Paguei boleto falso: o banco devolve o dinheiro?

Para Entender Rapidamente Não automaticamente. A jurisprudência do STJ distingue fraudes ligadas a falhas do serviço bancário de golpes sem relação causal com a atuação da instituição. No REsp 2.046.026/RJ (2023), o tribunal afastou a responsabilidade do banco quando o boleto foi emitido inteiramente fora da rede bancária, por terceiro estelionatário, sem qualquer falha do serviço. Mas em outro caso, o STJ responsabilizou o banco quando o golpe do boleto se valeu de vazamento de dados bancários sigilosos do próprio cliente — falha que a instituição tinha o dever de evitar. A pergunta certa não é “o boleto era falso?”, mas onde a fraude entrou no sistema e qual foi a falha de cada fornecedor.

Chega uma cobrança por e-mail. A empresa parece correta, o valor também. Você abre o boleto, paga. Dias depois recebe a verdadeira cobrança. Então descobre: o boleto que você pagou era falso, e o dinheiro foi para um criminoso. A primeira pergunta costuma ser: “o banco não deveria ter impedido isso?” Depende de como a fraude aconteceu.

Nem todo boleto falso nasce dentro do banco

Esse é o primeiro ponto. O fraudador pode criar documento falso sem que a instituição financeira tenha participado da relação que originou o golpe. Em 2023, a Terceira Turma do STJ julgou exatamente esse cenário: no REsp 2.046.026/RJ, relatado pela ministra Nancy Andrighi, o tribunal concluiu que a emissão de boleto fraudulento por terceiro — com e-mail e documento inteiramente produzidos fora da rede bancária — configurava fato exclusivo de terceiro, apto a excluir a responsabilidade da instituição financeira, diante da ausência de qualquer falha no serviço prestado por ela.

Em outro precedente, envolvendo fraude em compra on-line, o STJ também afastou a responsabilidade de banco que não integrava a cadeia de fornecimento e não havia falhado na prestação do serviço. Portanto: “o pagamento passou por um banco” não significa automaticamente “o banco indeniza”.

• Fique por dentro de mais matérias sobre os direitos dos consumidores, clicando aqui

Mas existem casos em que a instituição pode responder

Sim. A jurisprudência bancária já reconhece responsabilidade objetiva por fraudes relacionadas ao risco da própria atividade financeira, quando existe o chamado fortuito interno — entendimento consolidado na Súmula 479 do STJ. E decisões recentes reforçam a importância de examinar os mecanismos de segurança de cada instituição.

Um exemplo direto: o STJ já responsabilizou banco num caso em que o “golpe do boleto” se valeu de vazamento de dados bancários sigilosos da própria vítima — não apenas nome e CPF, facilmente obtidos em outras fontes, mas informações vinculadas às suas operações e serviços bancários específicos. Segundo a relatora do caso, o banco tem dever de armazenamento e proteção sobre esse tipo de dado, e o vazamento configura falha na prestação do serviço, com base no artigo 44 da Lei Geral de Proteção de Dados, segundo o qual o tratamento de dados é irregular quando não oferece a segurança que o titular razoavelmente espera.

Em outubro de 2025, no julgamento dos REsp 2.222.059/SP e 2.229.519, a Terceira Turma também decidiu que bancos e instituições de pagamento devem criar e manter em constante aprimoramento mecanismos capazes de identificar e coibir fraudes como o golpe da falsa central, justamente pelo alto grau de risco da atividade bancária. Já em julho de 2026, a mesma Terceira Turma decidiu, em outro processo relatado pelo ministro Humberto Martins, que a responsabilidade por esse mesmo golpe não é automática — foi afastada quando as instâncias anteriores não identificaram falha do serviço, nem operações incompatíveis com o perfil da cliente. Percebe a lógica? O nome do golpe não decide sozinho o processo. Os fatos decidem.

Descobri o boleto falso. O que faço primeiro?

