Você percebe que o celular perdeu o sinal de repente — sem motivo aparente. Minutos depois, chegam notificações de compras que você não fez, transferências que você não autorizou, e mensagens de amigos perguntando por que você pediu dinheiro emprestado pelo WhatsApp. O cenário é caótico, o prejuízo é real, e a sensação de invasão é paralisante. Se isso aconteceu com você, saiba que existe um caminho jurídico claro a seguir — e que o relógio começa a correr no momento em que o golpe ocorre. Entender o que é o celular clonado o que fazer do ponto de vista legal é a diferença entre recuperar o prejuízo e absorvê-lo em silêncio.
O que é, afinal, a clonagem de celular e o golpe do SIM Swap?
Existe uma distinção técnica que tem peso jurídico importante. A clonagem clássica consiste na reprogramação do aparelho para reproduzir o código de identificação de outro dispositivo. O SIM Swap — modalidade que explodiu em casos no Brasil — é diferente: o criminoso não precisa tocar no seu celular. O golpe do SIM swap não exige que o criminoso roube ou tenha acesso físico ao celular da vítima. Basta convencer a operadora a transferir o número para outro chip — e, a partir daí, mensagens de texto e códigos de autenticação passam a chegar nas mãos do fraudador.
O golpe começa com a coleta de dados pessoais da vítima — CPF, data de nascimento, nome dos pais —, obtidos por vazamentos, redes sociais ou mensagens falsas. Com essas informações, o criminoso liga para a operadora ou vai a uma loja e se apresenta como titular da linha, alegando perda ou defeito do chip. Uma vez com o número em mãos, ele recebe os SMS de verificação dos bancos e acessa contas, faz compras e contrai empréstimos em nome da vítima. O prejuízo pode ser devastador em questão de horas.
Imagine o caso de Rodrigo, gerente comercial de 38 anos em São Paulo. Em uma manhã de semana, seu celular ficou sem sinal. Achou que era instabilidade da operadora. Duas horas depois, ao conseguir acesso à internet por Wi-Fi, descobriu que haviam sido feitas três compras no cartão de crédito em sites de eletrônicos, um Pix de R$ 4.800 e um empréstimo pessoal pré-aprovado sacado no aplicativo do banco — tudo em menos de 120 minutos. O dano total superava R$ 22.000. A janela de atuação imediata foi desperdiçada justamente por ele não saber os passos corretos a dar.
Celular clonado: o que fazer nas primeiras 24 horas — passo a passo
A velocidade da resposta define, em grande medida, o tamanho do prejuízo. Aqui está o roteiro que qualquer vítima deve seguir assim que confirmar a fraude.
1. Bloqueie o número junto à operadora imediatamente
Caso tenha o celular clonado, o consumidor deve informar a operadora de telefonia imediatamente para que a empresa inicie os procedimentos padrão, que geralmente envolvem alguns testes e a verificação de dados. Ligue pelo número de atendimento ao cliente da sua operadora — se o chip foi clonado, use o telefone de outra pessoa ou uma linha fixa. Exija o bloqueio imediato da linha, o cancelamento da portabilidade (se houver) e a abertura de protocolo de fraude. Guarde o número do protocolo: ele será essencial nas etapas seguintes.
2. Acione todos os seus bancos e cancel os cartões
Após bloquear o número, o segundo passo é ligar para cada instituição financeira com a qual você tem conta, cartão ou crédito pré-aprovado. A vítima deve solicitar que o banco bloqueie o cartão e peça o estorno do débito, com juros se houver. Peça também a emissão de nova fatura considerando apenas os valores reconhecidos, e guarde todos os protocolos desses pedidos, bem como o boletim de ocorrência.
Não aceite a resposta de que a transação foi autenticada pelo aplicativo ou que houve validação biométrica como argumento definitivo. A jurisprudência superior tem consolidado o entendimento de que a simples utilização desses mecanismos de segurança não é suficiente, por si só, para romper o nexo de causalidade quando a operação foge completamente ao perfil de consumo do correntista. Se houver débito indevido na fatura, lembre-se: segundo o artigo 14 do Código de Defesa do Consumidor, a operadora do cartão de crédito é responsável pelo problema, portanto, é quem deve arcar com o prejuízo. Você deve solicitar o estorno de gastos indevidos ao banco responsável, assim como o cancelamento das compras resultantes do crime.
