Chegou um SMS do “banco” falando de uma compra que você não fez. Ou um e-mail de entrega com taxa pendente. Ou uma ligação da “central de segurança” pedindo um código. Você clicou, digitou a senha ou passou o código, e logo depois começaram a aparecer transferências que você não fez.
Isso é phishing: um golpe que usa uma mensagem ou um site falso para roubar senha, código ou dados. Este guia explica o que fazer agora, na ordem, e responde à pergunta que mais importa depois do susto: o banco tem de devolver o dinheiro?
Resumo rápido: avise o banco pelo canal oficial e peça o bloqueio, troque as senhas, peça a devolução pelo MED se o dinheiro saiu por Pix e registre o boletim de ocorrência. O banco não é responsável automaticamente: o Superior Tribunal de Justiça decide caso a caso. Mas ele costuma responder quando deixou passar operações muito fora do seu padrão ou quando demorou para agir depois do seu aviso.
O que é phishing, e como ele costuma chegar
Phishing é a “pescaria” de dados. O golpista se passa por alguém de confiança e leva você a entregar o que abre a sua conta. As versões mais comuns hoje:
- SMS ou WhatsApp do “banco” com link para “confirmar uma compra” ou “evitar o bloqueio”;
- e-mail falso de banco, loja, transportadora ou órgão público, com um link para uma página idêntica à verdadeira;
- ligação da “central de segurança”, que pede um código recebido por SMS ou manda instalar um aplicativo;
- site falso de corretora ou de carteira de criptomoedas, que pede as palavras de recuperação ou a conexão da carteira.
O ponto comum é sempre o mesmo: o golpe só funciona porque parece legítimo. Ter caído não é sinal de descuido, e isso pesa a seu favor quando se discute a responsabilidade do banco.
O que fazer agora, na ordem
1. Avise o banco e peça o bloqueio
Ligue para o número que está no verso do cartão ou no aplicativo oficial, nunca para um número que veio na mensagem. Peça o bloqueio da conta, do cartão e do acesso pelo aplicativo, e anote o protocolo, a data e a hora. Esse registro é importante depois: ele mostra quando o banco ficou sabendo.
2. Troque as senhas e encerre os acessos
Troque a senha do banco, do e-mail e de qualquer serviço em que você usava a mesma senha. Ative a verificação em duas etapas e, no aplicativo do banco e no e-mail, encerre as sessões abertas em outros aparelhos.
3. Se o dinheiro saiu por Pix, peça a devolução pelo MED
O Mecanismo Especial de Devolução (MED) é o procedimento do Banco Central para tentar trazer de volta o Pix enviado em golpe. Você pede ao seu banco, que aciona o banco de quem recebeu. O prazo para pedir é de até 80 dias da transferência, mas o dinheiro costuma ser movido rápido, então não vale deixar para depois.
4. Registre o boletim de ocorrência
O boletim pode ser feito pela delegacia virtual do seu estado. Veja o passo a passo do boletim de ocorrência de golpe online.
5. Guarde as provas
Não apague a mensagem, o e-mail nem o histórico de ligações. Faça print do link e da página falsa, baixe o extrato com as transações e guarde todos os protocolos. Se o golpe foi por e-mail, guarde a mensagem original, não só o print.
6. Se foram criptomoedas
Transferências de criptomoedas ficam registradas na blockchain e podem ser seguidas. Em alguns casos, quando o valor está em USDT ou USDC, existe a possibilidade de pedir o bloqueio dos tokens. Explicamos em como recuperar USDT roubado e em rastreamento de criptomoedas.
O banco tem de devolver o dinheiro?
Depende, e o Superior Tribunal de Justiça tem deixado claro em que casos.
Não é automático. Em 2026, o STJ decidiu que a responsabilidade do banco depende de uma falha na prestação do serviço. No caso julgado, as transferências não eram incompatíveis com o histórico da conta, e o banco não foi condenado (REsp 2.209.868).
Mas o banco costuma responder quando:
- deixou passar operações muito fora do seu padrão. O STJ entende que o banco tem o dever de identificar e barrar transações que destoam do perfil do cliente (REsp 2.052.228, de 2023). Em um caso de 2025, foram 14 transações num único dia, somando mais de R$ 140 mil, e a instituição foi condenada (REsp 2.222.059). O tribunal citou como sinais o valor, o horário, a sequência, o intervalo entre as operações e empréstimos contratados fora do costume;
- o golpista contratou empréstimo ou abriu conta em seu nome, aproveitando uma falha do banco no controle;
- a instituição é de pagamento, e não um banco tradicional. O STJ entende que ela tem deveres parecidos e também pode responder.
E a culpa de quem clicou? Ela pesa, mas não fecha a porta. Em 2025 o STJ afastou a culpa da vítima e mandou o banco responder pelo dano inteiro, porque ela não tinha assumido conscientemente o risco (REsp 2.220.333). Quando a pessoa faz ela mesma a transferência para um desconhecido, sem nada de estranho no padrão da conta, a tendência é o contrário.
Por isso, o que costuma decidir o caso é o extrato. Uma sequência de Pix de madrugada, um empréstimo que você nunca pediu ou um valor muito acima do que você costuma movimentar são exatamente o que a Justiça procura.
E se o golpe foi numa corretora de criptomoedas?
Aqui a resposta muda conforme onde o golpe aconteceu. Em 2026, o STJ entendeu que a corretora não responde quando o próprio cliente pediu a transferência para uma carteira falsa, porque o serviço em que a fraude aconteceu não foi prestado por ela (REsp 2.250.674). Já quando a conta na corretora é invadida e os valores saem sem a autorização do cliente, a discussão é sobre a segurança da própria plataforma, e o caminho é outro.
O que fortalece o seu caso
- o protocolo do aviso ao banco, com data e hora;
- o extrato mostrando que as operações fugiam do seu padrão;
- o pedido de MED e a resposta do banco;
- o boletim de ocorrência;
- a mensagem, o link ou o e-mail do golpe, guardados como chegaram.
Perguntas frequentes
Cliquei no link, mas não digitei nada. Corro risco?
O risco é menor, mas troque as senhas por precaução, confira se não foi instalado nenhum aplicativo e acompanhe o extrato nos dias seguintes.
Passei o código que chegou por SMS. Ainda posso pedir o dinheiro de volta?
Pode discutir. Ter passado o código não impede, por si só, a responsabilidade do banco. O que se analisa é se as operações feitas depois fugiam do seu padrão e como o banco reagiu ao seu aviso.
O golpista fez um empréstimo no meu nome. Tenho de pagar?
Conteste o empréstimo por escrito no banco, registre o boletim e não assine nenhum acordo reconhecendo a dívida. Empréstimo contratado por fraude é justamente uma das situações em que o banco costuma ser responsabilizado.
Quanto tempo tenho para pedir o MED?
Até 80 dias da transferência. Mas o MED só funciona se ainda houver saldo na conta de quem recebeu, por isso o pedido deve ser feito logo.
O banco negou a devolução. E agora?
Peça a resposta por escrito, registre reclamação na ouvidoria e no Banco Central e, se continuar a negativa, avalie a via judicial. Veja também quando o banco é responsável por ressarcir você.
Precisa de orientação?
Se você caiu num golpe de phishing e o banco negou a devolução, nossa equipe pode analisar o seu extrato e os protocolos e dizer se há caminho no seu caso. Vamos fazer o máximo para te ajudar. O atendimento é pelo WhatsApp (34) 9 9644-6050.