Cliquei num link falso do banco: e agora?
As páginas falsas de hoje são cópias fiéis do original. Se você digitou seus dados em uma delas, as próximas horas importam mais do que qualquer outra coisa. Atendimento 100% digital para Bauru e região.
Por Faissal Rafik Saab — OAB/SP 233.165
Atualizado em
Cliquei num link falso do banco e tiraram dinheiro: o banco devolve?
Depende de onde esteve a falha. Primeiro, aja: ligue para o banco pelo número do cartão, peça o bloqueio e, se saiu Pix, conteste pelo MED (até 80 dias, mas quanto antes melhor).
Ter digitado a senha não encerra o caso. Fraude de terceiro dentro do serviço bancário é risco do banco (Súmula 479 do STJ). Se saiu dinheiro muito fora do seu padrão, de aparelho novo ou de madrugada, sem nenhuma trava, o banco pode responder. Se as operações eram parecidas com as que você costuma fazer, fica mais difícil. Os registros da operação decidem.
Seu caso se encaixa?
Quando costuma haver caso
- Houve transação muito acima do seu padrão liberada sem bloqueio ou verificação adicional;
- O acesso partiu de aparelho desconhecido e o banco não exigiu confirmação extra;
- Houve elevação de limite, cadastro de chave ou contratação de crédito em sequência, em poucos minutos;
- Você avisou o banco e ele demorou a bloquear ou a acionar a devolução.
Quando normalmente não há
- A operação era compatível com o seu uso habitual, estava dentro dos limites que o banco tinha de aplicar e nada de anormal aparece nos registros de acesso;
- Não houve qualquer movimentação bancária — o prejuízo se deu apenas fora do sistema financeiro.
A pergunta útil não é se você foi cuidadoso, e sim como o sistema do banco se comportou naquele momento. Essa resposta está nos registros de acesso da instituição.
A senha vazou. O caso se decide no que veio depois
Quem digitou os dados numa página falsa costuma achar que perdeu o caso ali. Não é assim: obter a senha é só o primeiro passo do criminoso — o dinheiro só sai se as travas do banco deixarem sair. Parte dessas travas está escrita e vale para qualquer conta de pessoa física. Elas dizem quanto pode sair entre 20h e 6h, quanto pode sair de um aparelho que não estava cadastrado e quantas horas o aumento de limite precisa esperar para valer. Há ainda a exigência de que o limite de cada conta converse com o histórico daquele cliente. Comparar essas regras com os registros da sua conta é o que fundamenta o pedido, conforme o caso.
Resolução BCB nº 142/2021 e IN BCB nº 512/2024
Das 20h às 6h, as transferências entre pessoas físicas diferentes ficam limitadas, como regra, a R$ 1.000 por conta em cada meio de transferência (Pix, TED, boletos e transferências dentro do mesmo banco). O cliente pode pedir para mudar esse teto. Se o pedido de aumento for feito pelo aplicativo ou pela internet, ele só pode valer depois de pelo menos 24 horas (no Pix, a resposta e a mudança ocorrem entre 24 e 48 horas).
Por que isso importa: Se saiu valor acima do teto noturno sem que você tivesse pedido aumento, ou se o limite foi elevado e usado antes do prazo de carência, a discussão deixa de ser sobre diligência e passa a ser sobre o cumprimento de uma regra escrita — o que os registros da operação mostram.
Resolução BCB nº 403/2024 e IN BCB nº 491/2024, art. 9º
Em celular ou computador novo, que nunca foi usado para fazer Pix e não foi cadastrado no banco, o Pix de pessoa física fica limitado a R$ 200 por transação e R$ 1.000 por dia, salvo se cada operação for confirmada em outro aparelho já cadastrado. O cadastro de um aparelho novo exige código de verificação ou autenticação em dois fatores.
Por que isso importa: Quando o golpista usa o seu acesso em um aparelho dele, uma transferência alta feita de dispositivo recém-cadastrado, sem dupla verificação, contraria diretamente esse limite.
Resolução BCB nº 501/2025
Vai além de monitorar: quando identifica fundada suspeita de fraude numa conta (conta corrente, poupança ou conta de pagamento), o banco deve recusar as transferências destinadas a ela, e o banco dessa conta avisa o titular da recusa. A regra vale para o banco de quem paga e para o de quem recebe, e alcança Pix, TED, boletos e transferências entre contas do mesmo banco. Compra com cartão não entra nessa regra.
Por que isso importa: Não se confunde com o bloqueio cautelar. Na rejeição, a transferência nem chega a se completar, porque o banco já tinha identificado a suspeita sobre a conta de destino. Cada banco avalia essa suspeita com critérios próprios. Se houver prova de que a conta que recebeu o seu dinheiro já era tratada como suspeita (por exemplo, por outras notificações de golpe) e a transferência passou mesmo assim, isso pode indicar falha do banco, conforme o caso.
Regulamento do Pix, arts. 37 e 89, e IN BCB nº 512/2024, art. 3º, § 13
O banco deve gerenciar o risco de fraude, autenticar quem paga, identificar quem recebe e controlar os aparelhos usados. Precisa ter um sistema antifraude que consulte a base do Banco Central (DICT) e identifique Pix fora do seu padrão, para segurar, recusar ou bloquear a operação suspeita. Os limites de cada cliente têm de levar em conta o histórico de uso, o tempo de conta, o comportamento no aplicativo e o tipo de autenticação usada.
