Caí em golpe digital: como recuperar o dinheiro em 2026

Dá para recuperar o dinheiro de um golpe digital. Mas o que decide isso quase nunca é o processo criminal: é o que você faz nas primeiras horas e em qual porta você bate primeiro.

O erro mais caro que se vê nesses casos é o mais compreensível: a pessoa descobre a fraude, entra em pânico, liga para o 0800 do banco, ouve que “o caso será analisado” e fica esperando. Passam-se cinco dias. Quando finalmente vai à delegacia, o saldo já saiu da conta do golpista, foi pulverizado em cinco contas diferentes e trocado por cripto. O pedido de devolução chega tarde não porque a lei é fraca, mas porque o dinheiro é rápido.

Existem três caminhos possíveis quando você é vítima de um golpe ou de uma fraude digital, e eles não são alternativos: podem correr juntos. O primeiro é o caminho bancário, com pedido de devolução e contestação formal. O segundo é o caminho criminal, com boletim de ocorrência e representação. O terceiro é o caminho cível, cobrando do banco ou da plataforma que falhou na segurança.

Cada um tem prazo próprio, custo próprio e exige coisas diferentes de você. Quem escolhe só um, geralmente escolhe o errado. Neste texto você vai ver como funciona cada caminho, quanto tempo tem para acionar cada um, qual serve para o seu tipo de golpe e qual erro faz o pedido morrer antes de ser analisado.

Quais são os golpes digitais mais comuns em 2026 e por que a diferença entre eles importa

Os golpes mais frequentes se dividem em dois grupos jurídicos: aqueles em que você mesmo autorizou a transferência enganado (fraude eletrônica, art. 171, §2º-A do Código Penal, pena de 4 a 8 anos) e aqueles em que o criminoso operou sua conta sozinho (furto mediante fraude eletrônica, art. 155, §4º-B, também de 4 a 8 anos).

Essa diferença parece técnica, mas é ela que define se o banco vai devolver seu dinheiro ou não. Veja os formatos que mais aparecem:

• Falsa central de segurança: ligam dizendo que houve uma compra suspeita e pedem que você transfira o saldo para uma “conta espelho”. Você autoriza. Cai no art. 171, §2º-A.
• Mão fantasma: você instala um aplicativo de suporte remoto e o criminoso movimenta o app do banco pelo seu próprio celular. Aqui você não autorizou nada: é art. 155, §4º-B, somado a invasão de dispositivo informático (art. 154-A, pena de 1 a 4 anos e multa, redação dada pela Lei 14.155/2021).
• Falso investimento com retorno garantido: promessas de 8% ao mês em cripto ou day trade. Além do estelionato, pode configurar crime contra o sistema financeiro e estrutura de pirâmide financeira.
• Boleto e QR Code adulterados: o documento chega por e-mail com layout perfeito e beneficiário trocado.
• Empréstimo ou conta aberta no seu nome: fraude documental com uso de dados vazados. Aqui não há Pix a devolver: o pedido é de anulação do contrato e retirada do nome dos cadastros.
• Phishing de benefício e restituição: mensagens sobre saque do FGTS, restituição de imposto ou revisão do INSS que levam a páginas clonadas.

Todo o cardápio de condutas está tipificado no Código Penal e complementado pela Lei 12.737/2012 e pela Lei 14.155/2021. Para um panorama mais amplo das denúncias possíveis, vale ler nosso guia sobre crimes digitais e como denunciar.

Opção A: pedido de devolução e contestação no banco

É o caminho mais rápido e o único com chance real de recuperar o valor em dias. No Pix existe o Mecanismo Especial de Devolução (MED), que permite registrar a fraude para bloqueio do saldo na conta de destino. Segundo as regras do Pix divulgadas pelo Banco Central, o registro pode ser feito em até 80 dias da transação.

Na prática, o número que importa não é 80 dias: é 80 minutos. O MED só devolve o que ainda estiver parado na conta do golpista. Depois de algumas horas, o saldo já foi movimentado e o bloqueio encontra a conta zerada.

Como acionar, passo por passo dentro do aplicativo:

• Abra o extrato, toque na transação e procure a opção de contestar ou reportar. O motivo a selecionar é “golpe ou fraude”, não “erro de digitação”. Motivo errado descarta o pedido.
• Exija o número de protocolo. O atendente pode dizer que “o sistema gera depois”. Não desligue sem o número: ele é a prova de que você avisou na data que avisou.
• Peça por escrito, no chat, a informação sobre o bloqueio cautelar do saldo. Ele é temporário e a instituição do recebedor precisa analisar em prazo curto.
• Se foi cartão de crédito ou débito, o instrumento correto é o chargeback, não o MED. São sistemas diferentes.

