato — foi convencida a fazer isso, mas foi ela quem digitou a senha e confirmou o Pix. Isso não afasta, por si só, a responsabilidade do banco, mas altera o exame que os tribunais fazem sobre o nexo de causalidade.
A jurisprudência mais recente do STJ ilustra bem essa nuance. Em julgamento noticiado pelo próprio tribunal em julho de 2026 (REsp 2.209.868, relator ministro Humberto Martins, Terceira Turma), envolvendo o chamado “golpe da falsa central” — em que a vítima foi induzida, por telefone, a fazer transferências para supostamente impedir compras fraudulentas em sua conta —, o STJ afastou a responsabilidade automática do banco. O colegiado destacou que a instituição só responde quando fica demonstrada falha concreta na prestação do serviço, como transações incompatíveis com o perfil do cliente ou ausência de mecanismos de segurança adequados; no caso concreto, as operações eram compatíveis com o histórico da conta e a vítima não buscou confirmar a informação diretamente com o banco antes de transferir, o que rompeu o nexo causal, nos termos do art. 14, §3º, II, do CDC (culpa exclusiva de terceiro/consumidor).
Em sentido complementar, decisão relatada pela ministra Nancy Andrighi (REsp 2.124.423, julgado em janeiro de 2025) já sinalizava que bancos que observam rigorosamente as exigências regulatórias de prevenção a fraudes tendem a não ser responsabilizados — cumprir a regulamentação, MED incluído, pesa a favor da instituição.
Isso não significa que o consumidor ficou desprotegido. Continua valendo, como regra geral, a lógica da Súmula 479: se o banco falhou em monitorar operações atípicas (valores muito acima do padrão do cliente, sequência de transferências em curto espaço de tempo, mudança recente de dispositivo ou de limite sem verificação reforçada) ou demorou a agir após ser comunicado, a responsabilidade objetiva por fortuito interno tende a ser reconhecida. O que mudou é que os tribunais passaram a examinar com mais cuidado o comportamento da vítima e a atuação concreta do banco antes de aplicar a responsabilização automaticamente.
Fatores que podem mitigar a responsabilidade do banco
- Culpa exclusiva do consumidor comprovada — por exemplo, entrega de senha, token ou código de segurança a terceiro, especialmente quando o banco alerta expressamente que nunca solicita esse tipo de dado;
- Compatibilidade da operação com o perfil financeiro do cliente — valores e frequência dentro do padrão histórico, sem sinais objetivos de anomalia;
- Ausência de falha comprovada no sistema — quando a instituição demonstra ter cumprido as exigências regulatórias de segurança e monitoramento vigentes;
- Demora ou omissão da própria vítima em comunicar o banco imediatamente após perceber a fraude, o que pode reduzir as chances de bloqueio via MED.
Em contrapartida, pesam contra o banco a existência de transações manifestamente atípicas não sinalizadas pelos sistemas antifraude, a demora injustificada em bloquear valores após a notificação da vítima e o descumprimento de obrigações regulatórias de segurança.
O que fazer diante de uma fraude por engenharia social
- Contatar o banco imediatamente, por canais formais, relatando a fraude e solicitando o acionamento do Mecanismo Especial de Devolução;
- Registrar boletim de ocorrência, reunindo prints de conversas, ligações e mensagens que comprovem o golpe;
- Guardar toda a comunicação com a instituição financeira, inclusive protocolos e prazos de resposta;
- Buscar orientação jurídica para avaliar, no caso concreto, se há elementos de falha do banco (transação atípica, ausência de alerta, demora no bloqueio) que sustentem o pedido de ressarcimento.
Conclusão
A fraude por engenharia social no Pix não garante, de forma automática, a devolução do valor pelo banco — diferentemente do que ocorre, em regra, nas fraudes sem autorização, em que a responsabilidade objetiva por fortuito interno costuma prevalecer. A jurisprudência mais recente do STJ mostra que os tribunais estão dispostos a examinar com atenção o comportamento de cada parte: se a instituição financeira falhou em seus deveres de segurança e monitoramento, a responsabilidade objetiva continua sendo aplicada; se, por outro lado, a operação era compatível com o perfil do cliente e a fraude decorreu essencialmente do engano da vítima, o resultado pode ser diferente. Por isso, cada caso exige análise individualizada das provas, dos alertas emitidos pelo banco e da regularidade das operações questionadas.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