3. Registre o Boletim de Ocorrência — de preferência online
As delegacias virtuais estaduais — também chamadas de delegacias eletrônicas — permitem que o registro seja feito pela internet, gerando um documento com a exata validade jurídica do registro presencial. O boletim de ocorrência, feito online, é obrigatório para acionar seguros e para dar validade jurídica ao registro do aparelho. Nas delegacias virtuais, seleciona-se a categoria destinada a estelionato ou falsidade ideológica. Nos estados que possuem Delegacias de Crimes Cibernéticos — São Paulo, Rio de Janeiro, Minas Gerais, Rio Grande do Sul, entre outros — o ideal é registrar diretamente nessa especialização.
Ao preencher o BO, seja preciso: descreva o horário em que o celular perdeu o sinal, a cronologia das transações fraudulentas, os valores e os estabelecimentos envolvidos. Depois de registrado, imprima ou salve o PDF — você vai precisar dele para contestar as cobranças junto ao banco, acionar o Procon ou ingressar judicialmente.
4. Preserve todas as evidências digitais
Prints de tela são provas. Antes de qualquer outra ação, registre capturas da tela do aplicativo bancário mostrando as transações não reconhecidas, das notificações recebidas, dos extratos e dos históricos de SMS. Anote os horários com precisão. Se o WhatsApp foi comprometido, encaminhe para o próprio aplicativo um e-mail de desativação da conta. Essas evidências sustentam tanto o processo administrativo junto ao banco quanto uma eventual ação judicial.
A tipificação criminal: de que crime estamos falando?
O SIM Swap e a clonagem de celular acionam simultaneamente mais de um tipo penal no ordenamento brasileiro — o que reforça a gravidade jurídica da conduta e a urgência do registro formal.
O ponto de partida é o artigo 154-A do Código Penal, inserido pela Lei 12.737/2012 — a chamada Lei Carolina Dieckmann. A punição da Lei Carolina Dieckmann, após a Lei 14.155/2021, é reclusão de 1 a 4 anos e multa para invasão de dispositivo informático de uso alheio. Quando o criminoso usa o número clonado para induzir terceiros a erro e obter vantagem patrimonial, entra em cena também o estelionato qualificado.
A Lei 14.155/2021 foi um marco decisivo. Ela alterou o artigo 171 do Código Penal e criou a modalidade de fraude eletrônica: a pena é de reclusão de quatro a oito anos e multa se a fraude é cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento, ou por qualquer outro meio fraudulento análogo. A pena pode ser agravada em até dois terços se o crime for praticado com uso de servidor mantido fora do território nacional — o que é comum em organizações criminosas transnacionais especializadas em SIM Swap.
Mais recentemente, a Lei 15.397/2026, que promove uma das mais amplas revisões recentes no Código Penal brasileiro, endurece as penas para crimes recorrentes, com foco especial em delitos cometidos no ambiente digital e contra dispositivos eletrônicos. Um dos destaques da nova lei é o combate direto aos golpes digitais. A fraude eletrônica, que engloba crimes realizados via redes sociais, contatos telefônicos, e-mails falsos ou clonagem de aplicativos, agora possui pena prevista de 4 a 8 anos de reclusão, além de multa.
Vale mencionar ainda a incidência da Lei Geral de Proteção de Dados (Lei 13.709/2018): a LGPD também pode ser aplicada em casos de clonagem de celular, já que dados pessoais são acessados e manipulados sem consentimento. Isso abre uma frente adicional de responsabilização, inclusive para a operadora que falhou na verificação de identidade ao emitir o novo chip.
A responsabilidade da operadora e do banco: quem responde pelo seu prejuízo?
Aqui está o ponto em que a maioria das vítimas desiste cedo demais — movidas pela resposta padrão das empresas de que “a transação foi autenticada” ou “a troca de chip seguiu os procedimentos”. Não aceite.
No Brasil, tribunais de ao menos dez estados já condenaram operadoras por falhas que permitiram esse tipo de fraude, e o Superior Tribunal de Justiça fixou o entendimento de que a responsabilidade é objetiva, com base no artigo 14 do Código de Defesa do Consumidor. Isso significa que a operadora não precisa ter agido com culpa intencional — basta ter falhado na segurança do processo de troca de chip para ser responsabilizada.
