Golpe do falso funcionário de banco como funciona: em 2024, 105 mil pessoas foram vítimas no Brasil. O criminoso sabia seu nome, agência e até o nome do gerente. Saiba como age, como se proteger e se o banco é obrigado a devolver.
Por NSE — Não Seja Enganado
O telefone tocou. Na tela: o número oficial do banco.
A voz era calma. Profissional. O atendente disse o nome dela, citou a agência, mencionou movimentações suspeitas na conta. Era urgente. Ela precisava instalar um aplicativo para proteger o saldo.
Ela instalou.
Em minutos, o criminoso contratou um empréstimo de R$ 45 mil no nome dela — sem que ela percebesse, sem que autorizasse, sem que o banco bloqueasse nada.
Esse caso chegou ao Superior Tribunal de Justiça em outubro de 2025. O STJ decidiu, por unanimidade, que o banco deveria devolver tudo. Não metade. Tudo.
[Nota: Este caso é real e está documentado no REsp 2.220.333, julgado pela Terceira Turma do STJ em outubro de 2025, rel. Min. Ricardo Villas Bôas Cueva.]
O Golpe do Falso Funcionário Está Entre os Três Mais Comuns no Brasil
Em 2024, o golpe do falso funcionário de banco foi um dos três esquemas mais relatados por clientes às instituições associadas à Febraban — ao lado do golpe do WhatsApp e das falsas vendas online.
Os números são concretos.
105 mil pessoas foram vítimas do golpe do falso funcionário só em 2024. No mesmo período, as fraudes e golpes financeiros geraram um prejuízo de R$ 10,1 bilhões ao setor bancário brasileiro — alta de 17% em relação ao ano anterior, segundo a Febraban.
O que torna esse golpe diferente dos outros não é a tecnologia. É a precisão.
Mais de 80% dos golpes bancários registrados em 2024 ocorreram por meio de engenharia social — a arte de manipular alguém psicologicamente até que ela entregue o que o criminoso precisa. O golpe do falso funcionário é a versão mais sofisticada dessa prática.
E funciona justamente com quem pesquisa antes de agir.
Como o Criminoso Sabe o Seu Nome, a Sua Agência e o Nome do Seu Gerente
Essa é a pergunta que toda vítima faz.
A resposta é incômoda: esses dados já estavam disponíveis antes do telefone tocar.
O Brasil acumula um histórico grave de vazamentos de dados em larga escala. Em 2021, um único incidente expôs os dados de 223 milhões de CPFs brasileiros — incluindo nome completo, data de nascimento, endereço, telefone, score de crédito e renda. O número superou a própria população do país porque incluía também dados de falecidos. O arquivo estava disponível gratuitamente em fóruns da internet.
Entre o último trimestre de 2024 e o primeiro semestre de 2025, 416 milhões de contas brasileiras foram expostas em vazamentos — o equivalente a quase duas contas comprometidas por habitante conectado, segundo levantamento da Surfshark. Em abril de 2026, um banco de dados com 251 milhões de CPFs vinculados ao portal Gov.br foi colocado à venda na dark web por menos de R$ 3.000.
Esses dados chegam aos golpistas por três caminhos principais.
Vazamentos de grandes bases: informações de bancos, operadoras, plataformas de e-commerce e órgãos públicos que foram comprometidas ao longo dos anos. Uma vez vazado, o dado não some — circula indefinidamente em fóruns criminosos.
Engenharia social prévia: o golpista pesquisa redes sociais, LinkedIn e outros perfis públicos para montar um retrato da vítima. Foto do escritório revela o empregador. Post no Instagram revela o bairro. Comentário numa reclamação pública revela o banco.
Compra de dados em mercados ilegais: listas segmentadas por banco, faixa de renda e região são compradas e vendidas na dark web. Um pacote com nome, CPF, agência e número de conta de correntistas de um banco específico custa menos do que uma refeição num restaurante de bairro.
Com esses dados em mãos, vem a tecnologia que fecha o cerco: o spoofing telefônico.
O spoofing permite que criminosos manipulem o identificador de chamadas, fazendo com que o número exibido na tela do destinatário seja qualquer número que escolherem — inclusive o número oficial do banco ou o ramal direto da agência do cliente.
A vítima olha para o celular, reconhece o número e atende sem desconfiar.
Ver o número correto do banco no visor elimina, de saída, a principal barreira de defesa do consumidor: a desconfiança. A partir daí, o golpista conduz a conversa com dados reais que você reconhece, num roteiro ensaiado que parece mais legítimo a cada resposta que ele dá.
Em casos documentados em São Paulo, Brasília e outras capitais, o grau de personalização chegou ao extremo: o golpista sabia que o gerente real estava de férias naquela semana.
