Golpe do falso funcionário do banco: o que diz o STJ

No golpe do falso funcionário, o criminoso se passa por gerente ou pela central do banco para induzir a vítima a transferir valores ou fornecer dados. A responsabilidade da instituição não é automática: em julgamento de julho de 2026, o STJ firmou que ela depende da demonstração de uma falha concreta na prestação do serviço.

Este artigo explica o que mudou e o que passa a pesar na análise do caso. Para o entendimento geral sobre fraudes bancárias, veja também Súmula 479 do STJ explicada para a vítima.

1. Como o golpe funciona

O contato chega por telefone, WhatsApp ou SMS, alegando "movimentação suspeita" e orientando a vítima a "proteger a conta", quase sempre pedindo transferências, senhas ou códigos de validação.

A característica que define esse golpe — e que importa juridicamente — é que a transferência é feita pela própria vítima, com a senha dela, induzida por engano. Isso o diferencia da invasão de conta, em que o criminoso opera diretamente.

2. O que diz o STJ

A Súmula 479 firma que as instituições financeiras respondem objetivamente por danos causados por fraudes de terceiros nas operações bancárias. Ela continua válida e é o ponto de partida da análise.

O que se desenvolveu é a aplicação dela a este golpe específico, em duas decisões da Terceira Turma que precisam ser lidas juntas.

Outubro de 2025 — quando a instituição responde. Ao julgar os REsps 2.222.059 e 2.229.519, por unanimidade, a Terceira Turma firmou que validar operações suspeitas, atípicas e fora do perfil de consumo do correntista revela defeito na prestação do serviço. Relator o ministro Ricardo Villas Bôas Cueva. No caso concreto foram 14 transações em um único dia, somando cerca de R$ 167 mil. A decisão alcança bancos e também instituições de pagamento, o que inclui as fintechs. Fonte: Superior Tribunal de Justiça.

Julho de 2026 — quando não responde. Ao julgar o REsp 2.209.868, também por unanimidade, a mesma Turma decidiu que essa responsabilidade não é automática: depende da demonstração de falha concreta na prestação do serviço. Relator o ministro Humberto Martins. Quando há culpa exclusiva da vítima e de terceiro, rompe-se o nexo causal e a fraude deixa de ser tratada como fortuito interno — aquele risco inerente à atividade bancária que a Súmula 479 alcança. Fonte: Superior Tribunal de Justiça.

As duas apontam para o mesmo critério, por lados opostos: o perfil do cliente. Se a operação destoa do padrão da conta e a instituição a valida sem questionar, há defeito no serviço. Se a operação é compatível com o histórico e não se demonstra falha, a responsabilidade tende a ser afastada.

Na prática, isso desloca o centro da discussão. A pergunta deixa de ser apenas "houve fraude?" e passa a ser "o banco falhou em algo que estava ao alcance dele?".

3. O que pesa na análise

A decisão dá exemplos concretos de falha na prestação do serviço:

1. Não identificar operações incompatíveis com o perfil do cliente. Uma conta com movimentação modesta e regular que, de repente, faz transferências altas para destinatários desconhecidos, em sequência e fora do horário habitual — esse é o padrão que os sistemas antifraude deveriam sinalizar.
2. Insuficiência dos mecanismos de segurança. Ausência ou falha das travas, limites e validações que o banco se propõe a oferecer.

Somam-se a isso os elementos que já pesavam antes: o canal usado pelo golpista, se houve compartilhamento de códigos e senhas, e o que o banco fez depois de comunicado.

O outro lado da mesma moeda: quando as transações são compatíveis com o histórico da conta e não há falha demonstrável no sistema, a tendência do entendimento é afastar a responsabilidade da instituição.

4. O que isso significa para quem foi vítima

Não significa que não haja o que fazer — significa que a prova mudou de foco.

Passa a ser central documentar o descompasso entre o golpe e o seu histórico: o valor transferido comparado à sua movimentação habitual, a quantidade de operações em sequência, o horário, o destinatário desconhecido. É esse contraste que sustenta o argumento de que o sistema do banco deveria ter barrado ou questionado a operação.

Também ganha peso o registro de tudo que você comunicou ao banco e quando — protocolos, horários, canais.

5. O que fazer

1. Comunique o banco imediatamente e peça o registro do MED. O passo a passo está em Como funciona o MED do Pix.
2. Registre boletim de ocorrência, com data, horário, valor e a forma como o golpe aconteceu.
3. Reúna as provas do contato — gravações, mensagens, número de origem da ligação.
4. Levante seu extrato dos meses anteriores, para demonstrar qual era a sua movimentação habitual.
5. Guarde todos os protocolos de cada contato com a instituição.

Fonte legal: Código de Defesa do Consumidor.

Perguntas frequentes

O banco ainda pode ser responsabilizado pelo golpe do falso funcionário? Pode. O que o STJ afastou foi a responsabilização automática. Quando se demonstra falha na prestação do serviço — como a não identificação de operações incompatíveis com o perfil do cliente —, a responsabilidade permanece.

Se eu passei a senha ou o código, perdi o direito? Não automaticamente. O compartilhamento de código pesa na análise, mas não encerra a discussão: continua relevante saber se o banco tinha meios de identificar a operação como atípica e não o fez.

Como provo que a transação era incompatível com o meu perfil? Pelo seu próprio histórico bancário. Extratos dos meses anteriores mostram o padrão normal da conta — valor médio, frequência e destinatários habituais — e é o contraste com esse padrão que sustenta o argumento.

A Súmula 479 deixou de valer? Não. Ela continua vigente e é o fundamento da responsabilidade objetiva por fraudes bancárias. As decisões de outubro de 2025 e julho de 2026 trataram de como aplicá-la ao golpe da falsa central, em que a transferência parte da própria vítima.

Vale também para fintechs e carteiras digitais? Sim. Ao julgar os REsps 2.222.059 e 2.229.519, o STJ estendeu expressamente o entendimento às instituições de pagamento, e não apenas aos bancos tradicionais.

E se o golpista contratou um empréstimo na minha conta antes das transferências? Esse ponto foi tratado de forma específica: a não identificação de um empréstimo contratado imediatamente antes de pagamentos suspeitos foi apontada como exemplo de falha na prestação do serviço. Veja também Empréstimo no meu nome que eu não fiz.

Quanto tempo tenho para agir? Quanto antes, melhor: o MED só alcança valores que ainda estejam na conta de destino. As medidas judiciais têm prazos legais próprios, o que reforça a importância de não adiar a orientação.

Precisa de orientação sobre o seu caso?

A análise depende das provas e do histórico da sua conta, e cada caso é avaliado individualmente. Para entender as providências cabíveis, consulte a página sobre invasão de conta e estelionato digital ou fale com o escritório.