A clonagem de linha telefônica decorre de defeito na prestação do serviço da operadora de telefonia móvel, que não ofereceu a segurança necessária do serviço sobre as linhas disponibilizadas aos seus usuários, de sua exclusiva responsabilidade, o que permitiu a utilização dos dados destes e do uso de aplicativos por estelionatários.
Quanto ao banco, a proteção é consolidada pela Súmula 479 do STJ: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.” Na prática, isso quer dizer que a fraude cometida por terceiro é tratada como risco inerente à atividade bancária — e não como excludente de responsabilidade. A fraude, incluindo a clonagem, é considerada um risco inerente à atividade bancária. A responsabilidade é objetiva, ou seja, o consumidor não precisa provar que o banco agiu com culpa; basta provar o dano e o nexo causal.
É possível acionar a operadora de telefonia e o banco no mesmo processo: a operadora falhou ao entregar o chip ao fraudador, e o banco respondeu pelas operações não reconhecidas. Em outubro de 2025, o STJ estendeu essa mesma responsabilidade às instituições de pagamento — carteiras digitais e fintechs —, fechando a porta que algumas empresas usavam para se diferenciar dos bancos tradicionais. Se o golpe envolveu um aplicativo de pagamento como Nubank, PicPay ou Mercado Pago, essas empresas também não podem se esquivar.
Se você foi vítima de fraude financeira por meio do celular e ainda não conhece os mecanismos para recuperar valores transferidos indevidamente, vale a pena ler nosso artigo sobre golpe do PIX: fui vítima de transferência fraudulenta, tenho como recuperar o dinheiro e processar o golpista?
O prazo para agir: prescrição e janelas de atuação
A prescrição não é um detalhe técnico — é uma armadilha para quem procrastina. No âmbito criminal, o prazo prescricional para o estelionato qualificado (artigo 171, §2º-A, do CP), com pena máxima de 8 anos, é de 12 anos, nos termos do artigo 109, inciso III, do Código Penal. Para a invasão de dispositivo informático do artigo 154-A, com pena máxima de 4 anos, o prazo prescricional é de 8 anos.
No entanto, no âmbito cível — que é onde você vai cobrar a devolução do dinheiro do banco e da operadora — o prazo é muito mais curto. O prazo para propor ação de reparação de danos com base no Código de Defesa do Consumidor é de 5 anos (artigo 27 do CDC). Mas atenção: quanto mais tempo passa, mais difícil fica reunir provas, obter logs de acesso e localizar rastros das transações. A ação imediata protege tanto sua posição jurídica quanto a qualidade da prova.
No campo regulatório, se o banco não resolver administrativamente em até 5 dias úteis, o próximo passo é registrar reclamação no Banco Central. Para a operadora de telefonia, a reclamação formal perante a Anatel cria um registro oficial de falha que pode ser aproveitado em eventual ação judicial.
Quando e como acionar a Justiça
Se a resolução administrativa não ocorrer — e na maioria dos casos não ocorre de forma satisfatória de imediato —, a via judicial é o caminho mais robusto. Para valores até R$ 20.000, o Juizado Especial Cível é ágil, gratuito na primeira instância e dispensa advogado, embora contar com assistência profissional aumente significativamente as chances de êxito na construção do pedido e na produção da prova.
Para valores maiores, a ação ordinária perante a vara cível ou consumerista é o caminho adequado. Pode-se cumular pedidos contra a operadora (falha na segurança da troca do chip) e contra o banco (falha na detecção de operações atípicas), pedindo a devolução dos valores com correção, indenização por danos morais e, se cabível, danos materiais adicionais como despesas com advogado, horas de trabalho perdidas e danos à imagem.
Um dado relevante para quem sofreu também perseguição ou assédio digital após a clonagem: o uso indevido da identidade da vítima para extorquir contatos pode caracterizar, além do estelionato, outros crimes digitais conexos. Sobre esse espectro mais amplo de violações digitais, recomendo a leitura do nosso conteúdo sobre deepfake e crime: usar a imagem de alguém com inteligência artificial pode levar à prisão?
O que mudou com a nova regulação da Anatel em 2026?