Por que isso importa: É a base de tudo: o limite não pode ser genérico, tem de conversar com o seu histórico de uso.
Estes são alguns dos deveres. O panorama completo, por meio de pagamento e com o que pedir para comprovar cada um, está no painel do que o banco é obrigado a fazer.
Por que as normas do Banco Central pesam num caso de golpe?
O art. 14, § 1º do Código de Defesa do Consumidor define serviço defeituoso como aquele que não fornece a segurança que o consumidor dele pode esperar. As resoluções do Banco Central e do Conselho Monetário Nacional dizem, por escrito, qual é essa segurança: que limite aplicar, o que monitorar, quando bloquear, o que registrar e por quanto tempo guardar. Por isso, descumprir essas regras pode ser tratado como serviço defeituoso, e a fraude que explora essa falha, como risco do próprio negócio (o chamado fortuito interno, da Súmula 479 do STJ). Na prática, em vez de discutir apenas se o banco foi cuidadoso, compara-se a conduta dele com uma regra escrita. O resultado depende das provas de cada caso.
O que fazer nas primeiras horas
A ordem aqui não é detalhe — cada etapa fecha uma porta que a seguinte não fecha:
- Ligue para o banco pelo número impresso no cartão ou no aplicativo e peça bloqueio de conta e cartões;
- Troque primeiro a senha do e-mail, depois as do banco — o e-mail recupera todo o resto;
- Conteste cada transação pelo canal oficial e anote o protocolo de cada uma;
- Se houve Pix, conteste pelo MED (o mecanismo de devolução do Pix), no aplicativo ou no atendimento: o prazo é de até 80 dias, mas o dinheiro some rápido;
- Registre boletim de ocorrência e guarde prints da mensagem, do link e da página falsa;
- Baixe o extrato dos meses anteriores: é ele que mostra se as operações fugiram do seu padrão.
Guardar a mensagem original é mais importante do que parece: ela demonstra a sofisticação do golpe e afasta a versão de descuido banal. Se o link pediu para instalar um aplicativo e o celular passou a agir sozinho, o caso é de acesso remoto: veja o golpe da mão fantasma.
As quatro perguntas que decidem o caso
Em vez de discutir se você foi ou não cuidadoso, a análise útil olha para o comportamento do sistema do banco naquele momento:
- A transação era compatível com o seu histórico, ou destoava em valor, horário e destino?
- O acesso partiu de um aparelho já conhecido, ou de um dispositivo novo sem verificação adicional?
- Houve elevação de limite, cadastro de chave ou contratação de crédito em sequência, em poucos minutos?
- O banco tinha mecanismo de detecção de operação atípica — e ele foi acionado?
Essas respostas estão nos registros internos da instituição, e é por isso que a exibição desses extratos de acesso costuma ser um dos primeiros pedidos formulados.
O STJ já disse que o banco precisa ter sistemas para barrar fraude e que aprovar operação fora do perfil do cliente, sem checagem, é defeito do serviço (REsp 2.222.059, de 2025). O outro lado também existe: em 2026, o mesmo tribunal afastou a indenização num golpe em que os Pix eram compatíveis com o histórico da conta (REsp 2.209.868). Não há resposta pronta: há o que os registros mostram.
Onde o link falso costuma levar
O link falso raramente é o fim: ele é a porta de entrada. Dependendo do que aconteceu depois, o caminho prático muda:
- Transferências que você não fez — golpe do Pix e invasão de conta;
- Banco negou a devolução — o banco não resolveu o golpe;
- Crédito aberto em seu nome — empréstimo no seu nome;
- Seus dados já circulavam antes — vazamento de dados.
Às vezes o link é só a primeira parte de outro golpe. Depois do SMS, vem a ligação da falsa central do banco; o link de rastreio cobra uma "taxa" no golpe da falsa entrega; ou o link chega pelo WhatsApp clonado de um conhecido. Para qualquer golpe, o passo a passo geral está em sofri um golpe: dá para recuperar o dinheiro?
Dúvidas Frequentes
Cliquei num link falso do banco e tiraram dinheiro da conta. O banco devolve?
Cliquei no link e digitei meus dados. Perdi o direito de reclamar?
Só cliquei no link, não digitei nada. Corro risco?
O que fazer nos primeiros minutos depois de digitar os dados?
O banco alegou culpa exclusiva da vítima. Isso encerra o caso?
Quanto tempo tenho para contestar?
Como reconhecer um link falso antes de clicar?
Precisa analisar seu caso?
Análise técnica dos registros da operação para identificar se houve falha no dever de segurança da instituição.
Base normativa: CDC, art. 14 (falha na prestação do serviço) e art. 14, § 3º, II (excludente de culpa exclusiva); Súmula 479 do STJ (fortuito interno); Resolução CMN 4.893/2021 (política de segurança cibernética das instituições financeiras); Lei 14.155/2021 (fraude eletrônica); LGPD, art. 48 (comunicação de incidente). Conheça as demais áreas de atuação em Direito Bancário.
Conteúdos relacionados
Explore outros temas e orientações jurídicas relevantes para o seu caso.