O Script: Passo a Passo de Como o Golpe Acontece
O roteiro é padronizado. Cada etapa foi desenhada para reduzir a resistência e acelerar a decisão — antes que você tenha tempo de verificar qualquer coisa.
Primeiro: credibilidade.
O golpista confirma dados reais. Seu nome. O número da agência. Às vezes o nome do gerente. Cada dado confirmado aumenta a percepção de que é legítimo. Você pensa: esse cara sabe quem sou.
Segundo: urgência fabricada.
O criminoso afirma que a conta foi comprometida. Há uma movimentação suspeita, uma compra não reconhecida, um Pix de alto valor prestes a ser executado. O tempo para agir é curto. Minutos, não horas.
Terceiro: o pedido que parece razoável.
O golpista informa que vai enviar um link para a instalação de um aplicativo que irá solucionar o problema. O aplicativo é real — AnyDesk, TeamViewer, RustDesk. Ferramentas legítimas, usadas por suporte técnico o dia todo. O problema é o que acontece depois de instalar.
Quarto: o acesso total.
O criminoso usa o software para visualizar a tela e realizar operações como se fosse a própria vítima. Acessa configurações, senhas salvas, aplicativos bancários — e faz Pix, paga boletos e contrata empréstimos em tempo real.
Você está olhando para a tela. O golpista está no controle. E você acredita que o banco está do seu lado.
Nem Todo Golpe Pede o Aplicativo
O acesso remoto é a versão mais conhecida — mas o script muda conforme você reage.
O golpe do motoboy: o golpista pede que você envie o cartão físico com um motoboy para "cancelamento seguro". A lógica apresentada parece oficial. A vítima entrega o cartão — às vezes com a senha.
O golpe da conta espelho: você é instruído a fazer um Pix para uma "conta de segurança temporária", onde o dinheiro ficaria protegido enquanto a fraude é investigada. O dinheiro vai direto para a conta do criminoso.
O golpe da linha aberta: o golpista pede que você desligue e ligue de volta, mas oferece um número falso — ou mantém a linha aberta para simular o atendimento. Quando você "liga de volta", está falando com o mesmo criminoso.
O golpe do token: o golpista solicita o token, a senha de internet banking ou códigos de SMS para "validar a identidade". Com o código, acessa o aplicativo sem precisar de mais nada.
Por Que É Tão Difícil Resistir Mesmo Sabendo Que Existe
Há uma razão técnica para esse golpe funcionar com pessoas alertas, educadas, que conhecem a existência de fraudes bancárias.
A razão se chama urgência emocional.
O objetivo do golpista é criar tensão suficiente para que você aja sem tempo de refletir — um mecanismo clássico de engenharia social. Quando o cérebro percebe ameaça imediata — seu dinheiro está sendo transferido agora — ele ativa resposta rápida que contorna a análise racional.
O golpista sabe disso.
O script é calibrado para maximizar o pânico controlado: urgência suficiente para impedir a reflexão, calma suficiente para manter a obediência. Voz profissional. Dados reais. Número correto na tela.
O STJ reconheceu esse mecanismo com clareza na decisão de novembro de 2025: "O acesso de terceiros a aplicativos e senhas pessoais não ocorre por falta de cautela dos correntistas, mas em virtude de fraude contra eles cometida."
Cair no golpe não é erro do consumidor.
É o resultado de uma operação estruturada contra ele.
O Banco É Obrigado a Devolver o Dinheiro?
Em muitos casos, sim.
A base legal é a Súmula 479 do STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias."
Em português direto: o risco de fraude é parte do negócio bancário. Se o banco lucra com a operação de crédito e movimentação de contas, deve também arcar com o risco de segurança que essa atividade gera.
O caso do REsp 2.220.333 é a prova mais recente disso.
A Terceira Turma do STJ decidiu, por unanimidade, que não é possível dividir o prejuízo com o consumidor quando o golpe ocorreu por falha no sistema de segurança bancária. O tribunal de segunda instância tinha reduzido a condenação à metade, alegando culpa concorrente da vítima. O STJ derrubou essa decisão. O banco pagou tudo.
O fundamento: um empréstimo de R$ 45 mil contratado sem histórico de crédito da correntista, com diversas transações incompatíveis com o perfil da conta, deveria ter sido bloqueado automaticamente. Não foi. Isso é defeito do serviço.
A responsabilidade do banco só pode ser afastada mediante prova da inexistência de defeito na prestação do serviço ou da ocorrência de culpa exclusiva do consumidor — conforme estabelecido no artigo 14 do Código de Defesa do Consumidor.
A ressalva existe: há casos em que o banco não é condenado. Quando o juiz identifica culpa exclusiva da vítima, a responsabilidade pode cair. Por isso documentação é decisiva — quanto mais prova você tiver do golpe, mais sólida é a sua posição.
O Que Fazer Se Você Cair no Golpe
O tempo importa. Cada minuto reduz a chance de recuperação.
