Modus operandi

Golpe da falsa central: por que ele funciona com gente que não é ingênua

A ligação que vem do número do banco, as três variantes do golpe, os gatilhos que fazem funcionar e o que a jurisprudência olha depois.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 17 de novembro de 2026

A primeira coisa que quase toda vítima diz é a mesma: eu não sou bobo. E não é. O golpe da falsa central funciona com professor, com engenheiro, com advogado e com gente que trabalha em banco.

Ele funciona porque não pede que você acredite em algo improvável. Pede que você acredite em algo que acontece o tempo todo: que o seu banco detectou uma movimentação suspeita e está ligando para avisar.

A ligação

O que a vítima vê no visor do celular é o número da central do banco. Isso não é coincidência nem sorte do criminoso, é falsificação do identificador de chamada, e é trivial de fazer. O número que aparece não prova nada sobre quem está do outro lado.

A conversa começa com o golpista já sabendo coisas. Nome completo, em qual banco a pessoa tem conta, às vezes os últimos dígitos do cartão, às vezes uma compra recente. Esse conhecimento prévio é o que derruba a desconfiança nos primeiros trinta segundos, e ele vem de dado vazado, comprado ou obtido em etapa anterior do esquema. Anotar exatamente o que ele já sabia é o item mais útil do caso depois, e o motivo está em vazamento de dados.

E a ligação é longa. Em casos noticiados, a abordagem se estendeu por cerca de duas horas. Isso é proposital. Ligação longa cansa, cria vínculo, elimina a chance de a pessoa desligar e conferir, e constrói a sensação de que aquilo é um atendimento de verdade, porque atendimento de banco é demorado mesmo.

Três variantes

A que pede a transferência. O golpista informa que há uma transação suspeita em curso e que o valor precisa ser movido para uma conta segura, conta espelho ou conta de custódia, enquanto o problema é resolvido. Nada disso existe. Banco nenhum pede transferência para conta de terceiro.

A mão fantasma. Em vez de pedir a transferência, o golpista pede a instalação de um aplicativo, sob o pretexto de atualizar a segurança ou permitir que o setor técnico verifique o aparelho. O aplicativo é de acesso remoto. Instalado e autorizado, quem opera o celular passa a ser o criminoso, que abre o aplicativo do banco, transfere, contrata empréstimo e altera configuração de segurança. O nome vem da sensação de ver a tela se mexendo sozinha.

A do portador. Variante mais antiga e ainda em uso, em que a orientação é destruir o cartão ou entregá-lo a um suposto funcionário que passa no endereço para recolher.

Nas três, o padrão é idêntico: a vítima autentica, autoriza e confirma. Do ponto de vista do sistema, nada foi invadido.

Os gatilhos

Vale nomear o que está sendo explorado, porque reconhecer o mecanismo é mais útil do que decorar lista de golpes:

• Autoridade. A pessoa do outro lado se apresenta como o banco, e usa vocabulário de banco.
• Urgência. O dinheiro está saindo agora. Não há tempo para conferir.
• Prova social de conhecimento. Ele já sabe coisas sobre você, então deve ser quem diz ser.
• Alívio. O golpista não é o problema, ele é a solução do problema. Isso desarma a defesa.
• Compromisso progressivo. Começa pedindo algo pequeno, e cada passo aceito torna mais difícil recuar do seguinte.

Nenhum desses gatilhos tem relação com inteligência. Têm relação com contexto e com tempo de reação.

O que fazer durante a ligação

Uma regra só, e ela resolve todas as variantes: desligue e ligue de volta pelo número que você conhece, o do verso do cartão ou o do aplicativo, de preferência de outro aparelho.

Se for atendimento verdadeiro, nada se perde. Se for golpe, acabou ali. Golpista não sobrevive a desligar e retornar, e é por isso que ele vai insistir para você não desligar, dizendo que a ligação precisa ser mantida por segurança. Essa frase é o sinal mais confiável que existe.

Além disso, três coisas que banco nunca faz: pedir transferência para conta de terceiro, pedir instalação de aplicativo por link enviado em mensagem, e pedir senha, código de autenticação ou número completo do cartão.

O que a jurisprudência olha depois

Aqui está o que diferencia esse golpe dos outros do ponto de vista jurídico: como a vítima autenticou, a discussão não é sobre invasão, é sobre detecção.

O Superior Tribunal de Justiça tratou do tema em decisões que apontam para lados diferentes, e o critério que separa uma da outra é único: as operações destoavam do padrão daquele cliente? Em outubro de 2025 firmou-se que instituições devem aprimorar continuamente os mecanismos de detecção, sobretudo quando as operações destoam do padrão habitual. Em novembro de 2025, que falha no sistema de segurança afasta até a alegação de culpa concorrente, ainda que a vítima tenha instalado o aplicativo. E em julho de 2026, que a responsabilidade não é automática quando as transferências eram compatíveis com o histórico da conta.

O panorama completo, com número de processo e relator de cada uma, está em banco responde por golpe do Pix.

Nos tribunais estaduais, o volume de decisões de 2026 mostra o mesmo eixo aplicado a casos concretos, com condenações quando se reconhece falha de segurança, inclusive para anular empréstimo contratado durante o golpe.

O empréstimo contratado durante o golpe

Essa é a parte que costuma pegar a vítima de surpresa dias depois, e merece tratamento separado.

Em boa parte dos casos o criminoso não se limita a transferir o saldo. Ele contrata crédito em nome da vítima, muitas vezes em sequência, e transfere o valor liberado. O prejuízo deixa de ser o que havia na conta e passa a ser uma dívida que continua correndo, com parcela, juros e risco de negativação.

Juridicamente são duas discussões distintas, e confundi-las atrapalha:

• A transferência é discussão de responsabilidade por falha na prestação do serviço.
• O empréstimo é discussão sobre a própria existência e validade do contrato, já que a manifestação de vontade foi obtida por fraude.

Decisões de 2026 determinaram anulação de empréstimos contratados nessas circunstâncias. Na prática, isso significa que o pedido precisa contemplar as duas frentes, e que a suspensão dos descontos costuma ser urgência autônoma, independente do mérito da devolução do valor transferido.

Uma variação que mudou o jogo depois deste texto: quando o timbre da pessoa conhecida é sintetizado, o reconhecimento de voz deixa de servir como verificação. Tratamos disso em clonagem de voz.

Para quem previne

Se você está do lado da instituição, este é o golpe que mais expõe a diferença entre autenticação e detecção. A autenticação funcionou. O que falhou, quando falha, é perceber que aquele comportamento não é daquele cliente.

Os sinais que costumam estar presentes e podem ser lidos em tempo real:

• Contratação de empréstimo seguida imediatamente de transferência do valor contratado
• Sequência de operações em intervalo curto, com valores crescentes
• Destino novo, nunca usado antes por aquele cliente
• Operação em horário fora da rotina daquele cliente
• Indício de acesso remoto ativo durante a sessão, como aplicativo de espelhamento em execução
• Alteração de limite ou de configuração de segurança momentos antes da transação
• Cliente com histórico de valores baixos fazendo movimentação alta

Nenhum sozinho decide. O conjunto é que forma o padrão que a Resolução BCB 501/2025 pressupõe quando fala em avaliação com base em gestão de risco, e é o mesmo conjunto que o juízo vai examinar depois para decidir se houve falha.

E se já aconteceu com você, o que fazer nas próximas horas está em o guia da hora zero.