Fraudes em Cartão de Crédito: o que fazer, prazos e como garantir o estorno (guia completo)

Fraudes em cartão de crédito: visão prática e jurídica

As fraudes em cartão de crédito são operações realizadas sem autorização do titular, por meio do uso indevido do número do cartão, do chip, da tarja magnética ou das credenciais de compra on-line. Elas acontecem em ambientes físicos (lojas, caixas eletrônicos, terminais POS) e digitais (e-commerce, aplicativos, links maliciosos), gerando prejuízos financeiros e desgaste emocional ao consumidor. Este guia reúne, em linguagem direta, os principais tipos de fraude, como se prevenir, o que fazer imediatamente diante do primeiro indício, e quais são os direitos do consumidor no Brasil.

Tipos mais comuns de fraude

1) Fraude por clonagem (skimming)

Criminosos capturam dados da tarja ou do chip em terminais adulterados (postos, restaurantes, caixas) e duplicam o cartão para compras presenciais. Muitas vezes, o golpe inclui câmeras ocultas ou teclados falsos para descobrir a senha.

2) Fraude sem cartão presente (CNP)

Dados do cartão (número, validade e CVV) são usados em lojas on-line. A captura ocorre por phishing, vazamentos de bases de dados, formulários falsos ou malware. É uma das categorias que mais cresce.

3) Engenharia social e golpe do “falso contato do banco”

O fraudador se passa por funcionário, convence o cliente a fornecer códigos e instala aplicativos de acesso remoto. Em minutos, realiza transferências, paga boletos e salva cartões em carteiras digitais.

4) Troca de cartão e “cartão retido”

Em caixas ou filas, o golpista distrai a vítima e substitui o cartão. No golpe do cartão retido, a máquina está adulterada para capturar a senha e reter o plástico.

5) Acesso indevido a carteiras digitais e contactless

Com o cartão cadastrado em apps, o criminoso realiza compras por aproximação ou adiciona o cartão a um dispositivo comprometido. Sem autenticação forte, as transações ocorrem rapidamente.

6) Fraude por chargeback abusivo

Também há o inverso: o chargeback é pedido pelo comprador de má-fé, alegando “não reconhecimento” mesmo tendo recebido o produto. Para o lojista, é perda dupla (produto e valor).

Como os dados são capturados

• Phishing: e-mails ou páginas falsas que imitam bancos ou lojas (URL com pequenas variações, urgência artificial).
• Malware/spyware: softwares que registram teclas ou printam telas em computadores e celulares desatualizados.
• Vazamentos de dados: falhas em sites, gateways de pagamento ou serviços terceirizados.
• Terminais adulterados: POS e ATMs com leitores extras acoplados.
• Descuidos do usuário: fotos do cartão, compartilhamento do CVV, armazenamento sem proteção.

Primeiros passos ao notar uma fraude

1. Bloqueie o cartão no app do banco ou central 24h e solicite substituição com novo número.
2. Conteste as transações não reconhecidas (abra protocolo e anote data/hora). Peça a análise de chargeback.
3. Troque senhas (e-mail, banco, marketplaces, carteiras digitais) e habilite dupla autenticação.
4. Registre boletim de ocorrência (delegacia comum ou digital) e guarde o número.
5. Reúna provas (prints, SMS, e-mails, faturas). Se houver ligação fraudulenta, anote número e horário.
6. Notifique por escrito a instituição (ouvidoria) e, se for lojista afetado por chargeback, o gateway de pagamento.
7. Escalone pelo consumidor.gov.br ou Procon se não houver solução.

Direitos do consumidor: responsabilidades e prazos

No Brasil, a responsabilidade das instituições financeiras por fraudes internas e falhas de segurança é, em regra, objetiva (o consumidor não precisa provar culpa), conforme entendimento consolidado na Súmula 479 do STJ (“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno”). Isso inclui operações não reconhecidas decorrentes de phishing, clonagem, vazamentos e falhas de autenticação.

Já em fraudes com contribuição do consumidor (por exemplo, fornecimento voluntário de senha em golpe de engenharia social), a discussão se concentra na falha do dever de segurança e na ausência de mecanismos de detecção (padrões anômalos, limites, dupla confirmação). Muitas decisões reconhecem a corresponsabilidade do banco quando o padrão da transação era atípico ou quando não havia barreiras adequadas.

