Tempo de leitura: 11 min · Atualizado em 08/09/2026
Não é automático: quando a própria vítima foi enganada e autorizou o Pix com as próprias mãos, o banco só responde se ficar comprovada falha própria — como ausência de alerta diante de operação atípica ou demora em agir após a comunicação da fraude —, e não pela simples ocorrência do golpe.
Duas fraudes muito diferentes, um mesmo prejuízo
Nem toda fraude envolvendo Pix é igual. De um lado, há casos em que um criminoso invade a conta da vítima — clonando o celular, acessando o aplicativo bancário sem autorização ou explorando falha de segurança — e realiza a transferência sozinho, sem que o correntista saiba de nada. De outro, há uma situação bem diferente: a própria vítima, enganada, digita a senha, confirma a transação e aperta o botão “enviar”. É o golpe do falso funcionário do banco, do link de phishing, da falsa central de atendimento ou do “sequestro” de WhatsApp, em que o golpista convence a pessoa a autorizar o Pix com as próprias mãos.
Essa distinção — fraude sem autorização versus fraude por engenharia social — não é apenas acadêmica. Ela é o ponto de partida para responder à pergunta que motiva este artigo: o banco é sempre obrigado a devolver o dinheiro quando a vítima foi induzida a erro?
O papel do Banco Central: o Mecanismo Especial de Devolução (MED)
Para tentar conter o volume de golpes que passou a acompanhar a popularização do Pix, o Banco Central alterou o regulamento do arranjo por meio da Resolução BCB nº 103, de 8 de junho de 2021, que incluiu no normativo do Pix o capítulo sobre devolução de recursos e criou o chamado Mecanismo Especial de Devolução (MED), em vigor desde novembro de 2021.
O MED é um procedimento operacional — não uma indenização automática — que permite à instituição do pagador comunicar à instituição do recebedor a existência de fundada suspeita de fraude, pedindo o bloqueio cautelar dos valores ainda disponíveis na conta de destino. Em linhas gerais:
- a vítima deve notificar o próprio banco o quanto antes, formalizando a suspeita de fraude;
- a instituição do pagador pode abrir uma notificação de infração perante a instituição que recebeu os valores;
- a instituição recebedora tem prazo regulamentar para analisar o caso e, confirmada a fraude, bloquear e devolver o saldo remanescente;
- desde 1º de outubro de 2025, tornou-se obrigatório o autoatendimento para registro dessa notificação nos aplicativos e canais digitais das instituições, e desde 2 de fevereiro de 2026 passou a ser obrigatório o novo mecanismo de rastreamento e recuperação de valores do MED 2.0, que amplia o rastreamento para além da primeira conta receptora.
O ponto importante é que o MED devolve o que ainda estiver disponível na conta de destino — ele não resolve, por si só, a discussão sobre quem deve arcar com o prejuízo quando o dinheiro já foi sacado ou pulverizado pelo golpista. Essa segunda discussão é travada no campo da responsabilidade civil.
A teoria do risco e a responsabilidade objetiva do banco
A relação entre banco e correntista é de consumo, regida pelo Código de Defesa do Consumidor. O art. 14 do CDC estabelece a responsabilidade objetiva do fornecedor de serviços por defeitos na prestação, considerando defeituoso o serviço que não oferece a segurança que o consumidor dele pode legitimamente esperar.
Com base nesse dispositivo, o Superior Tribunal de Justiça consolidou, na Súmula 479, o entendimento de que “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. A lógica é simples: falhas de segurança fazem parte do risco do próprio negócio bancário, e não podem ser repassadas ao consumidor.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Esse entendimento foi construído principalmente para casos de fraude sem autorização — cartões clonados, senhas descobertas por falha do sistema, transações feitas por terceiros que burlaram os mecanismos de segurança do banco. Quando o próprio cliente é quem aciona a transferência, ainda que enganado, a análise se torna mais complexa.
Engenharia social: por que o resultado não é automático
Nos golpes de engenharia social, a vítima participa ativamente do ato — foi convencida a fazer isso, mas foi ela quem digitou a senha e confirmou o Pix. Isso não afasta, por si só, a responsabilidade do banco, mas altera o exame que os tribunais fazem sobre o nexo de causalidade.
A jurisprudência mais recente do STJ ilustra bem essa nuance. Em julgamento noticiado pelo próprio tribunal em julho de 2026 (REsp 2.209.868, relator ministro Humberto Martins, Terceira Turma), envolvendo o chamado “golpe da falsa central” — em que a vítima foi induzida, por telefone, a fazer transferências para supostamente impedir compras fraudulentas em sua conta —, o STJ afastou a responsabilidade automática do banco. O colegiado destacou que a instituição só responde quando fica demonstrada falha concreta na prestação do serviço, como transações incompatíveis com o perfil do cliente ou ausência de mecanismos de segurança adequados; no caso concreto, as operações eram compatíveis com o histórico da conta e a vítima não buscou confirmar a informação diretamente com o banco antes de transferir, o que rompeu o nexo causal, nos termos do art. 14, §3º, II, do CDC (culpa exclusiva de terceiro/consumidor).
