Você recebe um e-mail aparentemente do seu banco pedindo confirmação de dados. Ou percebe, no extrato, compras que jamais fez. Ou atende uma ligação de um suposto atendente que conhece seu nome, seu CPF e os últimos dígitos do seu cartão. Em segundos, a armadilha se fecha. O dinheiro some. E aí vem a pergunta que chega ao meu escritório com crescente frequência: estelionato digital, phishing, o que fazer? A resposta envolve frentes simultâneas — penal, bancária e cível — e cada hora perdida pode custar caro.
O que configura estelionato digital em 2026
O crime de estelionato está previsto no artigo 171 do Código Penal Brasileiro e constitui uma das infrações patrimoniais mais recorrentes no ordenamento jurídico nacional. No ambiente digital, ele ganhou escala e sofisticação que a redação original do Código Penal de 1940 jamais poderia prever. No ambiente digital, o golpe não depende mais de contato presencial — ele ocorre por aplicativos de mensagem, redes sociais, falsas centrais de atendimento, links fraudulentos, clonagem de dispositivos, QR Codes adulterados e manipulação psicológica da vítima.
As modalidades de estelionato digital incluem phishing, clonagem de aplicativos de mensagens, falsas centrais de atendimento bancário, fraudes em compras online e esquemas de investimento fraudulentos, todos com elevado potencial lesivo. No phishing especificamente, o criminoso utiliza e-mails, mensagens ou sites falsos que se assemelham a comunicações de empresas ou instituições legítimas para enganar a vítima, induzindo-a a acreditar que está interagindo com uma fonte confiável.
O quadro legislativo se endureceu significativamente nos últimos anos. Com a Lei nº 14.155/2021, o estelionato praticado por meio eletrônico passou a ter pena mais severa — reclusão de 4 a 8 anos, além de multa —, refletindo a gravidade e o impacto social do estelionato digital, que afeta milhares de pessoas diariamente. E o legislador foi além: a Lei nº 15.397/2026, publicada no Diário Oficial da União em 4 de maio de 2026, endurece penas para estelionato e também alcança condutas ligadas a golpes pela internet, fraude bancária, furto de celular e uso de dispositivos eletrônicos em atividades criminosas.
Entre as principais alterações promovidas pela nova legislação estão o retorno da ação penal pública incondicionada no estelionato, a criminalização específica da chamada “conta laranja” e a criação de uma modalidade mais severa de fraude eletrônica. Na prática, isso significa que o Ministério Público recuperou a titularidade da ação penal pública incondicionada para crimes digitais patrimoniais, eliminando a necessidade de representação da vítima que vigorava desde o Pacote Anticrime.
Clonagem de cartão: estelionato ou furto?
Há uma distinção técnica que importa ao ajuizar a ação. O crime que se configura ao clonar cartões é o furto mediante fraude, tipificado no artigo 155, § 4º, II, do Código Penal. A diferença em relação ao estelionato está no papel da vítima: a fraude, no furto, tem o objetivo de diminuir a vigilância da vítima para possibilitar a subtração clandestina, enquanto no estelionato ela tem o objetivo de ludibriar a vítima para que a própria faça a entrega voluntária. Quando o cartão é clonado, o crime é qualificado pela fraude, com pena de reclusão de dois a oito anos e multa. Para a vítima, a tipificação correta na ocorrência policial é relevante para a investigação e para o processo indenizatório.
Os primeiros passos: o que fazer imediatamente
Descobriu o golpe? O relógio começa a correr neste momento. A primeira providência é ligar para o banco e bloquear o cartão ou a conta. Em seguida, há um mecanismo específico para transações via Pix: o Mecanismo Especial de Devolução — MED — foi criado para casos de fraude, golpe ou falha operacional, com pedido em até 80 dias; além disso, desde 1º de outubro de 2025, existe um botão de contestação no aplicativo que agiliza o trâmite e estabelece análise em até sete dias e devolução em até 11 dias após a abertura do pedido, quando confirmada a fraude ou coerção.
O prazo parece generoso, mas o Banco Central orienta que a comunicação seja feita imediatamente após a identificação da fraude, uma vez que, quanto mais tempo os recursos permanecerem sob controle dos criminosos, maiores são as chances de que sejam movimentados para outras contas, reduzindo a possibilidade de recuperação. Em paralelo, o Banco Central implementou a obrigatoriedade de rejeição de transações destinadas a contas com suspeita de envolvimento em fraudes — a medida, prevista na Resolução BCB nº 501/2025, aplica-se a qualquer instrumento de pagamento, incluindo Pix, TED e contas de depósitos.
