Panorama

O que é cangaço digital: como o crime trocou o assalto pela fraude eletrônica

A expressão saiu da Polícia Federal em 2025 e virou termo de mercado. O que ela descreve bem, onde ela engana, e o que mudou na regulação desde então.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicado em 12 de setembro de 2026

Em março de 2025, a Febraban divulgou que fraudes bancárias digitais e golpes com cartão somaram R$ 10,1 bilhões no ano anterior. Ao comentar o número, o diretor-geral da Polícia Federal, Andrei Passos Rodrigues, chamou o fenômeno de cangaço digital e avaliou que a migração do crime organizado para o ambiente virtual é uma realidade irreversível.

A expressão colou rápido em jornal, em Ministério Público e em área de prevenção de banco. Colou porque não fala de volume, fala de natureza. O problema não é que existe mais fraude do que antes. É que um tipo de criminalidade que dependia de arma, carro e fuga passou a depender de conta bancária, script de atendimento e velocidade de liquidação.

De onde veio a expressão

O contexto da declaração importa. Não foi metáfora de palestra, foi a autoridade que comanda a polícia federal brasileira descrevendo uma mudança de prioridade de investigação. Junto com a expressão, a PF explicitou que deixou de concentrar apuração em incidente individual e passou a perseguir a origem da fraude, para interromper o esquema em vez de responder a cada vítima separadamente.

Essa é a parte que quase ninguém citou nas matérias da época, e é a mais relevante. Dizer que o crime organizado migrou para a fraude eletrônica implica tratar golpe como crime organizado, com tudo que isso carrega em termos de investigação: seguir dinheiro, mapear estrutura, identificar quem financia.

Por que a comparação funciona, e onde ela engana

Funciona em três pontos. O cangaço era grupo móvel que atacava onde a resposta do Estado chegava devagar, contava com rede local de apoio e tinha economia própria, feita de quem comprava o produto do saque e de quem dava abrigo. Troque a geografia por jurisdição e você tem a fraude bancária atual: o golpe é aplicado de onde a apuração é mais difícil, a rede de apoio são contas de terceiros, e a economia própria é o mercado de dados vazados, de contas abertas para alugar e de acesso vendido.

Engana também em três pontos, e vale ser preciso nisso antes que o termo vire só manchete.

O cangaço tinha território. A fraude digital tem rota. Ninguém precisa estar perto da vítima, do banco ou do dinheiro, e o mesmo grupo atende alvo em qualquer estado no mesmo dia.

O cangaço era visível, e a visibilidade fazia parte. A fraude digital é projetada para parecer transação normal. A operação mais eficiente é aquela em que nada no sistema acende, porque o cliente autenticou, autorizou e confirmou.

O cangaço tinha figura e nome. Aqui a parte com nome é a mais descartável. Quem abre a conta e quem atende o telefone é substituível e é quem aparece no processo. Quem organiza, financia e fica com a maior parte do dinheiro raramente chega a ser identificado.

O que mudou na economia do crime

A conta que o criminoso faz mudou. Assalto a banco exige deslocamento, arma, gente disposta a morrer e rende o que tem no cofre, uma vez. Fraude eletrônica exige lista de telefone, conta para receber e alguém com script, e pode ser repetida milhares de vezes no mesmo dia, sem que nenhum participante corra risco físico.

O tamanho disso aparece nos números mais recentes. O relatório O Estado dos Golpes no Brasil 2026, divulgado em agosto de 2026, estima que cada adulto brasileiro foi alvo de 201,6 tentativas de golpe digital ao longo de 2025, e calcula algo próximo de 34 bilhões de tentativas de fraude contra brasileiros entre março de 2025 e fevereiro de 2026. No mesmo período, o prejuízo com golpes envolvendo Pix cresceu 43% e chegou a R$ 2,7 bilhões. A Febraban estima que o setor investe cerca de R$ 5 bilhões por ano em segurança e prevenção.

Vale saber de onde esses números saem antes de repeti-los: o levantamento ouviu 1.170 adultos brasileiros, e daí projeta para o país inteiro. É pesquisa por amostra, com a margem que isso carrega, e não contagem de ocorrência.

Tem um dado nesse relatório que costuma ser ignorado e diz bastante: 76% das vítimas relatam impacto significativo ou moderado na saúde mental por causa da fraude, contra 59% na edição anterior. Não é só prejuízo patrimonial.

E tem outro que explica boa parte do que este site trata: entre quem sofreu perda ou teve dado comprometido, apenas 4% comunicaram o caso às autoridades. Quase tudo que acontece nessa área não vira estatística oficial porque nunca chega a ser registrado.

O outro efeito da mudança de economia é a divisão de trabalho. Quem escreve o roteiro do golpe não é quem liga, não é quem abre a conta, não é quem move o dinheiro e não é quem saca. Cada função é contratada separadamente, muitas vezes por anúncio de renda extra em rede social. Isso explica por que prender o elo visível quase nunca interrompe a operação.

Os quatro caminhos que concentram o prejuízo

Conta de terceiro. A fraude precisa de um lugar para o dinheiro cair, e esse lugar precisa ter titular com documento válido. A conta, aqui, é infraestrutura, e titular recrutado é insumo. Desde a Lei 15.397/2026, quem cede conta bancária, de graça ou mediante pagamento, para trânsito de valor ligado a atividade criminosa responde penalmente de forma expressa.