Avise imediatamente sua instituição financeira, informando que houve fraude. Guarde o comprovante. Verifique os dados do beneficiário que recebeu o dinheiro. Avise também a empresa verdadeira, cuja cobrança foi falsificada. Se houver possível crime, registre ocorrência e preserve todas as provas. Rapidez pode ser importante para tentativas de bloqueio ou rastreamento, embora recuperação não seja garantida.

Antes de pagar, olhe quem receberá

Esse hábito precisa virar rotina. Não confira apenas valor, vencimento e logotipo — confira o beneficiário efetivo apresentado no momento do pagamento. Se você está pagando uma escola e o aplicativo mostra como destinatário uma pessoa física desconhecida, pare. Se está pagando um financiamento e aparece empresa que você nunca viu, confirme. Um boleto visualmente perfeito pode levar dinheiro para o destinatário errado.

• Participe do canal da Revista Sapiências no WhatsApp aqui

Recebi pelo WhatsApp da empresa. Então é seguro?

Não necessariamente. Contas podem ser clonadas, e-mails podem ser comprometidos, conversas podem ser falsificadas. Golpistas podem até conhecer dados reais da relação comercial. Quando houver alteração inesperada de beneficiário, valor ou canal de cobrança, confirme por meio de um contato oficial obtido independentemente daquela mensagem.

E se o boleto falso veio de dentro do ambiente da própria empresa?

A análise pode mudar. Se houver indícios de vazamento de dados, comprometimento do sistema, falha do fornecedor ou outra circunstância vinculando a fraude ao serviço prestado, a responsabilidade precisa ser examinada à luz dessa participação. É por isso que não se deve responder automaticamente “foi golpe, ninguém responde” — nem “foi golpe, o banco sempre responde.”

Para entender os termos

• Boleto fraudulento: documento ou código de pagamento manipulado para direcionar o dinheiro a destinatário diferente do legítimo.
• Fortuito interno (Súmula 479, STJ): evento fraudulento relacionado ao risco da própria atividade bancária, que gera responsabilidade objetiva da instituição financeira.
• Fato exclusivo de terceiro: atuação de terceiro que, dependendo das circunstâncias, pode romper o nexo causal necessário para responsabilizar o fornecedor.
• Art. 44, LGPD: considera irregular o tratamento de dados pessoais que não oferece a segurança que o titular razoavelmente espera, dado o risco envolvido.

Por que isso importa

Durante muito tempo, a principal recomendação era “confira o código de barras.” Hoje isso é pouco: golpes ficaram sofisticados, com logotipo perfeito, nome da empresa, CPF, número do contrato, valor correto — até uma conversa anterior verdadeira pode ter sido comprometida. A informação mais importante aparece justamente na hora em que o dinheiro vai sair: quem está recebendo?

Os precedentes recentes do STJ mostram que a linha divisória não está no nome do golpe, mas na origem concreta da falha. Quando a fraude nasce inteiramente fora do banco — como no REsp 2.046.026/RJ —, a instituição não responde. Quando a fraude se aproveita de uma falha real do próprio banco — vazamento de dados sigilosos, ausência de mecanismos antifraude adequados —, a responsabilidade aparece. E, se o golpe acontecer, não aceite respostas automáticas de nenhum lado: nem todo boleto falso gera responsabilidade bancária, mas também nem toda fraude pode ser simplesmente empurrada para a vítima. A pergunta jurídica correta é onde a fraude entrou no sistema, e quais mecanismos deveriam tê-la impedido — é essa resposta que começa a mostrar quem pode ser responsabilizado.

O conteúdo tem finalidade informativa e não substitui orientação jurídica individualizada, porque situações semelhantes podem produzir respostas diferentes conforme os fatos e documentos do caso.

Da redação, postado em 27 de setembro de 2026, às 10h03. Matéria revisado pelo Editor André Luiz Guimarães, revisão jurídica da Dra. Mariana Rodrigues Valle Guimarães, inscrita na OAB/RJ 205702.

Sugestões e temas, fale com a redação aqui.