Além de acionar o banco, registre o Boletim de Ocorrência sem demora. Com a Lei nº 15.397/2026, o crime de estelionato deixou de depender de representação formal da vítima para o prosseguimento da persecução penal; ainda assim, registrar o boletim de ocorrência com rapidez continua sendo indispensável, pois o documento formaliza a notícia do crime, preserva a linha do tempo dos fatos e pode servir como prova em medidas judiciais ou extrajudiciais contra bancos e demais envolvidos.
Onde e como denunciar: as delegacias especializadas
As delegacias de cibercrimes, também conhecidas como Delegacias de Repressão aos Crimes Cibernéticos (DRCCs), são setores das Polícias Civil e Federal dedicados exclusivamente a investigar crimes cometidos pela internet, protegendo tanto empresas quanto cidadãos contra ações criminosas que utilizam meios digitais. Em São Paulo, a 4ª Delegacia de Delitos Cometidos por Meios Eletrônicos, que faz parte do Departamento Estadual de Investigações Criminais (DEIC), tem atuação voltada a demandas relacionadas a fraudes financeiras por meios eletrônicos.
Quem não tem acesso a uma unidade especializada pode lavrar o BO em qualquer delegacia comum ou usar a delegacia eletrônica do seu estado. É possível também comunicar o crime por e-mail para crime.internet@dpf.gov.br, que é a Divisão de Comunicação Social da Polícia Federal para receber mensagens referentes a crimes de internet. Ao registrar a ocorrência, leve ou anexe capturas de tela das mensagens fraudulentas, comprovantes de transferência, URLs dos sites falsos, dados do remetente do e-mail de phishing e qualquer outro registro do contato criminoso. A documentação bem organizada fortalece a tese de estelionato digital e aumenta significativamente as chances de sucesso na ação de indenização ou reembolso.
Aqui vale uma observação prática. Imagine que Maria recebe, às 14h de uma sexta-feira, uma mensagem no WhatsApp de um número desconhecido se passando pelo gerente do seu banco. A ligação é convincente — o “gerente” menciona o saldo correto e diz que há uma transação suspeita. Para cancelar, Maria precisa informar o código de segurança que chegou por SMS. Ela informa. Em cinco minutos, R$ 12.000 somem da conta. O que Maria deve fazer? Ligar imediatamente para o número oficial do banco (no verso do cartão), bloquear a conta, fotografar a conversa no WhatsApp e registrar o BO ainda no mesmo dia. Quanto mais rápida a ação, maior a chance de o MED bloquear os recursos antes que sejam pulverizados em contas laranjas.
A responsabilidade do banco: o que diz o STJ
Este é o ponto em que muita gente desiste prematuramente, convencida de que “o banco não vai devolver nada”. A realidade jurídica é outra. O Superior Tribunal de Justiça tem entendimento sumulado — Súmula 479/STJ, firmado sob a sistemática de recursos repetitivos no Tema 466 — de que as instituições financeiras respondem objetivamente pelos danos causados por fraudes ou delitos praticados por terceiros no âmbito de operações bancárias, porquanto tal responsabilidade decorre do risco do empreendimento, caracterizando-se como fortuito interno.
As fraudes eletrônicas — incluindo phishing, engenharia social e golpes envolvendo transferência de valores — integram o risco do empreendimento, não podendo ser consideradas fatos imprevisíveis aptos a afastar a responsabilidade. Sob essa perspectiva, a responsabilidade dos bancos decorre da teoria do risco do empreendimento, segundo a qual aquele que aufere lucro com determinada atividade deve suportar os riscos a ela inerentes.
O golpe da falsa central e o precedente recente
O STJ decidiu que bancos e instituições de pagamento devem indenizar os clientes quando houver falhas de segurança que viabilizem a aplicação de fraudes como o golpe da falsa central de atendimento, entendendo que esses estabelecimentos devem adotar medidas adequadas para identificar movimentações financeiras fora do padrão do cliente. Em um dos casos analisados pela Corte, o correntista sofreu um prejuízo de R$ 143 mil em pagamentos indevidos; ao ingressar com a ação, afirmou que fazia pouquíssimas movimentações por mês em sua conta, o que contrastava com 14 transações efetuadas em um único dia, totalmente destoantes de seu perfil de cliente.
