Golpe da falsa central: o banco é obrigado a devolver?

O golpe da falsa central de atendimento — em que criminosos ligam se passando pelo banco — esteve entre os três golpes que mais afetaram os brasileiros em 2024 e, segundo a Febraban, subiu para o segundo lugar no primeiro semestre de 2025, com cerca de 139 mil relatos. A resposta curta para a pergunta do título é: depende. Em 2025, o STJ decidiu que bancos e instituições de pagamento respondem quando validam transações atípicas, incompatíveis com o perfil do cliente. Mas também há decisões que negam a devolução quando não se identifica falha do banco. Este artigo explica, com honestidade, os dois lados.

Como funciona o golpe da falsa central?

A vítima recebe uma ligação de alguém que se apresenta como funcionário do banco — muitas vezes com o número da central verdadeira no identificador de chamadas, graças a uma técnica chamada spoofing. O falso atendente afirma que a conta foi invadida ou que há uma compra suspeita e, com tom de urgência, orienta a vítima a “regularizar a situação”.

A partir daí, o roteiro varia: pedem senhas e códigos, orientam a transferir o dinheiro para uma suposta “conta segura”, induzem a instalação de um aplicativo que dá acesso remoto ao celular ou até contratam empréstimos em nome da vítima. Quando o golpe envolve aplicativo de acesso remoto, ele costuma ser chamado de “mão fantasma” — explicamos esse caso em detalhe no artigo sobre quem responde no golpe do acesso remoto.

O traço comum: tudo parece oficial. O golpista conhece dados pessoais da vítima, usa o vocabulário do banco e explora o medo de perder dinheiro para obter, em minutos, o que precisa.

O que o STJ decidiu em 2025?

Duas decisões da Terceira Turma do Superior Tribunal de Justiça marcaram o tema em 2025.

Em outubro de 2025, no julgamento do REsp 2.222.059/SP, o STJ decidiu que bancos e instituições de pagamento devem indenizar o cliente vítima do golpe da falsa central quando validam operações suspeitas, atípicas e fora do perfil de consumo do correntista. No caso concreto, uma conta com pouquíssima movimentação mensal registrou 14 transações em um único dia, somando prejuízo superior a R$ 140 mil — e nada foi barrado. Para o tribunal, deixar passar uma sequência assim revela defeito na prestação do serviço, e o dever de segurança vale tanto para bancos tradicionais quanto para fintechs e instituições de pagamento.

Em novembro de 2025, no REsp 2.220.333/DF, a mesma Turma foi além: quando há falha de segurança do banco, não cabe alegar culpa concorrente do consumidor para dividir o prejuízo. No caso, a cliente foi induzida a instalar um aplicativo e os criminosos contrataram um empréstimo de R$ 45 mil e fizeram transações incompatíveis com o perfil dela. O STJ entendeu que o acesso de terceiros a senhas e aplicativos, nesses golpes, decorre da fraude — não de descuido do correntista — e determinou a reparação integral.

As duas decisões se apoiam na Súmula 479 do STJ, de 2012: as instituições financeiras respondem objetivamente (isto é, independentemente de culpa) pelos danos causados por fraudes de terceiros no âmbito das operações bancárias — o chamado fortuito interno, um risco da própria atividade.

Quando o banco responde — e quando não?

Aqui está o ponto central, que exige honestidade: há decisões nos dois sentidos, e o resultado depende dos fatos de cada caso.

O banco tende a responder quando:

• As transações eram atípicas — valores, quantidade ou horários fora do padrão histórico do cliente — e mesmo assim foram validadas;
• Houve contratação de empréstimo ou elevação de limites em meio à sequência suspeita, sem barreira adicional;
• O golpe se valeu de falha do sistema (vazamento de dados, ligação com o número oficial da central, aplicativo que permitiu acesso remoto sem detecção);
• O banco não oferecia mecanismos efetivos de monitoramento e bloqueio de operações fora do perfil.