Vantagens do caminho A: é rápido, não tem custo, não exige advogado e não depende de identificar o criminoso. Desvantagens: só funciona se houver saldo, a resposta costuma vir por mensagem no aplicativo sem fundamentação detalhada, e a negativa vem quase sempre com a mesma frase padrão de “transação autorizada pelo titular”. Guarde essa resposta. Ela é a peça que abre o caminho C.

Em situações de prisão, intimação ou busca e apreensão, a orientação técnica desde o primeiro momento faz diferença. A forma como alguém se manifesta no início pode repercutir em todo o caso.

Lucas Ribeiro Cavalcante, advogado (OAB/CE 44.673)

Opção B: boletim de ocorrência, inquérito e ação penal

O caminho criminal serve para punir o autor e, em muitos casos, é o que produz a prova que os outros dois caminhos usam. Atenção ao prazo mais esquecido do tema: no estelionato, a ação penal depende de representação da vítima, e esse prazo é de 6 meses contados do dia em que você soube quem foi o autor (art. 38 do Código de Processo Penal).

Quase todos os estados têm delegacia eletrônica. Você preenche o registro com RG, CPF, comprovante da transação e os prints, e recebe o número do procedimento por e-mail. Depois vem a fase que ninguém avisa: a solicitação complementar de documentos pela autoridade policial, pedindo extrato completo, cópia da conversa em formato exportado e dados do beneficiário. É nesse segundo pedido que a maioria desiste e o inquérito morre por falta de elementos.

O que a acusação precisa provar e o que a defesa precisa mostrar

Vale entender a lógica, porque ela explica por que tantos inquéritos travam. O Ministério Público precisa provar duas coisas: que houve a fraude e que aquela pessoa específica operou a conta ou o dispositivo, com intenção de enganar. Só o titular da conta que recebeu o Pix não basta como prova de autoria.

A defesa, por outro lado, não precisa provar inocência. Basta mostrar dúvida razoável sobre quem estava no controle: conta aberta com documento furtado, celular emprestado, IP compartilhado. Por isso, se você foi intimado como suspeito porque alguém usou sua conta, o momento de agir é na resposta à acusação, não em alegações finais. Nessa fase inicial ainda dá para requerer a quebra de dados telemáticos que aponta o verdadeiro operador. Depois, o campo probatório fecha.

Vantagens do caminho B: não custa nada, garante a preservação de provas com autoridade pública e é indispensável se o caso envolveu invasão de dispositivo ou uso indevido da sua imagem. Desvantagens: é lento, não devolve dinheiro por si só e depende de identificação da autoria. Para entender as penas aplicáveis ao seu caso, veja nosso material sobre crimes contra o patrimônio.

Opção C: ação contra o banco ou a plataforma por falha de segurança

É aqui que a vítima realmente recupera valor quando o dinheiro já sumiu. O pedido não é contra o golpista, é contra a instituição que falhou. O prazo é de 5 anos (art. 27 do Código de Defesa do Consumidor) e, sobre o valor, incidem juros de mora de 1% ao mês mais correção monetária.

A base é a Súmula 479 do Superior Tribunal de Justiça: instituições financeiras respondem objetivamente por danos causados por fraudes de terceiros ocorridas no âmbito de suas operações. Traduzindo: fraude bancária é risco do negócio, não azar do cliente.

Mas isso não vale para qualquer golpe. O que sustenta o pedido é apontar a falha concreta:

• Transferência de valor muito acima do seu histórico, em horário atípico, sem qualquer bloqueio preventivo.
• Limite noturno de Pix desrespeitado pelo próprio sistema.
• Empréstimo contratado em segundos, sem validação biométrica, com o dinheiro caindo e saindo na mesma operação.
• Conta ou cartão abertos no seu nome com documento fraudado, sem conferência.
• Vazamento de dados que permitiu o ataque direcionado, situação em que a Lei Geral de Proteção de Dados (Lei 13.709/2018) reforça a responsabilidade de quem tratava as informações.

Se você chegou a pagar parcelas de um contrato que nunca assinou, existe ainda a devolução em dobro do que foi pago indevidamente, prevista no art. 42, parágrafo único, do CDC. E se houve negativação do seu nome, o dano moral é discutido separadamente do prejuízo material.

