O que o banco é obrigado a fazer

Um painel das regras escritas que impõem limites, vigilância e registro às instituições financeiras — e do que pedir para comprovar cada uma.

Por Faissal Rafik Saab — OAB/SP 233.165

Por que saber a norma muda a discussão?

"Houve falha de segurança" é opinião. "O limite noturno era R$ 1.000 e saíram R$ 40 mil às 3h" é fato. A diferença entre as duas frases é o que costuma decidir um caso de golpe bancário. O Banco Central e o Conselho Monetário Nacional já escreveram, em resolução, que limite aplicar, o que vigiar, o que registrar e por quanto tempo guardar. Este painel reúne 16 desses deveres — e, em cada um, o que pedir ao banco para demonstrar se ele foi cumprido.

Versão 1.3 · atualizado em 18/10/2026 · material informativo

Por que as normas do Banco Central pesam num caso de golpe?

O art. 14, § 1º do Código de Defesa do Consumidor define serviço defeituoso como aquele que não fornece a segurança que o consumidor dele pode esperar. As resoluções do Banco Central e do Conselho Monetário Nacional dizem, por escrito, qual é essa segurança: que limite aplicar, o que monitorar, quando bloquear, o que registrar e por quanto tempo guardar. Por isso, descumprir essas regras pode ser tratado como serviço defeituoso, e a fraude que explora essa falha, como risco do próprio negócio (o chamado fortuito interno, da Súmula 479 do STJ). Na prática, em vez de discutir apenas se o banco foi cuidadoso, compara-se a conduta dele com uma regra escrita. O resultado depende das provas de cada caso.

Quais limites deviam ter travado a operação?

São tetos escritos. Não dependem de o banco achar a operação suspeita: valem sempre, e por isso são o ponto de partida de qualquer análise.

Resolução BCB nº 142/2021 e IN BCB nº 512/2024
PixTED e transferências
Das 20h às 6h, as transferências entre pessoas físicas diferentes ficam limitadas, como regra, a R$ 1.000 por conta em cada meio de transferência (Pix, TED, boletos e transferências dentro do mesmo banco). O cliente pode pedir para mudar esse teto. Se o pedido de aumento for feito pelo aplicativo ou pela internet, ele só pode valer depois de pelo menos 24 horas (no Pix, a resposta e a mudança ocorrem entre 24 e 48 horas).
Por que isso importa: Se saiu valor acima do teto noturno sem que você tivesse pedido aumento, ou se o limite foi elevado e usado antes do prazo de carência, a discussão deixa de ser sobre diligência e passa a ser sobre o cumprimento de uma regra escrita — o que os registros da operação mostram.
Como comprovar: Peça o extrato de limites da sua conta com o histórico de alterações: qual era o limite noturno vigente, se houve pedido de aumento, em que data e hora ele foi solicitado e em que momento passou a valer.
Resolução BCB nº 403/2024 e IN BCB nº 491/2024, art. 9º
Pix
Em celular ou computador novo, que nunca foi usado para fazer Pix e não foi cadastrado no banco, o Pix de pessoa física fica limitado a R$ 200 por transação e R$ 1.000 por dia, salvo se cada operação for confirmada em outro aparelho já cadastrado. O cadastro de um aparelho novo exige código de verificação ou autenticação em dois fatores.
Por que isso importa: Quando o golpista usa o seu acesso em um aparelho dele, uma transferência alta feita de dispositivo recém-cadastrado, sem dupla verificação, contraria diretamente esse limite.
Como comprovar: Peça a relação de dispositivos cadastrados na conta, com data e hora de cada cadastro, e o registro de qual aparelho originou cada transação contestada.
Resolução BCB nº 501/2025
PixTED e transferênciasConta
Vai além de monitorar: quando identifica fundada suspeita de fraude numa conta (conta corrente, poupança ou conta de pagamento), o banco deve recusar as transferências destinadas a ela, e o banco dessa conta avisa o titular da recusa. A regra vale para o banco de quem paga e para o de quem recebe, e alcança Pix, TED, boletos e transferências entre contas do mesmo banco. Compra com cartão não entra nessa regra.
Por que isso importa: Não se confunde com o bloqueio cautelar. Na rejeição, a transferência nem chega a se completar, porque o banco já tinha identificado a suspeita sobre a conta de destino. Cada banco avalia essa suspeita com critérios próprios. Se houver prova de que a conta que recebeu o seu dinheiro já era tratada como suspeita (por exemplo, por outras notificações de golpe) e a transferência passou mesmo assim, isso pode indicar falha do banco, conforme o caso.
Como comprovar: Pergunte, por escrito, se o banco já tratava a conta de destino como suspeita no momento da transferência (por exemplo, por notificações de golpe anteriores) e, em caso positivo, por que a operação não foi recusada.
Regulamento do Pix, arts. 37 e 89, e IN BCB nº 512/2024, art. 3º, § 13
Pix
O banco deve gerenciar o risco de fraude, autenticar quem paga, identificar quem recebe e controlar os aparelhos usados. Precisa ter um sistema antifraude que consulte a base do Banco Central (DICT) e identifique Pix fora do seu padrão, para segurar, recusar ou bloquear a operação suspeita. Os limites de cada cliente têm de levar em conta o histórico de uso, o tempo de conta, o comportamento no aplicativo e o tipo de autenticação usada.
Por que isso importa: É a base de tudo: o limite não pode ser genérico, tem de conversar com o seu histórico de uso.
Como comprovar: Peça a memória de cálculo do limite aplicado à sua conta: com base em qual histórico e em qual perfil ele foi definido.