• Estorno/chargeback: pedido imediato ao emissor; prazos e fluxos variam, mas é essencial abrir protocolo assim que identificar a compra.
• Indenização por danos: em caso de negativa injusta, é possível buscar reparação material e, conforme o caso, moral.
• Prazo para reclamar: como regra geral do CDC, pretensões de reparação por fato do serviço costumam prescrever em 5 anos, contados do conhecimento do dano e de sua autoria.
• Repetição de indébito: devolução em dobro pode ser cabível quando há cobrança indevida com má-fé. A análise é casuística.
• Proteção de dados: a LGPD impõe medidas de segurança e comunicação de incidentes. Vazamentos podem ensejar responsabilização.

Prevenção para consumidores

• Ative 2FA no banco, e-mail e lojas; prefira biometria e notificações em tempo real.
• Use cartões virtuais e limite de valor/tempo para compras on-line.
• Desabilite “pagamento por aproximação” quando não for usar; defina limites baixos.
• Não clique em links de SMS/WhatsApp/e-mail; acesse o banco pelo app oficial.
• Atualize sistema e apps; evite Wi-Fi público para transações; use browser atualizado.
• Monitore faturas semanalmente e conteste micro-cobranças (test charges).
• Nunca compartilhe senha, CVV, token ou códigos temporários.

Prevenção para lojistas e e-commerce

• 3-D Secure / autenticação forte (ex.: confirmação no app do banco).
• Regras de risco: score antifraude, análise de IP/geo, dispositivos, velocidade de compras, blacklists.
• Tokenização de cartões e certificações PCI-DSS do provedor de pagamento.
• Política clara de envio (rastreamento, assinatura) e provas de entrega para contestar chargebacks abusivos.
• Logs e trilhas de auditoria preservados por prazo suficiente.
• Treinamento contínuo da equipe para reconhecer padrões de fraude.

Indicadores úteis para acompanhar

Mitos e verdades (em tópicos rápidos)

• “Banco nunca é responsável por fraude.” Falso. Em fortuito interno, a responsabilidade é objetiva.
• “Se eu passei o código por telefone, perdi o direito.” Parcialmente falso. Há decisões que reconhecem falha de segurança e atipicidade das operações.
• “Micro-cobranças não importam.” Falso. Elas testam limites antes de compras maiores.
• “Chargeback é sempre culpa do lojista.” Falso. Com prova robusta (envio, autenticidade), é possível reverter.

Distribuição ilustrativa de tentativas por canal

Gráfico meramente ilustrativo para destacar a atenção a canais digitais.

Boas práticas que realmente funcionam

• Cartão virtual por compra para sites e assinatura de baixo valor com limites específicos.
• Alertas em tempo real e biometria para confirmar transações suspeitas.
• Separar e-mails (um para bancos, outro para cadastros e newsletters) reduz exposição.
• Conferência semanal da fatura e contestação imediata de qualquer divergência.
• Educação contínua com familiares (especialmente idosos) sobre golpes mais comuns.

Conclusão

Fraudes com cartão de crédito combinam engenharia social, tecnologia e oportunidade. A melhor defesa é dupla: prevenção ativa (higiene digital, autenticação forte, monitoramento) e reação rápida (bloqueio, contestação e documentação). Da perspectiva jurídica, o CDC e a jurisprudência oferecem proteção efetiva ao consumidor quando a fraude decorre de falhas do serviço. Registre tudo, exija protocolos e, se necessário, busque orientação profissional. Informação e método transformam um episódio de risco em um processo controlável — com chances reais de estorno e responsabilização de quem falhou na segurança.

Este conteúdo é informativo e não substitui aconselhamento jurídico individualizado.

Guia rápido (pré-FAQ) – Fraudes em cartão de crédito

Percebeu um lançamento estranho na fatura, recebeu SMS de compra que não fez ou atendeu ligação de “suporte do banco” pedindo códigos? Siga este passo a passo imediatamente. Ele resume, em linguagem prática, o que fazer nos primeiros minutos, como juntar provas e quais ajustes deixar ativos para reduzir o risco de novos golpes.

1) Ação em até 10–15 minutos

1. Bloqueie o cartão no aplicativo do banco (ou ligue para a central 24h). Peça substituição com numeração nova e desvincule o antigo das carteiras digitais (Google/Apple/Samsung).
2. No mesmo contato, conteste cada transação não reconhecida e solicite a abertura de protocolo com descrição do caso (anote data, hora e atendente).
3. Troque senhas do banco, e-mail principal e marketplaces. Habilite autenticação em duas etapas (2FA) para acesso e confirmação de pagamentos.
4. Revogue acessos a aplicativos suspeitos e remova dispositivos não confiáveis do seu login.

2) Junte provas (dossiê simples)

• Prints das compras não reconhecidas, SMS, notificações do app e e-mails.
• BO digital (ou presencial) com o resumo dos fatos e a lista das transações.
• Extrato/fatura em PDF e o número do protocolo do banco.
• Se houve ligação fraudulenta, anote número, horário e roteiro do golpe (pedido de códigos, instalação de app etc.).

