Empréstimo feito por golpista: o que acontece com a dívida, o Pix e as compras no cartão

O empréstimo feito por golpista raramente aparece sozinho. No golpe do falso funcionário, a sequência costuma ser a mesma: alguém liga dizendo falar em nome do banco, cita dados verdadeiros da conta e, em poucas horas, surge um crédito que você não pediu, seguido de transferências por Pix e, às vezes, de compras no cartão. Quando a vítima percebe, o dinheiro já saiu e as parcelas já estão agendadas.

Em setembro de 2026, o Tribunal de Justiça de São Paulo julgou um caso com exatamente esse desenho: um empréstimo de mais de R$ 68 mil, desviado por Pix logo depois do crédito, e compras no cartão que somaram mais que o dobro disso, tudo no mesmo dia. O tribunal manteve o cancelamento do empréstimo e das compras e a devolução do Pix, porque as operações destoavam do histórico financeiro da correntista.

Esse resultado, porém, não é automático. A frase "você não precisa pagar", repetida em boa parte do que se encontra sobre o tema, esconde as perguntas que de fato decidem o caso. Quem executou cada operação? A operação cabia no perfil da conta? O dinheiro do empréstimo ficou com você ou foi levado? Este texto trata dessas perguntas, uma a uma.

Se o golpe acabou de acontecer, a prioridade é outra: contestar as transações no aplicativo e acionar o mecanismo de devolução do Banco Central. O passo a passo está em o que fazer nas primeiras horas após um golpe do Pix.

Três operações, três problemas jurídicos diferentes

O primeiro erro de quem sofre esse tipo de golpe é tratar tudo como um único prejuízo. São, na verdade, três relações distintas com o banco, e cada uma tem pedido, prova e desfecho próprios.

A separação não é formalidade. No mesmo processo, o juiz pode cancelar o empréstimo e negar a devolução de uma das transferências, ou o contrário.

E há um detalhe que costuma passar despercebido: o empréstimo continua gerando cobrança todos os meses enquanto não for cancelado, mesmo que o dinheiro do Pix tenha sido recuperado por outro caminho.

O critério que decide: a operação cabia no perfil da conta?

A Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. É o ponto de partida, mas não resolve o caso sozinha.

Em 2026, o próprio STJ afastou a aplicação automática da súmula quando as operações eram compatíveis com o histórico da conta, o que está detalhado em quando o banco responde pelo prejuízo em um golpe do Pix. O que decide, na prática, é a atipicidade.

No REsp 2.222.059/SP, julgado em outubro de 2025, a Terceira Turma listou o que um sistema antifraude deve considerar: transações fora do perfil ou do padrão de consumo, horário e local, intervalo entre operações, sequência, meio utilizado e a contratação de empréstimos atípicos. Para quem teve um crédito contratado no golpe, esse último item é o mais importante. Empréstimo seguido de saída imediata do dinheiro é o próprio desenho da fraude.

O perfil do cliente também é uma exigência regulatória

Existe um ponto que quase nenhum conteúdo sobre o tema menciona: o dever de identificar operações fora do perfil não nasceu nos tribunais. Ele está escrito no regulamento do Pix.

Desde 1º de novembro de 2024, o Regulamento do Pix, em seu artigo 89, § 1º, inciso I, com redação dada pela Resolução BCB nº 403/2024, obriga as instituições a utilizar solução de gerenciamento de risco de fraude capaz de identificar transações Pix atípicas ou não compatíveis com o perfil do cliente.

Essa solução serve para três coisas: segurar a transação suspeita por um tempo maior antes de autorizá-la, rejeitá-la ou bloquear cautelarmente os recursos. O mesmo artigo determina que a documentação da solução fique à disposição do Banco Central.

Isso muda a posição de quem discute o caso. A pergunta deixa de ser se o banco tinha o dever de monitorar e passa a ser se o monitoramento exigido pela norma funcionou naquela transação. A resposta está nos registros da própria instituição.

A regra trata do Pix. Para o empréstimo e o cartão, o mesmo dever decorre do artigo 14 do Código de Defesa do Consumidor, que considera defeituoso o serviço que não oferece a segurança que o consumidor pode esperar, na leitura que o STJ vem fazendo desde o REsp 2.222.059/SP.

