Clonaram meu WhatsApp e pediram dinheiro aos meus contatos: quem paga o prejuízo?

Uma mensagem chega de um número desconhecido, mas com a foto e o nome de um filho, de uma irmã ou de um amigo próximo: "troquei de número, salva esse aí". Minutos depois vem o pedido de um PIX urgente. Na versão mais grave, o criminoso assume a conta verdadeira da vítima e escreve, do número real dela, para todos os contatos. Quando a família percebe, várias pessoas já transferiram dinheiro. A pergunta que vem em seguida é sempre a mesma: quem paga o prejuízo? A resposta direta: em regra, o golpista e quem lhe emprestou a conta bancária; a pessoa que teve o perfil copiado não deve nada a quem pagou; e os bancos e a operadora de telefonia só respondem quando houve falha concreta do serviço - um teste que o Superior Tribunal de Justiça vem aplicando caso a caso.

Perfil falso ou conta clonada? A diferença importa

O que se chama de "WhatsApp clonado" são, na verdade, dois golpes diferentes, com consequências jurídicas distintas.

1. O perfil falso. O criminoso cria uma conta em um número novo, copia a foto e o nome de alguém a partir de redes sociais ou de grupos e manda a mensagem do "número novo" aos contatos que conseguiu mapear. Ninguém foi invadido; a pessoa imitada só descobre quando um parente pergunta se o pedido era verdadeiro. O prejuízo recai sobre quem pagou.

2. A conta tomada. Aqui o golpista assume o número verdadeiro. Ele obtém o código de seis dígitos que o aplicativo envia por SMS - em geral ligando como se fosse um site de vendas, um órgão público ou o próprio suporte e pedindo que a vítima "confirme o código que acabou de chegar" - ou faz a troca de chip (SIM swap): a linha é transferida para outro chip na operadora e o celular original fica sem sinal. Com o número sob controle, o criminoso registra a conta em outro aparelho e passa a pedir dinheiro em nome da vítima.

Em ambos os casos o crime é o estelionato por fraude eletrônica: a Lei 14.155/2021 inseriu no Código Penal o § 2º-A do art. 171, com reclusão de quatro a oito anos quando a fraude usa informações obtidas da vítima ou de terceiro induzido a erro por redes sociais, telefone ou mensagens, e aumento de um terço até o dobro se a vítima é idosa.

Fui clonado: o que fazer nas primeiras horas

1. Avise todo mundo por outro canal

Ligue, publique nas redes sociais, mande SMS, peça a um familiar que espalhe: "não sou eu, não transfiram nada". Cada minuto de silêncio é uma transferência a mais. Quem já pagou deve ligar para o próprio banco na hora.

2. Recupere a conta

Abra ou reinstale o aplicativo, informe o seu número e digite o código que chegar por SMS: ao registrar o número de novo, a sessão do golpista é encerrada.

3. Ative a confirmação em duas etapas

Nas configurações da conta, crie o PIN de seis dígitos e cadastre um e-mail de recuperação. Com isso, o código de SMS sozinho deixa de bastar para tomar a conta. E fixe a regra que desmonta a engenharia social: nenhum código de verificação se compartilha com ninguém, nunca.

4. Denuncie no canal oficial do governo

O Ministério da Justiça mantém a plataforma Sofri um golpe, e agora?, com uma trilha para quem teve a rede social invadida ou clonada. A orientação oficial cabe em três linhas: denunciar pelos canais oficiais, não pagar nem interagir com o golpista, mesmo sob ameaça, e avisar amigos e familiares sobre a conta falsa.

5. Registre o boletim de ocorrência

Em São Paulo, o B.O. sai pela Delegacia Eletrônica da Polícia Civil. Descreva as mensagens enviadas em seu nome, liste as pessoas que pagaram, os valores e as contas de destino.

6. Se o celular ficou sem sinal, procure a operadora

Perder o sinal de repente é o sintoma clássico da troca de chip. Ligue de outro aparelho, peça o bloqueio da linha e um chip novo, anote o protocolo e exija que a operadora informe quando, onde e como a troca foi autorizada: essa é a prova central de eventual ação contra ela.

Transferi dinheiro para o golpista: o que fazer

1. Banco e MED, na primeira hora

Ligue para o seu banco ou use o aplicativo e peça o acionamento do Mecanismo Especial de Devolução, previsto na regulamentação do PIX do Banco Central. O pedido pode ser feito em até 80 dias, mas a chance real de recuperar algo está nas primeiras horas, antes de o dinheiro ser sacado ou pulverizado. Desde 2 de fevereiro de 2026 vale o MED 2.0 (Resolução BCB 493/2025): as instituições bloqueiam os valores sob suspeita por até 11 dias enquanto analisam o caso, e o rastreamento segue o dinheiro pelas contas seguintes, não só pela primeira que recebeu o PIX. Roteiro completo: as primeiras 24 horas após o golpe do PIX.

2. Boletim de ocorrência

Ele instrui a análise do MED e qualquer ação futura, e pode ser registrado no seu domicílio.

