O golpe do Pix levanta uma dúvida jurídica recorrente: quem deve arcar com o prejuízo, a vítima ou o banco? A resposta depende de dois caminhos distintos, que podem ser usados em conjunto. O primeiro é administrativo e busca recuperar o valor ainda existente nas contas dos golpistas (o Mecanismo Especial de Devolução, ou MED). O segundo é a responsabilização do banco, que se decide caso a caso, à luz do Código de Defesa do Consumidor (CDC) e da jurisprudência do Superior Tribunal de Justiça (STJ).
O banco responde por fraude cometida por terceiros?
A relação entre o cliente e o banco é de consumo. O artigo 14 do CDC estabelece que o fornecedor de serviços responde, independentemente de culpa, pelos defeitos na prestação do serviço, mas afasta essa responsabilidade quando comprovada a culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º, II).
Nesse contexto, a Súmula 479 do STJ prevê que as instituições financeiras respondem objetivamente pelos danos causados por fraudes e delitos praticados por terceiros no âmbito de operações bancárias, quando se trata de fortuito interno, isto é, um risco inerente à própria atividade do banco. Em outras palavras, o ponto central da discussão é saber se a fraude está ligada ao serviço prestado pelo banco ou se resultou de circunstância externa a ele.
O que o STJ tem decidido sobre golpes bancários?
Em matéria especial publicada em 11 de outubro de 2026, o STJ reuniu julgados recentes sobre o tema. Os principais entendimentos são os seguintes.
Operações que destoam do perfil do cliente
No REsp 2.052.228, a Terceira Turma reconheceu a responsabilidade do banco por não identificar transações incompatíveis com o perfil do correntista. Segundo o acórdão, decorre do dever de segurança do CDC a obrigação de desenvolver mecanismos que identifiquem e impeçam movimentações que destoem do perfil do consumidor, especialmente quanto a valores, frequência e objeto. O entendimento foi reforçado no REsp 2.269.747 (setembro de 2026) e aplicado a instituições de pagamento no REsp 2.222.059, que listou critérios de análise, como o horário e o local das operações, o intervalo entre elas e a sequência em que ocorreram.
Golpe da falsa central: responsabilidade não automática
No REsp 2.209.868 (maio de 2026), a Terceira Turma entendeu que, no golpe da falsa central de atendimento, a responsabilidade do banco não é automática. Na hipótese, a cliente havia realizado transferências para pessoas desconhecidas, inclusive uma presencialmente na agência, sem informar aos funcionários o que ocorria. A Turma manteve o reconhecimento de culpa exclusiva da vítima e de terceiros, afastou a Súmula 479 e o Tema Repetitivo 466 e concluiu que a fraude não configurou fortuito interno.
Culpa concorrente da vítima: interpretação restritiva
No REsp 2.220.333, relativo ao golpe do acesso remoto, a cliente foi induzida a instalar um aplicativo por quem se dizia funcionário do banco. A Terceira Turma afastou a culpa concorrente e determinou que o banco respondesse integralmente. Segundo o relator, essa culpa só se admite quando o cliente, de forma consciente, assume e potencializa o risco de sofrer danos.
Conta de destino do Pix
No REsp 2.124.423, caso do golpe do leilão falso, o banco digital que recebeu o Pix não foi responsabilizado. Houve uma única transferência, e o autor não comprovou falha na abertura nem no monitoramento da conta. Por outro lado, o STJ tem entendido que o banco responde quando a conta é aberta com documentos falsos (AREsp 3.193.758, junho de 2026).
Para o STJ, o que costuma decidir a questão é a existência de falha de segurança no serviço do banco, e não o simples fato de ter havido um golpe.
Como funciona o Mecanismo Especial de Devolução (MED)?
O MED é regulado pelo Banco Central, e as regras operacionais constam do Guia de implementação dos procedimentos de devolução no Pix (versão 4.4). Alcança, entre outras hipóteses, golpes de engenharia social, acesso fraudulento à conta, roubo do dispositivo com obtenção da senha e coação, e só pode ser acionado para transações realizadas há no máximo 80 dias.
Segundo o guia, o banco do pagador deve abrir o pedido imediatamente após a reclamação, sem exigir antes comprovação do golpe. O banco de quem recebeu bloqueia o valor e tem até 7 dias para analisar a fraude. Os valores repassados a outras contas também podem ser rastreados e bloqueados. Confirmada a fraude, o banco do pagador tem 72 horas para iniciar a devolução.
O MED tem limites: devolve apenas o que for encontrado nas contas, não se aplica a Pix enviado por engano nem a desacordos comerciais, e não alcança valores utilizados em pagamento a terceiro de boa-fé. O guia também prevê que, se o cliente se sentir prejudicado pela atuação do banco no processo, poderá abrir uma disputa contra ele, nos termos do Manual de Resolução de Disputas do Pix, sem prejuízo de levar a questão ao Judiciário.
O que fazer após cair em um golpe do Pix?
Algumas providências costumam ser relevantes tanto para a recuperação do valor quanto para eventual discussão posterior sobre a responsabilidade do banco:
- comunicar o banco imediatamente, pelo aplicativo e pelo telefone oficial, anotando o número do protocolo;
- contestar o Pix na área do Pix do aplicativo, indicando que se trata de golpe ou fraude;
- registrar boletim de ocorrência e guardar as provas, como mensagens, números de telefone, comprovantes e extratos;
- trocar senhas e remover aplicativos desconhecidos do celular;
- em caso de recusa ou demora, registrar reclamação no Procon (na Paraíba, o Procon-PB e os Procons municipais), no consumidor.gov.br e no Banco Central, ou buscar orientação jurídica sobre a via judicial, inclusive os Juizados Especiais Cíveis.
Como a análise depende do perfil da conta, da reação do banco e da conduta do cliente, cada caso exige exame individual das provas.
Perguntas frequentes
O banco responde sempre pelo prejuízo de um golpe do Pix?
Não. A responsabilidade do banco depende das circunstâncias de cada caso. O STJ já reconheceu o dever de indenizar quando o banco deixou de barrar operações que destoavam do perfil do cliente, mas também decidiu que, no golpe da falsa central, a responsabilidade não é automática. Cada situação é analisada com as provas disponíveis.
Qual é o prazo para pedir a devolução pelo MED?
O pedido pelo Mecanismo Especial de Devolução só pode ser feito para Pix realizado há no máximo 80 dias. Passado esse prazo, o aplicativo deve informar que o prazo do MED foi excedido. Isso não impede, em tese, a busca de outros caminhos, como a reclamação administrativa ou a via judicial, que têm prazos próprios.
O banco pode exigir boletim de ocorrência para abrir o pedido de devolução?
Segundo o guia do Banco Central, o banco deve abrir o pedido imediatamente após a reclamação, sem analisar o mérito nem exigir previamente documentos como o boletim de ocorrência. Depois de aberto o pedido, o banco pode solicitar documentos. O boletim é recomendável, pois documenta o fato e serve de prova em eventual reclamação ou ação.