Regulamento verificado em 28 de setembro de 2026. O artigo 89 foi alterado mais de uma vez desde 2024, inclusive em 18 de setembro de 2026; confira a redação vigente antes de agir com base nele.

"Foi feito com a sua senha" não encerra a discussão

A primeira defesa do banco quase sempre é a mesma: as operações foram autenticadas com senha, token ou biometria, portanto foram feitas pelo titular ou com a colaboração dele.

No caso paulista de setembro de 2026, esse argumento foi afastado. O relator registrou que o banco se limitou a alegar a autenticação das transações, sem demonstrar a adequação dos controles de segurança nem a regularidade das operações contestadas, e o colegiado aplicou a Súmula 479, tratando a fraude como fortuito interno.

Em julho de 2026, em decisão monocrática no REsp 2.276.330, a ministra Nancy Andrighi seguiu a mesma linha. O tribunal estadual havia considerado suficiente que as operações fossem validadas em aparelho cadastrado, com credenciais do cliente. A relatora reformou a decisão: cabia ao banco demonstrar mecanismos eficazes para identificar e impedir as operações atípicas feitas após o furto do celular.

A lógica é simples. A autenticação prova quem tinha a credencial naquele momento, não que a operação era compatível com a conta. Um golpista com acesso ao aplicativo digita a senha correta. O que o sistema antifraude deveria perceber é todo o resto.

O cadastro do aparelho como prova

Há um registro técnico que pode ser decisivo e raramente é pedido. Pelo mesmo regulamento, o Pix de pessoa física, como regra, só pode ser iniciado a partir de dispositivo previamente cadastrado pelo cliente.

Em aparelho que nunca foi usado para Pix e não foi cadastrado, a Instrução Normativa BCB nº 491/2024 limita as transações a R$ 200 por operação e R$ 1.000 por dia, salvo se cada operação for validada em outro aparelho já cadastrado na mesma conta.

A consequência prática: se transferências de valor alto partiram de um celular que não era o seu, esse aparelho precisou ser cadastrado em algum momento, com algum procedimento de confirmação de identidade, ou cada operação precisou ser confirmada em um aparelho já cadastrado. Quando e como esse cadastro ocorreu é informação que o banco tem, e ela pode revelar a falha, sobretudo se o registro aconteceu minutos antes das operações.

Quando o golpe usou acesso remoto ao seu próprio aparelho (a chamada "mão fantasma"), essa trava não se aplica, e o peso da discussão volta para a atipicidade das operações.

Quem executou cada operação muda o resultado

Dentro do golpe do falso funcionário existem situações muito diferentes, e os tribunais as tratam de forma diferente. Identificar a sua é a primeira decisão técnica do caso.

A primeira linha corresponde ao caso paulista de setembro de 2026 e ao REsp 2.220.333, noticiado pelo STJ em novembro de 2025. Nele, o golpista, por acesso remoto, contratou um empréstimo de R$ 45 mil e fez movimentações incompatíveis com a conta. O banco foi condenado a responder integralmente pelos danos materiais.

A segunda linha é a mais disputada. Em agosto de 2025, o TJSP analisou empréstimos contratados pela própria vítima, induzida em erro, e transferidos na sequência ao fraudador. O acórdão manteve os contratos e determinou apenas restituição simples, por entender que anulá-los geraria enriquecimento sem causa (Apelação 1012418-89.2024.8.26.0008).

O STJ tem seguido outro caminho. Em junho de 2026, no AgInt no REsp 2.250.402/SP, a Terceira Turma manteve a condenação de um banco em golpe da falsa central em que a própria correntista contratou os empréstimos e fez os Pix com senha e token, seguindo as orientações do golpista, e em que o tribunal de origem havia destacado a emissão de alertas de segurança. Para o STJ, a participação da vítima não afasta a responsabilidade quando operações de valor elevado, em sequência e em curto intervalo, passam sem atuação preventiva eficaz.

