# Golpe da falsa central: anatomia do roubo de conta e as contramedidas

<https://unifokal.com/blog/golpe-da-falsa-central>

Guia · UNIFOKAL · 3 de setembro de 2026 · Atualizado em 1 de outubro de 2026 · 8 min de leitura · Antifraude

O roteiro do golpe da falsa central passo a passo, por que ele convence tanta gente e as contramedidas de produto que funcionam, do canal de retorno oficial ao MED do Pix.

O telefone toca. Do outro lado, alguém se apresenta como funcionário da central de segurança do banco. Sabe o nome completo da pessoa, o CPF (Cadastro de Pessoas Físicas), às vezes até os últimos dígitos do cartão. Diz que o sistema detectou uma compra suspeita e que é preciso agir rápido para cancelar a transação antes que o dinheiro saia da conta. Em poucos minutos, quem acredita estar impedindo uma fraude está, na verdade, entregando a própria conta ao criminoso.

Esse é o golpe da falsa central. Ele quase nunca explora uma falha técnica: explora pessoas. Por isso não se resolve apenas com criptografia ou senha forte. Resolve-se com desenho de produto, comunicação repetitiva e verificação proporcional ao risco.

Este texto interessa a dois públicos. Primeiro, a quem desenha produtos financeiros ou digitais e precisa reduzir a taxa de sucesso do golpe dentro do próprio aplicativo. Segundo, a qualquer pessoa que atende o telefone. Vamos percorrer o roteiro do criminoso, entender por que ele convence e listar contramedidas concretas.

## O roteiro do golpe, passo a passo

O ataque segue um script bem ensaiado, com pequenas variações:

1. **Contato inicial.** A vítima recebe uma ligação, uma mensagem de SMS (Short Message Service, o serviço de mensagens de texto) ou um contato por aplicativo de mensagens, sempre em nome do banco ou da fintech. O identificador de chamada pode ser falsificado para exibir um número parecido com o oficial, o que reforça a encenação.
2. **A urgência fabricada.** O falso atendente afirma que há uma transação suspeita em andamento, uma compra em outro estado, um Pix de valor alto, e que ela precisa ser cancelada imediatamente. O relógio correndo é parte do golpe: pensar com calma é o inimigo do criminoso.
3. **A coleta da chave.** Para o "cancelamento", o golpista pede a senha, o código de uso único (OTP, do inglês One-Time Password) que acabou de chegar por SMS, ou orienta a vítima a instalar um aplicativo de acesso remoto no celular, com a desculpa de que a equipe técnica precisa "verificar o dispositivo". Qualquer um dos três entrega o controle da conta.
4. **A consumação.** Com senha, código ou tela espelhada em mãos, o criminoso transfere o dinheiro por Pix, altera cadastro, registra um novo dispositivo e, muitas vezes, contrata crédito em nome da vítima antes de sumir.

Há uma variante mais sofisticada que combina a falsa central com a troca de chip: o criminoso primeiro clona a linha telefônica junto à operadora e passa a receber os códigos de uso único no lugar da vítima. Já explicamos [por que a troca de chip derrota a verificação por SMS](https://unifokal.com/blog/sim-swap-e-o-limite-do-sms) e o que usar no lugar dela.

## Por que o golpe funciona

Entender a psicologia do ataque é o primeiro passo para desenhar a defesa.

**Autoridade percebida.** A ligação imita os rituais de uma central verdadeira: script formal, número de protocolo, música de espera, transferência entre "setores". O cérebro reconhece o formato e baixa a guarda.

**Medo e urgência.** A mensagem central é "você está perdendo dinheiro agora". Sob estresse, as pessoas obedecem a instruções que rejeitariam em condições normais. O golpe não pede que a vítima confie: pede que ela reaja.

**Verossimilhança comprada com dados vazados.** O golpista abre a conversa citando nome, CPF, endereço, às vezes o gerente da agência. Esses dados vêm de vazamentos anteriores e custam pouco no mercado ilegal. Cada dado correto aumenta a credibilidade da encenação: saber os dados da pessoa não prova a legitimidade de nenhuma ligação.

**Inversão de papéis.** O detalhe mais cruel: a vítima acredita que está se protegendo. Ela não sente que está fazendo uma transferência, sente que está cancelando uma. Toda a comunicação preventiva precisa atacar exatamente essa inversão.

## Contramedidas no desenho do produto

A instituição não controla o telefone da vítima, mas controla o próprio aplicativo, os canais oficiais e as regras de negócio. É aí que o golpe pode ser sufocado.

**Comunicação insistente e sem exceções.** A regra "nós nunca pedimos senha, código ou instalação de aplicativo por telefone" precisa aparecer no onboarding, no corpo de cada SMS com código, na tela de espera do atendimento. A Febraban, a Federação Brasileira de Bancos, mantém campanhas permanentes com essa orientação, e a mensagem só gruda com repetição. Uma frase no rodapé do site não conta.

