Resumo executivo: Identificada uma transação fraudulenta no cartão de crédito ou débito, o consumidor dispõe de quatro etapas administrativas — antes de qualquer ação judicial — para obter o estorno integral e, se for o caso, indenização por danos morais. A Súmula 479 do Superior Tribunal de Justiça atribui ao banco a responsabilidade objetiva pelo prejuízo. Na maioria dos casos, a questão se resolve em 30 a 90 dias, sem advogado.
Como saber se seu cartão foi clonado
Há cinco sinais clássicos.
O primeiro é uma cobrança que você não reconhece na fatura — em valor pequeno, geralmente, porque o fraudador testa o cartão antes de gastar mais. O segundo é uma compra em cidade, estado ou país onde você não esteve. O terceiro é uma transação em horário incompatível com sua rotina (madrugada, expediente). O quarto é a recusa de uma compra legítima por “limite excedido”, quando seu limite deveria estar livre. O quinto, mais grave, é a inscrição do seu nome em SPC ou Serasa por uma fatura que você nem reconhece.
Antes de qualquer providência, tire print de tudo: a fatura com a transação contestada, a notificação push do banco (se houver), o extrato bancário, o histórico de localização do seu celular no dia da compra fraudulenta (Google Maps Timeline ou app similar). Esse acervo digital é o que vai sustentar a sua palavra contra a do banco.
O que a lei diz (e por que isso te favorece)
A base legal contra fraude bancária é uma das mais sólidas do direito do consumidor brasileiro:
Súmula 479 do Superior Tribunal de Justiça. Em redação que vale a pena guardar: “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. Em outras palavras, o risco da fraude é do banco, não do cliente. A discussão sobre quem agiu com culpa não interessa: se houve fraude no sistema bancário, o banco indeniza.
Art. 14 do Código de Defesa do Consumidor. Estabelece a responsabilidade objetiva do fornecedor pelos danos causados por defeito do serviço. O banco só se exime se provar (a) que o defeito não existiu, (b) culpa exclusiva do consumidor ou (c) culpa exclusiva de terceiro — e, pela Súmula 479, fraude de terceiro não rompe o nexo causal.
Súmula 297 do STJ. “O Código de Defesa do Consumidor é aplicável às instituições financeiras”. Encerra qualquer tentativa de banco alegar que a relação é “puramente civil”.
Art. 42, parágrafo único, do CDC. Quem foi cobrado em valor indevido tem direito à devolução em dobro, com correção monetária e juros legais. A jurisprudência do STJ, firmada nos EAREsp 676.608/RS (2021), consolidou o entendimento de que essa devolução em dobro independe de má-fé do banco — basta que o engano não seja justificável. Aplica-se a cobranças indevidas posteriores a março de 2021.
Resolução BCB nº 4.658/2018 e nº 4.893/2021. Obrigam as instituições financeiras a manter política de segurança cibernética compatível com o porte da operação. A falha de segurança que permite a clonagem é, ela própria, descumprimento regulatório.
Vale registrar: a Súmula 385/STJ (“anotação irregular em cadastro de proteção ao crédito não gera dano moral, quando preexistente legítima inscrição”) não se aplica quando a inscrição contestada é justamente a fraudulenta. Nesse caso, o STJ reconhece o dano moral como in re ipsa, ou seja, presumido pelo simples fato da inscrição indevida — orientação reiteradamente confirmada em decisões da Terceira e Quarta Turma.
Passo 1 — Bloqueie o cartão e contesta as transações (mesmo dia)
Antes de qualquer reclamação, estanque a hemorragia.
Ligue para o número do verso do cartão (central 24h) ou abra o aplicativo do banco e bloqueie imediatamente. Em seguida, abra a contestação formal das transações fraudulentas. Todos os grandes bancos (Itaú, Bradesco, Santander, Caixa, Banco do Brasil, Nubank, Inter) têm fluxo de “contestar transação” no app, pelo menos para as operações dos últimos 90 dias. Anote o número do protocolo de cada transação contestada — sem isso, qualquer reclamação posterior fica enfraquecida.