A terceira e a quarta linhas correspondem ao REsp 2.209.868/SP, também de junho de 2026 e da mesma Terceira Turma. A vítima fez duas transferências compatíveis com o histórico da conta e, no dia seguinte, foi pessoalmente à agência transferir valor muito maior, sem pedir esclarecimento aos funcionários. O STJ manteve a decisão que afastou a responsabilidade do banco.

Mesma turma, mesmo mês, mesma modalidade de golpe, resultados opostos. O critério é um só. O que muda é a prova.

A culpa concorrente ainda aparece

Quando a vítima participou das operações, o banco costuma pedir que o prejuízo seja dividido. O STJ tem restringido essa tese: no REsp 2.220.333, afirmou que a redução só cabe quando a vítima assume e potencializa o risco de forma consciente, o que não ocorre quando ela age enganada por engenharia social.

Essa orientação ainda não é uniforme nos tribunais estaduais. Em abril de 2026, a 17ª Câmara de Direito Privado do TJSP reconheceu concausa em golpe da falsa central, reduziu a indenização com base no artigo 945 do Código Civil e determinou devolução simples (Apelação 1013334-70.2025.8.26.0564).

Por isso, a forma como você foi induzido precisa estar documentada com precisão desde o início. Quanto mais sofisticada a abordagem, mais distante fica a ideia de risco assumido.

Preciso devolver o dinheiro do empréstimo?

É a pergunta que mais angustia e a que menos aparece nos conteúdos disponíveis. Se o contrato é cancelado, o banco pode exigir de volta o valor que creditou na sua conta?

A resposta depende de onde o dinheiro foi parar.

Se o valor saiu imediatamente para o golpista, o STJ entendeu que não há o que compensar. No REsp 2.208.469, julgado por unanimidade pela Quarta Turma em maio de 2026, em caso de consignado não contratado, o tribunal estadual havia mandado abater da indenização o valor do empréstimo fraudulento. O STJ reafirmou que a fraude em empréstimo não contratado é fortuito interno, nos termos da Súmula 479, e reformou: como a quantia foi transferida de imediato ao fraudador, não houve acréscimo patrimonial à consumidora, e a compensação transferiria à vítima o risco da atividade bancária.

Se parte do valor ficou na conta, a lógica muda. Em outubro de 2025, o TJSP limitou a devolução do valor do empréstimo ao que efetivamente entrou e permaneceu no patrimônio da vítima, para evitar enriquecimento sem causa (Apelação 1005882-75.2025.8.26.0348). O mesmo acórdão tratou de forma distinta uma transferência feita voluntariamente pela vítima a terceiro, atribuindo esse ponto a fato exclusivo da vítima ou de terceiro.

Em maio de 2026, a 38ª Câmara de Direito Privado do TJSP seguiu a mesma linha: declarou nulo o empréstimo, mas determinou a compensação com a parte do valor creditado que a correntista não havia transferido aos fraudadores (Apelação 1005965-29.2024.8.26.0477).

Os três julgados apontam para o mesmo princípio: compensa-se apenas o que efetivamente beneficiou a vítima.

Daí uma orientação que parece óbvia e não é: não use o saldo que sobrou do empréstimo. Peça por escrito ao banco que estorne ou bloqueie esse valor e guarde a resposta. Gastar o dinheiro enfraquece a afirmação de que você nunca quis aquele contrato.

E as parcelas que já foram descontadas?

Parcelas cobradas de um contrato declarado inexigível devem ser devolvidas. A discussão é se a devolução é simples ou em dobro, com base no artigo 42, parágrafo único, do Código de Defesa do Consumidor.

Nos casos de golpe, o TJSP não tem decidido de forma uniforme. Em maio de 2026, a 38ª Câmara de Direito Privado mandou devolver em dobro as parcelas descontadas do benefício e do cartão; em abril, a 17ª Câmara, em caso no qual reconheceu concausa da vítima, determinou devolução simples. Não é um ponto que deva orientar a decisão de agir, mas deve constar do pedido.

Como demonstrar que a operação fugiu do seu perfil

Casos de fraude bancária se decidem na prova produzida em primeira e segunda instância, porque o STJ não reexamina fatos. O que não for demonstrado ali não será discutido depois.

