O celular toca, a tela mostra o número do seu banco e uma voz educada avisa que acabou de ser aprovada uma compra alta no seu cartão. Se não foi você, basta confirmar alguns dados para cancelar. Esse é o golpe do falso atendente do banco, que a Febraban chama de golpe da falsa central de atendimento: ninguém invadiu a sua conta, e o objetivo da ligação é fazer você entregar a senha, o código ou o dinheiro.

No primeiro semestre de 2025, a Febraban contou 139 mil relatos desse golpe, alta de 195,7% sobre o mesmo período do ano anterior, o segundo mais relatado aos bancos. Abaixo estão os roteiros que os golpistas usam, a lista do que o banco nunca pede e o que fazer se você já caiu. Para quem tem pressa:

• Banco nunca pede senha, código, token ou transferência por telefone

• O número do banco na tela pode ser falsificado

• Desligue e ligue de outro telefone para o número oficial

• Caiu? Banco, contestação do Pix pelo MED e boletim de ocorrência

• O banco pode ter de devolver, mas não é automático

Como o golpe da falsa central funciona

No golpe da falsa central, o criminoso se passa por funcionário do banco, diz que a conta foi invadida ou que houve compra suspeita e conduz a vítima a passar senha, código de segurança ou dados, a transferir dinheiro ou a instalar um aplicativo. É engenharia social: a Febraban define como manipulação psicológica para a vítima entregar informação ou fazer a transação.

O contato chega por ligação, SMS ou WhatsApp, e a Febraban descreve várias versões do mesmo crime. As mais comuns:

• Compra aprovada: chega um SMS dizendo que uma compra alta foi aprovada e mandando ligar para um 0800 se você não reconhece. O 0800 é dos golpistas, que dizem que a compra "está em análise" e pedem uma transação para regularizar ou a senha para cancelar.

• Conta segura: o falso gerente diz que a agência ou o gerente está sob investigação, chega a mandar boletim de ocorrência falso e pede que você transfira o dinheiro para uma conta segura enquanto a investigação durar. Em algumas versões, ensina você a dizer que está fazendo um investimento ou uma operação particular, caso o banco ligue para confirmar.

• Novo celular conectado: avisam que um aparelho desconhecido entrou na sua conta e pedem senha e dados para "verificações de segurança".

• Mão fantasma: dizem que há movimentação suspeita e que, para resolver, é preciso instalar um aplicativo. Com ele, o criminoso passa a controlar o celular.

• Falso motoboy: pedem a senha, mandam cortar o cartão sem danificar o chip e avisam que alguém vai buscá-lo na sua casa. O chip continua funcionando nas mãos deles.

Para parecer real, a quadrilha passa a ligação entre falsos "setores", como segurança e Ouvidoria, e usa música de espera idêntica à do banco verdadeiro. Também há a versão com gravação que imita o atendimento eletrônico do banco e oferece duas opções: quem diz não reconhecer a compra cai no falso atendente. A Febraban ainda alerta que existem perfis de WhatsApp usando a própria logomarca dela, e diz que não contata ninguém por SMS, ligação, e-mail ou WhatsApp para procedimentos de segurança.

O que o banco nunca pede

Segundo a Febraban, os bancos nunca ligam pedindo senhas, dados pessoais, tokens ou dados financeiros, nunca pedem transferência para resolver problema na conta, não usam urgência e pressão, nunca pedem para instalar ou atualizar aplicativo e nunca mandam motoboy buscar cartão. Qualquer ligação que peça uma dessas coisas é golpe.

A lista completa, nas palavras da Febraban, publicada em julho de 2026:

• Os bancos nunca ligam para o cliente pedindo senhas, dados pessoais, tokens e dados financeiros.

• Os bancos nunca pedem que clientes façam transferências para resolver problemas na conta.

• Os bancos não usam táticas de urgência e pressão para que o cliente faça algo de maneira imediata.

• Os bancos nunca pedem a instalação ou atualização de aplicativos.

• As instituições nunca pedem que o cliente entregue seu cartão a um motoboy.

• Funcionários de banco não ligam para fazer testes com o Pix, pagamentos ou estornos.

Isso não quer dizer que o banco nunca liga. Ele pode ligar para confirmar uma transação suspeita, mas, segundo a Febraban, quando faz isso já tem todas as informações necessárias e não pede senha, código nem estorno. Se pedirem para digitar senha no teclado do telefone, desligue.

