O celular toca. Uma mensagem chega de um contato conhecido — ou de alguém que afirma ser do seu banco. Em questão de minutos, você transfere dinheiro via PIX, fornece um código de verificação do WhatsApp ou clica em um link que parecia legítimo. Só depois a ficha cai: você foi vítima de um golpe pelo WhatsApp ou de uma fraude digital. O desespero é compreensível, mas o que você fizer nas próximas horas vai determinar se haverá alguma chance de recuperar o prejuízo e responsabilizar o autor do crime.
O que diz a lei: estelionato digital tem pena de até 8 anos
Antes de qualquer coisa, entenda que o golpe que você sofreu não é um mero aborrecimento civil. É crime. A Lei nº 14.155, de 27 de maio de 2021, alterou o Código Penal e criou a figura da fraude eletrônica, inserindo o § 2º-A no art. 171. A partir dessa lei, o estelionato praticado com uso de redes sociais, contatos telefônicos, e-mail fraudulento ou qualquer outro meio digital passou a ter pena de reclusão de 4 a 8 anos e multa — muito mais severa do que o estelionato comum, que vai de 1 a 5 anos.
Mais recentemente, a Lei nº 15.397, de 30 de abril de 2026, publicada no Diário Oficial em 4 de maio de 2026, trouxe novas e importantes mudanças. Ela ampliou o rol de meios da fraude eletrônica, tipificou expressamente o crime de cessão de conta laranja — punindo quem empresta a própria conta bancária para o trânsito de recursos criminosos — e, no ponto mais relevante para a vítima, revogou o § 5º do art. 171, que exigia a representação da vítima para que o processo corresse. O estelionato voltou a ser crime de ação penal pública incondicionada para fatos praticados a partir de 4 de maio de 2026: o Ministério Público pode agir de ofício, independentemente de iniciativa sua.
A mudança é significativa. Nas fraudes eletrônicas, a Lei 14.155/2021 já havia fixado a competência para julgar o crime no domicílio da vítima — e não no local onde o criminoso estava — facilitando enormemente o acesso à Justiça.
Os primeiros minutos definem tudo: o que fazer imediatamente após o golpe pelo WhatsApp
O tempo é o recurso mais escasso quando se trata de estelionato digital. Enquanto você lê este texto, o golpista pode estar fracionando o valor recebido e distribuindo em contas diferentes para impossibilitar o rastreamento. A ação imediata, portanto, não é protocolo — é condição para qualquer chance de reversão do prejuízo.
1. Ligue para o banco agora
O primeiro telefonema deve ser para o seu banco, usando o número oficial do cartão ou do site da instituição — nunca um número recebido via mensagem. Relate o golpe, solicite o bloqueio preventivo de qualquer transferência em andamento e peça formalmente o acionamento do Mecanismo Especial de Devolução (MED), instrumento criado pelo Banco Central para tentativa de recuperação de valores em casos de fraude via PIX. Anote o número do protocolo, com data e hora. Esse registro pode ser fundamental em eventual ação judicial.
Com a entrada em vigor da Resolução BCB 493/2025, vigente desde 2 de fevereiro de 2026, o MED foi atualizado para uma versão mais robusta: o prazo para contestar foi ampliado para 80 dias a partir da transação, a devolução pode ocorrer em até 11 dias úteis após a confirmação da fraude, e o rastreamento passou a seguir o dinheiro em contas subsequentes — o chamado rastreamento em cadeia. Ainda assim, quanto mais rápido você acionar o banco, maiores são as chances. O dinheiro que ainda está parado na conta do golpista pode ser bloqueado.
2. Registre o Boletim de Ocorrência
O Boletim de Ocorrência (BO) é o documento que formaliza o crime. Sem ele, o banco não tem base para instaurar o procedimento interno e você não tem prova para uma eventual ação judicial. O BO pode ser registrado presencialmente em qualquer delegacia ou, na maioria dos estados, online pela Delegacia Virtual, sem custo algum. Descreva tudo com precisão: data, hora, número do golpista, dados da conta para onde o dinheiro foi transferido, o valor envolvido e o modo como o golpe ocorreu. Quanto mais detalhes, melhor para a investigação policial.
3. Preserve todas as provas digitais
Antes de apagar qualquer coisa, faça capturas de tela de toda a conversa, inclusive cabeçalho com número de telefone, horário das mensagens e nome de perfil utilizado pelo golpista. Guarde comprovantes de transferência com data, horário, valor e o ID da transação (número E2E, no caso do PIX). Se o golpe ocorreu por e-mail, não delete a mensagem — ela contém metadados que podem auxiliar a perícia na identificação do servidor de origem. Registre também os protocolos de atendimento do banco, com datas e horários dos seus contatos.
A responsabilidade do banco: quando a instituição financeira responde pelo prejuízo
Uma dúvida muito comum é: o banco tem responsabilidade por esse tipo de golpe? A resposta não é simples nem linear, mas o cenário jurídico atual é favorável à vítima em muitas situações.
A Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes praticadas por terceiros no âmbito de operações bancárias. Isso significa que, quando a fraude está ligada a uma falha no dever de segurança e monitoramento do banco — como ausência de bloqueio de transações atípicas, abertura irregular de contas usadas por laranjas ou falha nos sistemas antifraude — a instituição pode ser responsabilizada independentemente de culpa, com base também no art. 14 do Código de Defesa do Consumidor.
A jurisprudência recente do STJ aprofundou esse entendimento. Nos REsps 2.222.059/SP e 2.229.519/SP, julgados em 2025, o tribunal examinou se o sistema antifraude deveria ter detectado a sucessão atípica de eventos: elevação abrupta de limite, resgate de aplicações, inclusão de destinatários desconhecidos e transferências em horários ou valores incompatíveis com o histórico do correntista. Em 2025-2026, o STJ estendeu expressamente a Súmula 479 a fintechs e instituições de pagamento. A atenção, porém, é necessária: o STJ também sinalizou, no REsp 2.209.868, que a súmula não funciona como cláusula automática de ressarcimento para qualquer golpe — é preciso demonstrar a falha concreta do serviço.
Veja um exemplo prático. Carlos, 52 anos, recebeu uma mensagem pelo WhatsApp de alguém que se identificou como funcionário do seu banco. O interlocutor já sabia o nome, o CPF e o saldo aproximado de Carlos — dados que sugeriam vazamento de informações da própria instituição. Convencido, Carlos forneceu o código de verificação de segurança e transferiu R$ 12.000 para uma “conta segura”. Em menos de duas horas, o dinheiro havia passado por três contas diferentes. O banco alegou culpa exclusiva da vítima. Acionado judicialmente, o caso foi analisado à luz da Súmula 479 e do padrão de movimentação atípica: o resultado foi favorável a Carlos, porque ficou demonstrado que o sistema antifraude deveria ter detectado o comportamento incomum. O banco foi condenado à restituição integral do valor e ao pagamento de danos morais.
A via penal: como funciona a ação contra o golpista
Registrado o BO, a Polícia Civil instaura o inquérito policial. Nas fraudes eletrônicas, a investigação envolve quebra de sigilo bancário e telefônico, rastreamento das contas receptoras dos valores e identificação de eventuais laranjas. Esse trabalho pode levar meses — e a vítima tem direito de acompanhar o andamento do inquérito e de constituir advogado para impulsionar as diligências.
Com a Lei 15.397/2026, o cenário para a persecução penal melhorou consideravelmente para a vítima. A tipificação expressa da cessão de conta laranja no art. 171, § 2º, VII do Código Penal permite responsabilizar não só o autor direto do golpe, mas também aquele que forneceu sua conta bancária como instrumento da fraude — mesmo que não tenha sido o executor principal do crime. Esse elo da cadeia criminosa, que antes frequentemente ficava impune ou era enquadrado de forma controversa, agora tem tipo penal próprio.
Para crimes de estelionato digital qualificado pelo § 2º-A do art. 171, a pena mínima de 4 anos inviabiliza acordos de não persecução penal (ANPP) e suspensão condicional do processo. Na prática, a condenação pode resultar em regime semiaberto mesmo para réu primário. Quando a vítima for idosa, vulnerável ou a pena aplicada for relevante, os aumentos previstos no § 4º do art. 171 podem elevar ainda mais a punição.
A via civil: como buscar a indenização
A ação penal e a ação civil de reparação de danos correm de forma independente. Não é preciso aguardar a conclusão do inquérito ou o trânsito em julgado da sentença penal para buscar ressarcimento na esfera civil. A vítima pode ajuizar ação de indenização contra o banco, contra o golpista identificado ou contra ambos, dependendo das circunstâncias do caso.
Quando o valor envolvido é de até 20 salários mínimos, é possível recorrer ao Juizado Especial Cível sem necessidade de advogado. Para valores maiores ou casos mais complexos — como quando é necessário demonstrar a falha sistêmica do banco — a atuação de um advogado especializado em crimes cibernéticos e direito do consumidor faz diferença real no resultado.
Além do ressarcimento do valor perdido, é possível pleitear danos morais quando o golpe gerou abalo psicológico relevante, interferiu no crédito da vítima ou causou outros danos imateriais comprovados. Para orientação sobre fraudes envolvendo especificamente clonagem de identidade digital, vale consultar nosso artigo sobre estelionato digital por phishing e clonagem de cartão.
O que fazer se o WhatsApp foi clonado e golpes foram aplicados em seus contatos
Uma modalidade especialmente danosa é a clonagem ou sequestro da conta de WhatsApp. O golpista assume o controle do perfil da vítima e passa a solicitar dinheiro urgente para amigos e familiares, fingindo ser o titular da conta. Nesse cenário, a vítima sofre duplamente: perde o controle da própria identidade digital e pode ser responsabilizada moralmente — embora não juridicamente — pelos prejuízos causados a terceiros que caíram no golpe.
