Golpe do WhatsApp clonado: o banco deve devolver o Pix?
No golpe do WhatsApp clonado e no SIM swap, criminosos assumem seu número ou seu aplicativo e pedem Pix aos contatos — ou movimentam sua conta. Entenda quando banco e operadora respondem.
Bruno Machado
Advogado · OAB/SP nº 360.883
Depende de como o golpe aconteceu. No golpe do WhatsApp clonado e no SIM swap (troca de chip), a jurisprudência brasileira é divergente: há decisões condenando o banco ou a operadora a devolver os valores — quando ficou demonstrada falha de segurança, como uma troca de chip liberada sem verificação ou um Pix totalmente fora do perfil do cliente — e há decisões negando a devolução, quando o prejuízo decorreu apenas da conversa entre o golpista e a vítima, sem defeito no serviço. A base da responsabilidade dos bancos é a Súmula 479 do STJ; o resultado, porém, varia conforme a conduta de cada envolvido.
Como funcionam o golpe do WhatsApp clonado e o SIM swap?
São dois golpes parecidos no resultado, mas diferentes na mecânica — e essa diferença importa na hora de definir quem responde.
No WhatsApp clonado clássico, o criminoso não invade nada: ele engana a própria vítima para obter o código de verificação de 6 dígitos que o aplicativo envia por SMS. Costuma se passar por empresa, site de vendas ou central de atendimento e pedir o código “para confirmar um cadastro”. Com o código, ativa o WhatsApp da vítima em outro aparelho e passa a pedir dinheiro aos contatos, simulando uma emergência.
No SIM swap (troca de chip), o ataque é contra a linha telefônica. O criminoso consegue — muitas vezes com documentos falsos ou dados vazados — que a operadora ative o número da vítima em um novo chip. A partir daí, o celular da vítima fica sem sinal e o golpista recebe as ligações, os SMS e os códigos de autenticação de bancos e aplicativos. Com isso, pode assumir o WhatsApp e, em cenários mais graves, acessar contas bancárias e fazer Pix em nome da vítima.
Esse golpe é diferente do golpe da “mão fantasma”, em que a vítima instala um aplicativo de acesso remoto e o criminoso controla o celular dela à distância — explicamos esse caso em outro artigo. Aqui, o criminoso não controla o seu aparelho: ele assume o seu número ou o seu aplicativo em um dispositivo dele.
A operadora de celular é responsável?
Pode ser, quando houve troca de chip ou portabilidade liberada sem as verificações devidas. A relação entre o consumidor e a operadora é regida pelo Código de Defesa do Consumidor, e a habilitação do número de um cliente em chip de terceiro, sem conferência adequada de identidade, tem sido reconhecida por tribunais como defeito na prestação do serviço — porque é justamente essa falha que abre a porta para o restante da fraude.
Por outro lado, quando o golpe não envolve a linha telefônica — o criminoso apenas convenceu a vítima a informar o código de verificação do WhatsApp —, a tendência é afastar a responsabilidade da operadora, já que não houve troca de chip nem falha no serviço de telefonia. Nesses casos, discute-se a chamada culpa exclusiva de terceiro (o golpista), que pode excluir o dever de indenizar.
Em resumo: há decisões nos dois sentidos, conforme o caso. O ponto decisivo costuma ser provar como o número foi parar nas mãos do criminoso.
E o banco, se fizeram Pix da minha conta?
Quando o SIM swap evolui para o acesso à conta bancária, entra em cena a Súmula 479 do STJ: as instituições financeiras respondem objetivamente por danos causados por fraudes de terceiros em operações bancárias, por se tratar de risco próprio da atividade (o chamado fortuito interno).
Além disso, o STJ já afirmou que o banco tem o dever de identificar e barrar transações que destoam do perfil do cliente — o tribunal tratou do tema em decisão noticiada em outubro de 2023. Se uma conta que quase não se movimentava registra, de madrugada, vários Pix no limite máximo para desconhecidos, a ausência de bloqueio ou de confirmação adicional pesa contra a instituição.
Mas atenção: a jurisprudência não é uniforme. Quando as transferências partiram do aparelho habitual da vítima, com senhas corretas e valores dentro do padrão — ou quando foi a própria vítima quem fez o Pix, convencida pela conversa com o golpista que se passava por um parente —, há julgados que afastam a responsabilidade do banco, por entenderem que não houve falha do serviço bancário. Cada caso depende das circunstâncias e das provas.
Independentemente dessa discussão, se saiu Pix da conta, o caminho imediato é acionar o MED (Mecanismo Especial de Devolução) — veja como pedir a devolução do Pix pelo MED.
A Meta/WhatsApp responde?
Em regra, é o pedido mais difícil de prosperar. O WhatsApp oferece mecanismo de proteção adicional (a confirmação em duas etapas, com senha própria) e, no golpe clássico, é a vítima quem — enganada — entrega o código de verificação. Por isso, boa parte das decisões conclui que não houve defeito no serviço da plataforma, atribuindo o dano ao golpista.