E perfil é um conceito comparativo. Sem a base de comparação, atipicidade vira mera alegação. O que reunir:

1. Extratos dos meses anteriores ao golpe. O extrato do dia mostra o que aconteceu; os anteriores mostram por que aquilo era anormal. Emita um período que permita enxergar a rotina da conta, e não apenas a semana do golpe.
2. Faturas anteriores do cartão. Servem ao mesmo raciocínio nas compras: valor médio, tipo de estabelecimento, uso do limite, hábito de parcelar ou não.
3. Relatório de Empréstimos e Financiamentos do Registrato. É o documento mais subestimado desse tipo de caso. Ele mostra as operações de crédito registradas no seu CPF ao longo do tempo. Se você nunca contratou empréstimo pessoal, essa é a prova objetiva de que o crédito do dia do golpe não cabia no seu perfil. O acesso é gratuito, e o caminho está descrito em como emitir os relatórios do Registrato.
4. A linha do tempo do dia. Hora do contato do golpista, hora do crédito, hora de cada Pix, de cada compra, de cada alteração de limite. O intervalo entre a entrada do empréstimo e a saída do dinheiro costuma ser o argumento mais forte da ação.
5. Os registros que só o banco tem. Data e hora dos acessos, identificação do aparelho, data de cadastramento de cada dispositivo, alterações de limite, alertas emitidos e operações bloqueadas.
6. Boletim de ocorrência e protocolos de contestação. No caso paulista, o acórdão deu peso à comunicação imediata da fraude, comprovada por boletim e reclamação administrativa feitos logo após os fatos.

Como pedir os registros que só o banco tem

Além do pedido comum pela ouvidoria, a Lei Geral de Proteção de Dados garante ao titular o acesso aos dados pessoais tratados pela instituição (artigo 18, inciso II) e prevê que a declaração completa seja fornecida em até 15 dias do requerimento (artigo 19, inciso II). Os registros de acesso vinculados à sua conta são dados seus.

O banco pode invocar segredo comercial sobre o funcionamento do sistema antifraude, e o próprio artigo 19 ressalva esse ponto. Mesmo assim, o pedido vale a pena. Uma recusa documentada pesa contra a instituição no processo, em que o juiz pode inverter o ônus da prova em favor do consumidor (artigo 6º, inciso VIII, do CDC) e em que, como mostrou o caso paulista, alegar apenas o uso da senha não basta.

O que fazer com as parcelas enquanto o caso não se resolve

Enquanto a contestação é analisada, o contrato segue ativo e as parcelas continuam vencendo. Três cuidados fazem diferença:

• Conteste o empréstimo de forma autônoma. A contestação do Pix não se estende automaticamente ao contrato de crédito. Faça um pedido específico de cancelamento e de suspensão das cobranças, com protocolo próprio.
• Não renegocie, não refinancie e não faça portabilidade do contrato fraudulento. Qualquer novo contrato sobre aquela dívida pode ser apresentado depois como reconhecimento de que ela existia.
• Se precisar pagar para evitar negativação, registre a ressalva. Comunique por escrito que o pagamento é feito sem reconhecimento da dívida e guarde os comprovantes.

Quando a cobrança persiste, é possível pedir ao juiz, em caráter de urgência, a suspensão dos descontos e a proibição de negativação, com base no artigo 300 do Código de Processo Civil. O pedido depende da demonstração da probabilidade do direito e do risco de dano, e por isso a documentação reunida antes faz tanta diferença.

Se o crédito fraudulento foi um consignado descontado do benefício do INSS, a análise passa por um documento próprio, explicado em como emitir e interpretar o extrato de consignados do INSS.

Quando não houve golpe nem transferência, apenas um contrato que apareceu no benefício, o caminho está em empréstimo consignado que não reconheço no INSS.

Compras no cartão feitas durante o golpe

As compras seguem lógica parecida, com duas diferenças práticas.

Primeiro, não existe mecanismo de devolução do Banco Central para o cartão: a contestação é feita diretamente com o emissor, que pode buscar o estorno junto à bandeira. Segundo, golpistas costumam parcelar as compras, e cada parcela futura precisa constar do pedido, ou continuará aparecendo nas próximas faturas.