O melhor argumento do banco (e quando ele realmente vence)

Honestidade importa aqui: o banco tem um argumento forte, e ele vence em muitos casos. A defesa padrão sustenta que a operação foi feita no dispositivo cadastrado, com senha e biometria válidas, e que a Súmula 479 do STJ trata de fraude ocorrida dentro do sistema bancário, não de transferência que o próprio cliente ordenou.

O raciocínio completo é este: se você conversou por telefone com um desconhecido, abriu o aplicativo, digitou a chave Pix, confirmou o valor e autenticou com o rosto, não houve falha de segurança nenhuma. Houve engano seu. O Código Civil chama isso de fato exclusivo de terceiro, e o próprio CDC afasta a responsabilidade do fornecedor nessa hipótese. Obrigar o banco a devolver, nesse cenário, seria transformá-lo em seguro universal contra ingenuidade.

Esse argumento é sólido e, em golpe puramente consentido, sem qualquer anomalia operacional, ele costuma prevalecer. A resposta não é negá-lo: é deslocar a discussão. A pergunta que interessa não é “quem digitou”, é “o sistema tinha condição de perceber que aquilo era anômalo e não fez nada?”.

Uma conta que movimenta R$ 1.500 por mês e de repente envia R$ 40.000 às três da manhã para uma chave criada há dois dias não é um comportamento invisível: os sistemas antifraude são vendidos justamente como capazes de detectar isso. Quando existia mecanismo de contenção e ele não atuou, o caso deixa de ser sobre a distração da vítima e passa a ser sobre defeito na prestação do serviço. Aí a Súmula 479 volta a incidir com força.

Tabela comparativa: qual caminho exige o quê de você

Critério	A: Devolução no banco (MED/chargeback)	B: Caminho criminal	C: Ação cível contra banco/plataforma
Objetivo	Bloquear e devolver o valor	Punir o autor e produzir prova	Ser indenizado por falha de segurança
Prazo para acionar	Registro em até 80 dias (Pix), mas eficácia real nas primeiras horas	Representação em até 6 meses da ciência da autoria	5 anos (art. 27 do CDC)
Tempo de resposta	Dias	Meses a anos	Meses (Juizado) a anos
Custo	Sem custo	Sem custo	Sem custas no Juizado; honorários conforme contratação
Precisa de advogado?	Não	Não para registrar	Não até R$ 32.420,00; sim acima
Documentos-chave	Comprovante da transação, protocolo, B.O.	RG, CPF, prints exportados, extrato completo	Negativa escrita do banco, extrato de 6 meses, protocolos
Depende de identificar o golpista?	Não	Sim	Não
Maior vantagem	Velocidade	Força probatória oficial	Única via que recupera valor já dissipado
Maior limitação	Só devolve se houver saldo	Não devolve dinheiro sozinho	Cai se não houver falha concreta apontada

Qual escolher? Análise por perfil de golpe

A regra prática: sempre acione A e B nas primeiras 24 horas, porque são gratuitos e um alimenta o outro. C é a decisão que exige análise, e ela depende de haver falha apontável. Sem esse elemento, a ação cível vira aposta.

Se você transferiu por Pix há poucas horas: prioridade absoluta para o caminho A. Contestação no app com motivo “golpe ou fraude” e B.O. online no mesmo dia. Tudo o resto pode esperar até amanhã, o bloqueio não.

Se descobriu depois de semanas: o MED provavelmente já não resolve. O foco vira C, e a peça mais valiosa passa a ser o extrato completo mostrando o contraste entre o seu padrão de uso e a operação fraudulenta.

Se abriram conta, cartão ou empréstimo no seu nome: A não se aplica, porque não houve transferência sua. O caminho é C, com pedido de declaração de inexistência do contrato, exclusão da negativação e devolução em dobro do que você pagou. O caminho B entra porque a fraude documental precisa ser registrada.

Se instalaram acesso remoto no seu celular: aqui você tem a posição mais forte de todas. Não houve autorização sua e existe invasão de dispositivo informático (art. 154-A do Código Penal). O argumento de “fato exclusivo da vítima” perde muita força. Vale A, B e C juntos, com o cuidado de preservar o aparelho e não desinstalar o aplicativo malicioso antes de documentá-lo.

Se o golpe foi de investimento falso com grupo, “assessor” e planilha de rendimento: o eixo é B, porque geralmente há dezenas de vítimas e a soma dos registros é o que constrói a investigação. Contra plataforma que operava no país, C também é viável.

