Golpe da falsa central: o que fazer e quando o banco responde?

Cair no golpe da falsa central não significa, por si só, que o banco será obrigado a ressarcir o prejuízo. Também não significa que a participação da vítima ao seguir instruções do fraudador encerre automaticamente a discussão.

A jurisprudência do STJ em 2026 reforçou que a responsabilidade depende dos fatos. Entre os pontos relevantes estão a existência de operações incompatíveis com o perfil do cliente, a eficiência dos mecanismos de segurança, a rapidez da reação do banco após o aviso de fraude e o nexo entre eventual falha do serviço e o prejuízo.

Como funciona o golpe da falsa central?

Na falsa central de atendimento, criminosos se passam por funcionários de banco, setor antifraude ou suporte. A abordagem costuma utilizar elementos de engenharia social para criar urgência e confiança.

O fraudador pode afirmar, por exemplo, que houve uma compra suspeita, uma tentativa de invasão ou a necessidade de “proteger” o dinheiro. A vítima é então induzida a realizar transferências, contratar crédito, instalar programas, liberar acesso ou seguir etapas que parecem fazer parte de um procedimento de segurança.

O fato de o contato conter dados pessoais ou aparentar vir de um número conhecido não confirma sua legitimidade.

Por que esses casos são juridicamente complexos?

Em várias fraudes bancárias, a vítima afirma que não realizou a operação. No golpe da falsa central, é comum que ela própria tenha digitado a senha, confirmado um Pix ou seguido uma sequência de comandos acreditando estar protegendo a conta.

Essa participação precisa ser analisada, mas não resolve sozinha a questão.

O art. 14 do Código de Defesa do Consumidor estabelece a responsabilidade do fornecedor por defeitos na prestação do serviço e prevê hipóteses de exclusão quando o defeito inexiste ou há culpa exclusiva do consumidor ou de terceiro.

A Súmula 479 do STJ, por sua vez, reconhece a responsabilidade objetiva das instituições financeiras por danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias.

O ponto decisivo costuma ser saber se, naquele caso concreto, houve um defeito do serviço relacionado ao resultado.

O que o STJ decidiu sobre falsa central em 2026?

As decisões mais recentes mostram por que não existe uma regra automática.

Caso em que a responsabilidade foi afastada: REsp 2.209.868

Em julho de 2026, a Terceira Turma do STJ manteve decisão que afastou a responsabilidade bancária em um caso de falsa central.

Segundo as premissas reconhecidas pelas instâncias anteriores, as duas transferências Pix inicialmente realizadas não destoavam do histórico da conta. Além disso, uma operação de maior valor foi feita presencialmente pela própria cliente na agência no dia seguinte, sem que ela informasse aos funcionários o contato recebido dos fraudadores.

O STJ ressaltou que a responsabilidade bancária pelo golpe não é automática. É necessária a demonstração de falha na prestação do serviço, como ausência de identificação de operações incompatíveis com o perfil do cliente, insuficiência de mecanismos de segurança ou outro elemento que conecte a fraude ao risco da atividade bancária.

Caso em que a falha foi reconhecida: AgInt no REsp 2.250.402/SP

Em junho de 2026, a Terceira Turma analisou outro caso de falsa central, com resultado diferente.

A fraude envolveu contratação de crédito e transferências Pix de valores elevados, concentradas em dois dias. O STJ considerou relevante a atipicidade da sequência de operações e manteve o reconhecimento de falha dos mecanismos de prevenção.

A decisão também registrou que a participação da vítima na dinâmica do golpe não afasta necessariamente a responsabilidade quando, ao mesmo tempo, fica demonstrada uma deficiência do sistema de segurança diante de operações manifestamente incompatíveis com o padrão da conta.

A reação do banco depois do aviso também pode importar

Outro precedente relevante de 2026 é o AgInt no REsp 2.221.112/SC, julgado pela Quarta Turma. No caso, a fraude por engenharia social foi comunicada quase imediatamente: a transação ocorreu às 15h30 e o aviso às instituições foi feito às 15h32. Apesar disso, o bloqueio cautelar e o acionamento efetivo do Mecanismo Especial de Devolução (MED) ocorreram apenas cinco dias depois.

O STJ considerou relevante a falha no dever de mitigar o dano e no monitoramento de transações atípicas, reconhecendo, nas circunstâncias daquele processo, hipótese de fortuito interno. O precedente não transforma qualquer demora em responsabilidade automática; ele mostra que a reação da instituição depois da comunicação pode integrar a análise do defeito do serviço e do nexo causal.

Esses julgados não criam uma fórmula matemática. Eles mostram quais fatos podem ser relevantes.

O banco deve bloquear toda movimentação fora do padrão?