No mérito, a discussão é a mesma. No caso paulista, as compras foram declaradas inexigíveis porque destoavam do padrão de consumo da titular, demonstrado por extratos bancários e do cartão. No caso da 38ª Câmara citado acima, também um golpe do falso funcionário, as compras parceladas no cartão e as transferências vultosas foram tratadas como incompatíveis com o perfil da correntista, e as parcelas cobradas no cartão entraram na devolução.

Cinco armadilhas que aparecem com frequência

1. Tratar tudo como golpe do Pix. O mecanismo de devolução do Banco Central trata de transferências. Ele não cancela contrato de crédito nem compras no cartão. Veja o que é o MED do Pix e o que ele cobre.
2. Gastar o saldo que sobrou do empréstimo. Enfraquece a tese e pode justificar compensação.
3. Reunir só o extrato do dia do golpe. Sem os meses anteriores, não há como demonstrar o que era normal na conta.
4. Renegociar a dívida fraudulenta. Um acordo ou refinanciamento pode ser lido como reconhecimento do débito.
5. Aceitar estorno parcial com quitação ampla. Devolver parte do Pix e dar quitação sobre todo o prejuízo são coisas diferentes, e às vezes vêm no mesmo termo.

Perguntas que costumam surgir

O banco pode negativar meu nome enquanto contesto o empréstimo?

A contestação formal não impede automaticamente a anotação, mas cria o registro de que a dívida é discutida. Diante de ameaça concreta de negativação, o caminho é pedir ao juiz que a impeça em caráter de urgência. A negativação indevida por dívida fraudulenta é também um dos fatores que os tribunais mais consideram ao examinar pedido de dano moral.

Tenho direito a indenização por dano moral?

Não automaticamente, e aqui os tribunais divergem. No próprio caso paulista de setembro de 2026, o pedido foi negado em primeira instância, e o acórdão tratou apenas do recurso do banco. Já a 38ª Câmara, em maio, considerou o dano moral presumido em caso com descontos em benefício previdenciário. Em geral, pesam a favor desdobramentos concretos, como negativação, descontos em verba alimentar ou demora injustificada do banco em resolver.

O golpista usou o meu próprio celular. Isso me prejudica?

Não necessariamente. No acesso remoto, as operações partem do seu aparelho, com as suas credenciais, e a trava de dispositivo não cadastrado não se aplica. Mas foi exatamente esse o cenário do REsp 2.220.333, em que o STJ condenou o banco a responder integralmente. O que conta é se a sequência de operações deveria ter sido detectada.

Eu mesmo fiz as transferências, orientado pelo golpista. Ainda cabe discutir?

Cabe, mas é o cenário mais disputado. A discussão passa a ser se o banco tinha elementos para perceber a fraude (operações atípicas, empréstimo seguido de saída imediata do dinheiro, várias transações em curto intervalo) e se você foi enganado por técnica sofisticada. Foi o que levou o STJ a manter a condenação no AgInt no REsp 2.250.402/SP. Operações compatíveis com o histórico da conta, ou feitas na agência sem nenhum questionamento, tendem a afastar a responsabilidade do banco.

O roteiro específico para esse golpe, com as provas da ligação, está em golpe da falsa central de atendimento: quando o banco responde.

Quando vale procurar orientação jurídica

Nem todo caso precisa de processo. Quando o banco reconhece a fraude, cancela o contrato, estorna as compras e devolve os valores por escrito, o problema termina ali, e é o desfecho mais rápido.

A análise individualizada tende a fazer diferença em quatro situações: quando o banco nega a fraude com base apenas na autenticação; quando o empréstimo já está sendo cobrado ou descontado; quando há risco de negativação; e quando parte das operações foi feita pela própria vítima, porque é nesse ponto que o resultado mais depende da prova.

Se você identificou um empréstimo feito por golpista na sua conta, o passo seguinte é reunir o contrato, os extratos dos meses anteriores, as faturas do cartão, o relatório do Registrato e os protocolos de contestação para uma análise individualizada. Veja as etapas da análise documental ou conheça a análise de empréstimos fraudulentos e movimentações não reconhecidas.