Se a fraude envolveu débito em conta (Pix, TED, débito automático), a urgência dobra. O Banco Central instituiu o Mecanismo Especial de Devolução do Pix (MED), que permite ao banco recebedor devolver o valor em até 80 horas se o caso for de fraude comprovada, desde que o saldo ainda esteja na conta destino. Acione o MED pelo SAC do seu banco no mesmo dia.
Print de tudo. Da tela de bloqueio, da contestação aberta, do número do protocolo. Esses prints provam, mais à frente, que você agiu imediatamente — o que destrói qualquer alegação de “culpa exclusiva do consumidor”.
Passo 2 — Boletim de Ocorrência e dossiê probatório
A grande maioria dos estados aceita Boletim de Ocorrência online, sem ir à delegacia. Procure “Delegacia Eletrônica” seguido do nome do seu estado. Em até 24 horas, o BO está pronto.
No texto, registre objetivamente: data e horário das transações fraudulentas, valores, estabelecimentos onde aparecem (cidade/UF), o fato de o cartão estar em sua posse no momento da fraude (se for o caso) e o número do protocolo da contestação aberta no banco. Não invente nada — o BO é declaração feita sob as penas da lei. Apenas relate o que sabe.
O BO é peça-chave por dois motivos. Primeiro, ele formaliza, em documento oficial, a sua versão dos fatos. Segundo, ele desloca o ônus argumentativo: a partir do BO, o banco precisa provar que você fez as transações; sem o BO, é a sua palavra contra o sistema do banco.
Junte ao dossiê:
- Fatura ou extrato com as transações fraudulentas marcadas
- Print do bloqueio do cartão e dos protocolos de contestação
- Cópia do Boletim de Ocorrência
- Comprovantes de localização no dia (foto com geolocalização, ticket de estacionamento, ponto eletrônico do trabalho)
- Histórico recente de uso legítimo do cartão (para demonstrar padrão de consumo)
- Identidade e comprovante de residência
Passo 3 — Notificação extrajudicial ao banco (10 dias úteis)
Esse é o passo que a maioria das pessoas pula — e é exatamente o que dá força jurídica para tudo depois.
A notificação extrajudicial é uma carta formal ao banco exigindo o estorno integral, a baixa de eventual inscrição em SPC/Serasa e, se for o caso, indenização por danos morais. Envie por dois canais simultaneamente: SAC oficial (com protocolo) e Ouvidoria (resposta obrigatória em até 10 dias úteis, conforme Resolução CMN nº 4.860/2020).
A notificação deve conter:
- Seus dados completos (nome, CPF, endereço, e-mail)
- Identificação das transações contestadas (data, valor, estabelecimento, protocolo)
- Declaração expressa de que você não realizou nem autorizou essas transações
- Pedido de estorno integral e baixa de eventual restrição de crédito
- Pedido de indenização por danos morais (se houver inscrição indevida ou recusa pública de crédito)
- Prazo de 10 dias úteis para resposta
- Aviso de que, em caso de silêncio ou negativa, você acionará Banco Central, Procon, Senacon e Justiça
- Anexos: cópia do BO, prints da contestação, comprovantes de localização
Se ainda não tem um modelo, use o nosso modelo de notificação extrajudicial — fraude bancária (link interno futuro). Guarde os números de protocolo do SAC e da Ouvidoria. São o seu seguro.
Passo 4 — Consumidor.gov.br, BCB e Procon (resolve a maioria dos casos)
Com a Ouvidoria acionada, abra três frentes em paralelo:
Consumidor.gov.br. Plataforma oficial mantida pela Senacon (Secretaria Nacional do Consumidor). O banco tem 10 dias para responder, e cada reclamação afeta o ranking público da instituição. Pela experiência prática, é o canal com melhor taxa de resolução administrativa para bancos médios e grandes.
Banco Central — Sistema RDR (Registro de Demandas dos Cidadãos). Acesse bcb.gov.br/cidadaocfi. Diferentemente do consumidor.gov.br, o BCB não obriga o banco a indenizar você diretamente — mas a reclamação conta para o ranking de reclamações do Banco Central, divulgado trimestralmente, e pode gerar fiscalização. Bancos prestam atenção a isso.
