Você percebeu que caiu no golpe do Pix há minutos, horas ou dias. O dinheiro sumiu da conta em segundos e a sensação é de que foi embora para sempre. Essa percepção é compreensível, mas juridicamente equivocada. Existe um caminho oficial criado pelo Banco Central para tentar recuperar o valor transferido, existe legislação penal que criminaliza esse tipo de conduta com pena de até oito anos de reclusão, e existe jurisprudência consolidada do Superior Tribunal de Justiça que pode responsabilizar a própria instituição financeira pelo prejuízo. O que determina o sucesso ou o fracasso da tentativa de recuperação é, quase sempre, a velocidade da reação e a qualidade da orientação recebida nas primeiras horas.
O que caracteriza juridicamente o golpe do Pix
Antes de falar em recuperação, é útil entender o que está acontecendo do ponto de vista legal. O golpe do Pix é, em termos jurídicos, estelionato eletrônico, tipificado no art. 171, §2º-A do Código Penal, com redação da Lei 14.155/2021. A conduta abrange todas as modalidades conhecidas: a falsa central de atendimento que liga pedindo confirmação de dados, o golpe do familiar em apuros pelo WhatsApp, o QR Code adulterado, o link de phishing que clona o ambiente bancário e o perfil de vendedor falso em marketplace. O elemento comum é sempre o mesmo: o criminoso induz a vítima ao erro para obter vantagem ilícita.
Cinco anos após a Lei 14.155/2021, a Lei 15.397, de 30 de abril de 2026, deu nova redação ao §2º-A — mantendo a pena e ampliando o rol de meios — e criou o tipo da cessão de conta bancária (§2º, VII). Isso significa que, além do golpista principal, quem empresta ou vende a chamada “conta-laranja” para receber os valores desviados também passou a responder criminalmente de forma autônoma. O ecossistema do crime foi inteiramente mapeado pelo legislador.
Os primeiros passos depois do golpe do Pix: cada minuto conta
A velocidade é o fator mais crítico. Em tais casos, quanto mais rápido a vítima acionar a instituição financeira, maiores são as chances de reaver a quantia transferida. O roteiro prático começa com uma ligação ou acesso imediato ao aplicativo do banco — não para reclamar, mas para acionar formalmente o procedimento de contestação por fraude. Em seguida, é necessário lavrar um Boletim de Ocorrência. Sobre o boletim de ocorrência, não há obrigatoriedade formal prevista nos documentos do Banco Central. No entanto, na prática, ele é fundamental para comprovar que houve fraude ou golpe. O B.O. também inaugura a fase criminal e será a prova central em eventual ação penal contra o golpista.
Depois de contatar o banco e registrar o boletim, a vítima deve preservar tudo: prints das conversas, comprovantes da transação com horário, capturas de tela de perfis falsos, e-mails suspeitos e qualquer outro elemento que documente o engano. Também é recomendável registrar reclamação no Banco Central e no consumidor.gov.br. Esses canais criam um registro oficial da falha e pressionam a instituição financeira a tratar o caso com prioridade.
O Mecanismo Especial de Devolução (MED 2.0): como funciona e quais são os prazos
O Mecanismo Especial de Devolução — MED — é uma funcionalidade criada pelo Banco Central que viabiliza a devolução de um Pix em casos de fraude, golpe ou falha operacional. Em sua versão atualizada, o MED 2.0, em vigor desde 2 de fevereiro de 2026 por força da Resolução BCB nº 493/2025, trouxe mudanças que aumentaram significativamente as chances de recuperação dos valores.
O MED 2.0 trouxe avanços importantes para aumentar as chances de devolução em casos de fraude. A principal mudança é que o sistema passou a identificar os caminhos do dinheiro, mesmo quando o valor é transferido para outras contas após o Pix original. Com isso, as instituições financeiras envolvidas compartilham essas informações, permitindo bloqueios e devoluções em cadeia, inclusive de forma parcial. Antes, o bloqueio se limitava à primeira conta receptora. Se o criminoso dispersasse os valores imediatamente para outras contas, o dinheiro escapava do sistema. Hoje isso mudou.