O golpe que mais cresceu no Brasil em 2025 não foi de cartão clonado, nem de Pix com QR Code adulterado: foi o SIM Swap. A partir de abril de 2026, ele ficou bem mais difícil de aplicar. A Anatel publicou um conjunto de regras que obriga as operadoras a usar biometria facial sempre que alguém pedir uma segunda via de chip ou tentar portar o número para outra empresa.
Além disso, o bloqueio automático de portabilidade por 48 horas após qualquer alteração cadastral significativa — como mudança de endereço, e-mail principal ou troca de senha — passou a ser obrigatório. Essa regulação reforça juridicamente a posição da vítima: se o SIM Swap ocorreu após abril de 2026, a operadora descumpriu norma regulatória expressa, o que agrava sua responsabilidade no eventual processo judicial.
Celular clonado: o que fazer agora, em resumo
O caminho percorrido nas primeiras 24 horas — bloquear o número, acionar o banco, registrar o boletim de ocorrência, preservar as provas — é o que separa a vítima que recupera o prejuízo daquela que fica apenas com o dano. A legislação brasileira vigente em 2026 é uma das mais robustas do mundo em termos de responsabilidade objetiva de operadoras e instituições financeiras em casos de celular clonado o que fazer. A Súmula 479 do STJ, o artigo 14 do CDC, a Lei 14.155/2021 e a nova Lei 15.397/2026 formam um arcabouço legal poderoso — mas ele só funciona quando acionado a tempo e com a documentação certa.
Cada caso tem particularidades que influenciam diretamente a estratégia processual: o tipo de fraude, os valores envolvidos, o comportamento do banco diante da contestação e os registros feitos nas primeiras horas. Se você se encontra nessa situação, a consulta a um advogado especializado em crimes cibernéticos e direito do consumidor é o passo seguinte mais importante que você pode dar.
Perguntas frequentes
Como saber se meu celular foi clonado ou se é golpe de SIM Swap?
O sinal principal é a perda repentina do sinal do celular sem motivo aparente, especialmente acompanhada de notificações de transações que você não realizou. No SIM Swap, o chip é transferido para o fraudador, então você fica sem linha. Na clonagem clássica, o aparelho ainda funciona, mas outra pessoa usa o mesmo número. Em ambos os casos, contate imediatamente a operadora para verificar se houve troca de chip ou portabilidade não autorizada.
O banco é obrigado a devolver o dinheiro em caso de celular clonado e compras indevidas?
Sim, via de regra. A Súmula 479 do STJ estabelece que instituições financeiras respondem objetivamente por fraudes praticadas por terceiros no âmbito de operações bancárias. O banco não pode alegar que a transação foi autenticada como único argumento de defesa. A vítima deve contestar as transações formalmente, apresentar o boletim de ocorrência e, se necessário, acionar o Banco Central e a Justiça para obter a devolução dos valores.
Posso processar a operadora de celular por ter permitido a clonagem do meu chip?
Sim. A operadora tem responsabilidade objetiva com base no artigo 14 do CDC. Se ela entregou um novo chip a um fraudador sem verificação adequada de identidade — especialmente após as regras da Anatel de 2026 que exigem biometria facial para troca de SIM —, ela falhou no dever de segurança. Tribunais de todo o Brasil já condenaram operadoras por esse tipo de falha, com indenizações por danos materiais e morais.
Qual o prazo para registrar boletim de ocorrência e contestar as compras indevidas por celular clonado?
Não existe prazo legal para registrar o BO, mas quanto antes melhor: as provas ficam mais frágeis com o tempo. Para contestar compras no cartão de crédito, acione o banco imediatamente. Para a ação judicial de reparação por danos ao consumidor, o prazo prescricional é de 5 anos, conforme o artigo 27 do CDC. No âmbito criminal, a prescrição varia conforme o crime, podendo chegar a 12 anos para estelionato qualificado.
Clonagem de celular dá cadeia para o criminoso?
Sim. Dependendo das condutas praticadas, o criminoso pode responder por invasão de dispositivo informático (art. 154-A do CP, pena de 1 a 4 anos), estelionato qualificado na modalidade de fraude eletrônica (art. 171, §2º-A do CP, pena de 4 a 8 anos, incluída pela Lei 14.155/2021) e falsidade ideológica (art. 299 do CP). A Lei 15.397/2026 também endureceu penas para crimes digitais. O concurso de crimes pode elevar significativamente a pena total.