Senha e código de confirmação não têm segunda utilidade. Se alguém do outro lado da linha precisa deles, esse alguém não é o banco.

O número na tela não prova nada

O número que aparece na tela pode ser falso. A Febraban explica que os golpistas usam spoofing, um software que mascara o número de origem e faz a chamada parecer vir do banco ou até da sua agência. Por isso, ver o número oficial na tela não é motivo para confiar na ligação.

A resposta técnica está chegando aos poucos. Desde meados de 2025 existe o Origem Verificada, a autenticação de chamadas da Anatel: quando a empresa aderiu, a tela pode mostrar o nome, o número validado, um selo e o logotipo. Funciona em celular 4G ou 5G com VoLTE ligado; no iPhone, a partir do iOS 18.2, e o selo aparece só no histórico de chamadas.

O Banco do Brasil passou a usar a tecnologia em setembro de 2026, nas ligações do número 4003-3001. Mas a própria Anatel avisa que a adoção é gradual e que chamada sem identificação nem sempre é fraude. A Resolução Anatel 777, de 2025, prevê a autenticação obrigatória de todas as chamadas do país em três anos. Até lá, o selo ajuda quando aparece e não diz nada quando falta.

Como não cair: desligue e ligue você

A regra que resolve quase todos os roteiros é a mesma da Febraban: desligue na hora e, de outro telefone, ligue para o número oficial do banco, o do verso do cartão ou o do site. Outro telefone porque, no golpe, o criminoso continua na linha quando a vítima tenta ligar para o banco e simula o atendimento.

1. Desligue, mesmo que a pessoa saiba seu nome e seu CPF: dado pessoal não prova que a ligação é do banco.

2. Não ligue para 0800 recebido por SMS ou mensagem. A Febraban é taxativa nisso.

3. Não clique em link e não instale nada que alguém mandou. Se você usa Android, saiba que a nova trava de desenvolvedor verificado ainda não alcança o aplicativo instalado por link de site ou WhatsApp.

4. Abra o aplicativo do banco você mesmo e confira se existe a tal compra ou o tal aparelho novo.

Os limites do Pix também diminuem o estrago. Pela regra do Banco Central, o período noturno vai das 20h às 6h e, no Pix de pessoa física para pessoa física, o limite padrão é de R$ 1.000, a menos que você peça outro valor. Dá para baixar até zero: a redução vale na hora, e o aumento leva de 24 a 48 horas. Revise isso no aplicativo, junto com o limite do Pix por aproximação, que ficou sem o teto de R$ 500.

Ligue também as notificações do banco, como recomenda o Banco Central, e combine com a família uma regra simples: banco não pede senha. Se a voz do outro lado for de um parente pedindo dinheiro, o golpe é outro, e o post sobre como identificar voz e vídeo feitos com IA explica o que ainda funciona numa ligação.

Caí no golpe: o que fazer agora

Se você passou senha, código ou dinheiro, avise o banco imediatamente, de outro telefone e pelo número oficial, e peça o bloqueio do aplicativo, dos cartões e da senha. Se saiu Pix, conteste pelo aplicativo para acionar o MED. Depois, troque as senhas, guarde as provas e registre o boletim de ocorrência.

1. Banco: ligue de outro aparelho para o número oficial, conte o que aconteceu e peça o bloqueio. Anote o protocolo e o nome de quem atendeu.

2. Pix: no aplicativo do banco, use a contestação do Pix, que aciona o Mecanismo Especial de Devolução. O Banco Central diz que todas as instituições devem oferecer esse serviço no app.

3. Cartão: bloqueie o cartão e conteste as compras que você não reconhece, inclusive em faturas anteriores.

4. Senhas: troque as senhas onde elas se repetem, ative a verificação em duas etapas e encerre as sessões abertas em outros aparelhos. Para criar senhas novas, o gerador de senha forte do golber.net roda no seu navegador e não envia a senha para lugar nenhum.

5. Aplicativo instalado: se você instalou um app indicado por alguém que se dizia do banco, o CERT.br orienta restaurar o celular para as configurações de fábrica.

6. Provas e boletim: guarde prints, comprovantes, protocolos, números, datas e horários, e registre o boletim de ocorrência, que na maioria dos estados pode ser feito pela internet.

