Golpes do Pix, do falso parente e do falso sequestro: quem responde e como se defender?

Uma mensagem de WhatsApp de um número desconhecido: “Oi, pai, mudei de celular. Pode me fazer um Pix urgente?”. Ou uma ligação com choro ao fundo e a voz de um estranho dizendo que seu filho foi sequestrado. Em minutos, o dinheiro sai da conta e a vítima descobre que nada era verdade.

Esses golpes se tornaram rotina no Brasil, e as perguntas jurídicas são sempre as mesmas: que crime é esse, quem responde, o banco tem alguma responsabilidade e o que acontece com quem emprestou a conta para o dinheiro passar?

Como a lei enquadra esses golpes

Estelionato (art. 171 do Código Penal). Quem induz alguém a erro, mediante artifício ou fraude, para obter vantagem ilícita comete estelionato. É a base do golpe do falso parente, no qual o criminoso se passa por outra pessoa para convencer a vítima a transferir dinheiro. Quando o golpe é aplicado por WhatsApp, rede social ou telefone, como costuma ser o do falso parente, o enquadramento é o da fraude eletrônica.

Fraude eletrônica (art. 171, §2º-A). A Lei 14.155/2021 criou uma modalidade específica para fraudes cometidas com informações fornecidas pela vítima ou por terceiro induzido a erro, por meio de redes sociais, contatos telefônicos, e-mail fraudulento ou qualquer outro meio fraudulento análogo. A pena é de reclusão de 4 a 8 anos e multa, bem mais severa que a do estelionato simples, que é de 1 a 5 anos. Em 2026, a Lei 15.397 incluiu expressamente como meio da fraude eletrônica a duplicação de dispositivo eletrônico ou de aplicativo, como a clonagem do WhatsApp.

Falso sequestro (art. 158 do Código Penal). No falso sequestro, o golpista ameaça a vítima para obter o dinheiro. Por isso, a jurisprudência costuma enquadrar o caso como extorsão, com pena de 4 a 10 anos, e não como estelionato: a vítima paga por medo, não por engano.

Vítima idosa ou vulnerável. O §4º do art. 171 prevê aumento de pena, de um terço ao dobro, quando o crime é cometido contra idoso ou pessoa vulnerável. Como os idosos são alvos frequentes, esse dispositivo é muito usado.

Invasão de dispositivo informático (art. 154-A) e furto mediante fraude eletrônica (art. 155, §4º-B). Quando o golpista acessa o aplicativo bancário da vítima e ele mesmo faz as transferências, o caso costuma ser de furto mediante fraude eletrônica, com pena de 4 a 10 anos desde 2026. A invasão de dispositivo informático pode se somar, em concurso, quando há invasão real do aparelho, por exemplo com programa malicioso. Já a clonagem do WhatsApp em geral é feita sem invadir o celular da vítima (o golpista obtém o código e registra a conta em outro aparelho) e hoje está prevista na própria fraude eletrônica.

A representação da vítima

O Pacote Anticrime (Lei 13.964/2019) passou a exigir, como regra, a representação da vítima no estelionato: a vítima precisava manifestar o interesse de ver o autor processado. Em maio de 2026, a Lei 15.397 revogou essa exigência: para golpes praticados a partir de 04/05/2026, o estelionato voltou a ser crime de ação penal pública incondicionada, e o Ministério Público pode processar o autor independentemente da vontade da vítima. Para fatos anteriores, a representação continua necessária, porque a lei mais gravosa não retroage.

Nesses fatos anteriores, a representação não era exigida quando a vítima era a administração pública, criança ou adolescente, pessoa com deficiência mental, maior de 70 anos ou incapaz.

Isso reforça a importância de registrar o boletim de ocorrência e, nos golpes anteriores a 04/05/2026, formalizar a representação dentro do prazo de seis meses a partir do momento em que a vítima descobre quem é o autor.

Outra novidade da Lei 14.155/2021 é a competência: no estelionato praticado mediante depósito, cheque sem fundos ou transferência de valores (inclusive Pix), o processo tramita na comarca do domicílio da vítima, o que facilita o acesso à Justiça. A regra não vale para a extorsão (falso sequestro) nem para o furto mediante fraude.

Os bancos respondem?