O que o banco devia estar vigiando?

Deveres de conhecer o cliente e de tratar certos padrões como suspeitos. Sustentam a discussão tanto contra o banco de origem quanto contra o que abriu a conta de destino.

Circular BCB nº 3.978/2020
ContaTodos
Identificar e qualificar o cliente — inclusive sua capacidade financeira —, classificar seu risco e só iniciar o relacionamento com essa verificação concluída (art. 23; se faltar alguma informação de qualificação, o banco tem no máximo 30 dias para completá-la, sem deixar de monitorar a conta). Monitorar e selecionar operações atípicas (arts. 38 a 41), com análise registrada em dossiê (art. 43) e guarda por 10 anos.
Por que isso importa: É o fundamento contra a conta que recebeu o dinheiro do golpe: a chamada conta de passagem não deveria ter sido aberta, nem ter recebido o que recebeu, sem que alguém olhasse.
Como comprovar: Em ação contra a instituição que abriu a conta de destino, requeira a exibição do cadastro do titular, da classificação de risco atribuída e do dossiê de análise das operações atípicas.
Carta Circular BCB nº 4.001/2020
Todos
Lista as situações que o banco deve tratar como suspeitas: movimentação incompatível com o perfil e com a renda e os bens declarados pelo cliente, fracionamento de valores, contas de passagem e movimentação atípica em canais eletrônicos.
Por que isso importa: O banco não pode alegar que não sabia o que observar — a própria autoridade já listou.
Como comprovar: Confronte a movimentação da conta de destino com as tipologias listadas na norma — conta de passagem, fracionamento, incompatibilidade com o perfil — e requeira o registro da análise feita.
Resolução Conjunta CMN/BCB nº 6/2023 e Resolução BCB nº 343/2023
Todos
Registrar e compartilhar entre instituições, de ofício, os indícios de fraude — dados de quem executou e de quem recebeu —, com guarda por 10 anos.
Por que isso importa: Significa que esses registros existem e estão preservados. É por isso que faz sentido pedir a exibição deles.
Como comprovar: Requeira a exibição dos registros de indícios de fraude compartilhados entre instituições a respeito da conta de destino, que têm guarda obrigatória de 10 anos.
Resolução CMN nº 4.753/2019 e Resolução BCB nº 96/2021
Conta
Abertura e manutenção de contas exigem identificação e verificação de identidade compatíveis com o risco, inclusive quando tudo é feito pela internet.
Por que isso importa: Conta aberta com documento falso, sem checagem, é falha da instituição que a abriu.
Como comprovar: Peça cópia dos documentos e do procedimento de verificação de identidade usados na abertura da conta de destino.
Regulamento do Pix, art. 39-B — bloqueio cautelar
Pix
Quando um Pix entra em uma conta e há suspeita de fraude, o banco de quem recebe deve bloquear o valor no mesmo instante e avisar o titular na hora. O bloqueio dura no máximo 72 horas. Na avaliação contam, entre outros pontos, quantas notificações de fraude já existem contra quem recebe e há quanto tempo a conta foi aberta. Se a suspeita se confirmar, o dinheiro volta para quem pagou; se não, o bloqueio cai na hora, com aviso ao titular. Desde setembro de 2025, vale também para conta de empresa.
Por que isso importa: É um freio com teto. Para quem perdeu dinheiro, mostra que o banco de destino tinha como segurar o valor na entrada. Para quem recebeu, mostra que a retenção cautelar não pode passar de 72 horas.
Como comprovar: Peça a data e a hora do crédito, do bloqueio e do aviso ao titular, o motivo do bloqueio e a cláusula do contrato da conta que prevê essa possibilidade.

