Golpe com dados vazados: quando o banco paga a conta

Por Danilo Pardi e Afonso Morais, da Pardi e Morais

Quando o golpista liga para um aposentado e já sabe o valor do desconto no benefício, o banco credor e o contrato de consignado, a conversa não começa do zero. Começa com uma credibilidade emprestada. E credibilidade emprestada tem origem: alguém deixou esses dados escaparem. Quando essa origem é o banco, a conta do golpe é do banco.

O tema ganhou um caso concreto ontem. A Polícia Civil de Minas Gerais prendeu nove pessoas em Belo Horizonte, Vespasiano e Santa Luzia, suspeitas de integrar uma organização que aplicava golpes em idosos e aposentados. Segundo O Tempo, ao menos 21 vítimas foram identificadas e o prejuízo mínimo estimado é de R$ 300 mil. O delegado responsável afirmou que o grupo obtinha as informações das vítimas por meio de vazamentos “do INSS ou do próprio banco”.

Como o golpe funcionava

Pelo que a polícia descreveu, o roteiro tinha três etapas:

• o contato vinha por telefone ou aplicativo de mensagem, em nome de uma suposta consultoria financeira que prometia reduzir os descontos na folha de pagamento;
• a vítima era chamada a um imóvel alugado pelo grupo, onde entregava fotos e senhas do aplicativo do banco;
• com esse acesso, os criminosos contratavam empréstimos em nome da vítima e faziam até a portabilidade do salário para contas que controlavam. Algumas vítimas ainda pagaram o “serviço” em dinheiro.

O ponto que mais importa juridicamente vem antes de tudo isso. Os criminosos já sabiam quais descontos existiam no benefício de cada vítima. Sem essa informação, a abordagem não teria a mesma força. É ela que transforma uma ligação estranha em um atendimento aparentemente legítimo.

A tese: dado bancário vazado é risco do banco

O Superior Tribunal de Justiça já enfrentou essa situação. No REsp 2.077.278/SP, julgado em 3 de outubro de 2023 pela Terceira Turma, com relatoria da ministra Nancy Andrighi, um cliente pagou um boleto falso de financiamento enviado por golpistas que conheciam os dados do seu contrato. O tribunal decidiu que a instituição financeira responde quando dados pessoais bancários, tratados de forma inadequada, são usados por estelionatário para facilitar o golpe.

Dois trechos do julgado, registrados no Informativo 791, sustentam a tese que defendo. Primeiro, dados sobre operações financeiras são, em regra, presumivelmente de tratamento exclusivo das instituições financeiras. Segundo, é preciso verificar com exatidão quais dados estavam com os criminosos, para identificar a origem do vazamento.

Na minha leitura, essa presunção muda o jogo no golpe do consignado. Se o golpista conhecia o número do contrato, o valor da parcela e o banco credor, a lista de quem tinha essas informações é curta: o banco, o INSS e os correspondentes que operam o crédito. Não cabe à vítima descobrir quem vazou. Pelo art. 43 da LGPD, o agente de tratamento só se exime se provar que não tratou os dados, que não violou a lei ou que a culpa é exclusiva do titular ou de terceiro. E o art. 6º, VIII, do Código de Defesa do Consumidor permite ao juiz inverter o ônus da prova em favor do consumidor.

Não digo que todo vazamento gera indenização automática. A Segunda Turma do STJ, no AREsp 2.130.619/SP, decidiu que o vazamento de dados pessoais comuns não gera, por si só, dano moral presumido. A diferença está entre o vazamento como fato isolado e o vazamento como ferramenta do golpe. No segundo caso, o dano é concreto e tem valor em reais.

O empréstimo feito em nome da vítima

Mesmo quando a vítima entregou senhas, a contratação de empréstimo e a portabilidade do salário por terceiros continuam sendo operações bancárias. A Súmula 479 do STJ é clara: as instituições financeiras respondem objetivamente por fraudes praticadas por terceiros no âmbito de suas operações. E, pelo Tema Repetitivo 1061, quando o consumidor contesta a autenticidade da assinatura de um contrato, é o banco que precisa provar que ela é verdadeira. Na contratação digital, isso significa mostrar quem contratou, de qual aparelho, com qual validação.

