Cartão clonado: o que fazer e quando o banco deve devolver o valor

1. Bloqueie o cartão pelo aplicativo ou pela central de atendimento. O bloqueio impede novas compras e marca a data a partir da qual qualquer lançamento é, com certeza, indevido.
2. Anote o número de protocolo de cada contato, com dia e hora. Se a ligação cair, ligue de novo e peça outro protocolo.
3. Tire print da fatura, das notificações do aplicativo e do extrato com as compras que você não reconhece.
4. Conteste as compras formalmente, uma a uma, pelo canal que o banco oferecer (aplicativo, SAC ou internet banking), e guarde a confirmação.
5. Registre boletim de ocorrência. Em São Paulo e em vários estados isso pode ser feito pela delegacia eletrônica.
6. Troque senhas do aplicativo do banco e do e-mail cadastrado, se houver suspeita de que alguém acessou suas contas.

Não pague a fatura cheia só para evitar juros sem antes registrar a contestação. Se o vencimento estiver perto, pergunte ao banco, por escrito, se os lançamentos contestados ficam suspensos até a análise, e pague a parte que você reconhece.

Alguns sinais aparecem antes da fatura fechar e merecem atenção imediata:

• notificação de compra que você não fez, principalmente em sites estrangeiros, aplicativos de transporte ou lojas de games;
• pequenas cobranças de teste, de centavos ou poucos reais, que costumam preceder compras maiores;
• várias compras seguidas em poucos minutos, em horários em que você não usa o cartão;
• queda de limite sem explicação;
• mensagem do banco pedindo que você confirme uma compra que não reconhece.

A clonagem pode acontecer mesmo com o cartão no bolso. Os dados podem ser capturados em sites falsos, em vazamentos de cadastro de lojas ou em máquinas adulteradas. Por isso, o fato de o cartão físico nunca ter saído da sua carteira não enfraquece a sua reclamação; ao contrário, é um dado a registrar na contestação.

Se você usa cartão virtual para compras on-line, confira também se o lançamento foi feito com o número do cartão físico ou do virtual. Essa informação ajuda a identificar onde os dados vazaram.

O ponto de partida é o Código de Defesa do Consumidor. O art. 14 diz que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos na prestação do serviço, e considera defeituoso o serviço que não oferece a segurança que o consumidor pode esperar. O STJ aplicou essa regra aos bancos na Súmula 479: as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Fortuito interno é o risco que faz parte da própria atividade. Clonagem de cartão e uso de dados para compras são riscos que o banco conhece, precifica e tem obrigação de combater. Por isso, em regra, cabe ao banco provar que não houve falha, e não a você provar que o sistema falhou.

Em outubro de 2025, a Terceira Turma do STJ reforçou esse raciocínio no REsp 2.222.059: os sistemas antifraude devem detectar operações que se afastam do perfil do cliente, considerando valor, horário, local, intervalo entre as transações e sequência. Validar operações atípicas mostra defeito no serviço.

Exemplo

Uma pessoa que gasta em média R$ 1.500 por mês no cartão, sempre em mercados e farmácias da cidade onde mora, vê aparecerem, numa madrugada, oito compras de R$ 900 em lojas de eletrônicos de outro estado, em menos de uma hora. Esse padrão destoa do histórico e é o tipo de situação em que o banco tem dificuldade de sustentar que agiu com a segurança esperada.

A responsabilidade objetiva não é automática em qualquer prejuízo. O próprio art. 14, § 3º, do CDC permite que o fornecedor se livre se provar que o defeito não existe ou que houve culpa exclusiva do consumidor ou de terceiro.

Em julho de 2026, a Terceira Turma do STJ julgou o REsp 2.209.868, sobre o golpe da falsa central, e deixou claro que a responsabilidade do banco depende da demonstração de falha no serviço, como a não identificação de operações incompatíveis com o perfil ou mecanismos de segurança insuficientes. Naquele caso, as transferências eram compatíveis com o histórico da conta e a maior delas foi feita pela própria cliente, na agência. O tribunal entendeu que houve culpa exclusiva da vítima e dos golpistas.

Na prática, os argumentos que o banco costuma usar são:

• a compra foi feita com cartão com chip e senha, que só o titular teria;
• o cliente entregou o cartão, a senha ou um código de confirmação a terceiros;
• as compras eram compatíveis com o padrão de gastos;
• o cliente demorou a avisar, e as compras ocorreram depois de ele já saber do problema.

