Caí num golpe do Pix. O banco tem que devolver o dinheiro?

Falso funcionário do banco, falsa central de atendimento, falso leilão, pedido de dinheiro em nome de um parente: os golpes mudam de roupa, mas quase sempre terminam num Pix. A pergunta que vem depois é sempre a mesma: o banco tem que devolver?

A resposta curta é: depende de como o golpe aconteceu. A Justiça não manda o banco devolver em todos os casos, mas também não aceita a desculpa de que "foi o cliente que fez o Pix" quando o banco falhou na segurança.

Nas primeiras horas

• Avise o seu banco imediatamente, pelo aplicativo e pelos canais oficiais, e peça a abertura do MED, o Mecanismo Especial de Devolução do Pix. Desde 1º de setembro de 2026, a vítima tem até 80 dias da transferência para pedir, mas quanto antes, maior a chance de ainda haver saldo na conta do golpista.
• Registre boletim de ocorrência, que pode ser feito pela internet.
• Guarde tudo: comprovantes do Pix, conversas, números de telefone, perfis, anúncios, e-mails e o protocolo de atendimento do banco. Não apague nada do celular.
• Troque senhas e, se instalou algum aplicativo a pedido de alguém, desinstale e avise o banco.

O MED é um procedimento administrativo entre os bancos e não substitui a ação judicial. Se o dinheiro não voltar por ele, a discussão sobre a responsabilidade do banco continua aberta.

O que diz a Súmula 479 do STJ

A Súmula 479 do Superior Tribunal de Justiça afirma que os bancos respondem, mesmo sem culpa, pelos danos causados por fraudes de terceiros ligadas às operações bancárias. É o chamado fortuito interno: a fraude faz parte do risco da atividade do banco.

Mas o próprio STJ tem esclarecido que a súmula não é uma garantia automática de reembolso. É preciso mostrar que o golpe se ligou a uma falha do serviço bancário.

Quando o banco tem sido responsabilizado

• Operações fora do perfil do cliente. No REsp 2.052.228 (Terceira Turma, 2023), o STJ responsabilizou o banco por não barrar aumento de limite, empréstimos e compras que destoavam completamente do histórico de um cliente idoso.
• Muitas transações num só dia. No REsp 2.222.059 (Terceira Turma, 2025), um caso de falsa central com 14 operações num único dia, numa conta usada quase como poupança, o STJ entendeu que validar movimentações atípicas é defeito do serviço, e estendeu o mesmo dever às instituições de pagamento. O tribunal listou o que os sistemas antifraude devem observar: o perfil do cliente, o horário e o local das operações, o intervalo e a sequência entre elas, o meio usado e a contratação de empréstimo logo antes de pagamentos suspeitos.
• Falso funcionário e acesso remoto. No REsp 2.220.333 (Terceira Turma, 2025), a cliente instalou um aplicativo de acesso remoto a pedido de um falso funcionário do banco. O STJ afastou a culpa concorrente: quem é enganado não assume o risco conscientemente, e o banco deve reparar o prejuízo por inteiro.
• Conta aberta de forma fraudulenta. O banco que abre conta com documento falso ou extraviado, sem o conhecimento do verdadeiro titular, ou que mantém conta com movimentação suspeita sem agir, pode responder (REsp 2.222.137, Terceira Turma, 2025). No AREsp 3.193.758 (Quarta Turma, 2026), o STJ manteve a condenação por falha na abertura de conta digital fraudulenta e nas transações seguintes.

Quando o banco não tem sido responsabilizado

• Pix dentro do padrão da conta. No REsp 2.209.868 (Terceira Turma, 2026), um caso de falsa central, as transferências eram compatíveis com o histórico do cliente e a maior delas foi feita na própria agência. O STJ manteve a conclusão de culpa exclusiva da vítima e de terceiros.
• Sem falha de segurança provada. O STJ tem repetido que o banco só responde pelo estelionato se tiver falhado na segurança do serviço (REsp 2.199.913, Terceira Turma, 2025). Quando a vítima faz o Pix com a própria senha, convencida pelo golpista, e nada indica falha do banco, o pedido tende a ser negado.
• Banco que só recebeu o Pix. No golpe do falso leilão, o STJ não responsabilizou o banco digital onde estava a conta do golpista, porque o banco comprovou que verificou a identidade do titular ao abrir a conta (REsp 2.124.423, Terceira Turma, 2024). Já quando o banco recebedor não comprova essa diligência, como quando deixa de apresentar os extratos pedidos pelo juiz, a responsabilidade tem sido mantida (AgInt no AREsp 2.638.404, Terceira Turma, 2025).

O que costuma decidir o caso

Na prática, a discussão gira em torno de perguntas concretas: as transferências fugiam do seu padrão de valor, horário, frequência ou destinatário? Houve empréstimo ou aumento de limite contratado de repente? O banco foi avisado e demorou a agir? Houve acesso por aparelho ou local estranho? A vítima é idosa ou estava em situação de maior vulnerabilidade?

Por isso, a prova é decisiva. Peça ao banco o extrato completo e os registros de acesso, e reúna tudo o que mostre como o golpe aconteceu.

Há prazo para agir?

Pelo Código de Defesa do Consumidor (art. 27), a ação de reparação por defeito do serviço prescreve em cinco anos, contados de quando a vítima conhece o dano e o responsável. Mas esperar é um mau negócio: o MED tem prazo próprio, mais curto, e as provas se perdem com o tempo.

Documentos para a primeira conversa

• Comprovantes de todas as transferências e o extrato dos últimos meses;
• Prints das conversas, ligações recebidas e perfis usados pelo golpista;
• Boletim de ocorrência;
• Protocolos e respostas do banco, inclusive a do pedido de MED.

Cada caso tem particularidades, e a análise das provas indica o caminho mais adequado, seja pelo banco, pelo Procon ou pela via judicial.