Quanto aos prazos, os principais marcos do MED são: 80 dias para registrar a contestação em fraude, golpe ou crime; até 11 dias para análise entre as instituições financeiras; até 96 horas para efetivar a devolução após confirmação de fraude; e até 90 dias para novos bloqueios nos casos em que restam valores a recuperar. O Banco Central esclarece que o MED só deve ser acionado em caso de fraude, suspeita de fraude ou erro operacional das instituições financeiras. A ferramenta não pode ser usada no caso de Pix enviado a destinatários errados digitados pelo próprio usuário.
Um detalhe importante: o MED não garante o estorno em todos os casos: o prazo existe, mas a devolução depende da existência de saldo e do resultado da análise. Se o criminoso sacou o dinheiro em espécie antes do bloqueio, o valor sai do sistema e o MED perde sua eficácia naquele ponto específico. Por isso a rapidez na comunicação é insubstituível. Além disso, a Instrução Normativa BCB nº 766 criou um sistema de rastreamento voltado à identificação de contas laranja, frequentemente utilizadas para receber e movimentar valores obtidos em golpes.
Como acionar o MED na prática
Para acionar o MED 2.0, é preciso registrar a contestação pelo aplicativo do banco, na área de fraude ou contestação. Quando a vítima comunica o problema ao banco, a instituição analisa o caso e, se houver indícios de irregularidade, pode solicitar o bloqueio dos recursos ainda disponíveis na conta que recebeu o dinheiro. O caso é então avaliado em até 7 dias, e, confirmada a fraude, a devolução ocorre em até 96 horas, integral ou parcialmente, conforme o saldo disponível na conta do golpista.
A responsabilidade civil do banco: quando a instituição financeira responde pelo seu prejuízo
Muitas vítimas ouvem do banco, após acionarem o SAC, uma resposta que causa indignação justificada: “O senhor autorizou a transferência, não há o que fazer.” Essa afirmação não encerra o assunto — ela apenas inaugura a discussão jurídica mais importante do caso.
O fundamento legal é duplo. O art. 14 do Código de Defesa do Consumidor (Lei 8.078/90) estabelece que o fornecedor de serviços responde independentemente de culpa pelos danos causados ao consumidor por defeitos na prestação do serviço. E a Súmula 479 do STJ sedimentou esse entendimento para o setor bancário: as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
O ministro Ricardo Villas Bôas Cueva, relator dos recursos julgados pelo STJ em outubro de 2025, enfatizou que a responsabilidade objetiva só pode ser afastada mediante prova da inexistência de defeito na prestação do serviço ou da ocorrência de culpa exclusiva do consumidor ou de terceiros, nos termos do parágrafo 3º do artigo 14 do CDC. O ônus, portanto, é do banco — não da vítima.
O que o STJ decidiu nos julgamentos mais recentes
A Terceira Turma do STJ, por unanimidade, decidiu que os bancos e as instituições de pagamento são responsáveis por indenizar clientes que sofrerem prejuízos decorrentes de golpes de engenharia social, quando houver falhas na proteção de dados ou na identificação de transações suspeitas. O ministro apontou que os sistemas de proteção contra fraudes dessas instituições devem ser capazes de detectar operações que se afastem do perfil habitual do cliente ou de seu padrão de consumo, levando em consideração fatores como valor, horário e local das transações, o intervalo de tempo entre uma e outra, a sequência e o meio utilizado para sua realização, bem como a contratação de empréstimos atípicos imediatamente antes de pagamentos suspeitos.
O STJ estendeu expressamente a Súmula 479 a fintechs e instituições de pagamento no REsp 2.229.519/DF. Isso significa que Nubank, PicPay, Mercado Pago e qualquer outra instituição de pagamento digital estão sujeitas ao mesmo regime de responsabilidade objetiva que os bancos tradicionais. Não há distinção de tratamento.
Há, contudo, uma nuance relevante que a jurisprudência de 2026 introduziu. Em março de 2026, a Quarta Turma do STJ decidiu que, quando o golpe se inicia e se desenvolve inteiramente fora da relação bancária — por exemplo, uma negociação em rede social ou aplicativo de mensagens — e não há nenhuma falha do sistema do banco, é possível afastar a responsabilidade da instituição. A lógica é que, nesse cenário, o banco apenas processou um Pix comum, sem qualquer elemento que indicasse fraude. Cada caso é um caso, e a análise dos fatos concretos é indispensável.