Se além do prejuízo financeiro usaram sua foto ou seu nome: soma-se a discussão de crimes contra a honra na internet, com prazo de decadência de 6 meses que corre em paralelo e sem esperar o resto.

Simulações em reais: o que muda de um caminho para o outro

Números tornam a escolha concreta. Os cenários abaixo são hipotéticos e servem apenas para mostrar como o mesmo prejuízo rende resultados diferentes conforme o caminho e o momento em que se age. Nenhum deles é caso real e resultado nunca é garantido.

Mesmo prejuízo hipotético de R$ 12.000,00 no caminho C, com falha de segurança reconhecida e decisão dez meses depois: R$ 12.000,00 de principal, mais 1% de juros por mês (10%, ou R$ 1.200,00), mais correção monetária. Chega-se a algo próximo de R$ 13.200,00 antes da correção. Se houve negativação indevida, o dano moral é pedido em separado.

Agora um empréstimo fraudulento hipotético de 6 parcelas de R$ 480,00 já debitadas. O total pago foi R$ 2.880,00. Com a devolução em dobro do art. 42 do CDC, o pedido sobe para R$ 5.760,00, mais a anulação do saldo restante do contrato. Se o valor total da causa ficar abaixo de R$ 32.420,00, cabe no Juizado sem advogado.

Do lado do criminoso, a conta também é pesada. Um golpe aplicado contra pessoa idosa parte da pena mínima de 4 anos com aumento de um terço (art. 171, §4º), chegando a 5 anos e 4 meses de reclusão, faixa em que não há substituição por pena alternativa. Sobre isso incide multa em dias-multa: pelo art. 49 do Código Penal, de 10 a 360 dias-multa, cada um valendo de 1/30 do salário mínimo (R$ 54,03 em 2026) até 5 salários mínimos.

Como se proteger: os três ajustes que fecham as portas mais usadas

Prevenção aqui é configuração, não desconfiança genérica. Três ajustes no aplicativo do banco cortam a maior parte do prejuízo possível: limite de Pix por transação, limite noturno reduzido e verificação em duas etapas em todas as contas de mensagem e e-mail.

• Defina limite de Pix compatível com sua vida real. Se você raramente envia mais de R$ 2.000, deixe o teto nesse valor. Aumentar é pedido que leva horas, e essas horas são exatamente o que o golpista não tem.
• Ative a verificação em duas etapas do WhatsApp e do e-mail. A clonagem por código SMS deixa de funcionar.
• Nunca instale aplicativo indicado por telefone. Suporte remoto é a assinatura da mão fantasma.
• Confira boleto pelo nome do beneficiário no app antes de pagar, não pelo layout do PDF.
• Cadastre e-mail e telefone de alerta de transação, para que qualquer movimentação chegue a dois canais diferentes.

Passo a passo das primeiras 48 horas

A ordem abaixo respeita a velocidade do dinheiro. Nas primeiras 24 horas ainda existe saldo bloqueável; depois disso, o trabalho passa a ser de documentação. Cumprir os cinco primeiros itens leva cerca de duas horas.

• Minuto 1: abra o app, conteste a transação com motivo “golpe ou fraude” e anote o protocolo.
• Minuto 15: ligue para a central e peça bloqueio preventivo da conta e do cartão. Registre o número do atendimento.
• Primeira hora: faça o boletim de ocorrência pela delegacia eletrônica do seu estado com RG, CPF e o comprovante.
• Segunda hora: exporte as conversas (o WhatsApp permite exportar o histórico com data e hora), salve prints com a barra de endereço visível e baixe o extrato em PDF.
• No mesmo dia: troque todas as senhas em outro aparelho, nunca no que foi comprometido.
• Em 48 horas: registre reclamação no consumidor.gov.br, onde a empresa tem 10 dias para responder, e no canal de atendimento ao cidadão do Banco Central. As respostas por escrito servem como prova no caminho C.

Antes de conversar com qualquer advogado, tenha três documentos digitalizados: o comprovante da transação com chave e nome do beneficiário, a negativa escrita do banco (ou o print da resposta no app) e o extrato dos últimos seis meses. O que mais derruba pedido é a negativa apresentada só de boca, sem o texto do banco, porque é justamente nele que aparece o motivo alegado, e é o motivo alegado que define a tese. Se quiser, nossa equipe faz essa leitura e diz qual dos três caminhos ainda está aberto no seu caso.

Perguntas frequentes

O golpista foi identificado e vai ser processado. Isso me devolve o dinheiro?

