Tempo de leitura: 11 min · Publicado em 04/09/2026
O fato de um golpista já conhecer informações bancárias específicas antes de falar com a vítima pode ser juridicamente relevante, principalmente quando esses dados não são públicos e dizem respeito a saldo, financiamento, movimentações, limites, contrato, vencimento ou relacionamento interno com a instituição. O STJ tem reconhecido que vazamento de dados bancários sensíveis, quando comprovado e imputável ao banco, pode gerar responsabilidade pelos prejuízos decorrentes da fraude. Isso não significa que qualquer golpista que saiba o nome do banco ou CPF prove vazamento. É necessário diferenciar dados amplamente disponíveis de informações que, em princípio, estavam sob controle da instituição financeira e foram utilizadas para tornar o golpe mais convincente.
Por que o conhecimento prévio de dados bancários pode mudar a análise?
Golpes de falsa central e engenharia social funcionam porque o criminoso tenta parecer legítimo. Quanto mais informações específicas ele possui, maior a credibilidade da abordagem.
Saber apenas nome, telefone ou CPF pode não demonstrar vazamento bancário, porque esses dados podem ter origem em diversas fontes. Já conhecer número de contrato, valor de financiamento, saldo, vencimento, limite, operação realizada recentemente ou contato anterior com o banco pode indicar acesso a informações mais restritas.
O ponto jurídico é identificar se o dado utilizado pelo criminoso estava sob tratamento exclusivo ou predominante da instituição financeira e se existe elemento concreto ligando esse vazamento à fraude.
O STJ já responsabilizou banco por vazamento de dados sensíveis?
Sim. O STJ já reconheceu responsabilidade bancária em casos nos quais os fraudadores possuíam dados específicos de operações financeiras da vítima.
Em precedente envolvendo boleto falso, a Corte considerou relevante que o criminoso sabia que a cliente pretendia quitar financiamento e conhecia informações relativas à operação, circunstâncias que apontavam para vazamento de dados bancários sigilosos.
Em 2026, o tribunal voltou a registrar que, uma vez comprovado vazamento de dados por culpa da instituição financeira ou de pagamento, a responsabilidade pela reparação tende, em regra, a recair sobre ela.
Nome do banco e CPF são suficientes para provar vazamento?
Não. Dados genéricos podem ser obtidos por diversas fontes e, isoladamente, não demonstram que a instituição financeira falhou.
O fato de o golpista dizer “sou do banco X” e conhecer o CPF da vítima não basta necessariamente. A análise ganha força quando há informação que dificilmente estaria disponível fora dos sistemas da instituição.
Por isso, é importante registrar exatamente o que o criminoso sabia antes de a própria vítima fornecer qualquer dado durante a conversa.
Saldo da conta é considerado dado sensível para esse tipo de análise?
Informações sobre saldo, limite disponível, valor de parcela, contratos e movimentações são dados diretamente ligados à relação bancária e não deveriam circular livremente.
Se o golpista menciona corretamente esses dados sem que a vítima os tenha revelado, isso pode reforçar a necessidade de apuração sobre a origem da informação.
A prova fica ainda mais relevante se o criminoso conhece dados recentes, como uma compra feita horas antes, financiamento recém-contratado ou tentativa de atendimento realizada no canal oficial.
E se o golpista souber exatamente qual financiamento eu tenho?
Esse é um dos cenários mais relevantes. O STJ já analisou fraude em que o criminoso possuía informações específicas sobre financiamento bancário e utilizou esses dados para emitir boleto falso.
Quando o dado não é público e está diretamente relacionado ao contrato bancário, a instituição pode precisar explicar como a informação estava protegida e se houve incidente de segurança.
Documentos do contrato e mensagens do golpista ajudam a demonstrar a coincidência.
O banco pode dizer que os dados vieram de outro vazamento?
Pode sustentar essa hipótese, mas ela precisa ser analisada de forma concreta. Em um ecossistema digital complexo, dados podem vazar de empresas terceirizadas, correspondentes, plataformas ou outros fornecedores.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Se a instituição afirma que a informação poderia ter vindo de terceiro, é importante perguntar quais dados eram compartilhados, com quem e quais medidas de segurança existiam.
A responsabilidade pode alcançar outros agentes dependendo da origem efetiva do vazamento, sem necessariamente excluir o banco quando ele participou do tratamento das informações.
A LGPD pode ser usada nesses casos?
Sim. A Lei Geral de Proteção de Dados exige medidas de segurança compatíveis com os riscos do tratamento e prevê responsabilidade quando falhas de proteção causam danos.
Em fraudes bancárias, a LGPD não substitui o Código de Defesa do Consumidor, mas pode reforçar a discussão sobre segurança da informação, tratamento inadequado e vazamento.
O STJ já utilizou essa lógica ao analisar situações em que dados bancários sigilosos chegaram às mãos de fraudadores.
O banco é responsável mesmo se a vítima fez o Pix?
Não automaticamente. O STJ reafirmou em 2026 que a responsabilidade em golpes de falsa central depende da demonstração de falha do serviço.
O fato de a vítima ter realizado a transferência pode ser considerado, mas não encerra a análise quando há outros elementos, como vazamento de dados sensíveis, operações fora do perfil ou insuficiência dos mecanismos antifraude.
A conclusão depende do conjunto probatório e da relação entre a falha bancária e o prejuízo.
Como provar o que o golpista já sabia antes da conversa?
Esse é um ponto crítico. A vítima deve preservar mensagens, gravações, prints, e-mails e qualquer registro da abordagem.