O STJ decidiu que, em caso de golpe contra o cliente de um banco, se houve falha no sistema de segurança bancária, a instituição financeira não pode alegar culpa concorrente para querer dividir o prejuízo com o consumidor. Esse entendimento é especialmente relevante para vítimas de phishing e engenharia social. Ainda que o cliente, induzido ao erro, tenha participado materialmente do ato, sua colaboração carece de voluntariedade consciente — é, em essência, produto de manipulação ardilosa.
Quando a responsabilidade do banco pode ser afastada
A jurisprudência não é absoluta, e convém ser honesto sobre isso. Independentemente de a instituição atuar apenas em meio digital, caso ela tenha cumprido com o seu dever de verificar e validar a identidade e a qualificação dos titulares da conta, além de prevenir a lavagem de dinheiro, não há defeito na prestação de serviço que atraia sua responsabilidade objetiva. Além disso, o próprio art. 14, § 3º, do CDC prevê hipóteses de exclusão, notadamente quando o fornecedor comprova a inexistência do defeito ou a culpa exclusiva do consumidor ou de terceiro. A distinção entre ser enganado por uma fraude sofisticada e agir com negligência manifesta — como entregar voluntariamente a senha a um desconhecido após ser alertado pelo próprio banco — pode influenciar o desfecho do processo.
Como ajuizar a ação indenizatória
Reunidas as provas e lavrado o BO, a vítima tem dois caminhos complementares: o administrativo, acionando o SAC e a Ouvidoria do banco (com protocolo formal), e o judicial. No plano cível, a ação pode ser proposta no Juizado Especial Cível — para causas até 40 salários mínimos, sem necessidade de advogado na fase inicial — ou na Justiça Comum, quando o valor ou a complexidade do caso exigem representação técnica. O pedido deve contemplar a restituição integral do prejuízo material e, a depender das circunstâncias, danos morais pelo transtorno causado. A omissão no bloqueio de operações atípicas e alheias ao perfil do correntista traduz-se em defeito na prestação do serviço, nos termos do artigo 14 do Código de Defesa do Consumidor, impondo ao banco o dever de ressarcimento integral.
Para calcular o dano moral, os tribunais levam em conta a extensão do prejuízo, o grau de negligência da instituição, o tempo que a vítima ficou sem os recursos e o impacto na vida cotidiana. Uma fraude que leva uma família a não conseguir pagar o aluguel do mês tem peso distinto de um caso em que o golpe representou perda de valor residual em conta de fácil recomposição. Se você passou por situação semelhante ao golpe do Pix e quer entender se pode recuperar o dinheiro e processar o responsável, os fundamentos jurídicos são bastante próximos dos abordados aqui.
Vale também registrar que, nos casos de clonagem de cartão ou acesso fraudulento ao aplicativo bancário, a Súmula 479 do STJ dispõe que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno — e em casos de fraude técnica, como clonagem de cartão ou invasão de conta por hackers, a aplicação é quase automática.
O que a Lei nº 15.397/2026 muda na prática para a vítima
A Lei nº 15.397/2026 autoriza a atuação do Ministério Público sem depender da representação da vítima para o início da ação penal em caso de estelionato, buscando reduzir o gargalo procedimental e conferir maior capacidade de resposta estatal. Na prática, isso pode permitir atuação mais eficiente em fraudes estruturadas, golpes em massa e esquemas digitais nos quais o interesse público ultrapassa o prejuízo individual. Para a vítima individual, isso representa um alívio: ela não precisa mais se preocupar em formalizar uma “representação criminal” separada — o BO já é suficiente para movimentar a máquina estatal.
A Lei nº 15.397/2026 também inseriu no Código Penal um tipo específico para a chamada cessão de conta laranja, com pena de reclusão de um a cinco anos, além de multa. Isso tem implicação direta para o combate às redes de lavagem que sustentam os golpes digitais: quem cede ou vende sua conta para movimentar dinheiro de origem ilícita agora responde criminalmente. Dados recentes revelam que mais de 24 milhões de brasileiros foram vítimas de golpes via Pix e boletos entre julho de 2024 e junho de 2025, com perdas que chegaram a R$ 29 bilhões — números que explicam a urgência do endurecimento legislativo.
Para saber mais sobre fraudes no ambiente do celular — que muitas vezes antecedem o phishing financeiro — veja o que fazer nas primeiras 24 horas após a clonagem do celular. E se o esquema envolveu uso de imagem gerada por inteligência artificial, o tema do deepfake como crime no Brasil merece atenção especial.