Há ainda o dever de vigilância. O STJ já afirmou que o banco deve identificar e impedir transações que destoam do perfil do cliente. Um aposentado que, em poucos dias, contrata empréstimo novo, transfere o salário para outro banco e esvazia a conta apresenta exatamente o padrão que o sistema de prevenção a fraude deveria barrar. Já tratamos disso em detalhe no artigo sobre empréstimo consignado fraudulento.

Ponto de atenção: o que ainda está em aberto

A defesa dos bancos vai sustentar culpa exclusiva da vítima, com base no art. 14, § 3º, II, do CDC, porque ela entregou fotos e senhas pessoalmente. Em 2026, a Terceira Turma do STJ afastou a responsabilidade de um banco em golpe da falsa central justamente por não haver transações incompatíveis com o perfil do cliente. Por isso, o caso de cada vítima depende de duas provas: o que os golpistas sabiam antes do contato e quão fora do padrão foram as operações.

Outro ponto em aberto é o INSS. Se o vazamento partiu da autarquia, o caminho é outro: responsabilidade objetiva do Estado pelo art. 37, § 6º, da Constituição, com ação na Justiça Federal. Identificar a origem não é detalhe. Define contra quem e onde se litiga.

O que fazer na prática

1. Desconfie de quem oferece reduzir descontos. Confirme qualquer desconto pelo aplicativo Meu INSS, pela central 135 ou diretamente com o seu gerente, nunca por intermediários.
2. Guarde a prova do que o golpista sabia. Faça capturas das mensagens e anote os dados que ele citou na ligação. É essa prova que liga o golpe ao vazamento.
3. Consulte o Registrato, do Banco Central. O relatório mostra os empréstimos registrados no seu CPF, inclusive os que você não reconhece.
4. Verifique o bloqueio do benefício. No Meu INSS, confirme se o benefício está bloqueado para novos empréstimos consignados.
5. Conteste no banco e registre boletim de ocorrência. Peça por escrito o cancelamento do contrato e os registros da contratação: data, aparelho e forma de validação.
6. Use a LGPD a seu favor. O art. 18 garante acesso às informações sobre o tratamento dos seus dados. Pedir isso ao banco ajuda a mapear a origem do vazamento.

A conta é de quem guardou mal

O golpe de BH mostra que a engenharia social começa muito antes da ligação. Começa no banco de dados. Quando a informação que deu credibilidade ao golpista estava sob a guarda do banco, a vítima não precisa provar que foi cuidadosa. Precisa mostrar o que o criminoso sabia.

Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.

Se você ou alguém da sua família sofreu um golpe com empréstimo ou desconto em benefício, veja nossa atuação em fraude bancária ou me chame no WhatsApp. A análise começa pelos documentos, e quanto antes, melhor.

Referências

• Suspeitos de aplicar golpes em idosos em BH conseguiram informações após vazamento de dados. O Tempo, 28/10/2026.
• REsp 2.077.278/SP, Terceira Turma, rel. Min. Nancy Andrighi, j. 3/10/2023. Superior Tribunal de Justiça.
• Informativo de Jurisprudência 791, de 18/10/2023. Superior Tribunal de Justiça.
• AREsp 2.130.619/SP, Segunda Turma, rel. Min. Francisco Falcão. Superior Tribunal de Justiça.
• Banco deve identificar e impedir transações que destoam do perfil do cliente. STJ, notícia de 30/10/2023.
• Súmula 479. Superior Tribunal de Justiça.
• Tema Repetitivo 1061. Superior Tribunal de Justiça.
• Lei 13.709/2018 (LGPD), arts. 18 e 43. Planalto.
• Lei 8.078/1990 (Código de Defesa do Consumidor), arts. 6º, VIII, e 14. Planalto.
• Constituição Federal, art. 37, § 6º. Planalto.
• Registrato. Banco Central do Brasil.

Sobre os autores

Danilo Pardi é advogado (OAB/SP 384.895), sócio fundador da Pardi e Morais Advogados, pós-graduado em Direito Digital e Compliance (IBMEC) e em Direito Digital e Proteção de Dados (EBRADI), membro da ANPPD e criador do podcast Falando de Fraudes. Afonso Morais é advogado (OAB/SP 77.133), sócio da Pardi e Morais, com mais de 40 anos de atuação, pós-graduado em Contratos e Direito Bancário e colunista do quadro Alerta de Fraudes.

Foto: Georg Pflueger / Unsplash