Uma mensagem chega ao celular de uma mãe, vinda de um número desconhecido, com a foto do filho no perfil: “Oi, mãe, troquei de número e o banco bloqueou meu acesso. Consegue fazer um Pix urgente para eu pagar uma conta hoje?”. Em outra situação, o dono de uma pequena empresa percebe que seus contatos de WhatsApp estão recebendo pedidos de dinheiro em seu nome, enviados por alguém que assumiu o controle de sua conta. Cenários como esses se tornaram frequentes e revelam um problema que une tecnologia, comportamento e Direito: a clonagem de aplicativos de mensagem e o chamado golpe do falso contato.
Este artigo apresenta, de forma técnica e equilibrada, como a legislação brasileira enxerga essas fraudes, quais são as responsabilidades das pessoas e das instituições envolvidas e que medidas práticas podem ser adotadas por consumidores e empresas, tanto para prevenir quanto para reagir quando o golpe já ocorreu.
Como o golpe funciona
Há duas modalidades principais, frequentemente confundidas. Na primeira, o golpista não invade nada: ele apenas cria uma conta nova, com outro número, e usa foto e nome copiados de redes sociais para se passar por familiar, amigo, colega ou superior hierárquico. Na segunda, ocorre a clonagem propriamente dita: o criminoso consegue cadastrar o WhatsApp da vítima em outro aparelho, em geral após induzi-la a informar o código de seis dígitos enviado por SMS, e passa a controlar a conta, a lista de contatos e os grupos.
Em ambos os casos, o ponto central é a engenharia social, isto é, a manipulação psicológica que explora urgência, afeto e confiança. O golpista raramente precisa de conhecimento técnico sofisticado; basta que a vítima aja sem conferir a informação por outro canal. Nas empresas, a variação conhecida é o falso pedido de pagamento atribuído a diretores ou sócios, dirigido ao setor financeiro, com solicitação de transferência “sigilosa” e imediata.
Enquadramento legal da conduta
Do ponto de vista penal, a conduta se enquadra, em regra, no crime de estelionato, previsto no artigo 171 do Código Penal. A Lei nº 14.155/2021 acrescentou a esse artigo a figura da fraude eletrônica, aplicável quando a vítima é induzida a erro por meio de redes sociais, contatos telefônicos, correio eletrônico fraudulento ou qualquer outro meio análogo, com pena de reclusão de quatro a oito anos, além de multa. A mesma lei também alterou o artigo 154-A, que trata da invasão de dispositivo informático, e a competência para processar o estelionato praticado por meio de transferência de valores, que passou a ser, como regra, o domicílio da vítima.
Quando há assunção indevida da identidade de outra pessoa para obter vantagem, podem ainda incidir, conforme o caso, os crimes de falsa identidade (artigo 307 do Código Penal) e, se houver acesso indevido à conta, a própria invasão de dispositivo. A tipificação final é tarefa da autoridade policial e do Ministério Público, mas conhecer essas categorias ajuda a registrar a ocorrência de forma adequada.
Na esfera cível, o autor do golpe responde pelos danos materiais e, a depender das circunstâncias, morais, nos termos do artigo 927 do Código Civil. O problema prático, como se sabe, é a dificuldade de identificar e alcançar o responsável, muitas vezes ocultado por números descartáveis, contas de passagem e intermediários. Daí a importância de discutir se outros agentes da cadeia, como bancos e plataformas, têm algum dever a cumprir.
Responsabilidade de bancos, plataformas e demais agentes
Em relação às instituições financeiras, o Superior Tribunal de Justiça consolidou, na Súmula 479, o entendimento de que elas respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. A lógica é a do artigo 14 do Código de Defesa do Consumidor: o fornecedor responde pela falha na prestação do serviço, inclusive quando não houve culpa sua, se o serviço não oferece a segurança que dele se espera.
Isso não significa, contudo, que o banco sempre será responsabilizado. A jurisprudência costuma examinar caso a caso se a operação destoava do perfil do cliente, se houve falha nos mecanismos de segurança, se o banco foi comunicado com rapidez e se o próprio consumidor agiu de modo gravemente negligente, por exemplo ao fornecer senhas e códigos de confirmação ao golpista. Quando a vítima, voluntariamente, realiza a transferência acreditando falar com um parente, a discussão tende a ser mais complexa do que nos casos de movimentação feita à sua revelia, e os resultados variam entre os tribunais. Por essa razão, não é prudente presumir o ressarcimento automático.