Em sentido complementar, decisão relatada pela ministra Nancy Andrighi (REsp 2.124.423, julgado em janeiro de 2025) já sinalizava que bancos que observam rigorosamente as exigências regulatórias de prevenção a fraudes tendem a não ser responsabilizados — cumprir a regulamentação, MED incluído, pesa a favor da instituição.
Isso não significa que o consumidor ficou desprotegido. Continua valendo, como regra geral, a lógica da Súmula 479: se o banco falhou em monitorar operações atípicas (valores muito acima do padrão do cliente, sequência de transferências em curto espaço de tempo, mudança recente de dispositivo ou de limite sem verificação reforçada) ou demorou a agir após ser comunicado, a responsabilidade objetiva por fortuito interno tende a ser reconhecida. O que mudou é que os tribunais passaram a examinar com mais cuidado o comportamento da vítima e a atuação concreta do banco antes de aplicar a responsabilização automaticamente.
Fatores que podem mitigar a responsabilidade do banco
- Culpa exclusiva do consumidor comprovada — por exemplo, entrega de senha, token ou código de segurança a terceiro, especialmente quando o banco alerta expressamente que nunca solicita esse tipo de dado;
- Compatibilidade da operação com o perfil financeiro do cliente — valores e frequência dentro do padrão histórico, sem sinais objetivos de anomalia;
- Ausência de falha comprovada no sistema — quando a instituição demonstra ter cumprido as exigências regulatórias de segurança e monitoramento vigentes;
- Demora ou omissão da própria vítima em comunicar o banco imediatamente após perceber a fraude, o que pode reduzir as chances de bloqueio via MED.
Em contrapartida, pesam contra o banco a existência de transações manifestamente atípicas não sinalizadas pelos sistemas antifraude, a demora injustificada em bloquear valores após a notificação da vítima e o descumprimento de obrigações regulatórias de segurança.
O que fazer diante de uma fraude por engenharia social
- Contatar o banco imediatamente, por canais formais, relatando a fraude e solicitando o acionamento do Mecanismo Especial de Devolução (MED);
- Registrar boletim de ocorrência, reunindo prints de conversas, ligações e mensagens que comprovem o golpe;
- Guardar toda a comunicação com a instituição financeira, inclusive protocolos e prazos de resposta;
- Buscar orientação jurídica para avaliar, no caso concreto, se há elementos de falha do banco (transação atípica, ausência de alerta, demora no bloqueio) que sustentem o pedido de ressarcimento.
O que isso significa na prática
A fraude por engenharia social no Pix não garante, de forma automática, a devolução do valor pelo banco — diferentemente do que ocorre, em regra, nas fraudes sem autorização, em que a responsabilidade objetiva por fortuito interno costuma prevalecer. A jurisprudência mais recente do STJ mostra que os tribunais estão dispostos a examinar com atenção o comportamento de cada parte: se a instituição financeira falhou em seus deveres de segurança e monitoramento, a responsabilidade objetiva continua sendo aplicada; se, por outro lado, a operação era compatível com o perfil do cliente e a fraude decorreu essencialmente do engano da vítima, o resultado pode ser diferente. Por isso, cada caso exige análise individualizada das provas, dos alertas emitidos pelo banco e da regularidade das operações questionadas.
Perguntas frequentes
1. Se eu mesmo autorizei o Pix, mesmo enganado, o banco é obrigado a devolver?
Não automaticamente. O banco só responde quando fica demonstrada falha própria — como ausência de alerta diante de operação incompatível com o perfil do cliente ou demora em agir após a comunicação da fraude.
2. O MED garante a devolução do dinheiro?
Não. O MED é um procedimento de bloqueio cautelar do saldo ainda disponível na conta de destino — se o golpista já sacou ou pulverizou o valor, não há o que bloquear, e a discussão sobre o prejuízo passa para o campo da responsabilidade civil.
3. Entregar a senha ou o código de segurança ao golpista elimina qualquer direito?
Tende a comprometer bastante a análise, especialmente quando o banco alerta expressamente que nunca solicita esse tipo de dado — isso costuma ser tratado como culpa exclusiva do consumidor, que afasta a responsabilidade da instituição.
4. Uma operação dentro do padrão de gastos do cliente ainda pode gerar responsabilidade do banco?
É mais difícil, mas não impossível: se não houve sinal objetivo de anomalia e o banco cumpriu suas obrigações regulatórias de segurança, os tribunais tendem a não reconhecer falha da instituição nesses casos.
5. Qual a diferença entre fraude por engenharia social e fraude sem autorização?
Na fraude sem autorização, o criminoso acessa a conta sozinho e a responsabilidade objetiva do banco por fortuito interno costuma prevalecer. Na engenharia social, é a própria vítima quem autoriza a operação enganada, o que exige análise mais cuidadosa do comportamento de cada parte.
Fontes oficiais consultadas
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
