São nove da noite e o celular toca. Uma voz educada, com barulho de call center no fundo, diz que é da central de segurança do seu banco e pergunta se você reconhece uma compra de R$ 2.890 numa loja de eletrônicos. Você não reconhece, claro. O golpe começa exatamente aí.
Os golpes mais comuns com cartão seguem um roteiro parecido: alguém cria um problema urgente e oferece a solução, desde que você faça alguma coisa agora. A gente juntou os que mais aparecem nos alertas da Febraban, o que bancos, Correios e Receita Federal dizem que nunca fazem e o que fazer se o dinheiro já saiu.
A ligação da falsa central
Pela descrição da Febraban, o golpista se apresenta como funcionário do banco, fala de uma invasão ou de uma compra suspeita e pede dados da conta, do cartão e, principalmente, a senha. Numa variação, ele pede que você ligue pro número do verso do cartão, e quem atende do outro lado continua sendo ele, simulando a central.
Não se impressione se ele souber o seu nome e o seu CPF. No caso de falsa central que o STJ julgou em julho de 2026, os golpistas citaram dados pessoais da vítima para ganhar confiança.
A defesa vem da própria Febraban: desligue na hora e ligue você, de outro telefone, pro número oficial do verso do cartão. Banco pode ligar para confirmar uma compra suspeita, mas não pede senha, chave de segurança, pagamento nem estorno. Também não pede pra você instalar aplicativo.
O motoboy que vem buscar o cartão
É a continuação da falsa central. O falso funcionário diz que o cartão foi fraudado, pede a senha e manda você cortar o cartão ao meio sem danificar o chip. Depois, um motoboy passa para recolher o plástico. Com o chip inteiro e a senha na mão, os golpistas usam o cartão à vontade.
A Febraban é taxativa: banco nenhum pede o cartão de volta, muito menos manda alguém buscar. Se a conversa termina com você entregando o cartão pra alguém, é golpe, sem exceção.
O link da taxa da encomenda
Chega um SMS dizendo que a sua encomenda está retida e que falta pagar uma taxa para liberar. O link abre uma página com a cara dos Correios e pede os dados do cartão.
Os Correios dizem que não mandam mensagem com link direto para pagamento nem pedem dados pessoais ou financeiros por email, SMS ou WhatsApp. A Receita Federal avisa que não recebe pagamento de encomenda internacional por link, QR Code ou cartão. Se a encomenda veio pelos Correios, o boleto ou o Pix do imposto sai só pela página Minhas Importações, no site ou no app dos Correios, com o código de rastreamento.
Pra qualquer cobrança que chega por mensagem, a regra é a mesma: digite você o endereço do site oficial, ou abra o app, e procure a cobrança lá dentro. Se ela não aparece lá, não pague.
A maquininha com visor quebrado
Aqui o golpe é presencial. Segundo a Febraban, o golpista entrega uma maquininha com o visor danificado ou se posiciona de um jeito que você não vê o valor na tela. Um alerta de 2023 do Procon de Mogi das Cruzes descreve a versão do falso presente de aniversário: o visor adulterado mostra R$ 10,00, mas a cobrança sai de R$ 1.110,00, e a vítima só descobre na fatura.
Um primo desse golpe é a troca de cartão. O golpista observa você digitar a senha e devolve outro cartão, parecido com o seu.
Os cuidados, pela lista da Febraban, são os mesmos: não pague com visor danificado, confira o valor na tela, segure você o cartão e, ao receber de volta, veja se o nome impresso é o seu. Na hora da senha, a tela deve mostrar só asteriscos. Se aparecer número, cancele.
A clonagem do plástico ficou mais difícil com o chip. A Abecs, associação das empresas de cartão, diz que o padrão EMV, usado no chip e na aproximação, inviabiliza o uso dos dados para clonagem. Só que, com o cartão físico, compras por aproximação de até R$ 200 costumam passar sem senha, pelo padrão que a própria Abecs definiu em 2020. Se perdeu o cartão, bloqueie no app antes de qualquer outra coisa.