Dispersão e fracionamento. O valor quase nunca fica onde caiu. Ele é quebrado em parcelas menores e espalhado por várias contas em sequência rápida, para dificultar rastreio e para escapar de regra de monitoramento baseada em valor. O padrão é justamente o que expõe o esquema, porque movimentação assim não parece com comportamento de cliente nenhum.

Engenharia social com autenticação válida. É a categoria mais difícil de tratar, porque não existe invasão. O cliente recebe ligação de alguém que sabe seu nome, seu banco e parte do seu histórico, e autoriza a transação por vontade própria, convencido de que está se protegendo. O controle técnico funcionou. O que falhou foi a confiança.

Ataque a quem está no caminho do pagamento. Nem sempre o alvo é o banco. Prestadores de tecnologia que conectam instituições à infraestrutura de pagamento concentram acesso, e comprometer um deles significa desviar recursos de vários lugares ao mesmo tempo. Não é teoria: o pacote de medidas de segurança anunciado pelo Banco Central em setembro de 2025 foi apresentado justamente como resposta à intensificação de ataques e à atuação de organizações criminosas contra instituições financeiras e prestadores de serviço de pagamento.

Depois desses quatro vem uma etapa que não é caminho do prejuízo e sim destino dele, que é transformar o dinheiro em receita explicável. Ela costuma usar produto digital, seja como fachada de lavagem, seja como pirâmide vestida de curso.

Os três eixos da resposta da Polícia Federal

Na mesma ocasião em que a expressão foi usada, a PF indicou três eixos de atuação contra fraude digital: integração do setor público com o privado e entre instituições públicas, descapitalização das organizações criminosas para interromper a operação, e cooperação internacional.

O eixo do meio é o que muda jogo. Prender laranja não para esquema, porque laranja é reposto em uma semana. Tirar o dinheiro do caminho para. E é também o eixo que depende mais do setor privado, porque quem vê a movimentação em tempo real é a instituição financeira, não a polícia.

O que a regulação fez entre 2025 e 2026

Em menos de um ano, o arcabouço mudou em quatro frentes.

Lendo as quatro juntas, aparece um fio condutor. Até 2025, a regulação de fraude olhava principalmente para o canal, ou seja, para autenticação, para dispositivo e para o limite da transação. De 2025 para cá, ela passou a olhar para a infraestrutura do crime: a conta que recebe, o caminho que o dinheiro percorre depois e quem está autorizado a operar no arranjo. A Resolução 501 ataca a conta de destino. O mecanismo de devolução atualizado ataca o repasse em cadeia. A Lei 15.397/2026 ataca o recrutamento de titular. É a mesma ideia de descapitalização que a PF colocou como eixo, traduzida em norma. Com uma ironia que vale registrar: a pena criada para quem cede a conta ficou abaixo da que vinha sendo imputada a essas pessoas, e isso abriu uma discussão própria.

O que a vítima recupera, e em quanto tempo

Aqui convém ser direto, porque é onde mais se promete coisa que não acontece.

Pela via do Pix, o caminho é o mecanismo especial de devolução, e o prazo para a devolução acontecer, confirmada a fraude, vai até o 11º dia contado da contestação. A condição é a que trava quase todo pedido: precisa haver saldo na conta do fraudador. O rastreio de valores já repassados melhora a chance, porque antes o dinheiro saía da conta de destino e o pedido morria ali, mas rastrear não cria dinheiro que já foi sacado.

Pela via civil, o ponto de partida é a Súmula 479 do Superior Tribunal de Justiça, aprovada em 2012, segundo a qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Só que o eixo da discussão se deslocou. No REsp 2.124.423/SP, julgado pela Terceira Turma do STJ em 20 de agosto de 2024, sob relatoria da ministra Nancy Andrighi, o entendimento foi que, atuando a instituição apenas em meio digital ou não, se ela cumpriu o dever de verificar e validar a identidade e a qualificação dos titulares da conta e de prevenir lavagem de dinheiro, não há defeito na prestação do serviço que atraia responsabilidade objetiva. Havendo prova de que as diligências de abertura de conta não foram cumpridas, aí sim se configura falha no dever de segurança. O caso concreto envolvia pagamento de R$ 47 mil por boleto emitido por banco digital, em leilão falso de veículo.

Na prática, isso transforma a discussão. Deixou de bastar demonstrar que o golpe aconteceu usando a estrutura do banco. Passou a importar se a instituição foi diligente, e isso é matéria de prova técnica: registro de abertura de conta, validação de documento e biometria, trilha de auditoria, monitoramento de movimentação atípica. Por isso o que a vítima preserva nas primeiras horas pesa tanto depois. O que não foi guardado no dia não aparece no processo dois anos adiante.

Resumindo o que dá para esperar: recuperação rápida existe e depende de saldo remanescente, não de mérito. Recuperação pela via judicial existe e depende de prova de falha concreta, não de indignação. E prevenção, que é a parte menos contada, depende de instituição que consiga ver o padrão antes do prejuízo, porque é esse o ponto em que a norma brasileira passou a cobrar resultado.