Tempo de leitura: 10 min · Publicado em 05/09/2026
Em regra, o banco responde pelo prejuízo causado pelo golpe do falso suporte técnico quando as transações realizadas pelo golpista durante o acesso remoto forem incompatíveis com o perfil e o histórico de movimentação do cliente — hipótese em que a instituição deveria ter identificado e bloqueado a operação suspeita. Quando, ao contrário, as transações seguem o padrão normal de uso da conta e a vítima teve participação relevante e evitável no prejuízo (como comparecer pessoalmente à agência para uma transferência de alto valor sem esclarecer dúvidas com o funcionário), o Superior Tribunal de Justiça já decidiu que a responsabilidade não é automática.
Como funciona o golpe do falso suporte técnico
O golpe costuma começar com um contato — telefônico, por mensagem ou até por um pop-up no computador simulando um alerta de segurança — informando que o dispositivo da vítima está infectado ou que houve uma tentativa de acesso indevido à sua conta bancária, e oferecendo “suporte técnico” para resolver o problema. O golpista, em seguida, orienta a vítima a instalar um aplicativo de acesso remoto (como os usados legitimamente para suporte de TI), sob o pretexto de “verificar” ou “proteger” o computador. Uma vej obtido o controle remoto, o criminoso acessa diretamente o aplicativo do banco já logado no dispositivo da vítima e realiza transferências, empréstimos ou compras, muitas vezes em rápida sucessão, antes que a vítima perceba o que está acontecendo.
O critério central definido pelo STJ: compatibilidade da transação com o perfil do cliente
A Terceira Turma do Superior Tribunal de Justiça consolidou, em dois julgamentos recentes, o critério que hoje orienta a análise desse tipo de caso: a responsabilidade do banco não decorre automaticamente da existência do golpe, mas da capacidade que a instituição tinha — ou deveria ter tido, por meio de seus próprios mecanismos de segurança — de identificar que aquela operação específica era incompatível com o padrão de uso da conta pelo cliente. No REsp 2.220.333, julgado em 13/11/2025, o banco foi condenado a ressarcir integralmente a vítima de um golpe de acesso remoto por aplicativo malicioso, no qual o golpista contraiu um empréstimo de R$ 45 mil e realizou movimentações claramente incompatíveis com o histórico do correntista — falha de segurança que, segundo o relator, configura defeito do serviço e afasta qualquer alegação de culpa concorrente da vítima. Já no REsp 2.209.868, julgado em 15/07/2026 (golpe da falsa central, sem instalação de aplicativo remoto), a mesma Terceira Turma afastou a responsabilidade do banco porque as transferências via Pix seguiam o histórico normal da conta, e a maior delas (R$ 28 mil) foi feita presencialmente, em agência, sem que a vítima buscasse esclarecimentos com o funcionário — circunstância que, para o tribunal, rompeu o nexo causal por culpa exclusiva da vítima e de terceiro.
A Súmula 479 do STJ não gera responsabilidade automática
É comum a expectativa de que a Súmula 479 do STJ (“as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros”) baste, por si só, para responsabilizar o banco em qualquer golpe. O julgamento de julho de 2026 rejeitou expressamente essa leitura automática, esclarecendo que a responsabilidade objetiva pressupõe que o evento configure, de fato, um fortuito interno inerente à atividade bancária — o que depende da análise concreta de cada caso, e não da simples ocorrência de uma fraude envolvendo a conta do cliente.
Elementos que fortalecem o caso da vítima
Diante desse critério, os elementos que mais fortalecem a responsabilização do banco em casos de golpe do falso suporte técnico são: transações de valor muito superior ao habitual para aquela conta; movimentações em rápida sucessão, em horário atípico ou para destinatários nunca antes utilizados pelo cliente; ausência de qualquer alerta, bloqueio preventivo ou confirmação adicional por parte do banco diante desse padrão anômalo; e evidência técnica de que o acesso ocorreu por meio de ferramenta de acesso remoto (registros de IP, geolocalização incompatível, ou perícia no dispositivo). Quanto mais a operação fugir do padrão normal do cliente e menos o banco tiver feito para identificá-la, mais forte a tese de falha do serviço.
Elementos que enfraquecem o caso da vítima
Por outro lado, tendem a enfraquecer a responsabilização do banco: transações compatíveis com o histórico de valores e destinatários da própria conta; operações realizadas presencialmente em agência, com oportunidade real de a vítima esclarecer dúvidas antes de confirmar; e evidências de que a vítima, mesmo alertada por sistemas de segurança do próprio banco (como perguntas de confirmação ou telas de alerta sobre possíveis fraudes), optou por prosseguir seguindo as instruções do golpista. Nesses casos, a culpa exclusiva da vítima ou de terceiro tende a romper o nexo causal necessário para a responsabilização da instituição financeira.