O que devia ter ficado registrado?

Sem registro não há prova — de nenhum dos lados. Estas normas dizem o que o banco é obrigado a guardar, e é o que torna o pedido de exibição legítimo.

Resolução CMN nº 4.893/2021, alterada pela Resolução CMN nº 5.274/2025
Todos
Política de segurança cibernética com confidencialidade, integridade, disponibilidade e rastreabilidade. Desde 1º de março de 2026, o banco tem de manter trilhas de auditoria de ponta a ponta de cada transação, com registros que permitam identificar falhas e comportamentos fora do padrão, guardá-las de forma segura e responder aos incidentes de forma documentada.
Por que isso importa: Os registros de acesso, dispositivo e horário têm de existir e estar preservados. Banco que não os apresenta enfrenta um problema próprio.
Como comprovar: Peça os registros de acesso do período: aparelho, endereço de IP, horário, tipo de autenticação usada em cada etapa e a trilha de auditoria da operação contestada.
Resolução CMN nº 4.949/2021
TodosConsignado
Na contratação de produtos e serviços, assegurar integridade, confiabilidade, segurança, sigilo e legitimidade das operações, além de adequação ao perfil do cliente.
Por que isso importa: A palavra legitimidade é decisiva: contrato obtido por fraude não é operação legítima.
Como comprovar: Peça o contrato, a gravação da contratação, a biometria coletada e o comprovante de qual conta recebeu o valor liberado.
Resolução CMN nº 4.860/2020
Todos
A ouvidoria tem de responder, em até 10 dias úteis (prorrogáveis uma única vez, com justificativa), as reclamações que o SAC e os canais comuns não resolveram.
Por que isso importa: Contestação de fraude ignorada pela ouvidoria é descumprimento autônomo.
Como comprovar: Guarde o protocolo da reclamação no SAC e na ouvidoria, com data, e o comprovante do prazo de resposta — ou da ausência dela.
Resolução CMN nº 4.557/2017 e Resolução CMN nº 4.968/2021
Todos
Manter controles internos e estrutura de gestão de riscos. Fraude externa é evento típico de risco operacional, com monitoramento e resposta exigidos.
Por que isso importa: Fraude não é imprevisto: é risco que o banco é obrigado a administrar.
Como comprovar: Requeira a política interna de gestão de risco operacional aplicável a fraude externa e o registro do tratamento dado ao seu caso.

O que devia acontecer depois do seu aviso?

A comunicação da fraude aciona um roteiro que já é obrigação da instituição. O confronto entre a hora do aviso e a hora da reação costuma ser decisivo.

Resolução BCB nº 493/2025 e Guia do MED — MED 2.0
Pix
Em vigor de forma integral desde 2 de fevereiro de 2026: rastreamento do valor em camadas, bloqueio também em contas intermediárias e contestação pelo próprio aplicativo. A contestação tem de ser aberta em até 80 dias contados do Pix. Os bancos que receberam o dinheiro têm até 7 dias para analisar; confirmada a fraude, a devolução começa em até 72 horas e cada banco tem 6 horas para devolver — na prática, cerca de 10 a 11 dias no total.
Por que isso importa: O rastreio deixou de parar na primeira conta. Se o dinheiro passou adiante, ainda há caminho.
Como comprovar: Peça o número do protocolo da contestação, a data e hora do registro, o resultado do rastreamento em camadas e a justificativa formal, se houve recusa.
Regulamento do Pix, arts. 41-B a 41-D, 41-I e 78-F
Pix
O mecanismo especial de devolução pode ser aberto por iniciativa do próprio banco, não só a pedido. Prevê notificação de infração e bloqueio imediato do valor na conta que recebeu — e, desde julho de 2026, novos bloqueios sempre que entrar dinheiro nessa conta, até completar o valor pedido ou encerrar o procedimento. E o banco de quem recebeu responde pelo prejuízo se recusar sem justo motivo a notificação ligada ao pedido de devolução.
Por que isso importa: O banco que espera a vítima descobrir sozinha está deixando de exercer um dever que já é dele.
Como comprovar: Compare a hora em que você comunicou a fraude com a hora em que o bloqueio foi efetivado — e pergunte por que o mecanismo não foi aberto por iniciativa do próprio banco.
Regulamento do Pix, arts. 78-F, 78-G, 78-HC e 89 — notificação e marcação de fraude
Pix
Havendo fundada suspeita de fraude, o banco deve abrir a notificação de infração — inclusive quando o dinheiro circulou entre contas do mesmo banco. Se o banco de quem recebeu aceitar a notificação, o sistema do Banco Central que os bancos consultam (o DICT, a base de chaves Pix) registra automaticamente uma marcação de fraude no CPF ou CNPJ e nas chaves Pix dessa pessoa, haja ou não devolução. E esse banco passa a ter de recusar todo Pix enviado ou recebido, nele, por essa pessoa e por essa conta, exceto devoluções.
Por que isso importa: Explica por que a marcação circula entre os bancos e não some só porque o dinheiro foi liberado. Ela fica registrada por até 5 anos, contados do registro, salvo se for cancelada antes. Desde setembro de 2026, quem tiver o CPF ou CNPJ marcado pode pedir o cancelamento ao banco que aceitou a notificação, e ele tem 7 dias, contados do pedido, para decidir; se não restar motivo para suspeitar de fraude, deve cancelar.
Como comprovar: Peça, por escrito, se o banco aceitou alguma notificação de infração ligada à sua conta, se há marcação de fraude sobre a sua chave ou o seu CPF/CNPJ, desde quando — e o cancelamento, se a operação era legítima. A partir desse pedido, o banco tem 7 dias para decidir.

