Publicado originalmente no site da Pardi e Morais: pardimorais.com.br/golpe-dados-vazados-aposentado
Por Danilo Pardi e Afonso Morais, da Pardi e Morais
Quando o golpista liga para um aposentado e já sabe o valor do desconto no benefício, o banco credor e o contrato de consignado, a conversa não começa do zero. Começa com uma credibilidade emprestada. E credibilidade emprestada tem origem: alguém deixou esses dados escaparem. Quando essa origem é o banco, a conta do golpe é do banco.
O tema ganhou um caso concreto ontem. A Polícia Civil de Minas Gerais prendeu nove pessoas em Belo Horizonte, Vespasiano e Santa Luzia, suspeitas de integrar uma organização que aplicava golpes em idosos e aposentados. Segundo O Tempo, ao menos 21 vítimas foram identificadas e o prejuízo mínimo estimado é de R$ 300 mil. O delegado responsável afirmou que o grupo obtinha as informações das vítimas por meio de vazamentos “do INSS ou do próprio banco”.
Como o golpe funcionava
Pelo que a polícia descreveu, o roteiro tinha três etapas:
- o contato vinha por telefone ou aplicativo de mensagem, em nome de uma suposta consultoria financeira que prometia reduzir os descontos na folha de pagamento;
- a vítima era chamada a um imóvel alugado pelo grupo, onde entregava fotos e senhas do aplicativo do banco;
- com esse acesso, os criminosos contratavam empréstimos em nome da vítima e faziam até a portabilidade do salário para contas que controlavam. Algumas vítimas ainda pagaram o “serviço” em dinheiro.
O ponto que mais importa juridicamente vem antes de tudo isso. Os criminosos já sabiam quais descontos existiam no benefício de cada vítima. Sem essa informação, a abordagem não teria a mesma força. É ela que transforma uma ligação estranha em um atendimento aparentemente legítimo.
A tese: dado bancário vazado é risco do banco
O Superior Tribunal de Justiça já enfrentou essa situação. No REsp 2.077.278/SP, julgado em 3 de outubro de 2023 pela Terceira Turma, com relatoria da ministra Nancy Andrighi, um cliente pagou um boleto falso de financiamento enviado por golpistas que conheciam os dados do seu contrato. O tribunal decidiu que a instituição financeira responde quando dados pessoais bancários, tratados de forma inadequada, são usados por estelionatário para facilitar o golpe.
Dois trechos do julgado, registrados no Informativo 791, sustentam a tese que defendo. Primeiro, dados sobre operações financeiras são, em regra, presumivelmente de tratamento exclusivo das instituições financeiras. Segundo, é preciso verificar com exatidão quais dados estavam com os criminosos, para identificar a origem do vazamento.
Na minha leitura, essa presunção muda o jogo no golpe do consignado. Se o golpista conhecia o número do contrato, o valor da parcela e o banco credor, a lista de quem tinha essas informações é curta: o banco, o INSS e os correspondentes que operam o crédito. Não cabe à vítima descobrir quem vazou. Pelo art. 43 da LGPD, o agente de tratamento só se exime se provar que não tratou os dados, que não violou a lei ou que a culpa é exclusiva do titular ou de terceiro. E o art. 6º, VIII, do Código de Defesa do Consumidor permite ao juiz inverter o ônus da prova em favor do consumidor.
Não digo que todo vazamento gera indenização automática. A Segunda Turma do STJ, no AREsp 2.130.619/SP, decidiu que o vazamento de dados pessoais comuns não gera, por si só, dano moral presumido. A diferença está entre o vazamento como fato isolado e o vazamento como ferramenta do golpe. No segundo caso, o dano é concreto e tem valor em reais.
O empréstimo feito em nome da vítima
Mesmo quando a vítima entregou senhas, a contratação de empréstimo e a portabilidade do salário por terceiros continuam sendo operações bancárias. A Súmula 479 do STJ é clara: as instituições financeiras respondem objetivamente por fraudes praticadas por terceiros no âmbito de suas operações. E, pelo Tema Repetitivo 1061, quando o consumidor contesta a autenticidade da assinatura de um contrato, é o banco que precisa provar que ela é verdadeira. Na contratação digital, isso significa mostrar quem contratou, de qual aparelho, com qual validação.