Sobre o MED, os números que importam: você pode pedir a devolução em até 80 dias depois da transação; o banco de quem recebeu bloqueia o valor na hora e tem até 7 dias para analisar. Desde fevereiro de 2026, o MED também rastreia o dinheiro que passou por outras contas. Mas o próprio Banco Central avisa na página de segurança do Pix que o MED não garante a devolução: ela depende de haver saldo na conta do golpista. Por isso a velocidade conta. O passo a passo com o roteiro para falar com o banco está no post sobre o golpe da voz clonada no Pix e os primeiros 60 minutos.

Se o banco não resolver, registre reclamação no site do Banco Central, com a conta gov.br prata ou ouro e verificação em duas etapas. O BC avisa que não resolve casos individuais e que a resposta da instituição pode levar até 10 dias úteis. O CERT.br sugere também conferir no Registrato, do Banco Central, se abriram conta ou chave Pix no seu nome.

O banco tem de devolver o dinheiro?

Depende do caso. A Súmula 479 do STJ diz que os bancos respondem objetivamente por fraudes de terceiros ligadas às operações bancárias, mas o próprio STJ decidiu, em 2026, que a responsabilidade do banco no golpe da falsa central não é automática: é preciso mostrar falha na prestação do serviço.

Três decisões recentes da Terceira Turma do STJ mostram onde a linha passa:

Caso	O que aconteceu	Resultado
Mão fantasma (REsp 2.220.333, novembro de 2025)	A vítima instalou um app a pedido de falso funcionário; o criminoso contratou empréstimo de R$ 45 mil e fez transações fora do perfil	Banco ressarce tudo, sem culpa concorrente da cliente
Falsa central (REsp 2.209.868, julho de 2026)	Dois Pix que não destoavam do histórico e, no dia seguinte, uma transferência de R$ 28 mil feita pela própria cliente na agência	Banco não responde: não houve transação incompatível com o perfil
Falso motoboy (REsp 2.155.065, março de 2025)	A vítima entregou o cartão original e a senha; houve uma compra parcelada em loja física	Culpa exclusiva do consumidor

O padrão que aparece: quando o golpe gera operações fora do seu perfil e o banco deixa passar, a chance de ressarcimento sobe; quando a própria vítima entrega cartão e senha ou faz a transferência de forma que parece normal, cai. Cada caso é julgado pelos fatos. Se o valor for alto, converse com um advogado ou com o Procon antes de aceitar a primeira negativa do banco.

Do outro lado, a lei endureceu. A fraude eletrônica, prevista no artigo 171 do Código Penal, tem pena de 4 a 8 anos de reclusão e multa, e desde maio de 2026 o texto inclui também a duplicação de dispositivo eletrônico ou aplicação de internet, pela Lei 15.397/2026. Isso não devolve dinheiro, mas é mais um motivo para fazer o boletim.

O golpe da falsa central funciona porque usa a sua boa vontade de proteger a própria conta. A defesa é desconfiar justamente de quem diz que está protegendo você.

Perguntas frequentes

O banco liga para o cliente?

Pode ligar, por exemplo, para confirmar uma transação suspeita. Mas, segundo a Febraban, nessa ligação o banco já tem as informações de que precisa e nunca pede senha, código, token, transferência, instalação de aplicativo ou estorno. Na dúvida, desligue e ligue você para o número oficial.

O número do banco apareceu na tela. Pode ser golpe?

Pode. Com o spoofing, o golpista mascara o número de origem e faz a chamada parecer vir do banco ou da sua agência. O selo do Origem Verificada, quando aparece, ajuda, mas a adoção ainda é gradual.

Por que ligar de outro telefone?

Porque, segundo a Febraban, o criminoso pode continuar na linha quando você liga para o número do cartão e simular o atendimento da central. Usar outro aparelho garante que a ligação chegue ao banco de verdade.

Passei a senha mas não fiz transferência. O que faço?

Ligue para o banco pelo número oficial, de outro telefone, e peça o bloqueio do aplicativo, dos cartões e da senha. Depois troque as senhas, ative a verificação em duas etapas e acompanhe o extrato nos dias seguintes.

Qual o prazo para contestar um Pix feito no golpe?

Até 80 dias depois da transação, pelo aplicativo do banco. Quanto antes, melhor, porque a devolução depende de haver saldo na conta de quem recebeu.

Golpe do falso atendente é crime?

É estelionato. Quando a fraude usa informações que a vítima forneceu, enganada por telefone, redes sociais, e-mail ou meio parecido, o Código Penal prevê pena de 4 a 8 anos de reclusão e multa, como fraude eletrônica.