Imediatamente: ligue para o banco usando outro aparelho. Informe que você foi vítima de fraude e peça bloqueio imediato da conta e de todos os limites. Se instalou aplicativo de acesso remoto, desinstale antes de ligar — ou reinicie o celular para cortar o acesso do criminoso.
Nas primeiras horas: registre boletim de ocorrência. Pode ser feito online na maioria dos estados. O BO é documento indispensável para qualquer ação judicial posterior.
No banco: formalize a contestação pelos canais oficiais. Se o golpe envolveu Pix, solicite o MED — Mecanismo Especial de Devolução, disponível para fraudes comprovadas. O banco tem prazo para analisar e responder.
Se o banco negar: registre reclamação no Banco Central pelo Consumidor.gov.br. Junte tudo — registros de ligação, prints, BO, extrato das transações. Com essa base, procure o Juizado Especial Cível. Para valores até 20 salários mínimos, não é necessário advogado. E a jurisprudência é favorável ao consumidor nos casos que envolvem engenharia social.
Como Se Proteger do Golpe do Falso Funcionário de Banco
O golpe explora um ponto cego específico: o momento em que você acredita estar sendo protegido. A proteção começa por desmontar essa ilusão.
Saiba o que nenhum banco faz por telefone.
Nenhum banco solicita instalação de aplicativo por ligação. Nenhum banco pede senha, token ou código de SMS durante uma chamada. Nenhum banco orienta transferência para "conta segura". Nenhum banco manda motoboy recolher cartão. Nenhum banco pede que você ligue para um número diferente do verso do seu cartão.
Se qualquer uma dessas situações ocorrer durante uma ligação — independente do número que aparecer na tela — desligue. Espere alguns minutos para garantir que a linha caiu. Ligue para o banco pelo número do verso do seu cartão, usando outro aparelho se possível.
Use autenticação mais forte.
Nunca use SMS como segundo fator de autenticação. Se o golpista controla seu celular, ele lê o código antes de você. Use aplicativos de autenticação como Google Authenticator ou Microsoft Authenticator — eles geram códigos locais que o criminoso não consegue interceptar remotamente.
Configure limites para horários de baixo uso.
A maioria dos bancos permite reduzir limites de Pix e transferências para o período noturno. Um empréstimo contratado às 3h da manhã por alguém sem histórico de crédito é exatamente o tipo de operação que deveria ser bloqueada automaticamente — e que, quando não é, constitui defeito do serviço bancário passível de indenização.
Verifique se seus dados já vazaram.
Acesse o site haveibeenpwned.com e insira seu e-mail para verificar se ele foi exposto em algum vazamento. Para CPF, a Serasa oferece monitoramento gratuito pelo aplicativo. Saber que seus dados estão circulando não impede o golpe — mas aumenta a vigilância no momento certo.
Treine a pausa.
Antes de tomar qualquer ação solicitada por uma ligação inesperada — instalar, transferir, confirmar, enviar — faça uma pergunta internamente:
"Se isso é real, posso desligar agora, ligar para o banco pelo número do meu cartão e confirmar?"
Um banco legítimo sempre vai dizer sim.
Um golpista vai criar uma razão para você não fazer isso.
Essa razão — qualquer que seja ela — é o golpe.
Os Sinais de Alerta que Aparecem Antes do Prejuízo
Reconhecer o golpe do falso funcionário de banco começa por identificar os padrões que surgem antes de qualquer pedido explícito.
A ligação chegou sem você ter feito nada. Bancos raramente ligam de surpresa para tratar de segurança — quando o fazem, nunca pedem ação imediata por telefone.
O atendente criou urgência antes de explicar o problema. A sequência correta é: explicação do que ocorreu, depois orientação de como proceder. Quando a urgência vem primeiro, é script de golpista.
Você foi instruído a não contar para ninguém enquanto "o processo está em andamento". Funcionários legítimos de banco nunca pedem sigilo.
O atendente pediu que você desligasse e ligasse de volta para um número diferente do verso do cartão. Esse número é do golpista.
Qualquer código chegou por SMS enquanto você ainda estava na linha. Esse código foi gerado porque o golpista já tentou acessar sua conta — e precisa do código para concluir.
Fontes: Febraban — Levantamento de Golpes 2024 (portal.febraban.org.br) · STJ — Súmula 479 · STJ — REsp 2.220.333, julgado em 07/10/2025, Terceira Turma, rel. Min. Ricardo Villas Bôas Cueva · FGV — Análise do vazamento de dados de 223 milhões de CPFs brasileiros · Surfshark — Relatório de Exposição de Dados Brasil 2024-2025 · Tecnoblog — Investigação do vazamento de 223 milhões de CPFs (2021) · Reclame Aqui — Relatório Golpe da Mão Fantasma (2026). Todos os dados são verificáveis nas fontes indicadas.