O celular sumiu pela janela do carro. O trânsito nem tinha andado. Em poucos minutos, o ladrão abriu o aplicativo do banco pelo aparelho ainda desbloqueado e mandou R$ 1.500 por Pix. A vítima não apertou botão nenhum. Só percebeu ao checar o extrato, horas depois.
O banco recusou o reembolso. Em janeiro de 2024, o Superior Tribunal de Justiça (STJ) derrubou essa recusa e condenou o banco a devolver o valor, mais R$ 6 mil por danos morais.
Esse caso escapa do golpe do Pix que convence a própria vítima a transferir com as próprias mãos. Aqui, quem fez a transferência foi outra pessoa. Um ladrão com o celular na mão. Um invasor com a senha roubada. Alguém que entrou na conta sem que o titular soubesse — e muito menos autorizasse.
A diferença parece sutil. Na prática, ela decide se o dinheiro volta em uma semana ou nunca. Quando o próprio titular faz o Pix enganado, o banco alega que a operação foi autorizada e tenta empurrar a culpa para o consumidor.
Quando é um terceiro que aciona a transferência sem o titular saber, a lógica jurídica muda de lado: o defeito não está na vítima, está na porta que deveria ter travado e não travou.
Duas fraudes de Pix, duas respostas jurídicas diferentes
O Código de Defesa do Consumidor trata bancos como qualquer outro fornecedor de serviço. É a Súmula 297 do STJ que fixa isso: o CDC se aplica às instituições financeiras. E o artigo 14 do CDC diz que o fornecedor responde, independentemente de culpa, pelo defeito na prestação do serviço.
Autenticar quem está do outro lado do aplicativo é parte do serviço que o banco vende. Se um estranho consegue transferir dinheiro da conta de outra pessoa sem que o sistema perceba nada de anormal, essa autenticação falhou. Os tribunais avaliam essa falha, não quem tocou a tela.
Celular roubado ou conta invadida: o que caracteriza a fraude
Entram nessa categoria o celular roubado ou furtado com o aplicativo ainda logado, a conta invadida por vírus ou acesso remoto, o SIM clonado que recebe o código de autenticação em nome de outra pessoa, e o acesso indevido a senha ou token sem que o titular tenha entregado nada por engano.
O ponto comum: o titular não deu o comando, não sabia da operação e não teve chance de impedi-la antes de ela acontecer.
Isso é diferente do golpe em que a própria vítima, convencida por uma ligação ou uma mensagem falsa, digita a senha e confirma o envio com o próprio dedo. Ali a operação foi tecnicamente autorizada, mesmo que por engano.
Aqui, não foi autorizada por ninguém que tivesse o direito de autorizar — e é essa distinção que abre a porta para o mecanismo que o Banco Central desenhou para devolver o dinheiro rápido.
MED: o mecanismo que devolve o dinheiro em dias, não em meses
O Banco Central criou o Mecanismo Especial de Devolução (MED) dentro do próprio Regulamento do Pix, a Resolução BCB nº 1, de 2020. Segundo o guia oficial de implementação do MED, publicado pelo Banco Central, o pagador tem até 80 dias, contados da transação, para contestar uma operação não autorizada.
A instituição que recebeu o dinheiro tem até 7 dias corridos para analisar o pedido. Confirmada a fraude, a devolução deve ocorrer em até 6 horas depois da conclusão dessa análise.
Em 28 de agosto de 2025, o Banco Central publicou a Resolução BCB nº 493, que reforça o MED e ficou conhecida como MED 2.0. A mudança central: o bloqueio dos recursos passa a ser imediato assim que a instituição recebe a notificação de fraude, sem esperar o fim da análise.
O banco de quem recebeu o Pix também passa a poder debitar e devolver o valor em nome próprio, mesmo que o dinheiro já tenha circulado por outra conta. Segundo o levantamento da Demarest Advogados sobre o Fórum Pix, a regra entrou em vigor de forma facultativa em 23 de novembro de 2025 e ficou obrigatória para todas as instituições em 2 de fevereiro de 2026.
O MED não cobre tudo. Fica de fora quando há desacordo comercial entre duas pessoas, quando quem recebeu o valor agiu de boa-fé e não participou da fraude, ou quando o próprio pagador simplesmente errou o destinatário — esse último caso segue outro caminho, o do Pix enviado por engano.
Fora dessas exceções, o MED devolve o dinheiro. Mas devolver não é a única obrigação que o banco pode ter.
Indenização além do MED: quando o banco responde pela falha
A devolução pelo MED é administrativa. Ela não impede que o consumidor busque indenização quando o banco falhou em algo que deveria ter percebido antes.
A Súmula 479 do STJ resume essa tese, segundo a compilação de jurisprudência do TJDFT sobre o tema: “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.” Fortuito interno é o risco que pertence à própria atividade do banco, não um evento externo e imprevisível.
Foi essa lógica que a ministra Nancy Andrighi aplicou no caso do celular roubado no trânsito. Para a relatora, “a não implementação das medidas necessárias configura defeito na prestação do serviço bancário, por violação do dever de segurança”.
O banco alegou fortuito externo — um roubo que não poderia ter evitado. A Terceira Turma rejeitou a tese por maioria: o aparelho ter sido roubado é imprevisível, mas o sistema não travar transferências incomuns feitas logo em seguida não é. Ficou vencido um voto que via, no caso, uma disputa de fatos que o STJ não deveria reabrir.
O Tribunal de Justiça de São Paulo aplicou raciocínio parecido, com números ainda mais extremos, em junho de 2025. Uma cliente foi coagida a entregar suas credenciais depois de um assalto. Em seguida, 123 transações atípicas sangraram R$ 36 mil da conta em um intervalo curto.
