Tempo de leitura: 11 min · Publicado em 05/09/2026
Em regra, sim: se você caiu no golpe da falsa central de atendimento — aquele perfil ou página que se passa por um banco ou empresa nas redes sociais e engana o consumidor a ponto de fazer uma transferência ou fornecer dados — é possível responsabilizar a instituição financeira ou a empresa clonada, mas essa responsabilização não é automática. O banco só responde quando fica demonstrada uma falha na prestação do serviço, como a ausência de bloqueio de transações incompatíveis com o perfil do cliente; se a fraude ocorreu por conduta exclusiva do golpista, sem qualquer falha de segurança do banco, a responsabilidade pode recair só sobre o criminoso.
Como funciona o golpe da falsa central de atendimento
O golpe começa, normalmente, com uma reclamação pública que o próprio consumidor publica nas redes sociais — um comentário no perfil oficial de um banco, de uma companhia aérea ou de uma loja, cobrando solução para um problema. Poucos minutos depois, um perfil falso, com nome e foto muito parecidos com os do atendimento oficial, responde em particular oferecendo ajuda “imediata”. A partir daí, o golpista pede dados cadastrais, código de verificação enviado por SMS, ou orienta a vítima a instalar um aplicativo de acesso remoto “para verificação de segurança” — e é nesse momento que o dinheiro sai da conta.
Uma variação comum acontece sem que a vítima precise reclamar de nada antes: o golpista cria um perfil clonado de uma empresa ou banco e dispara mensagens diretas em massa, ou ainda anuncia promoções falsas que levam a um “chat de atendimento” controlado por ele. Em ambos os casos, a engrenagem é a mesma: uso da aparência visual da marca (fake profile) para induzir a vítima a acreditar que está falando com quem realmente presta o serviço.
A empresa ou o banco imitado tem responsabilidade pelo golpe?
Aqui é preciso separar dois papéis diferentes que a empresa clonada pode ter. Primeiro, o papel de vítima do uso indevido de sua marca — a empresa também sofre com perfis fake, e não fabricou o golpe. Segundo, o papel de garantidora da segurança de suas próprias plataformas — é aqui que pode surgir responsabilidade, mas apenas quando a operação financeira em si (o Pix, a transferência, o pagamento) passou pelos sistemas do banco e apresentou sinais de irregularidade que deveriam ter sido detectados.
O Superior Tribunal de Justiça pacificou, em julgamento de 2026, que essa responsabilidade não é automática nem decorre simplesmente do fato de existir um perfil falso circulando na internet. A Terceira Turma do STJ decidiu, ao julgar o REsp 2.209.868, que o banco só responde quando há falha demonstrável na prestação do serviço — por exemplo, ausência de mecanismos que identifiquem transações incompatíveis com o perfil de movimentação do cliente. No caso concreto analisado pelo tribunal, o banco não foi condenado porque as transações via Pix eram compatíveis com o histórico da conta, e a transferência de maior valor ocorreu presencialmente, sem qualquer alerta que a instituição pudesse razoavelmente ter identificado.
O que a Súmula 479 do STJ realmente diz — e o que ela não diz
É comum encontrar a informação de que “o banco sempre responde por fraude, porque a Súmula 479 diz isso”. Essa leitura é imprecisa. A Súmula 479 estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias — ou seja, quando o risco de fraude está dentro da própria atividade bancária, o banco responde independentemente de culpa. Mas essa é uma responsabilidade objetiva quanto à culpa, não uma responsabilidade automática quanto ao nexo causal: ainda é preciso que a fraude tenha relação com uma falha de segurança do serviço bancário, e não apenas com a ingenuidade ou o descuido da própria vítima ao entregar seus dados a um golpista fora dos canais do banco.
Na decisão de 2026, o STJ foi expresso ao rejeitar a aplicação automática da Súmula 479 e do Tema 466 dos recursos repetitivos para todo e qualquer caso de golpe digital. Segundo o tribunal, a responsabilidade objetiva pressupõe que o fortuito seja “interno” — inerente ao risco do próprio serviço bancário —, o que não se configura quando a conduta da vítima, induzida pelo golpista fora do ambiente do banco, rompe o nexo de causalidade.
O que reforça o direito de indenização da vítima
Apesar de a responsabilidade não ser automática, diversos elementos concretos aumentam as chances de sucesso de quem foi vítima desse golpe:
- Transações que destoam completamente do padrão histórico de movimentação da conta (valores muito acima do habitual, horários incomuns, destinatários nunca utilizados antes);
- Ausência de qualquer alerta de segurança, bloqueio preventivo ou confirmação adicional para operações de valor elevado;
- Demora do banco em bloquear a conta de destino após a vítima comunicar a fraude (quando o BC exige o chamado Mecanismo Especial de Devolução, o MED, para casos de fraude no Pix);
- Provas de que a empresa ou o banco tinha ciência de perfis falsos em seu nome e não tomou providências de denúncia ou alerta público aos clientes.
A ausência de bloqueio imediato após a comunicação da fraude é, na prática, um dos pontos mais decisivos: a Resolução BCB nº 1/2020 e as normas do Banco Central sobre o Pix preveem prazos para que a instituição financeira analise o pedido de devolução (MED) e devolva os valores quando identificada fraude comprovada, ainda que essa devolução dependa da existência de saldo na conta de destino no momento do bloqueio.
