Falso funcionário do banco: como reconhecer o golpe e o que fazer

O celular toca, a tela mostra o nome ou o número do seu banco, e uma voz calma e profissional avisa que há uma operação suspeita na sua conta. Em poucos minutos, o saldo pode desaparecer. O golpe do falso funcionário do banco (a «falsa central», no Brasil; a burla do falso funcionário bancário, em Portugal) é um dos mais comuns porque mistura medo e confiança. Veja como ele se desenrola, como reconhecê-lo e o que fazer se você já cedeu.

O roteiro típico do golpe

Os detalhes mudam, mas o fio condutor é quase sempre o mesmo. O golpista entra em contato, muitas vezes depois de obter seus dados em um vazamento, em um SMS falso de entrega ou em um site de phishing. Ele se apresenta como alguém do setor de «fraudes» ou «segurança» do banco, sabe seu nome e, às vezes, seu CPF (ou NIF, em Portugal), os últimos dígitos do cartão ou até compras recentes, e diz que uma operação incomum acabou de ser detectada.

Para tranquilizar, pode mandar um SMS que parece vir do banco ou pedir que você confira que o número que ligou é o do seu cartão. Em seguida explica que é preciso «proteger» a conta agora: cancelar a transação, bloquear o cartão, mover o dinheiro para uma «conta segura» ou aprovar uma notificação no aplicativo. Cada um desses pedidos é, na verdade, a própria operação fraudulenta.

No Brasil existe ainda uma variante conhecida como «golpe do motoboy»: dizem que o cartão foi clonado e mandam alguém buscá-lo em casa, às vezes pedindo antes que você o corte «sem destruir o chip» ou informe a senha. Um banco nunca envia um entregador para recolher cartão e senha.

A pressão é constante: «temos poucos minutos», «não desligue, ou a operação sai». É esse ritmo que impede você de pensar.

Por que o número na tela não prova nada

O número que aparece quando o telefone toca é uma informação que o autor da chamada consegue, em alguns casos, falsificar. É o chamado spoofing. Os golpistas exibem o número oficial de uma agência ou do atendimento ao cliente, às vezes o mesmo que está impresso no verso do cartão. Isso tranquiliza muito as vítimas, e é exatamente por isso que é usado.

Guarde isto: uma chamada recebida nunca é prova de nada. Se for mesmo o seu banco, ele entenderá que você desligue para ligar de volta: um atendente de verdade não se ofende.

Pedidos que devem acender o alerta na hora

• Informar um código recebido por SMS ou gerado no app (token, código de autenticação do cartão, código de acesso). Esse código autoriza uma operação em seu nome; ninguém precisa dele para «protegê-lo».
• Aprovar uma notificação no aplicativo do banco para «cancelar» um pagamento. Aprovar é autorizar.
• Fazer um Pix ou uma transferência para uma conta «segura», «de passagem» ou «temporária». Nenhum banco move o seu dinheiro assim.
• Instalar um aplicativo de controle remoto (AnyDesk, TeamViewer ou similar) para «verificar o aparelho». O golpista passa a ver a sua tela e a agir como você.
• Cadastrar o seu cartão em uma carteira digital (Apple Pay, Google Pay) com um código ditado por ele: o cartão passa a funcionar no celular de quem ligou.
• Entregar ou «destruir» o cartão para um entregador, ou ditar login, senha e chave de segurança.

Basta um desses sinais para concluir que é tentativa de fraude, por mais educado que seja o tom e por mais preciso que seja o vocabulário.

O reflexo certo: desligar e ligar você mesmo

O gesto que neutraliza quase todos esses ataques é simples. Desligue, espere uns dez segundos para ter certeza de que a linha caiu e contate o banco por conta própria. Use o aplicativo oficial ou um número que você encontrou sozinho (verso do cartão, extrato, site oficial). Nunca retorne para o número que acabou de ligar e não responda a um SMS que peça isso.

Se o interlocutor era um golpista, o banco confirmará e você terá perdido dois minutos. Se era uma ligação legítima, o banco poderá verificar tudo com você em boas condições. Nos dois casos, desligar não custa nada.