Procon do seu estado. Pode ser online (Procon-SP, Procon-RJ, Procon-MG e a maioria têm portal digital). Caso o banco não responda ou negue indevidamente, o Procon pode aplicar multa administrativa.
Realismo: o Procon não obriga o banco a estornar — apenas multa. O estorno judicialmente exigível só vem de sentença. Mesmo assim, a multa do Procon pesa o bastante para acelerar acordo em muitos casos.
Se a fraude envolveu inscrição em SPC/Serasa, peça a baixa imediata como medida de urgência. Em ação judicial posterior, o juiz pode determinar a baixa por tutela antecipada — mas a tentativa administrativa precede.
Passo 5 — Ação no Juizado Especial Cível (sem advogado, se quiser)
Em 2026, com o salário-mínimo de R$ 1.621, os limites são:
- Até 20 salários-mínimos (R$ 32.420): é possível ajuizar a ação sem advogado, pelo direito de jus postulandi previsto na Lei 9.099/95. Vale para causas de cartão clonado de valor moderado.
- De 20 a 40 salários-mínimos (R$ 32.420 a R$ 64.840): o Juizado Especial ainda é competente, mas advogado passa a ser obrigatório.
- Acima de R$ 64.840 ou com relação contratual complexa: Justiça Comum, com advogado obrigatório.
Os pedidos típicos em uma ação por cartão clonado são:
- Declaração de inexistência da dívida referente às transações contestadas
- Estorno integral dos valores cobrados, com correção monetária e juros legais (se ainda não estornado administrativamente)
- Devolução em dobro dos valores efetivamente pagos sob protesto (art. 42, p. único, CDC)
- Baixa imediata de qualquer inscrição em SPC/Serasa, em sede de tutela de urgência
- Indenização por danos morais
Sobre os valores de dano moral, é preciso ser honesto: o STJ tem se mostrado cada vez mais conservador. A jurisprudência atual sinaliza, em 2025-2026, faixas como:
- Estorno demorado, sem inscrição em cadastro restritivo: R$ 2.000 a R$ 5.000
- **Inscrição indevida em SPC/Serasa (dano in re ipsa):** R$ 5.000 a R$ 10.000
- Inscrição indevida + recusa pública de crédito + perda de oportunidade comprovada: R$ 8.000 a R$ 15.000
- Idoso, vulnerável ou caso de assédio reiterado de cobrança: majoração possível, mas raramente acima de R$ 20.000 em primeira instância
Pedir R$ 50 mil porque “o banco me humilhou” sem prova de impacto concreto costuma resultar em sentença com R$ 3 mil. Pedido realista é melhor estratégia: dá ao juiz o conforto de fixar exatamente o que foi pleiteado.
Argumentos clássicos do banco (e como rebater cada um)
“A senha é pessoal e intransferível, logo a transação é sua.” Argumento gasto. O STJ, na esteira da Súmula 479, tem decidido reiteradamente que o vazamento ou clonagem de senha caracteriza falha do sistema do banco — não do consumidor. A senha é parte do sistema bancário.
“O cartão estava com você, então você fez a transação.” Falha lógica. Transações com cartão clonado por aproximação, magstripe ou dados vazados não exigem o cartão físico. O banco precisa comprovar que você fez a operação — e não conseguirá, porque ela foi feita por outra pessoa.
“A operação foi confirmada por token/biometria/SMS.” Aqui o banco apela ao argumento mais forte. A defesa correta é demonstrar (a) que você não recebeu o token/SMS, (b) que a biometria pode ter sido falsificada por engenharia social ou (c) que houve falha no canal de autenticação. Documente: print da caixa de SMS no horário, histórico de notificações do app, registros de tentativas de acesso.
“O prazo para contestar já passou.” Para o banco, o prazo regulamentar interno costuma ser de 90 dias do lançamento na fatura. Mas esse prazo é administrativo: judicialmente a pretensão de repetição de indébito por cobrança indevida em relação de consumo ainda pode ser exercida no prazo do art. 27 do CDC (cinco anos para reparação pelos danos do serviço). Se o banco recusar a contestação alegando “extemporaneidade”, isso não impede o pedido em juízo.
