É invasão de conta, mão fantasma ou outro golpe?
Esta página trata da invasão: alguém entrou na sua conta de outro lugar e fez transferências sem você fazer nada naquele momento. Você não clicou em link, não instalou aplicativo, não atendeu ligação. Em geral o criminoso usou senha vazada, um celular roubado ou cadastrou um aparelho novo. Se a sua história é outra, a página certa é esta:
- Você instalou um aplicativo a pedido de alguém e o celular passou a agir sozinho, com a tela preta: é o golpe da mão fantasma;
- Você digitou seus dados numa página que imitava o banco: cliquei num link falso do banco;
- Você mesmo transferiu porque uma "central" ou o seu "gerente" pediu: golpe da falsa central ou golpe do falso gerente.
Não sabe em qual se encaixa? Comece pelo guia sofri um golpe: dá para recuperar o dinheiro?
O que fazer nas primeiras horas
- De outro aparelho, ligue para o número do verso do cartão (ou use o app em um aparelho seguro) e peça o bloqueio da conta, do cartão e do acesso pelo aplicativo;
- Havendo Pix, conteste no mesmo contato pelo MED — o mecanismo de devolução do Pix, com prazo de até 80 dias — e anote o protocolo;
- Troque senhas por outro dispositivo e revogue aparelhos autorizados no aplicativo;
- Registre boletim de ocorrência (pode ser pela Delegacia Digital da Polícia Civil, pela internet): conte o que aconteceu, com datas, horários e valores — quem enquadra o crime é a própria polícia, e em geral se trata do furto ou do estelionato praticados por meio eletrônico, previstos na Lei nº 14.155/2021;
- Ative o BC Protege+, no portal Meu BC, para impedir que abram contas em seu nome com os dados obtidos;
- Consulte o Registrato, do Banco Central, para ver se há contas ou empréstimos que você não reconhece.
O passo a passo do Pix está em caí no golpe do Pix: o que fazer.
O banco responde pela invasão da minha conta?
A responsabilidade da instituição não decorre de ela ter "deixado" o criminoso entrar, mas de não ter detectado o que qualquer sistema de segurança razoável detectaria. A Súmula 479 do STJ classifica a fraude de terceiro no ambiente bancário como fortuito interno — risco do negócio, não do cliente —, e o art. 14 do CDC impõe responsabilidade objetiva por defeito do serviço.
São sinais concretos de falha, que sustentam o pedido:
- Acesso liberado em aparelho nunca antes usado, sem confirmação adicional;
- Transferências em valor e horário incompatíveis com o seu histórico, sem bloqueio ou alerta;
- Sequência de operações em minutos, esvaziando a conta, sem interrupção do sistema antifraude;
- Empréstimo contratado durante a invasão e transferido em seguida;
- Demora do banco em bloquear depois de comunicado por você.
A Resolução CMN nº 4.893/2021 exige política de segurança cibernética, com registros e trilhas de auditoria das operações; e o Regulamento do Pix exige sistema antifraude capaz de identificar operações fora do perfil do cliente. Quando essas transações passam sem qualquer barreira, o descumprimento desse dever é o que se demonstra em juízo.
O STJ já decidiu que operações em sequência, de valor alto e fora do perfil do cliente devem ser barradas, e que a inércia do banco o liga ao golpe, num caso com empréstimo seguido de transferências (REsp 2.052.228, de 2023). O outro lado: quando as operações eram compatíveis com o histórico da conta, o STJ já afastou a indenização (REsp 2.209.868, de 2026). Por isso o extrato dos meses anteriores pesa tanto.
Se você já reclamou e o banco negou, veja o que fazer quando o banco não devolve.
"Mas usaram minha senha"
Esse é o argumento padrão da defesa dos bancos — e ele não encerra a discussão. Senha correta em dispositivo desconhecido, com operações fora do seu padrão, é exatamente o cenário que o monitoramento existe para barrar. A culpa exclusiva do consumidor precisa ser provada pela instituição, e é situação excepcional.
Invasão de conta também é vazamento de dados?
Muitas invasões começam antes, com o vazamento de dados que permitiu ao criminoso se passar por você. Quando isso ocorre em base do próprio banco, há também um incidente de segurança. Se ele pode causar risco ou dano relevante, como no vazamento de dados financeiros ou de senha, o banco tem de comunicá-lo a você e à ANPD, nos termos do art. 48 da LGPD.