**Canal oficial de retorno.** O antídoto mais simples contra a falsa central é devolver a iniciativa ao cliente: desligue e chame de volta pelo aplicativo. Se o produto oferece um botão de "falar com a central" dentro do app, com fila prioritária para suspeita de fraude, a vítima tem uma saída fácil no momento de pânico. A ligação recebida nunca deve ser o canal de decisão.

**Re-verificação forte nas ações de alto risco.** Troca de dispositivo, cadastro de nova chave Pix, aumento de limite e transferência atípica são os pontos onde o roubo de conta se concretiza. Nesses momentos, o código por SMS é insuficiente, porque a troca de chip o intercepta. O padrão mais resistente é a verificação biométrica com [prova de vida, que confirma que há uma pessoa real e presente](https://unifokal.com/blog/prova-de-vida-liveness) diante da câmera.

Na UNIFOKAL, por exemplo, o desenho recomendado é exigir biometria facial com prova de vida nesses pontos, com o SMS rebaixado a fator complementar.

**Atrito proporcional ao risco.** Segurança não precisa encarecer o uso cotidiano. Um Pix pequeno para um contato habitual pode fluir sem fricção; um Pix alto, de madrugada, para uma chave recém-cadastrada, merece espera deliberada, limite reduzido e verificação extra. Períodos de carência após troca de dispositivo tiram do golpista aquilo de que ele mais precisa: velocidade.

**Detecção de acesso remoto.** Aplicativos financeiros podem detectar indícios de ferramentas de espelhamento de tela em execução e bloquear a sessão ou degradar as ações sensíveis. Não é infalível, mas remove um dos braços do roteiro.

## O caminho do dinheiro e o MED do Pix

Consumado o golpe, o dinheiro sai por Pix e é pulverizado em minutos por uma cadeia de contas de passagem, as chamadas contas laranja, tema que já detalhamos ao explicar [como o dinheiro do golpe circula até sumir](https://unifokal.com/blog/pix-med-e-conta-laranja).

Existe um mecanismo formal de reação: o MED, Mecanismo Especial de Devolução, instituído pela Resolução BCB 103/2021 do Banco Central do Brasil. Quando a vítima notifica sua instituição relatando fundada suspeita de fraude, a instituição registra a ocorrência no arranjo do Pix e solicita o bloqueio dos recursos. Pelo artigo 41-A do Regulamento do Pix, a devolução precisa ser iniciada em até noventa dias contados da transação original.

A honestidade aqui importa: o MED bloqueia o que ainda estiver bloqueável dentro do arranjo. A atualização conhecida como MED 2.0, trazida pela Resolução BCB 493/2025 e em vigor desde fevereiro de 2026, estendeu o rastreamento às contas subsequentes por onde o valor foi pulverizado, fechando a rota clássica de dispersão em camadas; ainda assim, valor sacado ou convertido para fora do arranjo segue fora do alcance do bloqueio. Por isso cada minuto entre o golpe e a notificação vale dinheiro, e por isso a instituição deve tornar o botão de "fui vítima de golpe" impossível de não achar.

## O que orientar a vítima a fazer

Toda instituição deveria publicar, em linguagem simples, um roteiro de reação:

1. **Notificar a instituição imediatamente**, pelo aplicativo ou pela central oficial, pedindo o bloqueio das transações e o acionamento do MED. Este é o passo mais urgente.
2. **Registrar boletim de ocorrência**, presencialmente ou pela delegacia eletrônica do estado. Além de formalizar o caso, o registro sustenta a persecução penal: a Lei 14.155/2021 incluiu a fraude eletrônica no Código Penal como forma qualificada de estelionato, com pena mais severa.
3. **Trocar senhas e revogar dispositivos** conectados à conta, e contatar a operadora de telefonia se houver suspeita de troca de chip.
4. **Preservar evidências**: prints das mensagens, número que ligou, horários e comprovantes das transações.

O golpe da falsa central vai continuar existindo enquanto for barato ligar e caro verificar. Cada re-verificação forte, cada canal de retorno oficial e cada segundo de atrito bem colocado reduz a taxa de conversão do criminoso. Defesa, aqui, é sobretudo design.

## Fontes citadas

- Resolução BCB 103/2021, do Banco Central do Brasil, que instituiu o Mecanismo Especial de Devolução (MED) do Pix
- Resolução BCB 493/2025, do Banco Central do Brasil, que atualizou o MED (MED 2.0) com o rastreamento do valor em contas subsequentes
- Resolução BCB 1/2020, Regulamento do Pix, texto consolidado, artigo 41-A, inciso II (devolução iniciada em até noventa dias da transação original): [bcb.gov.br](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=1)
- Lei 14.155/2021, que incluiu a fraude eletrônica no Código Penal como forma qualificada de estelionato
- Febraban (Federação Brasileira de Bancos), campanhas permanentes de orientação contra golpes financeiros