O papel da rede social e da plataforma na circulação de perfis falsos
Redes sociais como Instagram, Facebook e X (Twitter) também podem ser acionadas, em tese, quando mantêm ativo um perfil denunciado como falso por tempo desproporcional, ou quando disponibilizam anúncios pagos (impulsionados) de páginas fraudulentas sem qualquer verificação. A responsabilidade da plataforma, nesses casos, costuma ser analisada sob a ótica do dever de remoção após notificação — quanto mais tempo o perfil falso permanece ativo após ser denunciado, maior a chance de a plataforma responder por omissão.
O que fazer imediatamente após cair no golpe
A urgência aqui é maior que em quase qualquer outro golpe financeiro, porque o dinheiro pode ser pulverizado entre várias contas em minutos:
- Ligue para a central oficial do banco (número que consta no verso do cartão ou no aplicativo, nunca o número fornecido pelo perfil suspeito) e solicite o bloqueio imediato da conta e das transações;
- Registre o pedido de devolução via MED assim que possível — o prazo de acionamento é curto e a chance de recuperação cai bastante depois das primeiras horas;
- Denuncie o perfil falso à própria rede social e guarde prints de toda a conversa, incluindo nome de usuário, data de criação do perfil e link;
- Registre boletim de ocorrência por estelionato (art. 171 do Código Penal), citando o perfil falso e os dados da transação;
- Reúna o print da publicação original (se você reclamou publicamente) e da resposta do perfil falso, pois esse é o elo que demonstra como o golpe começou.
Perguntas frequentes
O banco é obrigado a devolver o dinheiro assim que eu avisar sobre o golpe?
Não automaticamente. O banco deve analisar o pedido de devolução (MED) dentro do prazo regulamentar, mas só devolve integralmente se ainda houver saldo disponível na conta de destino no momento do bloqueio e se a fraude for confirmada. Se o golpista já sacou ou transferiu o valor para outra conta, a devolução pode ser parcial ou inexistente pela via administrativa, exigindo ação judicial contra o banco quando houver falha de segurança comprovada.
Se eu mesmo instalei o aplicativo de acesso remoto pedido pelo golpista, ainda posso ser indenizado?
Depende do caso. Instalar o aplicativo por indução do golpista não afasta automaticamente o direito à indenização, mas fortalece o argumento do banco de que houve culpa exclusiva da vítima, principalmente se o aplicativo de acesso remoto não tinha qualquer relação com os canais oficiais do banco. Ainda assim, se o banco não bloqueou operações claramente incompatíveis com o perfil da conta mesmo durante esse acesso remoto, a discussão sobre falha do serviço permanece em aberto.
A empresa ou o banco clonado pode ser responsabilizado só por existir um perfil falso com o nome dela?
Em regra, não, apenas pela existência do perfil falso. A responsabilidade da empresa surge principalmente quando ela é negligente ao não denunciar perfis falsos já identificados, não alerta seus clientes sobre golpes recorrentes usando sua marca, ou quando a falha de segurança está na própria operação financeira processada por seus sistemas.
Qual é o prazo para pedir a devolução do Pix roubado pelo MED?
O Mecanismo Especial de Devolução deve ser acionado o quanto antes; a instituição do pagador tem prazo regulamentar para analisar o pedido junto à instituição recebedora, mas a efetividade da devolução depende de o valor ainda estar disponível na conta de destino. Por isso, quanto mais rápido o pedido for feito após a fraude, maiores as chances de recuperação, mesmo que parcial.
Denunciar o perfil falso à rede social já resolve o problema?
Não resolve o problema financeiro, mas é uma medida importante: além de tentar impedir que outras pessoas caiam no mesmo golpe, a denúncia formal e a demora da plataforma em remover o perfil, uma vez notificada, podem ser usadas como prova em eventual ação contra a rede social por omissão.
Preciso de advogado para pedir a devolução do dinheiro ou entrar com ação contra o banco?
Para o pedido administrativo de devolução via MED, não é obrigatório. Mas quando o banco nega a devolução ou a fraude envolve valores relevantes com indícios de falha de segurança do serviço bancário, a orientação de um advogado ajuda a reunir as provas certas (histórico de movimentação, prints, protocolos de atendimento) e a definir se vale a pena judicializar o caso.
Quando vale a pena buscar orientação jurídica
Se o valor perdido for expressivo, se o banco negou a devolução alegando culpa exclusiva sua sem examinar o histórico da conta, ou se você identificou que a rede social manteve o perfil falso ativo por dias após a denúncia, esses são sinais concretos de que vale a pena reunir a documentação e buscar orientação jurídica especializada. Quanto mais cedo a reclamação for formalizada — tanto no banco quanto, se necessário, em juízo —, maior a chance de reunir provas ainda frescas, como os registros de acesso e os prints do perfil falso antes que ele seja removido ou apagado pelo próprio golpista.
Leia também
Fontes oficiais consultadas
- STJ — Notícia sobre o REsp 2.209.868 e a responsabilidade do banco no golpe da falsa central
- STJ — Súmula 479 (texto oficial)
- Lei nº 8.078/1990 (Código de Defesa do Consumidor), art. 14 — Presidência da República
- Banco Central — Documento técnico sobre o Mecanismo Especial de Devolução (MED 2.0) do Pix
