Golpes com Milhas e Pontos de Fidelidade: Quem Responde e Como Garantir Reembolso

Panorama: por que milhas e pontos são alvo de golpes

Programas de fidelidade e clubes de milhas concentram valor econômico conversível em passagens, hospedagem, produtos e até dinheiro. Esse ecossistema envolve bancos emissores, bandeiras, varejistas, intermediários (sites de emissão, cashback, redes de benefícios) e as próprias plataformas de milhas. A amplitude de integrações — APIs, carteiras, parceiros e marketplaces — amplia a superfície de ataque e explica o aumento de fraudes como sequestro de conta, transferências não reconhecidas, emissões indevidas de bilhetes e venda ilícita de pontos.

Tipologias de golpes mais comuns

Dever de segurança e o conceito de fortuito interno

Plataformas de milhas, bancos e parceiros devem adotar controles proporcionais ao risco: autenticação forte (MFA), detecção de anomalias, device binding, confirmação ativa de transferências, travas de valor e quarentena para operações atípicas. Quando a fraude decorre de fragilidade de sistema, falha no monitoramento ou de integração com parceiros, trata-se de fortuito interno — risco da própria atividade — e, via de regra, recai a responsabilidade objetiva sobre o fornecedor para reparar o dano, independentemente de culpa.

Mesmo quando há alguma participação do consumidor (ex.: clique em phishing), a jurisprudência costuma avaliar a cadeia de proteção implementada: se a plataforma não usava camadas robustas (geolocalização, biometria, confirmação fora de banda), a responsabilidade tende a ser reconhecida porque o risco previsível do setor exige barreiras adicionais.

Quem responde? Cadeia de fornecimento e solidariedade

Em emissões e transferências de milhas há uma cadeia de consumo (banco emissor do cartão, programa de fidelidade, gateway, companhia aérea, marketplace de passagens). Todos que participaram da oferta e execução do serviço podem responder de forma solidária perante o consumidor, que pode exigir a solução de qualquer um deles. Depois, os fornecedores ajustam a responsabilidade internamente (regresso).

Provas e atuação prática do consumidor

• Documente: extratos de pontos, e-mails de confirmação, logs do app, números de protocolos, prints da alteração de dados.
• Notifique imediatamente a plataforma e o parceiro (banco/companhia aérea), peça bloqueio da conta e estorno de emissões/transferências.
• Boletim de ocorrência e comunicação à operadora de telefonia (se houver indícios de SIM swap).
• Registre reclamação em canais públicos e no órgão de defesa do consumidor local para acelerar mediação.
• Persistindo o problema, avalie o Juizado Especial, juntando provas de falha de segurança e dano (material e, se for o caso, moral).

Prevenção: controles que reduzem a exposição

Políticas contratuais: validade e limites

Cláusulas que isolem completamente a responsabilidade (“uso por sua conta e risco”, “não nos responsabilizamos por terceiros”) são analisadas com restrição, especialmente diante de assimetria técnica e da necessidade de segurança por desenho nas plataformas. Regras sobre expiração de pontos, prazo de contestação e impedimentos de transferência devem ser claras e equilibradas; do contrário, podem ser consideradas abusivas. Também não é aceitável impor obstáculos artificiais para registro de contestação (ex.: atendimento exclusivamente telefônico com “fila infinita”, quando a contratação e a emissão são digitais).

Métricas e gráficos para gestão de risco (exemplo)

Para relatórios internos (síndicos de milhas corporativas, compliance de bancos/parceiros), recomenda-se acompanhar:

• Taxa de ATO (contas sequestradas) por 10 mil contas ativas.
• Tempo médio de detecção e de bloqueio após operação atípica.
• Percentual de operações revertidas em até 48h.
• Adesão a MFA forte (% de usuários com biometria/chave de segurança).
• Incidentes com parceiros por integração/loja específica.

Esses indicadores podem ser plotados mensalmente para visualizar picos de fraude em campanhas de bônus e ajustar controles (ex.: quarentena temporária em transferências após mudança de e-mail ou aparelho).

Como estruturar a reclamação do consumidor (modelo enxuto)

Conclusão

Milhas e pontos são ativo digital de alto valor e, portanto, alvo prioritário de fraudadores. Cabe às empresas do ecossistema — bancos, programas de fidelidade, companhias aéreas e marketplaces — garantir arquitetura de segurança robusta, monitoramento preditivo e resposta rápida quando incidentes ocorrerem. Ao consumidor, compete adotar higiene digital, ativar MFA forte, desconfiar de urgências e documentar toda a comunicação. Em caso de golpe, a responsabilidade costuma recair sobre quem controla o risco e lucra com a operação, com dever de restituir e corrigir processos. Transparência, prevenção em múltiplas camadas e atendimento resolutivo são os pilares para reduzir perdas e preservar a confiança no sistema.