Há ainda o dever de vigilância. O STJ já afirmou que o banco deve identificar e impedir transações que destoam do perfil do cliente. Um aposentado que, em poucos dias, contrata empréstimo novo, transfere o salário para outro banco e esvazia a conta apresenta exatamente o padrão que o sistema de prevenção a fraude deveria barrar. Já tratamos disso em detalhe no artigo sobre empréstimo consignado fraudulento.
Ponto de atenção: o que ainda está em aberto
A defesa dos bancos vai sustentar culpa exclusiva da vítima, com base no art. 14, § 3º, II, do CDC, porque ela entregou fotos e senhas pessoalmente. Em 2026, a Terceira Turma do STJ afastou a responsabilidade de um banco em golpe da falsa central justamente por não haver transações incompatíveis com o perfil do cliente. Por isso, o caso de cada vítima depende de duas provas: o que os golpistas sabiam antes do contato e quão fora do padrão foram as operações.
Outro ponto em aberto é o INSS. Se o vazamento partiu da autarquia, o caminho é outro: responsabilidade objetiva do Estado pelo art. 37, § 6º, da Constituição, com ação na Justiça Federal. Identificar a origem não é detalhe. Define contra quem e onde se litiga.
O que fazer na prática
- Desconfie de quem oferece reduzir descontos. Confirme qualquer desconto pelo aplicativo Meu INSS, pela central 135 ou diretamente com o seu gerente, nunca por intermediários.
- Guarde a prova do que o golpista sabia. Faça capturas das mensagens e anote os dados que ele citou na ligação. É essa prova que liga o golpe ao vazamento.
- Consulte o Registrato, do Banco Central. O relatório mostra os empréstimos registrados no seu CPF, inclusive os que você não reconhece.
- Verifique o bloqueio do benefício. No Meu INSS, confirme se o benefício está bloqueado para novos empréstimos consignados.
- Conteste no banco e registre boletim de ocorrência. Peça por escrito o cancelamento do contrato e os registros da contratação: data, aparelho e forma de validação.
- Use a LGPD a seu favor. O art. 18 garante acesso às informações sobre o tratamento dos seus dados. Pedir isso ao banco ajuda a mapear a origem do vazamento.
A conta é de quem guardou mal
O golpe de BH mostra que a engenharia social começa muito antes da ligação. Começa no banco de dados. Quando a informação que deu credibilidade ao golpista estava sob a guarda do banco, a vítima não precisa provar que foi cuidadosa. Precisa mostrar o que o criminoso sabia.
Se você ou alguém da sua família sofreu um golpe com empréstimo ou desconto em benefício, veja nossa atuação em fraude bancária ou me chame no WhatsApp. A análise começa pelos documentos, e quanto antes, melhor.
Referências
- Suspeitos de aplicar golpes em idosos em BH conseguiram informações após vazamento de dados. O Tempo, 28/10/2026.
- REsp 2.077.278/SP, Terceira Turma, rel. Min. Nancy Andrighi, j. 3/10/2023. Superior Tribunal de Justiça.
- Informativo de Jurisprudência 791, de 18/10/2023. Superior Tribunal de Justiça.
- AREsp 2.130.619/SP, Segunda Turma, rel. Min. Francisco Falcão. Superior Tribunal de Justiça.
- Banco deve identificar e impedir transações que destoam do perfil do cliente. STJ, notícia de 30/10/2023.
- Súmula 479. Superior Tribunal de Justiça.
- Tema Repetitivo 1061. Superior Tribunal de Justiça.
- Lei 13.709/2018 (LGPD), arts. 18 e 43. Planalto.
- Lei 8.078/1990 (Código de Defesa do Consumidor), arts. 6º, VIII, e 14. Planalto.
- Constituição Federal, art. 37, § 6º. Planalto.
- Registrato. Banco Central do Brasil.
Sobre os autores
Danilo Pardi é advogado (OAB/SP 384.895), sócio fundador da Pardi e Morais Advogados, pós-graduado em Direito Digital e Compliance (IBMEC) e em Direito Digital e Proteção de Dados (EBRADI), membro da ANPPD e criador do podcast Falando de Fraudes. Afonso Morais é advogado (OAB/SP 77.133), sócio da Pardi e Morais, com mais de 40 anos de atuação, pós-graduado em Contratos e Direito Bancário e colunista do quadro Alerta de Fraudes.
Foto: Georg Pflueger / Unsplash
