Em resumo: se você caiu no golpe do falso funcionário do banco, o banco pode, sim, ser obrigado a devolver o dinheiro — e ficou mais fácil depois de outubro de 2025. A Terceira Turma do STJ decidiu (REsp 2.222.059 e 2.229.519) que bancos e instituições de pagamento devem indenizar vítimas do “golpe da falsa central” quando falharam na proteção de dados ou em barrar transações fora do seu perfil. A base é a Súmula 479 do STJ: o banco responde de forma objetiva por fraudes praticadas por terceiros. E, se o golpe foi por Pix, existe o MED (Mecanismo Especial de Devolução), com prazo de 80 dias para contestar. Agir nas primeiras horas é o que mais aumenta a chance de recuperar o valor.

O telefone toca. Do outro lado, uma voz calma diz que é do “setor de segurança” do seu banco. Ela sabe seu nome, seus últimos gastos, o final do seu cartão. Diz que há uma compra suspeita e que, para bloquear, você precisa confirmar alguns dados — ou transferir o dinheiro para uma “conta segura”.

Em minutos, some tudo. E vem a segunda dor: o banco responde que “a transação foi autorizada por você” e lava as mãos.

O que quase ninguém sabia até pouco tempo atrás: essa resposta do banco nem sempre vale. Em 2025, o STJ mudou o jogo. Este artigo explica quando o banco tem que devolver, quando não tem, e exatamente o que fazer nas primeiras horas — que são as que mais importam.

O que é o golpe do falso funcionário do banco?

É um golpe de engenharia social — ou seja, manipulação psicológica. O criminoso se passa por funcionário do banco (segurança, gerente, central de atendimento) e usa dados verdadeiros seus para ganhar sua confiança. Com isso, ele induz você a transferir dinheiro, informar senha, instalar um aplicativo de acesso remoto ou aprovar uma transação.

Variações comuns: o golpe da falsa central de atendimento, o falso motoboy que “recolhe o cartão”, o falso aviso de compra suspeita. O roteiro muda; o mecanismo é o mesmo — fazer você agir com medo e pressa.

O que mudou em 2025: o STJ virou a mesa

Em 21 de outubro de 2025, a Terceira Turma do STJ decidiu, por unanimidade, que bancos e instituições de pagamento devem indenizar clientes vítimas de golpes de engenharia social quando houver falha na proteção de dados ou na identificação de transações suspeitas (REsp 2.222.059 e REsp 2.229.519, relator ministro Ricardo Villas Bôas Cueva).

Num dos casos, o cliente perdeu R$ 143 mil, além de um empréstimo de R$ 13 mil contratado em seu nome — tudo em 14 transações num único dia, quando ele quase não movimentava a conta. Para o STJ, um sistema que deixa passar 14 operações completamente fora do perfil do cliente é um sistema defeituoso.

A base é a Súmula 479 do STJ: as instituições financeiras respondem de forma objetiva pelos danos de fraudes praticadas por terceiros — o chamado “fortuito interno”, que é o risco do próprio negócio. E o Código de Defesa do Consumidor (Lei 8.078/1990, art. 14, § 1º) define como defeituoso o serviço que não oferece a segurança que dele se espera.

“A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço.” — ministro Villas Bôas Cueva, STJ, 2025.

O STJ deixou claro, ainda, que isso vale também para as instituições de pagamento (carteiras digitais e fintechs), com base no art. 7º da Lei 12.865/2013.

Então o banco sempre paga? Não. Onde está a linha

Aqui a honestidade importa. A responsabilidade do banco é objetiva, mas não é absoluta. O art. 14, § 3º, do CDC permite que o banco se livre da culpa se provar uma de duas coisas:

1. Que não houve defeito no serviço — ou seja, que seus sistemas funcionaram e não havia sinal de operação atípica.
2. Que a culpa foi exclusiva do consumidor ou de terceiro.

Traduzindo para a vida real: o ponto decisivo é se o banco tinha como perceber que algo estava errado e não percebeu. Muitas transações grandes e seguidas, fora do horário e do padrão, empréstimo relâmpago contratado logo antes de um pagamento suspeito — tudo isso é sinal que o sistema antifraude deveria captar. Quando ele não capta, o defeito é do serviço.

Por outro lado, entregar a senha sem nenhuma indução relevante, ou uma operação isolada perfeitamente dentro do seu padrão, joga a discussão para o outro lado. Cada caso vira uma disputa de fatos — e é por isso que o que você faz nas primeiras horas define a prova.

Caiu no golpe por Pix? Existe o MED

Se o dinheiro saiu por Pix, você tem uma ferramenta oficial: o MED — Mecanismo Especial de Devolução, criado pela Resolução BCB nº 103/2021 do Banco Central, em vigor desde 1º de novembro de 2021.

Como funciona, em números:

• 80 dias corridos é o prazo para registrar a contestação por fraude, golpe ou crime.
• Até 11 dias úteis para as instituições analisarem entre si.
• Até 96 horas para devolver, depois de confirmada a fraude.

Desde setembro de 2025, os apps passaram a ter um “botão de contestação” do Pix justamente para esses casos. Mas atenção: o MED só devolve o que ainda estiver na conta do golpista. Por isso a regra de ouro é uma só — velocidade. Acionar no mesmo dia aumenta muito a chance de o dinheiro ainda estar lá.