Se a ligação não foi gravada, faça relato cronológico imediatamente após o fato, indicando quais informações foram mencionadas espontaneamente pelo criminoso antes de qualquer resposta.
Também podem existir registros de chamadas, histórico de WhatsApp e protocolos de atendimento que ajudem a reconstruir a sequência.
O que diferencia dado genérico de dado bancário específico?
- nome, telefone e CPF: podem ter várias origens;
- nome do banco: pode ser inferido ou obtido de bases diversas;
- número de contrato: informação mais específica;
- valor de financiamento ou parcela: informação bancária relevante;
- saldo e limite: dados diretamente ligados à conta;
- movimentação recente: informação potencialmente sensível;
- contato recente com gerente ou central: informação interna relevante;
- detalhes de proposta ou negociação em andamento: forte indicativo de acesso específico.
Fraude com dados vazados e operações atípicas pode fortalecer o caso?
Sim. Quando dois tipos de falha aparecem juntos, a tese pode se tornar mais consistente. O golpista possui dados sigilosos e, em seguida, o banco permite movimentações claramente incompatíveis com o perfil.
O STJ vem destacando justamente a importância de avaliar operações atípicas, contratação de crédito e transferências de alto valor.
O que pedir ao banco depois do golpe?
- registros completos das transações;
- identificação dos dispositivos utilizados;
- horários de acesso;
- alterações de senha, telefone ou e-mail;
- registros de autenticação;
- alertas antifraude;
- dados sobre contas destinatárias;
- protocolos de atendimento;
- eventuais comunicações de incidente de segurança;
- informações sobre compartilhamento de dados com terceiros envolvidos na operação.
O banco precisa admitir formalmente que houve vazamento?
Não. Em muitos casos, o banco nega a existência de incidente ou afirma que não há evidência de falha.
A ausência de admissão não impede a construção probatória. A coincidência entre dados sigilosos conhecidos pelo fraudador, dinâmica do golpe e registros técnicos pode sustentar pedido de produção de prova.
Dependendo do caso, perícia ou exibição de documentos pode ser necessária.
O que fazer imediatamente após o golpe?
Conteste as operações, acione o MED quando houver Pix, troque credenciais e registre boletim de ocorrência.
O Banco Central orienta que a vítima comunique o banco imediatamente. A rapidez pode aumentar a chance de bloqueio de valores nas contas destinatárias.
Também preserve todas as mensagens para demonstrar quais dados estavam nas mãos do criminoso.
Dados sobre atendimento recente também podem ser relevantes
Em alguns golpes, o criminoso entra em contato logo depois de a vítima falar com o banco, solicitar segunda via, renegociar dívida ou pedir quitação de financiamento. Se o golpista conhece detalhes desse atendimento recente, a coincidência pode ser mais significativa do que o simples conhecimento de dados cadastrais.
Nessas situações, preserve protocolos, horário do atendimento oficial e momento em que o contato fraudulento ocorreu. A proximidade temporal pode ajudar a demonstrar que a informação utilizada pelos criminosos estava ligada à própria relação bancária.
O banco pode ter responsabilidade mesmo que o vazamento tenha ocorrido em terceiro contratado?
Dependendo da estrutura de tratamento de dados, sim. Bancos utilizam correspondentes, empresas de cobrança, tecnologia, processamento e outros prestadores. Se o terceiro tinha acesso a informações bancárias e falhou na proteção, pode existir discussão sobre a responsabilidade de mais de um agente.
O consumidor nem sempre consegue identificar sozinho qual empresa vazou os dados. Por isso, pedidos de informação e documentos sobre compartilhamento podem ser necessários para reconstruir a cadeia de tratamento.
Perguntas frequentes
Golpista saber meu CPF prova vazamento do banco?
Não. É preciso analisar a origem e o grau de especificidade da informação.
Golpista saber meu saldo é relevante?
Sim. Saldo e limites são informações diretamente relacionadas à conta e podem exigir investigação sobre a origem.
O banco responde automaticamente?
Não. A responsabilidade depende da demonstração de falha e nexo com o prejuízo.
Posso usar gravação da ligação como prova?
Sim, quando obtida legitimamente. Mensagens e registros também podem ser úteis.
LGPD se aplica a fraude bancária?
Pode se aplicar quando a controvérsia envolve falha na segurança ou tratamento de dados pessoais.
Se eu mesmo transferi o dinheiro, perco o direito?
Não automaticamente. A conduta da vítima é um fator, mas falhas adicionais do banco também devem ser analisadas.
Conclusão: dados bancários específicos nas mãos do golpista podem ser uma prova importante de falha de segurança
O simples conhecimento de dados genéricos não basta para responsabilizar uma instituição financeira. O cenário muda quando o criminoso possui informações sigilosas e específicas da relação bancária.
Quanto mais precisa for a prova sobre o que o fraudador sabia antes do contato, mais consistente será a investigação sobre vazamento de dados e eventual responsabilidade do banco.
Fontes oficiais consultadas
Artigos relacionados
- Golpista induziu compartilhamento de dados bancários via Open Finance: a instituição responde pela falha no consentimento?
- Avisei o banco imediatamente sobre a fraude, mas o dinheiro não foi bloqueado: a instituição pode responder?
- Cartão tokenizado no Google Pay ou Apple Pay usado por golpista após o roubo do celular: o banco emissor responde pelas compras?
- Cheque clonado compensado pelo banco mesmo com divergência grosseira na assinatura: o banco responde integralmente?
Veja também nosso conteúdo completo sobre fraudes e responsabilidades.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