3. Guarde as provas

Salve a conversa inteira, com o número, a foto e o pedido; guarde o comprovante do PIX - ele mostra nome, parte do CPF ou CNPJ e a instituição de quem recebeu, e é com esses dados que se identifica o titular da conta; anote os protocolos do banco.

4. Se o banco negar ou demorar

Registre reclamação no consumidor.gov.br e, contra instituições financeiras, no Banco Central; o Procon é outro caminho. As respostas escritas viram prova.

5. A via judicial

Causas de até 40 salários mínimos cabem no Juizado Especial Cível. Os réus possíveis são o titular da conta que recebeu o dinheiro e, quando houver falha, o banco de quem pagou ou o banco que abriu a conta do golpista. O prazo é de três anos contra o golpista e o "laranja" (art. 206, § 3º, V, do Código Civil) e de cinco anos contra os bancos (art. 27 do CDC).

Quem paga: o que o STJ decidiu

O ponto de partida é conhecido: a Súmula 479 do STJ e o art. 14 do Código de Defesa do Consumidor fazem os bancos responderem, sem discussão de culpa, pelas fraudes que integram o risco da atividade (o fortuito interno). A dificuldade do golpe do WhatsApp é que quem faz o PIX é o próprio cliente, com a senha certa, convencido por uma história.

O banco de quem pagou. Desde 2023 o STJ afirma que a instituição tem o dever de identificar e impedir transações que destoam do perfil do cliente. Em novembro de 2025, no REsp 2.220.333, a Terceira Turma afastou a tese da culpa concorrente: quando o banco deixou passar um empréstimo e transferências incompatíveis com o histórico da conta, responde por inteiro, sem dividir o prejuízo com a vítima enganada. Em julho de 2026, porém, no REsp 2.209.868, a mesma Turma negou a indenização a uma vítima da falsa central cujas operações eram compatíveis com o seu histórico, sem falha de segurança identificada. No golpe do WhatsApp, um único PIX de valor comum dificilmente será atribuído ao banco; uma sequência de transferências altas, em horário incomum, para desconhecidos e sem qualquer alerta abre espaço real para discutir a falha. Os critérios estão no artigo sobre quando o banco é obrigado a devolver.

O banco que recebeu. No REsp 2.124.423, de janeiro de 2025, a Terceira Turma examinou o caso de uma vítima de falso leilão que transferiu R$ 47 mil para uma conta digital usada por golpistas e concluiu que o banco que hospeda a conta do criminoso só responde se não cumpriu o dever de verificar e validar a identidade e a qualificação do titular, conforme a Resolução CMN 4.753/2019. A lição prática é pedir, na ação, que o banco recebedor apresente os documentos de abertura da conta e o histórico de movimentação: conta aberta com documentos de terceiro sem conferência, ou mantida apesar de movimentação típica de "laranja", muda o resultado.

O titular da conta. O comprovante do PIX identifica quem recebeu. Essa pessoa responde civilmente pelo dano, de forma solidária com o golpista (arts. 927 e 942 do Código Civil), e a alegação de que "apenas emprestou a conta" não a livra. A ressalva honesta: com frequência o titular é insolvente ou teve a própria identidade usada para abrir a conta, e o dinheiro já saiu.

A operadora de telefonia. Na troca de chip, a linha só muda de mãos porque a operadora autorizou. Transferir o número sem validação adequada é defeito do serviço de telefonia, e as decisões dos tribunais vêm reconhecendo o dever da operadora de reparar os danos materiais e morais decorrentes da clonagem.

A pessoa clonada. Não responde perante os amigos: não praticou o golpe nem concorreu para ele. Se a conta foi tomada por troca de chip, ela tem pretensão própria contra a operadora, inclusive por dano moral. Situações vizinhas - o celular roubado com a conta esvaziada e o golpe da falsa central - seguem a mesma lógica: o prestador responde pela falha que era dele.

Prevenção: quatro hábitos que fecham a porta

• Confirmação em duas etapas ativada, com PIN que só você conhece e e-mail de recuperação cadastrado.
• Código de verificação não se compartilha. Se alguém pede o código "que acabou de chegar", é golpe.
• Pedido de dinheiro se confirma por voz: ligue para o número antigo da pessoa ou faça uma chamada de vídeo antes de qualquer PIX.
• Foto e recado visíveis só para os contatos, e limites do PIX reduzidos no período noturno pelo aplicativo do banco.

Quando procurar um advogado

Quando o valor é relevante, quando o banco negou o MED ou não respondeu no prazo, quando a operadora nega a troca de chip ou quando o golpista contratou empréstimos em nome de alguém. A análise individual define contra quem ajuizar a ação e como enquadrar o caso na jurisprudência atual do STJ. A área de Direito do Consumidor do escritório atua nesse tipo de demanda.

Este artigo tem caráter exclusivamente informativo e não substitui a orientação jurídica individualizada. Cada caso tem circunstâncias próprias que alteram a análise. Para avaliar a sua situação, entre em contato.