O que o cartão virtual e os alertas resolvem
Outro risco está nos números do cartão, que podem vazar de um site, de um cadastro ou de um link falso e ser usados em compras pela internet. Contra isso, o cartão virtual ajuda muito.
No Nubank, por exemplo, o cartão virtual tem número e código de segurança diferentes dos do cartão físico e pode ser bloqueado ou apagado no app a qualquer momento. Se uma loja vazar os dados, você apaga aquele cartão e o físico continua valendo.
Um hábito que funciona: um cartão virtual pra cada assinatura ou loja onde o cartão fica salvo. Pra compra única num site que você não conhece, o Nubank oferece um cartão virtual temporário, que expira em 24 horas.
Os alertas fazem o resto. Com a notificação de compra ligada no app, você vê a cobrança estranha na hora, e não 30 dias depois na fatura. Procon e Febraban recomendam ativar esses avisos.
O alerta por SMS pode ser cobrado: a regra de tarifas do Banco Central põe o envio de mensagem automática sobre lançamentos no cartão entre os serviços que o banco pode cobrar à parte. A notificação do app faz o mesmo papel.
E tem uma defesa subestimada: limite menor. Pela regra do Banco Central, se você pede redução, o banco tem até dois dias úteis para atender. Menos limite, menos estrago se alguém usar o seu cartão.
Caiu no golpe: o que fazer nas primeiras horas
O roteiro do Ministério da Justiça para vítimas da falsa central serve para qualquer golpe com cartão:
- Ligue pro banco pelos canais oficiais, peça o bloqueio do cartão e troque as senhas.
- Conteste as compras que você não fez. No contrato do cartão do Nubank em vigor desde agosto de 2026, o prazo para contestar por perda, roubo ou fraude é de 30 dias depois da transação, e o banco pede boletim de ocorrência. Cada banco tem o seu prazo, então não espere a fatura fechar.
- Registre o boletim de ocorrência, na delegacia ou na delegacia virtual do seu estado, com o número que te ligou, data, hora, prints e valores.
- Acompanhe o seu CPF. O relatório do Registrato, do Banco Central, mostra os empréstimos e financiamentos no seu nome.
- Se o banco negar, suba a escada: SAC, ouvidoria, Procon e, por último, a reclamação no Banco Central.
Durante a análise, pelo contrato do Nubank, o valor contestado pode continuar ocupando parte do limite, e o resto da fatura precisa ser pago normalmente. Não deixe o restante virar rotativo por causa de uma briga que ainda não terminou.
O Banco Central não resolve casos individuais, mas usa as reclamações na fiscalização, e a instituição tem até 10 dias úteis para responder por escrito.
Quem paga o prejuízo
Pela Súmula 479 do STJ, bancos respondem, independentemente de culpa, por fraudes e delitos de terceiros ligados às operações bancárias. Na prática, a Justiça olha caso a caso se o banco tinha como perceber a fraude.
Em outubro de 2025, a Terceira Turma do STJ mandou indenizar uma vítima da falsa central cuja conta, quase parada, fez 14 transações num único dia sem que o banco barrasse nada. Em março de 2025, a mesma turma livrou o banco num golpe do motoboy: a cliente entregou cartão e senha, e a compra parcelada, feita numa loja física, cabia no limite.
Já em julho de 2026, outra vítima da falsa central perdeu a ação. As transferências combinavam com o histórico da conta, e o maior valor foi sacado pela própria vítima, na agência.
O contrato também pesa. O do Nubank diz que transações autorizadas com senha são de responsabilidade exclusiva do cliente.
A lição prática: avise o banco rápido, guarde tudo e nunca entregue senha nem cartão. Quanto mais a fraude foge do seu padrão de gastos, mais forte fica o seu pedido de reembolso. Senha dada por telefone é o pior ponto de partida para reclamar depois.
Todo golpe desses depende de pressa. Banco de verdade não se ofende se você desligar e ligar de volta, e imposto de encomenda não muda porque você levou meia hora pra abrir o app dos Correios. Na dúvida, desligue.