Guia rápido

• Golpes mais comuns: sequestro de contas, transferências indevidas, emissões falsas de bilhetes e fraudes via WhatsApp.
• Responsabilidade: bancos e programas de milhas respondem objetivamente por falhas de segurança (fortuito interno).
• Consumidor: deve notificar imediatamente e guardar comprovantes, e-mails e protocolos.
• Prova: extratos de pontos, logs de acesso, boletim de ocorrência e prints de alterações.
• Reembolso: em fraudes comprovadas, a empresa deve restituir milhas e indenizar prejuízos.
• Prazo: contestar até 90 dias, conforme regras internas ou prazos de consumo.
• Vazamentos: falha de proteção de dados gera responsabilidade solidária (art. 42, LGPD).
• Boas práticas: usar autenticação em dois fatores (MFA) e nunca compartilhar códigos.
• Atendimento: empresas devem ter canal ágil e não podem impor obstáculos artificiais.
• Recursos legais: CDC, LGPD e jurisprudência do STJ amparam o consumidor em fraudes digitais.

FAQ

1) Fui vítima de golpe com milhas. Quem é responsável?

Programas de fidelidade, bancos e parceiros respondem solidariamente, pois fazem parte da mesma cadeia de consumo. O risco é considerado fortuito interno.

2) O programa pode negar devolução alegando culpa do cliente?

Somente se provar que houve negligência grave e que os sistemas de segurança eram suficientes. Em regra, o fornecedor deve reembolsar.

3) Como devo agir ao perceber movimentações estranhas?

Bloqueie a conta, comunique imediatamente o programa e o banco, registre boletim de ocorrência e preserve provas (prints e protocolos).

4) E se a fraude ocorreu por um parceiro ou intermediário?

A responsabilidade é solidária entre todos os fornecedores, inclusive marketplaces e companhias aéreas.

5) O que é fortuito interno?

É o risco inerente à atividade empresarial. Falhas de sistema, vazamentos e brechas de segurança não afastam a obrigação de indenizar.

6) Posso exigir devolução em dobro?

Sim, se houver cobrança indevida ou recusa injustificada em reembolsar, conforme o art. 42, parágrafo único, do Código de Defesa do Consumidor.

7) Há prazo para contestar a perda de milhas?

O ideal é agir imediatamente. Formalmente, o CDC garante prazos de 90 dias para serviços e até 5 anos para perdas financeiras.

8) Fraudes de milhas são consideradas crimes?

Sim. Podem configurar furto qualificado, estelionato digital ou invasão de dispositivo (arts. 155 e 171 do Código Penal, art. 154-A do Marco Civil).

9) O que fazer se a empresa se recusar a devolver os pontos?

Registre reclamação no Procon, SENACON ou Consumidor.gov, e, se necessário, acione o Juizado Especial com provas do golpe.

10) Como posso evitar novos golpes?

Use autenticação de múltiplos fatores, monitore logins, não clique em links suspeitos e verifique o domínio antes de informar senhas.

Base jurídica e fundamentos normativos

A responsabilidade das empresas em casos de golpes com milhas e pontos está prevista no
Código de Defesa do Consumidor (Lei nº 8.078/1990), que estabelece a responsabilidade objetiva
do fornecedor (art. 14) por falhas na prestação do serviço. Também se aplica o conceito de fortuito interno,
pelo qual o risco da atividade comercial não exime o fornecedor de reparar danos.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) impõe dever de segurança e prevenção a vazamentos,
prevendo sanções e reparação em caso de uso indevido de informações pessoais.
Já o Marco Civil da Internet (Lei nº 12.965/2014) garante dever de guarda e integridade de registros de acesso,
servindo como base probatória em investigações.

A jurisprudência consolidada do STJ reforça a responsabilidade solidária entre bancos, operadoras de cartões,
programas de fidelidade e parceiros intermediários quando há falha no sistema de segurança ou atendimento inadequado ao consumidor.

Considerações finais

Os golpes com milhas e pontos de fidelidade estão cada vez mais sofisticados, exigindo das empresas protocolos robustos de segurança,
monitoramento constante e canais eficientes de suporte. Do lado do consumidor, é essencial adotar cuidados preventivos,
manter registros e agir rapidamente em caso de suspeita.
A legislação brasileira é clara: quem oferece o serviço responde pelo risco da atividade e deve garantir a restituição e indenização adequadas.