Do ponto de vista civil, podem responder, mas não em todos os casos. A Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Em outras palavras, se o banco falhou em seus mecanismos de segurança, ele pode ser obrigado a indenizar. Mas essa responsabilidade não é automática: o banco deixa de responder se demonstrar que o serviço não teve falha ou que a culpa foi exclusiva da vítima ou de terceiro, fora da operação bancária (CDC, art. 14, §3º).

O ponto mais debatido é a diferença entre dois cenários:

• Fraude clássica, sem participação da vítima: conta invadida, cartão clonado, operações fora do perfil do cliente. Aqui a responsabilidade do banco é mais evidente, sobretudo se ele não bloqueou transações atípicas.
• Golpe com participação da vítima: ela mesma faz o Pix, convencida pelo golpista. Muitos bancos alegam culpa exclusiva da vítima. Os tribunais, no entanto, vêm analisando se a operação fugia do padrão de comportamento do cliente (valor, horário, destinatário novo, muitas transferências seguidas) e se o banco tinha meios de perceber e impedir a fraude. O STJ tem decidido nos dois sentidos. Quando o golpe começa e termina fora do banco (rede social, WhatsApp) e a própria vítima faz o Pix com sua senha, sem nada de atípico, a Justiça tem afastado a responsabilidade do banco.

Existe ainda o Mecanismo Especial de Devolução (MED) do Banco Central, que permite ao banco da vítima solicitar o bloqueio e a devolução de valores em caso de fraude. Desde fevereiro de 2026 está em vigor o MED 2.0: o pedido pode ser feito pelo próprio aplicativo do banco, e o sistema segue o dinheiro também nas contas por onde ele passou depois, não só na primeira. O prazo para a vítima pedir continua sendo de até 80 dias da transferência. Ele não garante o ressarcimento, pois depende de haver saldo nessas contas, mas quanto mais rápido o acionamento, maiores as chances. O MED não cobre erro de digitação do próprio usuário.

O “laranja”: quem empresta a conta também responde

Grande parte dos golpes depende de contas de terceiros para receber e diluir o dinheiro. É o “laranja”, muitas vezes alguém que aceitou ceder a conta em troca de uma pequena comissão.

A resposta penal depende do que ele sabia:

• Com conhecimento de que o valor que está recebendo é ilícito: desde maio de 2026, ceder a conta (gratuitamente ou por comissão) para que por ela passe dinheiro de crime é crime próprio, a “cessão de conta laranja” (art. 171, §2º, VII, do Código Penal, pena de 1 a 5 anos). Antes disso, a Justiça se dividia entre considerar o laranja partícipe do estelionato ou autor de receptação (art. 180 do CP). Lavagem de dinheiro só se configura se houver intenção de ocultar a origem do dinheiro.
• Sem qualquer conhecimento: não há crime, pois falta o dolo. Quem precisa provar o dolo é a acusação, mas, na prática, receber comissão, repassar o dinheiro na hora ou entregar senha e cartão costumam ser usados como indícios de que a pessoa sabia.

Na esfera civil, o titular da conta pode ainda ser condenado a devolver o valor à vítima, além de sofrer bloqueios judiciais e o encerramento de suas contas. A mensagem para quem pensa em “emprestar” a conta é clara: o risco é próprio, e as consequências são graves.

Como se defender

Antes do golpe

• Desconfie de mudanças de número e de pedidos de dinheiro com urgência. Ligue para o parente no número antigo ou combine uma palavra-chave familiar.
• Ative a verificação em duas etapas no WhatsApp e no aplicativo do banco.
• Ajuste o limite de Pix, sobretudo o noturno, e use a função de bloqueio de novos dispositivos.
• Evite expor dados pessoais, fotos de documentos e rotinas familiares em redes sociais.

Se cair no golpe

• Acione imediatamente o banco e peça o bloqueio e a abertura do MED. O tempo é decisivo.
• Guarde as provas: prints da conversa, comprovantes, números de telefone, chave Pix do destinatário, com data e hora.
• Registre um boletim de ocorrência, de preferência online.
• Formalize a representação criminal contra o autor se o golpe aconteceu antes de 04/05/2026, no prazo de seis meses; para golpes posteriores, ela não é mais exigida.
• Se o banco não resolver, recorra à Ouvidoria do próprio banco, ao Procon ou ao consumidor.gov.br e registre reclamação no Banco Central, que encaminha o caso ao banco (o BC não decide o caso individual). O Registrato, do BC, serve para conferir contas, chaves Pix e empréstimos abertos em seu nome. As respostas e os protocolos também servem de base para avaliar se há fundamento para uma ação de indenização.