3) Notificação formal

Envie seu dossiê à ouvidoria do emissor por canal escrito (formulário/e-mail), pedindo análise, chargeback e resposta no prazo informado pelo próprio banco. Persistindo negativa, registre reclamação no consumidor.gov.br e no Procon da sua cidade.

4) Sinais clássicos de golpe (reconheça e desligue)

• Pedido de senha, token, CVV ou códigos SMS por telefone/WhatsApp (banco não solicita).
• “Troca de cartão em domicílio” ou coleta do plástico por motoboy.
• Ordem para instalar aplicativo de acesso remoto para “verificar fraudes”.
• Links encurtados ou domínios que imitam o banco/loja (phishing).

5) Configurações que evitam a reincidência

• Ative alertas de compra e limites por transação; desabilite aproximação quando não usar.
• Use cartão virtual com validade curta para e-commerce e assinaturas.
• Mantenha celular e apps atualizados; não faça transações em Wi-Fi público.
• Separe e-mail “financeiro” exclusivo para bancos e redefina as perguntas de segurança.

6) Erros comuns que custam caro

• Aguardar “ver se some da fatura”. Aja no mesmo dia e gere protocolo.
• Apagar SMS/e-mails. Guarde tudo para comprovação.
• Responder a quem ligou primeiro. Você deve ligar no número oficial do banco (cartão/app).

7) Quando considerar apoio jurídico

Se o banco negar estorno sem fundamentação, se as operações forem claramente atípicas (valores, local, horário) ou se houver indícios de falha de segurança do serviço, avalie consultar profissional. A jurisprudência brasileira costuma reconhecer responsabilidade objetiva das instituições por falhas internas, mas a análise é caso a caso.

Conteúdo informativo. Para orientações específicas, busque atendimento do seu emissor ou suporte jurídico.

FAQ – Fraudes em cartão de crédito

Conteúdo informativo e de prevenção. Para casos específicos, siga as instruções do seu emissor e, se necessário, busque orientação jurídica.

Fundamentos legais & precedentes (base técnica)

1) Direitos do consumidor diante de compras não reconhecidas

• CDC, art. 6º: garante proteção contra práticas abusivas e inversão do ônus da prova (inc. VIII) quando verossímil a alegação do consumidor.
• CDC, art. 14: responsabilidade objetiva do fornecedor de serviços (banco/fintech) por falhas na prestação. Só afasta se provar inexistência de defeito ou culpa exclusiva do consumidor; fraudes do “ambiente bancário” costumam ser tratadas como risco do negócio.
• CDC, art. 42, parágrafo único: se houver cobrança indevida, cabe repetição do indébito em dobro (salvo engano justificável).

2) Responsabilidade das instituições financeiras

Em golpes como “engenharia social”, NFC/contactless indevido ou uso de dados vazados, a jurisprudência costuma exigir do banco prova de que houve autenticação robusta e comportamento compatível com o perfil do cliente.

3) Proteção de dados e dever de segurança

• LGPD – Lei 13.709/2018: dever de adotar medidas de segurança (art. 46) e responsabilização por incidentes que causem danos (arts. 42–44).
• Marco Civil da Internet – Lei 12.965/2014: proteção a registros e dados pessoais (arts. 7º e 10).
• Normas Bacen/CMN sobre segurança cibernética (p.ex., políticas de segurança da informação e continuidade de negócios) exigem controles, monitoramento de transações e atendimento adequado ao cliente em incidentes.

4) Dano moral & negativação

Cobrança injusta, negativa de estorno sem apuração adequada, ou negativação indevida por débito fraudulento podem gerar indenização por dano moral, além do cancelamento do débito.

5) Provas úteis e caminho prático

• Guarde protocolo de contestação, prints de notificações, fatura e BO (quando cabível).
• Se o emissor negar estorno sem fundamentar: acione ouvidoria, consumidor.gov.br e Procon. Persistindo, use o Juizado Especial Cível (até 40 salários-mínimos), pedindo estorno, repetição do indébito e dano moral, quando houver.

6) Referências rápidas

• CDC (Lei 8.078/1990): arts. 6º, 14, 39, 42.
• LGPD (Lei 13.709/2018): arts. 6º, 46, 42–44, 52.
• Marco Civil (Lei 12.965/2014): arts. 7º e 10.
• STJ, Súmula 479 – fortuito interno em fraudes bancárias.
• Normas do Bacen/CMN sobre segurança cibernética e gestão de riscos (políticas de segurança da informação e atendimento a incidentes).

Encerramento (síntese prática)