Quanto às plataformas de mensagens, o Marco Civil da Internet (Lei nº 12.965/2014) estabelece, em seu artigo 19, que o provedor de aplicações somente responde civilmente por conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências determinadas. Por outro lado, os artigos 10 e 22 da mesma lei permitem que a vítima, por meio de ordem judicial, obtenha o fornecimento de registros de conexão e de acesso, o que pode auxiliar na identificação do autor. Também é relevante a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), que impõe aos agentes de tratamento o dever de adotar medidas de segurança compatíveis com os riscos de seu tratamento de dados.
Cuidados específicos para empresas
No ambiente empresarial, a fraude do falso comando de sócio ou diretor merece atenção particular, porque envolve valores mais altos e pode gerar discussões internas sobre responsabilidade. Do ponto de vista da gestão, a empresa que não possui regras claras para autorização de pagamentos fica mais exposta ao golpe e mais fragilizada para demonstrar que adotou diligência razoável, caso precise acionar o banco, a seguradora ou a Justiça.
Recomenda-se, assim, que a empresa formalize uma política de pagamentos que exija dupla conferência para transferências fora da rotina, verificação por canal distinto daquele em que o pedido foi recebido (por exemplo, ligação para um número previamente cadastrado) e restrição do uso de aplicativos pessoais para comandos financeiros. Também é aconselhável treinar equipes sobre fraudes conhecidas, registrar essas orientações em documento interno e manter evidências de que os colaboradores foram informados. Essas providências reduzem o risco de prejuízo e facilitam a apuração de eventual falha de procedimento, sem que se precise recorrer, de imediato, a medidas de responsabilização individual.
Orientações práticas: o que fazer diante do golpe
A rapidez é o fator mais importante. Quando a fraude é percebida, recomenda-se adotar, sem demora, as seguintes providências:
1) Contatar imediatamente o banco, pelos canais oficiais, informar a transferência indevida e solicitar o bloqueio e a contestação da operação. No caso do Pix, a instituição pode acionar mecanismos de devolução entre bancos, cuja eficácia depende de ainda existirem recursos na conta de destino. 2) Registrar boletim de ocorrência, preferencialmente em delegacia ou por meio do serviço eletrônico da polícia civil do estado, reunindo prints das conversas, números de telefone, comprovantes de transferência e dados da conta recebedora. 3) Recuperar o controle da conta de mensagens, solicitando novo código de verificação e, em seguida, ativando a verificação em duas etapas, com PIN próprio. 4) Avisar contatos, grupos e, no caso de empresas, clientes e fornecedores, de que o número foi usado indevidamente, para evitar novas vítimas. 5) Preservar todas as provas, sem apagar conversas, pois elas serão úteis em eventual ação judicial.
Caso o banco negue o ressarcimento, o consumidor pode registrar reclamação no Serviço de Atendimento ao Cliente, na ouvidoria da instituição, no Banco Central e em órgãos de defesa do consumidor, como o Procon e a plataforma consumidor.gov.br. Persistindo o impasse, a via judicial, inclusive perante os Juizados Especiais Cíveis, pode ser avaliada com orientação profissional, considerando o valor envolvido, as provas disponíveis e a jurisprudência aplicável ao caso concreto.
Prevenção: hábitos que reduzem o risco
A prevenção continua sendo o caminho mais eficiente. Convém nunca compartilhar códigos de verificação recebidos por SMS ou aplicativo, desconfiar de pedidos de dinheiro feitos por número novo, mesmo com foto conhecida, e confirmar a identidade da pessoa por ligação ou chamada de vídeo. Também é recomendável limitar a exposição de dados pessoais em redes sociais, configurar a privacidade da foto de perfil, manter o aparelho atualizado e ativar a verificação em duas etapas em todos os aplicativos relevantes. Em casa, vale conversar com familiares mais idosos, que costumam ser alvo preferencial desses golpes, e combinar uma palavra ou pergunta de segurança para situações de emergência.
Conclusão
O golpe do falso contato e a clonagem de aplicativos de mensagem são fraudes que se aproveitam menos da tecnologia do que da confiança. A legislação oferece instrumentos penais e civis para responsabilizar os autores e, em certas hipóteses, também os agentes que falharam em seus deveres de segurança, mas o resultado prático depende de rapidez, de boa documentação e da análise individualizada de cada situação. Consumidores e empresas que adotam rotinas simples de verificação e que sabem como reagir nas primeiras horas têm maiores chances de limitar o prejuízo. Em casos concretos, a orientação de um advogado de confiança é fundamental para avaliar as medidas cabíveis.
Roberto Victalino é Mestre em Direito Político e Econômico pela Universidade Mackenzie; Pós-graduado em Direito Constitucional e do Trabalho; Especialista em Direito Eleitoral e Imobiliário; Professor Universitário; Advogado e Consultor Jurídico.