Os alertas automáticos de segurança dispararam. O banco não bloqueou nada — só encerrou a conta depois, sob suspeita de fraude. O tribunal confirmou a condenação ao ressarcimento: o volume e o ritmo das operações destoavam tanto do padrão da cliente que ignorá-los também é falha do serviço.
Os limites da responsabilidade do banco
O CDC prevê que o fornecedor se livra da responsabilidade provando culpa exclusiva do consumidor ou de terceiro. Na prática dos tribunais, essa saída fica estreita quando há coação, quando o padrão de uso destoa do perfil do cliente e quando o próprio banco tinha ferramentas de monitoramento capazes de flagrar a anomalia.
Ela se abre quando o titular entregou credenciais por vontade própria, fora de qualquer ameaça, e o banco consegue provar que seguiu à risca os protocolos de segurança vigentes.
Não existe fórmula automática. Cada decisão pesa o mesmo conjunto de fatos: quanto tempo levou para o titular perceber e avisar, se havia sinal de coação, se as transações destoavam do comportamento normal da conta, e se o banco tinha como perceber isso e não percebeu.
A teoria explica os casos que já chegaram decididos. A prática mostra uma etapa mais lenta, e nem sempre favorável, antes de qualquer decisão judicial.
Onde o MED emperra na prática
Nem toda contestação termina em devolução rápida. Em 3 de dezembro de 2023, uma cliente registrou no Reclame Aqui que sua conta no Nubank havia sido invadida e que Pix somando cerca de R$ 4 mil saiu sem sua autorização. O banco respondeu que as operações partiram do aparelho já reconhecido, por reconhecimento facial, e que o MED havia sido acionado automaticamente.
Em junho de 2024, a cliente relatou que o caso seguia sem solução: o banco encerrou a análise concluindo que não houve invasão, sem devolver o valor, e ela acumulou dívida e restrição de crédito por causa do episódio.
O relato ilustra uma etapa que a teoria não mostra: o banco pode acionar o MED e, mesmo assim, negar a fraude ao final da análise.
Quando isso acontece, o consumidor não fica sem caminho — só sai do território administrativo do Banco Central e entra no território da indenização judicial, o mesmo que fundamentou os casos do STJ e do TJSP. Antes de chegar lá, porém, há uma sequência de providências que precisa começar nas primeiras horas.
Passo a passo: o que fazer nas primeiras horas
A urgência aqui é dupla: parar a sangria e deixar rastro documentado de tudo.
- Bloqueie o acesso ao aplicativo do banco e, se possível, o cartão, pelo telefone da instituição ou pelo internet banking em outro aparelho.
- Peça à operadora o bloqueio do chip roubado ou furtado, para impedir que o golpista receba códigos de autenticação em seu nome.
- Troque as senhas de e-mail e de qualquer serviço vinculado à conta bancária.
- Registre um boletim de ocorrência — ele vira prova de que a transferência não partiu de você.
- Abra a contestação formal pelo canal do próprio banco. É esse pedido que aciona o MED e começa a contar o prazo de análise.
Se o banco negar a contestação sem justificar por que considera a operação legítima, ou deixar passar o prazo de 7 dias sem resposta, o próximo passo é registrar reclamação no Banco Central, pelo telefone 145 ou pelo canal Fale Conosco do BC. Guarde print de cada etapa: data da contestação, protocolo e a resposta do banco.
É esse histórico que sustenta uma ação judicial, se for o caso. Em 2025, mais de 830 mil celulares foram roubados ou furtados no Brasil, segundo o 20º Anuário Brasileiro de Segurança Pública. Uma parte considerável desses casos vira exatamente esse tipo de disputa.
A vítima do carro no trânsito levou dois anos até o STJ confirmar que o banco devia devolver R$ 1.500 e mais R$ 6 mil de indenização. Quem documenta o roubo, contesta no mesmo dia e aciona o MED dentro do prazo tem uma chance real de ver o dinheiro voltar em uma semana — não numa sentença.
Fontes citadas no texto
- ConJur — “Banco responde por Pix feito após ser informado de roubo de celular, diz STJ” (12/01/2024) — STJ, REsp 2.082.281, rel. min. Nancy Andrighi.
- ConJur — “TJ-SP confirma decisão que condenou banco a ressarcir vítima de fraude” (24/06/2025) — Processo 1003583-96.2025.8.26.0002.
- Banco Central do Brasil — Guia de implementação do MED (documento oficial, bcb.gov.br).
- Banco Central do Brasil — MED 2.0 — Circuito Pix, Dia 1 (14/10/2025, documento oficial, bcb.gov.br) — confirma a Resolução BCB nº 493, de 28/08/2025.
- Demarest Advogados — “Fórum Pix: Banco Central publica normas que aperfeiçoam procedimentos do Pix” — datas de vigência facultativa (23/11/2025) e obrigatória (02/02/2026) da Resolução BCB nº 493/2025.
- Reclame Aqui — “Pix não autorizado — conta invadida”, reclamação contra o Nubank (03/12/2023, com atualização em 02/06/2024).
- Agência Brasil — “Mais de 830 mil celulares foram subtraídos em 2025, aponta relatório” (06/08/2026) — dado do 20º Anuário Brasileiro de Segurança Pública.
- Tribunal de Justiça do Distrito Federal e Territórios (TJDFT) — “Fraude bancária — responsabilidade objetiva do banco — fortuito interno”, compilação de jurisprudência citando a Súmula 479/STJ.
- Presidência da República — Lei nº 8.078/1990 (Código de Defesa do Consumidor), art. 14.
- Senado Federal — “Pix: fui vítima de golpe. Como recuperar meu dinheiro?” (Senado Verifica, 2026) — canal de atendimento do Banco Central (telefone 145).