Riscos reais e o que evitar
Três armadilhas frequentes precisam ser explicadas com franqueza:
A primeira é fechar acordo abaixo do devido. Bancos costumam oferecer “acordo amigável” no equivalente a 50% do valor fraudado, com cláusula de quitação plena e renúncia a qualquer ação futura. Não assine sem ler. Se o estorno é direito (e a Súmula 479 garante isso), aceitar metade significa abrir mão de R$ 1 a cada R$ 2 que é seu por lei.
A segunda é cair em golpe do falso atendimento. Após uma fraude, é comum receber ligação de “central do banco” oferecendo ajuda imediata para recuperar o valor — desde que você confirme dados, instale um aplicativo de acesso remoto (AnyDesk, TeamViewer) ou faça uma “transferência de teste”. É golpe. Banco real nunca pede esse tipo de ação por telefone. Desligue.
A terceira é insistir em chamar de “cobrança indevida” o que pode ser apenas um lançamento equivocado. Se você teve um cancelamento mal processado, uma assinatura recorrente esquecida ou um estorno parcial (em que o banco devolveu parte e cobrou outra), a estratégia jurídica é diferente — e pedir CDC art. 42 para isso pode levar à improcedência. Identifique corretamente o que aconteceu antes de notificar.
Se você é idoso, analfabeto ou vulnerável
A Lei 14.181/2021 (Lei do Superendividamento) ampliou explicitamente a proteção a esses grupos. Em casos de fraude contra idosos, o Estatuto do Idoso (Lei 10.741/2003) e o Estatuto da Pessoa com Deficiência (Lei 13.146/2015) reforçam a vulnerabilidade. Os tribunais tendem a majorar a indenização e a antecipar a tutela com mais facilidade.
Procure assistência gratuita na Defensoria Pública do seu estado ou em núcleos de prática jurídica das faculdades de direito. O atendimento é gratuito e o aproveitamento prático costuma ser tão bom quanto o de muitos escritórios privados, em causas dessa natureza.
Checklist final (imprima e siga em ordem)
- Cartão bloqueado e transações contestadas no app/SAC do banco
- Protocolo de contestação salvo (print)
- Boletim de Ocorrência online emitido
- Dossiê probatório consolidado em pasta digital
- Notificação extrajudicial enviada ao banco (SAC + Ouvidoria)
- Reclamação no consumidor.gov.br
- Reclamação no Banco Central (RDR)
- Reclamação no Procon do estado
- Em caso de silêncio ou negativa, ação no Juizado Especial Cível
A maioria absoluta dos casos de cartão clonado se resolve antes do passo 9. Mas é justamente porque os passos 1 a 8 foram bem cumpridos que o banco percebe que ir à Justiça vai sair mais caro do que estornar. Cada protocolo, cada reclamação registrada, cada prazo cumprido é um peso na balança.
Você não está pedindo favor: está exercendo um direito que tem nome, número, súmula e jurisprudência. O banco sabe disso. A diferença entre receber o estorno em 30 dias ou em 18 meses é, em grande parte, a qualidade da documentação que você juntou no primeiro mês.
Aviso: Este conteúdo tem caráter informativo e não substitui consulta a advogado quando o caso envolver valores elevados, complexidade contratual ou repercussão criminal. Os valores indenizatórios citados são estimativas com base em jurisprudência recente e variam caso a caso. Para situações urgentes (inscrição iminente em cadastro restritivo, fraude em curso), procure imediatamente a Defensoria Pública ou advogado de confiança.
Veja também
- Empréstimo consignado não solicitado: como cancelar
- Plano de saúde negou cobertura: como reverter sem advogado
Quer todos os passos completos, com modelos prontos?
O e-book Defenda-se traz 10 capítulos cobrindo banco, plano de saúde, aérea, e-commerce e serviços essenciais — cada um com modelo de notificação extrajudicial editável que você só preenche os colchetes.
Pagamento único · Garantia de 7 dias