O papel do Mecanismo Especial de Devolução (MED) do Pix
Independentemente da discussão sobre a responsabilidade civil do banco, a vítima de fraude envolvendo Pix deve acionar imediatamente o Mecanismo Especial de Devolução, previsto na regulamentação do Banco Central, solicitando o bloqueio cautelar dos valores na conta de destino. O MED pode ser solicitado em até 80 dias da transação fraudulenta, mas sua efetividade depende diretamente da rapidez da comunicação — quanto mais cedo a fraude for reportada ao banco, maior a chance de os valores ainda estarem disponíveis na conta destinatária no momento do bloqueio.
O que fazer imediatamente ao perceber o golpe
Assim que a vítima perceber que concedeu acesso remoto indevido ou que houve movimentação não autorizada, deve desligar imediatamente o Wi-Fi ou os dados móveis do dispositivo (interrompendo a sessão remota), desinstalar o aplicativo de acesso remoto, trocar todas as senhas bancárias a partir de outro dispositivo seguro, contatar o banco pelos canais oficiais (nunca por número informado pelo suposto “suporte técnico”) para bloquear a conta e acionar o MED, e registrar boletim de ocorrência, reunindo prints de toda a comunicação com o golpista como prova.
A diferença entre o golpe do falso suporte técnico e o golpe da falsa central de atendimento
Embora frequentemente tratados de forma semelhante, os dois golpes têm mecânicas distintas relevantes para a prova do caso: no golpe do falso suporte técnico, há instalação de um aplicativo de acesso remoto, permitindo perícia técnica que costuma ser mais robusta (registros de conexão, identificação do software utilizado); no golpe da falsa central de atendimento, o golpista normalmente induz a própria vítima a realizar as transações por telefone ou presencialmente, sem necessariamente obter acesso remoto ao dispositivo, o que torna a prova de falha do banco mais dependente da análise do padrão de transações do que de evidência técnica de invasão.
Perguntas frequentes
Se eu segui todas as instruções do golpista durante a ligação, ainda tenho direito à devolução?
Depende principalmente de as transações realizadas terem sido compatíveis ou não com o seu histórico de movimentação na conta, e não apenas do fato de você ter seguido as instruções. Se o banco deveria ter identificado a operação como suspeita e não o fez, a responsabilidade pode ser reconhecida mesmo com sua participação na sequência de atos.
O banco pode se recusar a devolver o dinheiro alegando que fui “vítima de engenharia social” e não de falha do sistema?
Essa alegação, isoladamente, não afasta a responsabilidade quando as transações realizadas eram incompatíveis com o perfil do cliente, já que a análise da falha se concentra na capacidade do próprio banco de identificar a anomalia, e não apenas na técnica utilizada pelo golpista para obter a cooperação da vítima.
Quanto tempo tenho para reclamar contra o banco após esse tipo de golpe?
O prazo prescricional para ações de reparação decorrentes de relação de consumo é de cinco anos, contados do conhecimento do dano e de sua autoria, conforme o art. 27 do Código de Defesa do Consumidor.
Instalar o aplicativo de acesso remoto por engano já significa que fui negligente e perco o direito à indenização?
Não necessariamente. A jurisprudência não trata a instalação do aplicativo, por si só, como culpa exclusiva da vítima, já que o golpe se vale justamente da aparência de legitimidade do contato — o que pesa na análise é, principalmente, se as transações posteriores fugiam do padrão da conta e se o banco tinha meios de identificá-las.
Posso acionar tanto o banco quanto buscar identificar o golpista para responsabilização criminal?
Sim. As duas vias são independentes: a responsabilização civil do banco (quando cabível) busca o ressarcimento do prejuízo perante a instituição financeira, enquanto a responsabilização criminal do golpista (estelionato, art. 171 do Código Penal) depende de sua identificação e é processada separadamente, geralmente a partir do boletim de ocorrência registrado.
Bancos digitais seguem as mesmas regras de responsabilidade que bancos tradicionais nesses casos?
Sim. A Súmula 479 do STJ e os critérios de análise da compatibilidade da transação com o perfil do cliente se aplicam a qualquer instituição financeira autorizada a funcionar pelo Banco Central, independentemente de ela operar de forma digital ou possuir agências físicas.
Reunir a documentação da comunicação com o golpista é essencial desde o primeiro momento
Prints das mensagens ou da ligação (quando gravável), o registro do horário exato em que o acesso remoto foi concedido, e o histórico completo das transações realizadas durante o golpe são os elementos que permitirão, tanto ao banco quanto, se necessário, ao Judiciário, avaliar se aquelas operações fugiam do padrão esperado da conta — o critério que hoje decide, na prática, se a instituição financeira responde ou não pelo prejuízo.
