1) Como funciona o golpe e por que ele dá tão certo
O golpe da mão fantasma, também chamado de golpe do acesso remoto, costuma seguir um roteiro simples e eficiente:
o criminoso liga ou manda mensagem fingindo ser do banco
cria urgência: conta invadida, compra suspeita, necessidade de “validar” segurança
induz a vítima a instalar um aplicativo legítimo de acesso remoto no celular ou computador
com o controle do aparelho, realiza transações, contrata empréstimos, altera limites, cadastra chaves, faz Pix ou pagamentos
A engenharia social é o coração do golpe: a vítima não “decide” perder dinheiro. Ela é conduzida a permitir o acesso sob uma narrativa de proteção.
2) O ponto jurídico central: serviço bancário tem dever de segurança
Na prática, as ações judiciais sobre mão fantasma giram em torno de uma pergunta: o banco entregou a segurança que se espera do serviço?
A lógica aplicada pelo STJ é conhecida no contencioso bancário: fraudes cometidas no contexto de operações bancárias, em regra, integram o risco do empreendimento (fortuito interno). Isso sustenta a responsabilidade objetiva do banco, salvo prova de excludente como culpa exclusiva do consumidor ou de terceiro, nos termos do art. 14, §3º, do CDC.
3) O que o STJ vem cobrando dos bancos para evitar a fraude
O STJ tem repetido uma ideia bem concreta: não basta dizer que a transação teve senha ou biometria. Se o sistema valida uma sequência claramente anormal, pode haver defeito do serviço.
3.1 Operações fora do perfil do cliente
Em novembro de 2025, a 3ª Turma julgou um caso típico de mão fantasma: a vítima foi induzida a instalar app e o estelionatário contratou empréstimo de R$ 45 mil e fez transações incompatíveis com o histórico da conta. O STJ afirmou que validar operações suspeitas e fora do perfil caracteriza defeito do serviço e, por isso, o banco deve responder objetivamente, com ressarcimento integral (REsp 2.220.333). (Superior Tribunal de Justiça)
A linha prática aqui é direta: se o seu caso tem movimentação atípica, sequência fora do padrão, empréstimo repentino, pagamentos em série, horários incomuns, isso é argumento forte.
3.2 Dever de identificar e impedir transações suspeitas
Em outubro de 2023, também na 3ª Turma, o STJ reforçou que as instituições têm dever de desenvolver mecanismos capazes de identificar e obstaculizar movimentações destoantes do perfil do consumidor, reconhecendo a responsabilidade do banco e declarando inexigível empréstimo fraudulento (REsp 2.052.228). (Superior Tribunal de Justiça)
3.3 Golpes por ligação, falsa central e engenharia social
Em outubro de 2025, a 3ª Turma assentou que bancos e instituições de pagamento devem indenizar quando houver falhas de proteção de dados ou de identificação de transações suspeitas em golpes de engenharia social, destacando que os sistemas antifraude precisam considerar valor, horário, local, intervalo, sequência e contratação de empréstimos atípicos imediatamente antes de pagamentos suspeitos (REsp 2.222.059 e REsp 2.229.519). (Superior Tribunal de Justiça)
3.4 O “cliente colaborou” nem sempre cola
Um ponto decisivo do precedente de novembro de 2025 foi afastar a tese de culpa concorrente quando há falha no sistema de segurança: o STJ entendeu que só faria sentido reduzir indenização se a vítima assumisse conscientemente o risco de sofrer o dano, o que não se presume quando ela é enganada por alguém que se passa por funcionário do banco (REsp 2.220.333). (Superior Tribunal de Justiça)
4) Onde os bancos tentam se defender e como isso costuma ser enfrentado
Na prática, as defesas mais comuns são:
culpa exclusiva do consumidor: instalou app, seguiu instruções, digitou senha
culpa exclusiva de terceiro: foi “estelionato sofisticado”, fora da esfera do banco
transação autenticada: houve senha, token, biometria, então seria “válida”
O que costuma virar o jogo para o consumidor é demonstrar falha de segurança e ausência de reação do banco diante do risco: transações em cascata, valores incompatíveis, empréstimo súbito, aumento de limite induzido, operação em dispositivo novo, e falta de bloqueio preventivo.
5) Pix e recuperação de valores: o MED pode ajudar, mas exige rapidez
Quando o prejuízo envolve Pix, a via administrativa mais importante é o MED (Mecanismo Especial de Devolução), do Banco Central.
Pontos úteis para o blog, em linguagem bem prática:
o pedido deve ser registrado na sua instituição em até 80 dias após o Pix, quando se tratar de fraude, golpe ou crime
o MED pode ser acionado em casos de fundada suspeita de fraude, incluindo golpes e roubos de dispositivos
a orientação operacional é contatar o PSP o mais rápido possível para abertura imediata de notificação e tentativa de bloqueio
há previsão de monitoramento por até 90 dias a partir da transação original para tentar completar devoluções quando não houver saldo imediato na conta recebedora
Na vida real, isso significa: quanto mais cedo você aciona o banco, maior a chance de travar o dinheiro antes de pulverizar em contas de passagem. (Banco Central do Brasil)
6) O que fazer nas primeiras horas: checklist que aumenta a chance de reverter
Aqui está um roteiro objetivo que costuma fazer diferença:
desligar internet do aparelho e revogar permissões de acessibilidade e sobreposição de tela
desinstalar o app de acesso remoto e rodar verificação de segurança do sistema
trocar senhas do banco e do e-mail associado, a partir de um dispositivo limpo
contatar o banco pelos canais oficiais e pedir: bloqueio imediato, contestação de transações, cancelamento de empréstimos, bloqueio de chaves Pix, abertura de procedimento de fraude
solicitar expressamente o MED quando houver Pix
registrar boletim de ocorrência e guardar provas: prints, extrato completo, horários, números que ligaram, protocolos de atendimento, e logs do app instalado
7) O que normalmente se pede em juízo quando a solução administrativa falha
Dependendo do caso, os pedidos mais frequentes são:
declaração de inexistência de débito e inexigibilidade de empréstimos contratados pelo fraudador
restituição integral dos valores transferidos ou pagos
tutela de urgência para suspender cobranças, negativação e descontos
danos morais quando houver abalo relevante (por exemplo, negativação, bloqueio prolongado, perda de renda, reiteradas falhas no atendimento)
A sustentação costuma combinar: CDC, risco do empreendimento, súmulas e repetitivos do STJ, e prova de transações fora do perfil com falha de bloqueio.
8) Conclusão
O golpe da mão fantasma expõe um ponto sensível: a segurança bancária não é só senha e biometria. Para o STJ, se o serviço não impede ou ao menos não reage a operações escancaradamente anormais, há defeito na prestação, e o prejuízo tende a ser imputado ao banco.