O banco pode não responder quando:

• As operações eram compatíveis com o perfil do cliente — valores e frequência dentro do padrão habitual, sem nada que devesse acender alerta;
• Fica demonstrada a culpa exclusiva do consumidor ou de terceiro, hipótese que o Código de Defesa do Consumidor (art. 14, § 3º) prevê como excludente de responsabilidade;
• O cliente entregou dados e realizou as transferências em contexto que a Justiça considere fora do serviço bancário — por exemplo, negociações privadas em que o banco atuou apenas como meio de pagamento regular.

Em resumo: a atipicidade das transações é o fiel da balança. Quanto mais destoante do seu histórico foi a movimentação, mais forte a tese de falha do banco; quanto mais “normal” ela parecia, mais difícil a responsabilização.

E se eu mesmo passei a senha ou fiz a transferência?

Essa é a objeção que os bancos mais usam — e ela não encerra a discussão. No julgamento de novembro de 2025, o STJ afirmou que, nesses golpes, o acesso dos criminosos a senhas e aplicativos não ocorre por falta de cautela do correntista, mas em virtude da fraude cometida contra ele. A vítima não “assumiu um risco consciente”; foi enganada por alguém que se passava pelo próprio banco.

Por isso, o fato de você ter digitado a senha ou apertado o botão da transferência não transfere automaticamente toda a culpa para você. O que a Justiça examina é a conduta do banco: ele tinha como identificar que aquela sequência de operações fugia completamente do seu padrão? Se tinha e não agiu, o STJ tem decidido que a responsabilidade é da instituição — inclusive sem redução por culpa concorrente. Se, ao contrário, nada nas operações permitia suspeita, a alegação de culpa exclusiva da vítima ganha força.

O que fazer nas primeiras horas (passo a passo)?

O tempo é o fator mais decisivo para tentar recuperar valores. Nas primeiras horas:

1. Encerre o contato e ligue você mesmo para o banco, pelo número oficial (o que está no cartão ou no aplicativo) — nunca pelo número que ligou para você.
2. Conteste as transações imediatamente pelo aplicativo. Para Pix, acione o MED, o Mecanismo Especial de Devolução do Banco Central — o prazo máximo é de 80 dias, mas a chance de bloqueio cai a cada hora. Veja o passo a passo completo em como pedir a devolução de um Pix pelo MED.
3. Peça o bloqueio de cartões, senhas e do próprio aplicativo, e a revisão de empréstimos ou limites contratados durante o golpe.
4. Se instalou algum aplicativo a pedido do golpista, desinstale-o e coloque o celular em modo avião até revisar o aparelho.
5. Registre boletim de ocorrência, presencialmente ou pela delegacia eletrônica do seu estado, relatando a ligação e todas as operações.
6. Anote os números de protocolo de cada contato com o banco.

Quais provas guardar?

A responsabilização do banco depende de demonstrar a fraude e, principalmente, a atipicidade das operações. Guarde:

• Número de telefone que fez a ligação (print do registro de chamadas) e horário;
• Prints de SMS, e-mails ou mensagens trocadas com o falso atendente;
• Extratos que mostrem seu padrão de movimentação nos meses anteriores — é isso que evidencia o contraste com as transações do golpe;
• Comprovantes de todas as transferências, pagamentos e empréstimos feitos no dia;
• Protocolos de atendimento e as respostas do banco à contestação;
• Boletim de ocorrência;
• Se houve aplicativo instalado, o nome do aplicativo e, se possível, prints antes de desinstalar.

Com esses documentos, é possível avaliar com segurança se o seu caso se encaixa no entendimento que o STJ vem aplicando — e qual caminho faz sentido: contestação administrativa, reclamação ao Banco Central ou discussão judicial.

---

Este conteúdo tem caráter informativo e geral e não substitui a orientação jurídica para o caso concreto. A jurisprudência citada reflete decisões do STJ divulgadas até a data de publicação e pode evoluir; cada situação deve ser analisada individualmente.