Há, porém, discussões pontuais sobre demora da plataforma em recuperar a conta ou bloquear o número clonado depois de avisada, o que pode agravar o prejuízo. De todo modo, na prática, as ações costumam se concentrar na operadora (quando houve troca de chip) e no banco (quando houve movimentação financeira atípica).
O que fazer nas primeiras horas?
A rapidez faz diferença tanto para conter o golpe quanto para reunir provas:
- Recupere o número e o aplicativo: contate a operadora, informe a fraude e peça o bloqueio ou a reativação da linha no seu chip; no WhatsApp, tente reativar a conta com o seu número e ative a confirmação em duas etapas.
- Avise os contatos por outro canal (ligação, outra rede) para que ninguém faça Pix ao golpista em seu nome.
- Comunique o banco imediatamente se houver risco à conta: peça bloqueio cautelar, troque senhas e conteste as transações que não reconhecer.
- Acione o MED para qualquer Pix fraudulento — o pedido deve ser feito ao banco o quanto antes, pois o bloqueio depende de o dinheiro ainda estar na conta de destino. Veja o passo a passo do MED.
- Registre boletim de ocorrência (pode ser online) e guarde provas: prints das conversas, protocolos da operadora e do banco, comprovantes e extratos.
O que mudou com a regra da Anatel?
Uma regra recente da Anatel reforçou as barreiras contra o SIM swap: as prestadoras passaram a adotar validação reforçada de identidade — inclusive com biometria — para troca de chip e portabilidade, além do segundo fator de autenticação na portabilidade (uma mensagem enviada ao próprio número, que precisa ser confirmada pelo titular para a operação seguir). A agência também determinou que as operadoras compartilhem com os bancos informações sobre trocas de chip, permitindo que a instituição financeira retenha ou confirme movimentações logo após uma troca — janela em que a maioria das fraudes acontece. As orientações da agência sobre esses golpes estão na página de dicas contra fraudes da Anatel.
Para os casos judiciais, essas regras têm um efeito prático importante: elas ajudam a definir o padrão de diligência exigível da operadora e do banco. Uma troca de chip concluída sem a validação esperada, ou um Pix atípico liberado logo após a troca de chip sem qualquer checagem, são elementos que fortalecem a demonstração de falha do serviço.
Este conteúdo tem caráter informativo e geral e não substitui a orientação jurídica para o caso concreto. Cada caso depende das circunstâncias e das provas disponíveis.
Perguntas frequentes
Clonaram meu WhatsApp e um parente fez Pix para o golpista. Quem paga esse prejuízo?
Depende do caso. Há decisões que responsabilizam a operadora ou o banco quando houve falha demonstrável — como troca de chip liberada sem verificação ou transações fora do perfil que o banco deixou passar — e há decisões que negam a devolução quando o golpe se resumiu à conversa entre o golpista e quem pagou, sem falha dos serviços. A análise é sempre do caso concreto.
O que é SIM swap e qual a diferença para o WhatsApp clonado?
No SIM swap, o criminoso consegue ativar o seu número de celular em outro chip, geralmente enganando a operadora, e passa a receber suas ligações, SMS e códigos de segurança. No WhatsApp clonado clássico, ele apenas convence você a informar o código de verificação de 6 dígitos e assume o aplicativo, sem mexer na linha telefônica.
A operadora de celular pode ser condenada a indenizar?
Pode, especialmente quando a troca de chip ou a portabilidade foi habilitada sem as verificações exigidas pela regulamentação. Nesses casos, tribunais têm reconhecido defeito na prestação do serviço. Quando não houve troca de chip — só engenharia social —, a tendência é afastar a responsabilidade da operadora.
O banco é obrigado a devolver um Pix feito da minha conta após o SIM swap?
Há decisões nos dois sentidos. A Súmula 479 do STJ impõe responsabilidade objetiva aos bancos por fraudes em operações bancárias, e transações atípicas que o banco deixou passar reforçam a falha de segurança. Por outro lado, quando a movimentação partiu de dispositivo e senhas da própria vítima, sem nada fora do padrão, há julgados que afastam a responsabilidade.
Devo acionar o MED mesmo sem saber quem vai responder pelo golpe?
Sim. O Mecanismo Especial de Devolução (MED) do Pix deve ser acionado junto ao banco o quanto antes, porque permite bloquear valores ainda na conta do golpista. Ele independe da discussão judicial sobre a responsabilidade do banco ou da operadora.
Registrar boletim de ocorrência faz diferença?
Faz. O boletim documenta a fraude, é exigido em muitos procedimentos de contestação e serve de prova em eventual ação judicial contra banco ou operadora. Pode ser registrado online pela delegacia eletrônica do seu estado.
Conteúdo informativo. Este texto tem caráter geral e não substitui a orientação jurídica para o caso concreto.