A jurisprudência do STJ reconhece um dever de segurança relacionado ao monitoramento de operações atípicas. Isso não significa que todo pagamento diferente do habitual deva necessariamente ser impedido.

A análise pode considerar, por exemplo:

• valor da operação;
• sequência de transferências em curto intervalo;
• contratação de crédito seguida de esvaziamento da conta;
• mudança brusca no padrão de destinatários;
• histórico de movimentação;
• autenticações exigidas;
• alertas e controles acionados;
• informações disponíveis ao banco naquele momento.

Quanto mais a movimentação destoar objetivamente do comportamento anterior, mais importante tende a ser examinar se os mecanismos de segurança funcionaram de forma adequada.

A vítima ter feito o Pix exclui a responsabilidade do banco?

Não automaticamente.

A confirmação da operação pela própria vítima é um fato importante, especialmente em golpes de engenharia social. Mas o STJ tem decisões de 2026 nas quais a responsabilidade foi mantida apesar dessa participação, quando havia operações fortemente atípicas e deficiência dos mecanismos preventivos.

Em outros casos, a responsabilidade foi afastada porque as instâncias de origem concluíram que não havia operação incompatível com o perfil nem falha do serviço.

Por isso, a pergunta útil não é apenas “quem apertou o botão?”, mas também:

1. como o golpe foi executado;
2. que operações foram realizadas;
3. se elas destoavam do perfil da conta;
4. quais barreiras de segurança existiam;
5. quando o banco foi informado;
6. como o banco reagiu;
7. qual falha, se alguma, contribuiu concretamente para o prejuízo.

O que fazer imediatamente após perceber o golpe?

A rapidez pode ter importância prática e probatória.

Comunique o banco por canal oficial

Entre em contato com a instituição assim que perceber a fraude. Use aplicativo, telefone oficial, agência ou outro canal verificado.

Peça o bloqueio de credenciais e cartões quando necessário e registre o número do protocolo.

Se houve Pix, solicite as medidas disponíveis para tentativa de recuperação

O Banco Central mantém o Mecanismo Especial de Devolução (MED) para situações de fraude, golpe ou crime. Desde 1º de outubro de 2025, a funcionalidade de contestação deve estar disponível em autoatendimento nos aplicativos das instituições que oferecem Pix.

O prazo máximo para registrar o pedido é de 80 dias contados da transação, mas isso não é motivo para esperar: quanto mais cedo a fraude for comunicada, maior tende a ser a utilidade prática das medidas de contenção.

O MED não é garantia de recuperação. A devolução depende do procedimento aplicável e, entre outros fatores, da análise da contestação e da existência de recursos disponíveis para bloqueio.

Registre a linha do tempo

Anote horários e preserve:

• ligação ou mensagem inicial;
• número utilizado pelo fraudador;
• conteúdo das orientações recebidas;
• horário de cada transação;
• horário do primeiro contato com o banco;
• protocolos;
• respostas recebidas;
• eventuais bloqueios posteriores.

Essa cronologia pode ser decisiva para entender o que a instituição tinha condições de fazer e em que momento.

Considere o boletim de ocorrência

O Banco Central orienta que vítimas de golpe comuniquem a instituição financeira e registrem boletim de ocorrência, além de adotarem as medidas cabíveis para proteger contas e credenciais.

O boletim não prova sozinho a dinâmica da fraude, mas formaliza o relato e ajuda a organizar a linha temporal.

Quais provas são importantes?

Não limite a documentação às capturas de tela do contato fraudulento.

Também podem ser relevantes:

• extratos dos meses anteriores, para comparação do perfil;
• comprovantes das operações contestadas;
• contratos de empréstimos criados durante a fraude;
• protocolos do banco;
• gravações de atendimento que estejam legitimamente disponíveis;
• alertas enviados pela instituição;
• notificações do aplicativo;
• comprovante do horário em que a fraude foi comunicada;
• resposta ao pedido de MED, se houver;
• boletim de ocorrência;
• e-mails e mensagens dos fraudadores;
• documentos que mostrem eventual vazamento ou uso indevido de dados, quando existirem.

Uma discussão sobre perfil transacional exige, por definição, olhar para algo além da transação isolada.

Quando a responsabilidade do banco pode ser reconhecida?

Sem transformar precedentes em regra automática, alguns fatores aparecem com frequência nas decisões que reconhecem falha:

• operações manifestamente atípicas em valor, quantidade ou sequência;
• contratação de crédito seguida de transferências incomuns;
• mecanismos de segurança incapazes de reagir a movimentações muito destoantes do histórico;
• demora injustificada depois de comunicação tempestiva da fraude;
• falhas concretas de autenticação, bloqueio ou prevenção demonstradas no caso.

A existência de um desses elementos ainda precisa ser ligada ao dano.

E quando a responsabilidade pode ser afastada?