Cada um desses pontos se discute com prova. Por isso, contar exatamente como descobriu a fraude, quando avisou e o que já estava bloqueado é tão importante quanto a própria contestação.

Muitos pedidos são resolvidos na primeira análise. Quando a resposta é negativa, há uma escada de caminhos:

1. Ouvidoria do banco. Ela atende demandas que não foram resolvidas no atendimento comum. Pela Resolução CMN 4.860/2020 (art. 6º, § 2º), a resposta não pode passar de dez dias úteis, prorrogáveis uma vez em casos excepcionais e justificados.
2. Reclamação no Banco Central e no consumidor.gov.br. Não obrigam o banco a pagar, mas criam registro oficial e costumam gerar nova análise.
3. Procon. Pode chamar o banco para uma tentativa de acordo.
4. Ação judicial. Pede-se a declaração de que as compras não são devidas, a devolução do que foi pago e, conforme o caso, indenização por dano moral.

No processo, o juiz pode inverter o ônus da prova a favor do consumidor quando a alegação for verossímil ou ele for hipossuficiente (CDC, art. 6º, VIII). Isso significa que o banco passa a ter de mostrar os registros da transação, o dispositivo usado, a localização e os alertas que o sistema gerou.

O dano moral não é presumido em todo caso de clonagem. Ele costuma ser discutido quando o banco negou a contestação sem justificativa, manteve a cobrança, lançou juros sobre valores contestados ou levou o nome do cliente a cadastro de inadimplentes. O prazo para pedir reparação por defeito do serviço é de cinco anos, contados do conhecimento do dano e de sua autoria (CDC, art. 27).

Monte uma pasta, física ou digital, com:

• faturas do mês da fraude e de pelo menos três meses anteriores, que mostram o seu padrão de uso;
• prints das notificações e do aplicativo com as compras contestadas;
• protocolos de bloqueio e de contestação, com datas;
• boletim de ocorrência;
• respostas do banco, inclusive a negativa, se houver;
• qualquer prova de onde você estava no momento das compras, como registro de ponto, bilhete de transporte ou outra compra feita por você na sua cidade.

Erros comuns que enfraquecem o pedido: contestar só por telefone sem anotar protocolo; esperar a fatura seguinte para reclamar; pagar tudo e só depois pedir o dinheiro de volta sem registro prévio; aceitar crédito provisório sem guardar o comprovante de que ele foi estornado depois; e apagar mensagens ou e-mails suspeitos que poderiam mostrar como os dados vazaram.

Se o valor é alto, se o banco manteve a cobrança ou se o seu nome foi negativado por causa das compras, vale buscar orientação sobre direito bancário para avaliar o caminho. A advogada Flávia Vaz Rabello atende casos bancários em Indaiatuba e de forma online.

O banco pode me cobrar juros sobre as compras que contestei?

Se a contestação estiver registrada e as compras forem reconhecidas como fraude, os juros e encargos sobre esses valores também são indevidos e devem ser retirados. Caso o banco mantenha a cobrança depois da reclamação, guarde as faturas: esse comportamento pesa na discussão sobre devolução e sobre eventual dano moral.

Compra feita com chip e senha pode ser contestada?

Pode. O banco costuma alegar que só o titular teria o cartão e a senha, mas isso é uma presunção que admite prova em contrário. O caso fica mais difícil se você entregou o cartão ou a senha a alguém, e mais forte se as compras destoam do seu perfil e o sistema não reagiu.

Quanto tempo o banco tem para responder a contestação?

Não há um prazo único em lei para a primeira análise da contestação, e cada banco informa o seu. Se a resposta não vier ou for negativa, a ouvidoria tem até dez dias úteis para responder, com uma prorrogação possível em caso excepcional, conforme a Resolução CMN 4.860/2020.

Fui negativado por causa de compras do cartão clonado. O que faço?

Registre a contestação, se ainda não fez, e peça ao banco a retirada do nome do cadastro por escrito. A inclusão por dívida que você não fez é indevida, e o caminho segue as regras explicadas no post sobre nome sujo indevidamente, com possibilidade de pedido de indenização na Justiça.

Cartão de débito clonado tem a mesma proteção do cartão de crédito?

A lógica da responsabilidade é a mesma, porque as duas modalidades são serviço bancário sujeito ao CDC e à Súmula 479. A diferença prática é que no débito o dinheiro sai da conta na hora, então vale pedir o estorno com urgência e registrar que o saldo foi afetado, inclusive se isso gerou atraso em outras contas.