Um exemplo real: o caso da aposentada e as três transferências consecutivas
Imagine uma aposentada, cliente de um banco há décadas, com movimentação mensal que não ultrapassa R$ 3.000. Em uma tarde, três transferências via Pix — de R$ 8.000, R$ 9.000 e R$ 8.000 — foram realizadas em menos de vinte minutos, após uma ligação de suposta “central de segurança” da instituição. O sistema bancário não bloqueou nenhuma das operações, não enviou alerta e não solicitou confirmação reforçada, apesar do perfil absolutamente atípico da movimentação. Os tribunais do país têm consolidado a tendência de proteger os usuários diante de falhas de segurança digital. Diferentes câmaras cíveis responsabilizam as empresas quando não há o devido bloqueio preventivo de transferências suspeitas. Em casos com esse perfil, quando se reconhece a falha do banco, os tribunais frequentemente determinam, além da restituição do valor, uma indenização pelo abalo psicológico e pelo transtorno sofrido. O valor varia conforme as circunstâncias do caso.
A responsabilidade criminal do golpista: o fraudador pode ser preso?
Sim. E a resposta legal é direta. A Lei 14.155/2021 criou o chamado estelionato digital com reclusão de 4 a 8 anos. A pena é de reclusão, de 4 a 8 anos, e multa, se a fraude é cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, envio de correio eletrônico fraudulento, duplicação de dispositivo eletrônico ou aplicação de internet, ou por qualquer outro meio fraudulento análogo. Isso descreve com precisão cirúrgica o golpe do Pix em todas as suas modalidades conhecidas.
A pena mínima de 4 anos inviabiliza o acordo de não persecução penal (art. 28-A do CPP), impede a suspensão condicional do processo (art. 89 da Lei 9.099/95) e, para réus primários, pode resultar em regime inicial semiaberto. Quando a vítima é idosa ou vulnerável, a pena aumenta-se de 1/3 ao dobro, se o crime é cometido contra idoso ou vulnerável, considerada a relevância do resultado gravoso. E se os servidores utilizados pelos criminosos estiverem fora do Brasil — o que é comum em quadrilhas organizadas —, a pena prevista no §2º-A aumenta-se de 1/3 a 2/3 se o crime é praticado mediante a utilização de servidor mantido fora do território nacional.
A investigação começa com o Boletim de Ocorrência. Em golpes eletrônicos, a Lei 14.155/2021 fixou a competência pelo domicílio da vítima, facilitando a persecução penal. Isso significa que a vítima pode registrar o B.O. e acompanhar o caso nas delegacias e fóruns de sua cidade, sem precisar rastrear onde o golpista atuou. Com os dados bancários obtidos via MED e com as ordens judiciais de quebra de sigilo, a Polícia Civil e a Polícia Federal têm localizado e preso organizações criminosas inteiras que operavam via Pix.
Via judicial quando o banco nega a devolução
O MED é o caminho administrativo. Quando ele falha — seja porque o dinheiro já havia sido sacado, seja porque o banco negou a contestação —, o caminho judicial permanece aberto. Após o prazo de 80 dias do MED, a ação judicial permanece aberta por 5 anos, conforme o art. 27 do CDC. Nas causas de menor valor, o Juizado Especial Cível é uma alternativa ágil e sem custo. Para valores mais expressivos, a ação ordinária é o caminho indicado, com pedido de tutela de urgência para bloquear preventivamente ativos da instituição financeira.
A petição bem estruturada não narra apenas “fui vítima de golpe”. Ela demonstra, com os dados do extrato, o caráter absolutamente atípico das transações e a ausência de qualquer mecanismo de bloqueio ou alerta por parte do banco. A Corte fixou, na prática, o dever ativo de monitoramento como elemento do dever de segurança bancária, e não como mero serviço facultativo. Esse é o argumento central. A autenticação por senha ou biometria não encerra a discussão: uma operação pode ser formalmente autenticada e, ainda assim, ser tão incomum que deveria ter provocado bloqueio ou confirmação reforçada.
