O cartão está na sua carteira e mesmo assim apareceram compras que você não fez? Então não foi o plástico que foi levado — foram os dados. Bloqueie o cartão pelo aplicativo, conteste as transações e registre boletim de ocorrência. Se você não fez a compra nem entregou cartão e senha a ninguém, a regra é que o prejuízo seja do banco: é o que dizem o art. 14 do CDC e a Súmula 479 do STJ.
Este artigo explica como a clonagem acontece e como reduzir o risco. Se o que você precisa agora é o passo a passo da contestação, com prazos e o que fazer se o banco negar, vá direto para compra não reconhecida no cartão: como contestar.
Resumo rápido
- Clonagem quase nunca exige roubar o cartão físico — bastam número, validade e CVV
- As quatro portas de entrada: maquininha adulterada, vazamento de loja online, página falsa e leitura por aproximação
- O primeiro sinal costuma ser uma compra pequena de teste, não a compra grande
- Cartão virtual com limite baixo elimina a maior parte do risco em compras online
- Notificação em tempo real é o que transforma um prejuízo grande em um prejuízo pequeno
Como um cartão é clonado se ele nunca saiu da sua carteira
Esta é a pergunta que mais confunde, e a resposta desfaz o mal-entendido: clonar um cartão hoje é copiar dados, não fabricar um plástico. Para a maioria das compras online, número, validade e código de segurança são suficientes. Há quatro caminhos principais:
1. Maquininha ou terminal adulterado. O conhecido "chupa-cabra" é um leitor sobreposto que copia a tarja ou o chip enquanto a compra legítima acontece. Aparece mais em caixas eletrônicos, bombas de combustível e estabelecimentos onde o cartão sai da sua vista.
2. Vazamento em loja online. Você comprou em um site que guardou seus dados e esse site foi invadido. É a origem mais comum hoje — e a mais silenciosa, porque nada de anormal acontece no momento da compra. Pode levar meses entre o vazamento e o uso.
3. Página falsa e phishing. Um link por SMS ou e-mail leva a uma cópia fiel do site do banco ou de uma loja. Você mesmo digita os dados. Nesse caso, vale ler também o que fazer depois de clicar em um link falso.
4. Leitura por aproximação. Menos comum do que o boato sugere, mas existe em cenários específicos — sobretudo depois de furto do cartão físico, quando compras abaixo do limite do emissor não pedem senha.
O primeiro sinal não é a compra grande
Esta é a parte prática que quase ninguém conta. Quem compra dados de cartão em lote precisa saber quais ainda funcionam. Por isso, o teste inicial costuma ser uma compra de valor baixo — poucos reais, muitas vezes em serviço digital, assinatura ou doação, com nome de estabelecimento estranho.
Se ela passa, vêm as compras que importam, geralmente em poucas horas.
O que fazer com isso: trate qualquer cobrança pequena e desconhecida como alerta, não como irrelevância. Vale a pena parar cinco minutos, conferir, e bloquear preventivamente. O custo de pedir um cartão novo é zero; o custo de ignorar pode ser a fatura inteira.
Outros sinais que merecem a mesma atenção: cobranças em moeda estrangeira que você não reconhece, compras em cidade onde você não esteve, e notificação de tentativa recusada — a recusa significa que alguém está testando.
Como reduzir o risco de verdade
Sem fórmulas mirabolantes, quatro medidas resolvem a maior parte:
- Use cartão virtual para compras online. É gratuito nos principais bancos, tem número diferente do cartão físico e pode ser descartado. Muitos permitem um número novo a cada compra.
- Defina um limite separado e baixo para o cartão de uso online, em vez de deixar o limite total exposto.
- Ligue as notificações em tempo real no aplicativo. É o que reduz a janela entre a primeira compra fraudulenta e o bloqueio.
- Desabilite compras internacionais enquanto não precisar delas. Boa parte das fraudes de dados vazados sai por lojas de fora.
E uma medida que vale para tudo: ao pagar presencialmente, não perca o cartão de vista. Em posto de combustível e restaurante, peça que a maquininha venha até você.
Quem paga a conta: você ou o banco?
Quando você não realizou a transação e não entregou cartão e senha a ninguém, a regra é que o banco responda. O art. 14 do Código de Defesa do Consumidor trata a falha de segurança como defeito do serviço, e a Súmula 479 do STJ firma que fraude de terceiro em operação bancária é risco do próprio negócio — o chamado fortuito interno.
Um ponto costuma ser decisivo na prática: a negativa baseada em "a compra passou com chip e senha" é o argumento mais forte do banco, mas não encerra a discussão. O STJ vem cobrando que os sistemas do banco identifiquem compras que fogem do perfil do cliente — valor, horário, local e compras em sequência.
Por outro lado, se ficar provado que foram usados o cartão original e a sua senha, o tribunal já decidiu, em caso assim, que passa a ser do cliente o trabalho de apontar onde o banco falhou. Por isso conta muito o detalhe: se o cartão estava com você, se a maquininha era suspeita, se as compras saíram em sequência fora do seu padrão. Terminais adulterados e dados vazados burlam chip e senha: comprovante genérico de aprovação no sistema não basta.
O passo a passo completo da contestação — prazos, o que fazer se o banco negar, como escalar ao Banco Central — está em compra não reconhecida no cartão: como contestar.
Perguntas frequentes
Apareceu uma cobrança de R$ 3,00 que não reconheço. Ignoro? Não. Cobrança pequena e desconhecida costuma ser o teste que antecede as compras grandes. Confira a origem e, na dúvida, bloqueie o cartão e peça a segunda via. É gratuito e leva minutos.
Como descubro em qual loja meus dados vazaram? Geralmente não se descobre com certeza, e não é isso que decide o caso. O que importa é a data da primeira cobrança estranha e a sequência das seguintes. Se você identificar o site, registre — ajuda, mas não é condição para contestar.
Trocar de cartão resolve? Resolve para aqueles dados específicos, que deixam de funcionar. Não resolve a origem: se o vazamento veio de um site onde você salvou o cartão, vale remover os dados salvos e passar a usar cartão virtual.
Preciso pagar a fatura com as compras clonadas? Não a parte contestada. Notificando a administradora com pelo menos 10 dias de antecedência do vencimento, você paga a fatura deduzindo o valor em disputa (art. 54-G do CDC), sem juros nem negativação sobre essa parte.
O banco disse que a compra usou senha e por isso não devolve. Ele pode? A negativa pode ser questionada, mas é o argumento mais forte do banco. Se ficar provado que foram usados o cartão original e a sua senha, cabe a você mostrar onde o banco falhou — por exemplo, compras em sequência muito fora do seu padrão, liberadas sem nenhum bloqueio ou alerta. Terminais adulterados e dados vazados burlam chip e senha: comprovante genérico de aprovação no sistema não basta.
Fontes: CDC, arts. 14 e 54-G | Súmula 479 do STJ | Resolução CMN nº 4.893/2021 | Resolução BCB nº 522/2025 | Banco Central do Brasil (bcb.gov.br)
Artigo revisado por Faissal Rafik Saab (OAB/SP 233.165). Atuação em Bauru/SP e, pelo atendimento 100% digital, em todo o Estado de São Paulo.
Veja também
Faissal Rafik Saab
OAB/SP 233.165
Advogado desde 2005, dedicado ao Direito Bancário desde 2008, com mais de 3.000 processos envolvendo instituições financeiras. Atuação em Bauru/SP e, pelo atendimento 100% digital, em todo o Estado de São Paulo.
Precisa de orientação jurídica? Conheça todas as nossas especialidades em Direito Bancário em Bauru ou fale com o advogado.