Como usar este painel no seu caso?

Reconstitua a operação: valor, data, horário, destinatário, aparelho usado e o que aconteceu nos minutos anteriores — aumento de limite, cadastro de chave, troca de senha.
Percorra o painel e marque os deveres que, pelos fatos, não parecem ter sido cumpridos.
Para cada um, envie ao banco o pedido descrito em Como comprovar, por escrito e com protocolo.
Guarde as respostas. Elas esclarecem o caso — e o silêncio sobre algo que a norma manda guardar também diz muita coisa.

Se quiser entender custos e prazos antes de decidir, veja quanto custa e quanto tempo demora processar o banco. Se o caso é de golpe, comece por fraudes bancárias.

Perguntas frequentes

Para que serve saber qual norma o banco descumpriu?

Porque muda o eixo da discussão. Sem norma, o debate vira a sua palavra contra a do banco sobre quem foi descuidado — e nesse terreno a instituição sempre tem mais recursos. Com a norma, compara-se a conduta dela com uma regra escrita: qual limite estava valendo, o que devia ter sido bloqueado, o que devia ter sido registrado.

Resolução do Banco Central vale contra o banco em processo do consumidor?

Vale como parâmetro. O art. 14, § 1º do CDC define serviço defeituoso como aquele que não fornece a segurança que o consumidor dele pode esperar — e as resoluções dizem, por escrito, qual é essa segurança. Não é preciso discutir se cada norma é cogente ou contratual: ela funciona como o padrão objetivo do que se espera do serviço.

O banco é obrigado a me entregar esses registros?

As normas obrigam a instituição a produzir e guardar esse material, com prazos de retenção que chegam a 10 anos. Pedir por escrito, com protocolo, é o caminho: a resposta esclarece o caso, e a ausência de resposta passa a ser um problema da própria instituição, porque ela deveria ter o documento.

Descumprir a norma significa que eu ganho a ação?

Não. Significa que a discussão deixa de ser sobre impressões e passa a ser sobre um fato verificável. O resultado depende do conjunto: qual norma foi descumprida, qual foi o efeito concreto disso no seu caso e o que os registros mostram. Este painel é material informativo, não prognóstico.

Posso citar esta página?

Sim, e o uso como referência é bem-vindo. Cada norma aqui está identificada por número e ano, e o painel indica a versão e a data da compilação. Havendo divergência, prevalece o texto oficial publicado pelo Banco Central.

Metodologia e como citar

Este painel reúne normas do Banco Central e do Conselho Monetário Nacional em vigor, identificadas por número e ano. Foram incluídas apenas as normas cuja vigência e numeração foram conferidas; onde houver divergência, prevalece o texto oficial publicado em bcb.gov.br. A compilação é revista periodicamente e traz sempre a data da última atualização.

O conteúdo é informativo e não substitui a análise de um caso concreto. Não há promessa de resultado, conforme o Provimento 205/2021 do Conselho Federal da OAB.

Sugestão de citação: SAAB, Faissal Rafik. O que o banco é obrigado a fazer: painel de deveres regulatórios antifraude. Versão 1.3, 18/10/2026. Disponível em: https://www.rafikadvocacia.com.br/o-que-o-banco-e-obrigado-a-fazer

Analisar meu caso Ver áreas de atuação