Golpe do Pix como recuperar dinheiro: o resumo do que fazer
O passo a passo é claro: contato imediato com o banco para abertura do MED, Boletim de Ocorrência na delegacia online ou presencial, preservação de todas as provas digitais, reclamação formal no Banco Central e no consumidor.gov.br, e, diante da negativa administrativa, avaliação com um advogado especializado sobre a viabilidade da ação judicial. Para quem deseja entender melhor os procedimentos após fraudes digitais, este guia sobre transferência fraudulenta e responsabilização do golpista aprofunda o tema com orientações específicas por modalidade de golpe.
Vale também conhecer o panorama sobre a obrigação do banco de devolver o dinheiro após golpe do Pix, com análise das hipóteses em que a responsabilização da instituição é mais robusta. E para quem teve o celular roubado ou clonado antes do golpe, a leitura sobre o que fazer nas primeiras 24 horas após o celular ser clonado pode ser igualmente decisiva para a proteção do patrimônio.
O sistema jurídico brasileiro oferece ferramentas reais para a vítima do golpe do Pix: o MED 2.0 do Banco Central para a recuperação administrativa, a Súmula 479 do STJ e o art. 14 do CDC para a responsabilização civil do banco, e o art. 171, §2º-A do Código Penal para a responsabilização criminal do fraudador. O dinheiro nem sempre está perdido. Mas o tempo para agir é curto, e cada hora que passa diminui as chances de recuperação. Diante dessa situação, a consulta a um advogado especializado em crimes cibernéticos e direito bancário é a medida mais eficaz para avaliar o caso concreto e escolher a estratégia mais adequada.
Perguntas frequentes
Fui vítima de golpe pelo Pix: tenho prazo para pedir a devolução pelo banco?
Sim. O prazo para acionar o Mecanismo Especial de Devolução (MED) é de 80 dias corridos a partir da data da transação fraudulenta, conforme a Resolução BCB nº 493/2025. Após esse prazo, a via administrativa se encerra, mas o direito de ação judicial permanece aberto por 5 anos, conforme o art. 27 do Código de Defesa do Consumidor. Aja o quanto antes: quanto mais cedo o banco for acionado, maiores as chances de bloqueio dos valores.
Fraude Pix: a responsabilidade do banco existe mesmo quando eu autorizei a transferência?
Em muitos casos, sim. A Súmula 479 do STJ e o art. 14 do CDC estabelecem a responsabilidade objetiva das instituições financeiras por fraudes de terceiros. Se o banco não identificou transações claramente atípicas ao perfil do cliente — como múltiplas transferências de alto valor em minutos — e não bloqueou ou sinalizou o risco, pode ser responsabilizado judicialmente pelo prejuízo, mesmo que a vítima tenha confirmado a operação sob engano.
O golpista do Pix pode ser preso? Qual é a pena?
Sim. O golpe do Pix configura estelionato eletrônico, tipificado no art. 171, §2º-A do Código Penal, com pena de reclusão de 4 a 8 anos e multa. Se a vítima for idosa ou vulnerável, a pena pode ser aumentada de 1/3 ao dobro. A investigação começa com o Boletim de Ocorrência, e a Lei 14.155/2021 determina que a competência é do juízo do domicílio da vítima, facilitando a persecução penal.
O que é o MED 2.0 do Pix e como ele funciona para recuperar dinheiro?
O MED 2.0 é a versão atualizada do Mecanismo Especial de Devolução do Banco Central, obrigatório desde fevereiro de 2026. Ele rastreia o dinheiro mesmo quando transferido a múltiplas contas em cadeia, permitindo bloqueios sucessivos. A contestação deve ser feita pelo aplicativo do banco. Após a análise, que leva até 7 dias, a devolução pode ocorrer em até 96 horas se houver saldo disponível nas contas do fraudador.
Golpe do Pix: o banco de conta laranja também pode ser responsabilizado?
Sim. O banco que recebeu os valores desviados pode ser responsabilizado se permitiu a abertura de conta sem a devida verificação de identidade (KYC inadequado) ou se não monitorou movimentações suspeitas. O STJ reconheceu, no REsp 2.222.137/SP, que a instituição receptora responde quando facilitou a fraude ao negligenciar seus processos de segurança e verificação cadastral. Ela pode ser acionada em litisconsórcio com o banco de origem.