Golpe do Pix: quando o banco pode ser responsabilizado

O telefone toca. Do outro lado, alguém diz ser da central de segurança do seu banco e avisa que há uma compra suspeita na sua conta. A voz é calma, sabe o seu nome e parte dos seus dados. Em poucos minutos, você segue as instruções "para proteger o dinheiro". Quando percebe o que aconteceu, a conta está vazia. Ou pior: existe um empréstimo em seu nome que você nunca pediu.

Se isso aconteceu com você, saiba que não é um caso isolado. E a pergunta importante não é só "quem apertou o botão". É também: por que o banco deixou tudo isso passar?

Como funciona o golpe do Pix

Na maioria das vezes, o golpe do Pix não invade o seu aplicativo por meio de um ataque técnico. Ele usa engenharia social: o golpista convence você a autorizar as operações ou usa dados que já tem para agir em seu nome. As versões mais comuns são a falsa central de atendimento, o falso gerente, o falso motoboy e o golpe do WhatsApp, com pedido de dinheiro em nome de um parente.

Com as informações em mãos, os criminosos costumam contratar empréstimo, aumentar o limite de transferência e fazer várias transferências seguidas para contas desconhecidas. Em minutos, o dinheiro passa por outras contas, as chamadas contas laranja, e fica difícil de recuperar.

O dever do banco: barrar o que foge do seu perfil

O Código de Defesa do Consumidor (art. 14) diz que o banco responde por defeitos na prestação do serviço, mesmo sem culpa, quando o serviço não oferece a segurança que o cliente pode esperar. O STJ aplica essa regra às fraudes. A Súmula 479 estabelece que as instituições financeiras respondem objetivamente pelos danos causados por fraudes e delitos de terceiros dentro das operações bancárias. É o chamado fortuito interno: um risco que faz parte da própria atividade do banco.

Em 2023, a Terceira Turma do STJ deu um passo importante no REsp 2.052.228. Criminosos contrataram um empréstimo e esvaziaram a conta de dois clientes idosos. A relatora, ministra Nancy Andrighi, entendeu que o banco tem o dever de manter mecanismos de segurança capazes de identificar e impedir movimentações que destoam do perfil do consumidor. Para o tribunal, deixar de verificar operações com aparência de ilegalidade é defeito na prestação do serviço.

O que é uma movimentação atípica

Não existe uma lista fechada, mas alguns sinais costumam chamar atenção:

• valores muito acima do que você costuma movimentar;
• várias transferências em sequência, até esgotar o saldo;
• destinatários novos e desconhecidos;
• horários fora do seu padrão;
• empréstimo contratado e gasto em poucos minutos;
• aumento repentino do limite do Pix ou uso de um aparelho novo.

Quando vários desses sinais aparecem juntos e o banco não bloqueia, não pede confirmação adicional nem entra em contato com você, há um argumento forte de falha de segurança.

Atenção: a responsabilidade do banco não é automática

Em julho de 2026, a Terceira Turma do STJ deixou claro, no REsp 2.209.868, que o banco não responde automaticamente por todo golpe da falsa central. A responsabilidade depende de falha no serviço, como deixar passar operações incompatíveis com o perfil do cliente ou ter mecanismos de segurança insuficientes.

No caso julgado, as transferências eram compatíveis com o histórico da conta, e a de maior valor foi feita pela própria cliente, pessoalmente, na agência. O tribunal concluiu que não houve falha do banco.

Na prática, isso funciona assim: quanto mais a movimentação destoa do seu padrão, mais forte é a tese contra o banco. Quando o golpe se apoiou em operações comuns para você, o caminho é mais difícil. Há ainda casos em que a Justiça reconhece que os dois lados falharam e divide a responsabilidade.

MED 2.0: o que mudou nas regras do Pix

Desde 2 de fevereiro de 2026, todos os bancos e instituições de pagamento que operam o Pix devem adotar o MED 2.0, a versão atualizada do Mecanismo Especial de Devolução. Os principais pontos, segundo o Banco Central:

• o aplicativo do banco precisa ter um botão de contestação, para você pedir a devolução sem depender de atendimento humano;
• o banco de origem avisa o banco que recebeu o dinheiro em até 30 minutos;
• o rastreamento vai além da primeira conta e acompanha o dinheiro nas contas intermediárias;
• valores suspeitos podem ser bloqueados por até 11 dias, enquanto os bancos analisam o caso.

O MED ajuda, mas tem limites. Ele só recupera o que ainda estiver nas contas rastreadas, não vale para Pix enviado ao destinatário errado por digitação e não impede que você busque a Justiça. Se o banco negar o pedido, a discussão não termina ali.

O que fazer nas primeiras horas

1. Conteste o Pix no aplicativo e ligue para o telefone oficial do banco, o que está no verso do cartão. Anote os protocolos.
2. Bloqueie cartões e troque as senhas. Desconecte o aparelho suspeito, se houver.
3. Conteste empréstimos e aumentos de limite que você não pediu, e peça o cancelamento por escrito.
4. Registre um boletim de ocorrência contando a sequência dos fatos: horário e número da ligação, o que foi dito, valores e horários das transferências.
5. Guarde as provas: prints, extratos, comprovantes, contratos de empréstimo, gravações e mensagens.
6. Registre reclamação na ouvidoria do banco e no canal de reclamações do Banco Central.
7. Procure orientação jurídica antes de assinar qualquer acordo ou documento oferecido pelo banco.

Quando vale buscar a Justiça

Se o banco negar a devolução, é possível ajuizar ação para pedir a devolução dos valores, o cancelamento de empréstimos e cobranças fraudulentas e, quando o caso justificar, indenização por danos morais. Em relações de consumo, a Justiça pode inverter o ônus da prova (CDC, art. 6º, VIII): cabe ao banco mostrar que os seus mecanismos de segurança funcionaram.

Antes de decidir, o que mais pesa é uma análise cuidadosa do extrato, do seu histórico de movimentação e do que o banco fez (ou deixou de fazer) durante o golpe. Nenhuma decisão anterior garante o mesmo resultado em outro caso, mas essa análise costuma mostrar se existe um caminho e qual é.