A providência imediata é recuperar o acesso à conta junto ao suporte do WhatsApp, avisar todos os contatos pelo maior número de canais disponíveis e registrar o BO descrevendo a clonagem. Se o golpista obteve o código de verificação por engenharia social — ligando para a vítima e se passando por outra pessoa — a conduta é tipificada como estelionato digital. Se houve invasão técnica sem participação da vítima, pode configurar também violação de dispositivo informático (art. 154-A do CP). Para casos de clonagem de celular com compras no seu nome, veja o que fazer nas primeiras 24 horas em nosso texto sobre celular clonado.
Outros canais: Banco Central, Procon e consumidor.gov.br
Além do banco e da polícia, a vítima pode e deve acionar outros canais oficiais. O Banco Central do Brasil (número 145, em dias úteis, das 8h às 18h) não resolve casos individuais, mas registra reclamações e fiscaliza a conduta das instituições financeiras — o que gera pressão regulatória relevante. O Procon e o portal consumidor.gov.br são canais administrativos para registrar reclamações contra o banco, especialmente quando a instituição demora a responder ou nega indevidamente o acionamento do MED.
Verifique também o Registrato, plataforma do Banco Central que permite consultar empréstimos e financiamentos registrados em seu CPF. Em muitos golpes sofisticados, o criminoso não apenas transfere os valores existentes na conta, mas também contrata crédito em nome da vítima — e o Registrato é o meio mais rápido de detectar esse tipo de fraude adicional. Para saber mais sobre como o golpe do PIX funciona do ponto de vista jurídico e quais são suas opções de recuperação, leia nosso artigo Golpe do Pix: posso recuperar o dinheiro e o responsável pode ser preso?
Resumo do protocolo de ação após o golpe pelo WhatsApp
Para sistematizar o que foi exposto sem perder nenhuma etapa crítica: o primeiro passo é ligar para o banco imediatamente e solicitar o bloqueio e o MED, anotando o protocolo. O segundo é registrar o Boletim de Ocorrência com o máximo de detalhes possíveis, preferencialmente nas primeiras 24 horas. O terceiro é preservar todas as provas digitais — prints, comprovantes, dados da conta receptora e registros de chamadas. O quarto é reclamar junto ao Banco Central e ao consumidor.gov.br se o banco não responder adequadamente. O quinto, e talvez o mais determinante para o resultado, é buscar orientação jurídica especializada para avaliar a viabilidade da ação civil contra o banco e da representação criminal contra o golpista.
O golpe pelo WhatsApp e o estelionato digital em geral são crimes sérios, com penas severas e instrumentos legais cada vez mais eficazes para responsabilizar os autores. A vítima não está desamparada — mas precisa agir com rapidez e estratégia. Se você passou por essa situação, consulte um advogado criminalista com experiência em crimes cibernéticos para avaliar o seu caso de forma individualizada.
Perguntas frequentes
Quanto tempo tenho para acionar o MED do Banco Central após cair em golpe do PIX?
Com as regras da Resolução BCB 493/2025, em vigor desde fevereiro de 2026, o prazo para contestar uma transação fraudulenta via MED 2.0 é de até 80 dias a partir da data da transação. Porém, as chances de recuperação caem drasticamente com o passar do tempo — acione o banco nas primeiras horas para maximizar a possibilidade de bloqueio dos valores.
O banco é obrigado a devolver o dinheiro perdido em golpe pelo WhatsApp?
Depende do caso. A Súmula 479 do STJ impõe responsabilidade objetiva às instituições financeiras por fraudes que configuram fortuito interno. Se houver falha comprovada no monitoramento de transações atípicas, no sistema antifraude ou no dever de segurança do banco, ele pode ser responsabilizado. Quando a fraude ocorre exclusivamente por engenharia social sem qualquer falha do banco, a responsabilização é mais difícil, mas possível em certas circunstâncias.
Qual a pena para quem aplica golpe pelo WhatsApp ou PIX no Brasil em 2026?
Pela Lei 14.155/2021, o estelionato digital praticado via redes sociais, WhatsApp ou meios eletrônicos equivale à fraude eletrônica qualificada do art. 171, § 2º-A do Código Penal, com pena de reclusão de 4 a 8 anos e multa. A pena pode ser aumentada de 1/3 a 2/3 se o crime usar servidor fora do Brasil, e de 1/3 ao dobro se a vítima for idosa ou vulnerável.
Posso registrar boletim de ocorrência de fraude pelo WhatsApp pela internet?
Sim. O boletim de ocorrência de estelionato digital pode ser registrado online pela Delegacia Virtual da Polícia Civil do seu estado, gratuitamente, sem necessidade de ir presencialmente à delegacia. É fundamental descrever todos os detalhes: data, hora, número do golpista, dados da conta receptora e valor envolvido. O BO é exigido pelo banco para acionar o MED e é indispensável para qualquer ação judicial.
O laranja que recebeu o PIX do golpe pode ser preso?
Sim. Com a Lei 15.397/2026, vigente desde 4 de maio de 2026, a cessão de conta bancária para trânsito de recursos criminosos passou a ser crime expresso no art. 171, § 2º, VII do Código Penal, com pena de reclusão de 1 a 5 anos. Quem empresta ou vende a própria conta para golpistas pode responder penalmente, desde que comprovado o dolo — ou seja, que sabia da origem ilícita dos valores.