Golpe da falsa central de atendimento: o banco devolve?

A regra geral está na Súmula 479 do STJ (a mesma tese do Tema 466): o banco responde pelos prejuízos de fraudes de terceiros ligadas às operações bancárias, porque esse é um risco do próprio negócio. O Código de Defesa do Consumidor (art. 14) diz que o serviço é defeituoso quando não oferece a segurança que se pode esperar dele.

No golpe da falsa central, porém, foi você quem fez ou aprovou a operação, enganado. Por isso a pergunta que a Justiça faz é outra: a transferência destoava tanto do seu costume que o banco deveria ter desconfiado? Seu caso fica mais forte quando há, por exemplo:

• valor muito acima do que você costuma transferir;
• destinatário novo, nunca usado antes;
• várias transferências seguidas em poucos minutos, zerando a conta;
• transferência de madrugada ou logo depois de um aumento de limite;
• operação feita de um celular que acabou de ser cadastrado;
• demora do banco em agir depois do seu aviso.

O STJ já disse isso com todas as letras num caso de falsa central: o banco precisa ter sistemas para barrar fraudes, e aprovar uma operação fora do perfil do cliente é defeito do serviço (REsp 2.222.059, julgado em outubro de 2025). Em 2023, o mesmo tribunal disse que operações em sequência, de valor alto e fora do perfil, devem ser barradas, e que a inércia do banco o liga ao golpe (REsp 2.052.228).

O que o banco devia ter feito

As regras do Banco Central dizem, por escrito, o que se espera do banco. Comparar o que aconteceu na sua conta com essas regras é o que dá força ao pedido:

• Barrar o Pix suspeito. O banco de quem paga deve rejeitar o Pix quando houver fundada suspeita de fraude (Regulamento do Pix, art. 38, II). Ele precisa ter um sistema que identifique Pix fora do seu perfil e pode segurar a transferência por até 30 minutos, das 8h às 20h em dia útil, e por até 60 minutos nos outros horários (art. 89 e Manual de Tempos do Pix).
• Respeitar o limite da noite. Das 20h às 6h, o limite padrão para transferir de pessoa física para outra pessoa física é de R$ 1.000 por conta, em cada meio de transferência. Se o limite foi aumentado pelo app, o aumento só pode valer depois de no mínimo 24 horas (Resolução BCB 142/2021). Limite aumentado e usado na hora é um sinal importante.
• Vigiar e bloquear a tempo. O banco deve monitorar as transações para detectar e bloquear as suspeitas de forma rápida (Resolução CMN 4.557/2017, art. 33, § 3º, III).
• Recusar conta de destino suspeita. Se o banco identificou fundada suspeita de fraude na conta que vai receber, deve recusar a transferência. A regra vale tanto para o banco de quem paga quanto para o de quem recebe (Resolução BCB 142/2021, com a mudança da Resolução BCB 501/2025).

Do outro lado, o banco que recebeu o dinheiro também deve rejeitar Pix com fundada suspeita de fraude (Regulamento do Pix, art. 39, I) e pode bloquear o valor por até 72 horas. E os bancos devem registrar e compartilhar entre si os indícios de fraude em até 24 horas (Resolução BCB 343/2023, art. 4º). Mas atenção: o STJ decidiu que o banco que abriu a conta do golpista não responde se provar que fez a checagem de identidade exigida pelo Banco Central (REsp 2.124.423, de agosto de 2024). Cada banco é analisado pelo que fez ou deixou de fazer.

O Tribunal de Justiça de São Paulo segue a mesma linha (Enunciado 14 da Seção de Direito Privado): fraude por terceiro no Pix, com falha de segurança ou desrespeito ao perfil do cliente, pode gerar o dever de indenizar.

Se o golpista pediu para você instalar um aplicativo e passou a mexer no seu celular de longe, há uma decisão do STJ dizendo que, havendo falha de segurança do banco, o prejuízo não deve ser dividido com a vítima (REsp 2.220.333, de 2025).

Quando o caso fica fraco

É honesto dizer o outro lado. Em 2026, num caso de falsa central, o STJ afastou a indenização porque os Pix eram compatíveis com o histórico da cliente e a maior parte do dinheiro foi transferida por ela mesma, pessoalmente, na agência (REsp 2.209.868). Outros tribunais também negaram o pedido quando as transferências seguiam o padrão da vítima e o banco acionou o MED a tempo. E, se o banco bloquear a operação e avisar que pode ser golpe, pare: insistir enfraquece qualquer pedido depois.

As decisões não se contradizem. O critério é um só, e o que muda são os fatos de cada conta. Por isso o extrato dos meses anteriores é uma das provas mais importantes.

Pelo MED, o banco de quem recebeu tem até 7 dias para analisar. Do pedido até a eventual devolução, costuma levar cerca de 10 a 11 dias. A resposta negativa mais comum é "o cliente autorizou a operação" ou "não havia saldo na conta de destino".

Essa resposta não encerra o assunto. O MED serve para tentar puxar de volta o dinheiro da conta de destino. Ele não decide se o seu banco falhou ao deixar a transferência passar. Peça a negativa por escrito, registre reclamação na ouvidoria, no Banco Central (pelo gov.br) e no consumidor.gov.br. Os próximos passos estão em o que fazer quando o banco não devolve o Pix.

Se o golpista usou o acesso para fazer transferências que você nem viu, o caso se parece mais com invasão de conta. Se contrataram crédito em seu nome, veja empréstimo feito no meu nome.