Exemplo prático

Imagine a Sônia. Ela recebe a ligação da “central antifraude”, que sabe o nome do gerente da agência dela. Assustada, aprova pelo app três transferências e um empréstimo, tudo em vinte minutos. Some R$ 40 mil.

Sônia quase não usava a conta para transferências. Três Pix altos e um empréstimo instantâneo, em sequência, num horário atípico, são exatamente o tipo de operação que o sistema do banco deveria ter sinalizado. Ela registra o boletim de ocorrência, aciona o MED no mesmo dia e reúne o print da ligação e das notificações. A discussão com o banco deixa de ser “você autorizou” e passa a ser “por que seu sistema não barrou 4 operações fora do meu perfil em 20 minutos?”. É essa virada que a decisão do STJ de 2025 sustenta.

O que fazer: passo a passo nas primeiras horas

1. Aja imediatamente. Ligue para o banco pelo número oficial (o do verso do cartão), bloqueie cartão e conta e peça o registro da ocorrência interna. Tempo é dinheiro — literalmente.
2. Acione o MED, se foi Pix. No app, procure “contestar Pix”, “reportar golpe” ou “ajuda > Pix > contestação”. Informe data, valor, identificador da transação e o motivo (fraude/golpe). Prazo: 80 dias, mas faça hoje.
3. Registre o boletim de ocorrência. Não é obrigatório em todo caso, mas fortalece a prova e é recomendado em crime e coação. Pode ser feito online na delegacia eletrônica do seu estado.
4. Guarde tudo. Prints da ligação, número de origem, mensagens, horários, notificações do app, protocolos. Essa é a prova de que houve operação fora do seu perfil.
5. Formalize a reclamação por escrito com o banco e, se ele negar, registre no consumidor.gov.br e no Banco Central. Isso cria rastro documental e prazo de resposta.
6. Se o banco negar, procure orientação jurídica. Com a decisão de 2025, o eixo da discussão mudou — mas quem tem que demonstrar a falha de segurança, com a prova certa, é você.

E se o banco negar a devolução?

Negativa não é fim de linha. Depois da posição do STJ em 2025, a Justiça tem reconhecido a responsabilidade do banco quando fica demonstrado que houve falha de segurança — transações destoantes do perfil que o sistema deveria ter barrado. O que decide o resultado é a prova: extrato mostrando o padrão anterior, a sequência atípica das operações e o registro do golpe.

Não existe garantia de devolução em nenhum caso — a lei não permite prometer isso, e quem promete está enganando. Mas a porta que parecia fechada (“você autorizou, problema seu”) hoje está claramente aberta.

Perguntas frequentes sobre o golpe do falso funcionário do banco

O banco é obrigado a devolver o dinheiro do golpe?

Nem sempre, mas com frequência. Pela Súmula 479 do STJ, o banco responde de forma objetiva por fraudes de terceiros. Em 2025, a Terceira Turma do STJ decidiu que bancos e instituições de pagamento devem indenizar vítimas de engenharia social quando houver falha na proteção de dados ou na identificação de transações suspeitas. A responsabilidade só é afastada se o banco provar que não houve defeito no serviço ou culpa exclusiva do consumidor (art. 14, § 3º, do CDC).

Qual o prazo para contestar um Pix de golpe?

Pelo MED (Mecanismo Especial de Devolução), criado pela Resolução BCB nº 103/2021, o prazo é de até 80 dias corridos após a transação para registrar a contestação por fraude, golpe ou crime. Mesmo assim, o ideal é acionar no mesmo dia, porque o MED só recupera valores que ainda estejam na conta do golpista.

Preciso registrar boletim de ocorrência no golpe do falso funcionário?

Não é obrigatório em todos os casos do MED, mas é fortemente recomendado, sobretudo em crime e coação. O boletim de ocorrência reforça a prova e ajuda tanto na análise da devolução quanto em eventual ação judicial. Pode ser registrado pela delegacia eletrônica do seu estado.

Perdi dinheiro por transferência, não por Pix. Ainda tenho direito?

Sim, a discussão é a mesma. O MED é específico do Pix, mas a responsabilidade do banco por falha de segurança, com base na Súmula 479 do STJ e no Código de Defesa do Consumidor, vale para operações bancárias em geral, incluindo TED, empréstimos e pagamentos indevidos.

O banco disse que fui eu que autorizei. Isso encerra o caso?

Não. Autorização obtida por engano ou manipulação por engenharia social não afasta automaticamente a responsabilidade do banco. Segundo o STJ, cabe à instituição detectar operações atípicas e fora do perfil do cliente. Se o sistema de segurança deixou passar transações claramente suspeitas, há defeito na prestação do serviço.

O tempo joga contra o golpista — e a favor de quem age

Cada caso tem detalhes próprios, e os detalhes definem tudo: o valor, a sequência das operações, o seu histórico, a prova que você conseguiu guardar. A mesma história pode ter desfechos opostos dependendo do que foi registrado nas primeiras horas.

Se você ou alguém da sua família caiu no golpe do falso funcionário do banco, mande uma mensagem para nossa equipe no WhatsApp (11) 4590-0153 e tire sua dúvida sem compromisso. O Ruysam Advogados Associados atua em casos de fraude bancária e atende 100% online, em todo o Brasil.

Leia também: Golpe do Pix: o banco devolve o dinheiro?, Cobrança indevida: o que fazer e como reaver o valor e Direitos de quem está negativado.

Conteúdo informativo produzido pelo Ruysam Advogados Associados. Não substitui a análise individualizada do seu caso.