Não automaticamente. A condenação criminal pode fixar um valor mínimo de reparação, mas receber depende de o condenado ter bens. Na maioria dos golpes digitais, quem recebeu o Pix é intermediário sem patrimônio. A sentença penal serve como título para execução no cível, o que é útil, porém demorado. Por isso o caminho de recuperação efetiva quase sempre é a discussão contra a instituição financeira, que tem solvência. Trate o processo criminal como fonte de prova e de responsabilização, não como via de reembolso.

Fui eu que emprestei minha conta para receber um valor de conhecido. Posso ser processado?

Sim, e é uma situação frequente. Ceder conta para receber e repassar valores pode ser enquadrado como participação em estelionato e como lavagem de dinheiro, conforme a Lei 9.613/1998. A defesa se constrói mostrando ausência de conhecimento sobre a origem ilícita, e o momento certo para isso é a resposta à acusação, quando ainda se pode requerer perícia de dispositivo e dados de acesso. Comparecer à intimação policial sem orientação e narrar a operação de forma solta é o que mais complica esses casos.

Perdi o prazo de 6 meses para representar. Acabou tudo?

O caminho criminal do estelionato pode ter se encerrado pela decadência, mas o caminho cível continua aberto, com prazo de 5 anos pelo art. 27 do CDC. Além disso, algumas condutas que costumam acompanhar o golpe não dependem da sua representação, como invasão de dispositivo informático em certas hipóteses e organização criminosa. Ou seja: perder o prazo penal não apaga o direito de ser indenizado. Reúna os documentos e verifique quais condutas do conjunto ainda são apuráveis de ofício.

Prints de tela valem como prova?

Valem, mas são frágeis quando isolados, porque são facilmente editáveis. O que fortalece é o conjunto: exportação do histórico da conversa pelo próprio aplicativo, extrato oficial em PDF emitido pelo banco, e-mails com cabeçalho completo e a ata notarial feita em cartório, que registra o conteúdo de uma página ou perfil com fé pública. A ata custa algumas centenas de reais e é especialmente útil quando o conteúdo pode ser apagado, como perfil falso ou anúncio fraudulento.

O golpe saiu por transferência para o exterior ou em criptomoeda. Muda algo?

Muda a pena e a dificuldade. Quando o proveito passa por servidor mantido fora do país, o Código Penal prevê aumento de um terço a dois terços da pena (art. 171, §2º-B). Para o rastreamento, o pedido precisa incluir a quebra de dados junto à corretora de cripto, que no Brasil está sujeita a identificação de clientes. Isso é feito no inquérito, por decisão judicial. Não tente negociar recuperação com “especialistas” que prometem devolver cripto por WhatsApp: é o segundo golpe, aplicado sobre a mesma vítima.

Preciso pagar advogado logo no dia do golpe?

Não. As medidas mais urgentes, contestação no app, bloqueio, boletim de ocorrência e preservação das provas, você mesmo executa sem custo. A assistência técnica passa a fazer diferença em dois momentos: quando chega a negativa escrita do banco e é preciso decidir se há falha de segurança a apontar, e quando você é intimado como investigado. Nas duas situações, o que se compra é leitura de documento e definição de estratégia, não pressa.

Golpe em compra pela internet também é crime digital?

Sim, quando há intenção de enganar desde o início, como loja falsa criada só para receber pagamentos. Se foi loja real que atrasou ou entregou produto defeituoso, não é crime, é vício de produto ou serviço: o prazo para reclamar é de 30 dias para produto não durável e 90 dias para durável (art. 26 do CDC), e a compra online tem 7 dias de arrependimento (art. 49 do CDC). A diferença entre má-fé e descumprimento contratual define completamente o caminho.

Como agir agora contra golpes e fraudes digitais

Ordem física, na sequência: abra o extrato e salve em PDF a transação contestada com chave e nome do beneficiário; localize o número de protocolo da contestação e do atendimento telefônico; recupere a resposta escrita do banco, mesmo que seja só uma mensagem curta no aplicativo. Esses três itens caberão em um único e-mail para você mesmo, e é esse conjunto que determina se ainda existe caminho.

Se a negativa veio por escrito, ela é a peça mais importante que você tem: guarde antes de qualquer outra coisa. Ao enviar mensagem, dizemos em que fase o seu caso está, se há base legal para cobrar do banco ou apenas para seguir na esfera criminal, e qual prazo está correndo contra você, antes de qualquer contratação.