O que fazer se você já aprovou algo ou passou um código

1. Ligue para o banco imediatamente (app ou número do cartão) e peça o bloqueio do cartão, a contestação das operações e, se possível, a devolução do que acabou de sair. As primeiras horas são decisivas.
2. Corte o acesso remoto se instalou algum aplicativo: desinstale, desconecte o aparelho da internet e troque as senhas a partir de outro dispositivo.
3. Guarde as provas: capturas de tela, SMS, registro de chamadas, horários, valores e dados da conta de destino.

No Brasil: se o dinheiro saiu por Pix, peça ao banco, o quanto antes, a abertura do MED (Mecanismo Especial de Devolução). O prazo para pedir é de até 80 dias, mas quanto mais cedo, maiores as chances de ainda haver saldo na conta de destino. Registre um boletim de ocorrência, em muitos estados pela delegacia virtual. Se o banco não resolver, registre reclamação na ouvidoria, no Banco Central, no consumidor.gov.br ou no Procon. A SaferNet Brasil recebe denúncias de crimes na internet.

Em Portugal: peça ao banco o bloqueio do cartão e do MB WAY e, se for uma transferência, a tentativa de recolha dos fundos. Apresente queixa à PSP, à GNR ou à Polícia Judiciária (ou pelo sistema Queixa Eletrónica, nos casos que ele abrange); muitos bancos pedem o número da queixa. Pode também comunicar o caso ao Centro Nacional de Cibersegurança (CNCS) e reclamar ao Banco de Portugal se o banco não responder.

Seus direitos: o banco devolve o dinheiro?

No Brasil, o banco é fornecedor de serviço e responde pelos riscos da sua atividade (Código de Defesa do Consumidor). A Súmula 479 do STJ diz que as instituições financeiras respondem objetivamente pelos danos causados por fortuito interno, relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Os bancos, porém, costumam alegar culpa do cliente quando ele mesmo informou senha e token ou aprovou a operação, e os tribunais analisam cada caso, considerando se os sistemas de segurança do banco falharam e quão sofisticada foi a manipulação. Ou seja, a devolução nem é automática nem está descartada. Se o banco recusar, é possível reclamar na ouvidoria, no Banco Central e no Procon, e recorrer ao Juizado Especial Cível.

Em Portugal, pelas regras europeias de pagamentos (aplicadas pelo Decreto-Lei 91/2018), quando uma operação não foi autorizada o banco deve reembolsar de imediato, em regra o mais tardar até ao final do dia útil seguinte, salvo suspeita fundada de fraude do cliente. Em geral há 13 meses, a contar do débito, para contestar uma operação não autorizada. O cliente só suporta as perdas se houver fraude ou negligência grosseira de sua parte. A dificuldade surge quando foi você a aprovar a operação, por exemplo confirmando uma transferência: o banco pode invocar negligência grosseira, e os tribunais avaliam caso a caso. Se o banco recusar, pode reclamar ao Banco de Portugal, recorrer à arbitragem de consumo e pedir apoio à DECO PROteste ou a um advogado.

Este texto é informativo e não substitui aconselhamento jurídico.

Hábitos que reduzem o risco no dia a dia

• Ative as notificações de pagamento e leia o texto completo antes de aprovar qualquer coisa.
• Defina limites de Pix, transferência e cartão compatíveis com o seu uso (inclusive limite noturno, no Brasil); dá para alterá-los no app a qualquer momento.
• Desconfie de SMS falsos de entrega, reembolso e impostos: servem para coletar os dados que tornam a ligação seguinte convincente. Veja nosso guia sobre SMS falsos de entrega.
• Avise a família, sobretudo os mais velhos: o banco nunca pede código, token nem transferência por telefone. Essa frase evita a maioria dos casos.
• Na hora de enviar dinheiro, confira o nome do destinatário que o app mostra (no Pix) ou o aviso de verificação do beneficiário. Desde outubro de 2025, os bancos da zona do euro, Portugal incluído, devem oferecer essa verificação (nome e IBAN) antes de uma transferência: se aparecer um alerta, leia.
• Não sabe se um e-mail ou número é legítimo? Consulte como verificar um e-mail ou telefone suspeito.