Estelionato digital phishing: o que fazer — um roteiro objetivo
Para consolidar o que foi dito até aqui em forma de roteiro prático: ao constatar o golpe, bloqueie imediatamente o acesso bancário pelo canal oficial do banco; acione o MED ou o botão de contestação no aplicativo para transações via Pix; registre o BO na delegacia especializada ou pela delegacia eletrônica do seu estado; reúna todas as evidências digitais disponíveis (prints, e-mails, URLs, comprovantes de transferência, registros de ligação); formalize reclamação com protocolo no SAC e na Ouvidoria da instituição financeira; e, se o banco negar o ressarcimento ou ficar em silêncio após os prazos do Código de Defesa do Consumidor, leve o caso ao Poder Judiciário.
Muitas vítimas são induzidas ao erro por meio de técnicas de engenharia social altamente sofisticadas, que exploram aspectos emocionais, financeiros e psicológicos. Esse grau de sofisticação é exatamente o argumento que afasta a tese da “culpa exclusiva da vítima” nas ações judiciais. Quem foi enganado por um criminoso que conhecia seus dados bancários, usou o logotipo correto do banco e simulou uma ligação com número idêntico ao da central oficial não agiu com negligência — foi vitimado por um sistema organizado de fraude que o banco, com sua tecnologia e expertise, tinha obrigação de detectar e bloquear.
O caminho jurídico existe, tem fundamento sólido na legislação e na jurisprudência consolidada do STJ, e pode levar à restituição integral do prejuízo. O que não pode acontecer é a vítima ficar parada, esperando que o banco resolva por conta própria. Em regra, isso não ocorre sem pressão legal. A procura por orientação jurídica especializada — de preferência nas primeiras horas após o golpe — é a medida mais eficaz para preservar provas e assegurar os direitos previstos na Lei nº 8.078/1990 (Código de Defesa do Consumidor), no Código Penal e na jurisprudência do Superior Tribunal de Justiça.
Se você passou por qualquer uma das situações descritas — phishing, clonagem de cartão, falso suporte técnico, falsa central bancária — este escritório está disponível para uma consulta inicial. Cada caso tem suas particularidades, e a análise das provas disponíveis é o primeiro passo para entender o que o Direito pode oferecer na sua situação específica.
Perguntas frequentes
Quanto tempo tenho para contestar uma transação fraudulenta via Pix no banco?
O prazo para acionar o Mecanismo Especial de Devolução (MED) é de até 80 dias contados da transação original, conforme regras do Banco Central em vigor a partir de setembro de 2026. No entanto, quanto mais rápido você comunicar o banco, maiores as chances de os recursos ainda estarem disponíveis na conta do golpista para bloqueio e devolução.
O banco é obrigado a devolver o dinheiro em caso de phishing ou clonagem de cartão?
Em regra, sim. A Súmula 479 do STJ estabelece responsabilidade objetiva das instituições financeiras por fraudes praticadas por terceiros no âmbito das operações bancárias. Se o banco falhou em detectar transações atípicas ou fora do perfil do correntista, ele deve indenizar integralmente, independentemente de culpa direta. A exceção ocorre quando há culpa exclusiva do consumidor comprovada.
Como denunciar phishing sofrido por e-mail às autoridades brasileiras?
Registre o boletim de ocorrência na delegacia especializada em crimes cibernéticos do seu estado ou pela delegacia eletrônica online. Você também pode encaminhar o e-mail fraudulento para mail-abuse@cert.br (CERT.br) e para crime.internet@dpf.gov.br (Polícia Federal). Guarde o e-mail original com os cabeçalhos técnicos, pois eles auxiliam na rastreabilidade do criminoso.
Posso processar o golpista criminalmente mesmo sem saber quem ele é?
Sim. O registro do boletim de ocorrência inicia a investigação policial, que buscará identificar os responsáveis por meio de dados bancários das contas destinatárias, registros de IP, registros telefônicos e outros meios técnicos. Com a Lei nº 15.397/2026, o Ministério Público pode atuar de ofício sem necessidade de representação formal da vítima, ampliando a capacidade investigativa do Estado.
Qual a diferença entre phishing e clonagem de cartão perante a lei penal?
No phishing, o criminoso induz a vítima a fornecer seus dados ou realizar transferências voluntariamente mediante engano, caracterizando estelionato (art. 171 do CP). Na clonagem de cartão, a vítima não sabe da subtração, o que tipifica furto qualificado mediante fraude (art. 155, § 4º, II, do CP). A distinção importa para a tipificação na ocorrência policial, mas em ambos os casos o banco pode responder objetivamente pelos danos.