Vale conhecer a distinção que o STJ faz quanto à indenização: no vazamento de dados comuns (nome, CPF, endereço), o dano moral não é presumido e precisa ser demonstrado (AREsp 2.130.619/SP, 2023). Já no vazamento de dados sensíveis, a 3ª Turma reconheceu o dano moral presumido num caso de dados de saúde entregues para contratar seguro de vida (REsp 2.121.904, 2025) — e a biometria também é dado sensível pela LGPD (art. 5º, II), o que permite defender o mesmo raciocínio.
Na invasão de conta, porém, o prejuízo costuma ser concreto e documentável: são os valores subtraídos, as operações contratadas e as consequências disso na sua vida financeira.
As provas que sustentam o caso
- Extrato com as operações contestadas;
- Protocolos e horários de cada contato com o banco;
- Boletim de ocorrência;
- Prints de alertas recebidos (ou a ausência deles);
- Histórico de acessos e dispositivos, quando o aplicativo disponibiliza;
- Resposta escrita do banco negando o ressarcimento — costuma ser a peça mais valiosa.
Se a invasão resultou em empréstimo que você não contratou, veja também empréstimo feito no seu nome. E se seus dados foram expostos por falha da instituição, veja vazamento de dados bancários.
O que o banco é obrigado a registrar sobre esse acesso
Quando alguém entra na sua conta sem ser você, o caso não se decide na sua palavra contra a do banco: decide-se nos registros — qual aparelho acessou, em que horário, de qual IP, e o que o sistema fez em seguida. Por isso o passo central é pedir a exibição desses registros. E eles não são opcionais:
Resolução CMN nº 4.893/2021, alterada pela Resolução CMN nº 5.274/2025
Política de segurança cibernética com confidencialidade, integridade, disponibilidade e rastreabilidade. Desde 1º de março de 2026, o banco tem de manter trilhas de auditoria de ponta a ponta de cada transação, com registros que permitam identificar falhas e comportamentos fora do padrão, guardá-las de forma segura e responder aos incidentes de forma documentada.
Por que isso importa: Os registros de acesso, dispositivo e horário têm de existir e estar preservados. Banco que não os apresenta enfrenta um problema próprio.
Resolução CMN nº 4.949/2021
Na contratação de produtos e serviços, assegurar integridade, confiabilidade, segurança, sigilo e legitimidade das operações, além de adequação ao perfil do cliente.
Por que isso importa: A palavra legitimidade é decisiva: contrato obtido por fraude não é operação legítima.
Resolução CMN nº 4.860/2020
A ouvidoria tem de responder, em até 10 dias úteis (prorrogáveis uma única vez, com justificativa), as reclamações que o SAC e os canais comuns não resolveram.
Por que isso importa: Contestação de fraude ignorada pela ouvidoria é descumprimento autônomo.
Resolução CMN nº 4.557/2017 e Resolução CMN nº 4.968/2021
Manter controles internos e estrutura de gestão de riscos. Fraude externa é evento típico de risco operacional, com monitoramento e resposta exigidos.
Por que isso importa: Fraude não é imprevisto: é risco que o banco é obrigado a administrar.
Estes são alguns dos deveres. O panorama completo, por meio de pagamento e com o que pedir para comprovar cada um, está no painel do que o banco é obrigado a fazer.
Por que as normas do Banco Central pesam num caso de golpe?
O art. 14, § 1º do Código de Defesa do Consumidor define serviço defeituoso como aquele que não fornece a segurança que o consumidor dele pode esperar. As resoluções do Banco Central e do Conselho Monetário Nacional dizem, por escrito, qual é essa segurança: que limite aplicar, o que monitorar, quando bloquear, o que registrar e por quanto tempo guardar. Por isso, descumprir essas regras pode ser tratado como serviço defeituoso, e a fraude que explora essa falha, como risco do próprio negócio (o chamado fortuito interno, da Súmula 479 do STJ). Na prática, em vez de discutir apenas se o banco foi cuidadoso, compara-se a conduta dele com uma regra escrita. O resultado depende das provas de cada caso.