Entre os fatores que podem levar ao afastamento estão:

• ausência de defeito demonstrável no serviço;
• operações compatíveis com o padrão da conta;
• falta de nexo causal entre a atuação do banco e a fraude;
• circunstâncias reconhecidas como culpa exclusiva da vítima ou de terceiro;
• impossibilidade de atribuir ao serviço bancário o evento que gerou o prejuízo.

O REsp 2.209.868 é importante justamente porque mostra que a Súmula 479 não elimina essa análise.

Qual a diferença para um Pix não reconhecido?

Em um Pix genuinamente não reconhecido, a pessoa afirma que não realizou ou autorizou a transferência.

Na falsa central, é comum que a operação tenha sido confirmada pela vítima sob fraude ou manipulação. A distinção muda os fatos relevantes, especialmente quanto à autenticação, engenharia social e análise de culpa exclusiva.

Se a sua situação envolve uma transferência que você afirma não ter feito de forma alguma, consulte também Pix não reconhecido: o banco pode ser responsabilizado?.

Em resumo

O golpe da falsa central exige análise concreta.

Em 2026, o STJ confirmou tanto casos em que a responsabilidade bancária foi afastada quanto situações em que a falha do serviço foi reconhecida. O contraste não é contradição: os resultados partiram de conjuntos de fatos diferentes.

Perfil transacional, mecanismos de segurança, sequência das operações, participação da vítima, momento da comunicação e reação do banco podem mudar a conclusão.

Se a instituição não resolver administrativamente e houver perda relevante, organizar toda a documentação antes de avaliar providências jurídicas costuma ser mais útil do que partir de uma regra genérica de que “o banco sempre responde” ou “quem fez o Pix sempre assume o prejuízo”.

Caio Cassemiliano Gomes
Advogado — OAB/SP 539.602

Fontes consultadas

1. STJ, “Sem transações incompatíveis com perfil de cliente, banco não responde por golpe da falsa central”, 15/07/2026, REsp 2.209.868.
   URL: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/15072026-Sem-transacoes-incompativeis-com-perfil-de-cliente--banco-nao-responde-por-golpe-da-falsa-central.aspx
   Sustenta: caráter não automático da responsabilidade e relevância de falha do serviço, perfil transacional e nexo causal.

2. STJ, AgInt no REsp 2.250.402/SP, Terceira Turma, julgado em 15/06/2026, DJEN 18/06/2026.
   URL: https://scon.stj.jus.br/SCON/GetInteiroTeorDoAcordao?dt_publicacao=18%2F06%2F2026&num_registro=202504953977
   Sustenta: reconhecimento de falha diante de contratação de crédito e transferências Pix elevadas, atípicas e concentradas em curto período.

3. STJ, AgInt no REsp 2.221.112/SC, Quarta Turma, julgado em 18/05/2026, DJEN 22/05/2026, Informativo Extraordinário nº 32.
   URL: https://scon.stj.jus.br/SCON/GetPDFINFJ?edicao=0032E
   Sustenta: relevância da comunicação imediata, do monitoramento de transações atípicas e da demora no bloqueio cautelar/MED na análise da responsabilidade.

4. STJ, Súmula 479, Segunda Seção.
   URL: https://scon.stj.jus.br/SCON/SearchBRS?b=SUMU&livre=%40NUM%3D479
   Sustenta: responsabilidade objetiva por fortuito interno relativo a fraudes e delitos de terceiros em operações bancárias.

5. STJ, reportagem especial “Golpe da falsa central: decisões do STJ discutem responsabilidade de bancos em fraudes contra consumidores”, 16/09/2026.
   URL: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/16092026-Golpe-da-falsa-central-decisoes-do-STJ-discutem-responsabilidade-de-bancos-em-fraudes-contra-consumidores.aspx
   Sustenta: atualização institucional do tema e enquadramento do golpe por engenharia social.

6. Banco Central do Brasil, “BC aprimora experiência do usuário no Pix e amplia proteção contra fraudes”, 03/09/2026.
   URL: https://www.bcb.gov.br/detalhenoticia/21251/nota
   Sustenta: manutenção do prazo máximo de 80 dias para o MED e informação de que o autoatendimento de contestação está disponível desde 1º/10/2025.

7. Banco Central do Brasil, orientações após sofrer um golpe, atualizado em 02/06/2026.
   URL: https://www.bcb.gov.br/meubc/faqs/p/dicas-gerais-de-como-proceder-apos-sofrer-um-golpe
   Sustenta: comunicação à instituição, boletim de ocorrência e canais de reclamação.

8. Presidência da República, Código de Defesa do Consumidor, Lei nº 8.078/1990, especialmente art. 14.
   URL: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm
   Sustenta: defeito do serviço e hipóteses legais de exclusão de responsabilidade.