Golpe do sósia: o que fazer se abriram conta ou pegaram empréstimo no seu nome

Atualizado em 06/09/2026. A Serasa Experian identificou uma fraude nova, batizada de golpe do sósia: em vez de partir dos dados de uma vítima, o criminoso parte do próprio rosto e usa ferramentas de comparação facial para achar alguém fisicamente parecido com ele. Depois, tenta usar os documentos dessa pessoa para abrir conta, pedir cartão ou tomar empréstimo, contando que a selfie de validação passe pelo sistema. Segundo o Mapa da Fraude do primeiro semestre de 2026, divulgado em 6 de setembro, foram 2,86 milhões de tentativas de fraude de identidade barradas no período, alta de 32,9% sobre 2025, o equivalente a uma ocorrência de alto risco a cada 5,5 segundos.

Se você descobriu uma conta, um cartão ou uma dívida que nunca contratou, respira. A regra que vale nesse caso está pacificada no Superior Tribunal de Justiça desde 2011 e é bem favorável a você. O problema quase nunca é o direito. É a ordem em que você faz as coisas nos primeiros dias.

Como funciona o golpe do sósia

Na fraude de identidade tradicional, o criminoso consegue seus dados e depois procura um jeito de se passar por você. O golpe do sósia inverte a ordem.

1. O fraudador começa pelo rosto dele.
2. Roda esse rosto em motores de comparação facial, inclusive contra bases obtidas de forma ilícita.
3. O sistema devolve identidades reais com alto grau de semelhança física.
4. Ele escolhe a que tem mais chance de passar na validação biométrica e usa os dados dessa pessoa.

Ou seja: a vítima não fez nada errado. Não clicou em link, não passou senha, não entregou documento. Foi escolhida por parecer com o criminoso. Por isso muita gente só descobre meses depois, quando o nome já está negativado ou o crédito é negado sem explicação.

A recomendação da própria empresa que mapeou o golpe é que o reconhecimento facial não seja usado como única camada de checagem. Validação de documento, prova de vida, conferência cadastral, análise do aparelho e padrão de comportamento derrubariam um sósia. Guarde isso: é o argumento jurídico que você vai usar depois.

Por que o banco responde, mesmo sem culpa

Esse é o ponto que muda a conversa no balcão. O Superior Tribunal de Justiça julgou o assunto em recurso repetitivo, o Tema 466, e a tese firmada é esta:

As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

“Objetivamente” quer dizer que não é preciso provar que o banco foi descuidado: basta o dano e a ligação com o serviço. “Fortuito interno” quer dizer que a fraude é risco do próprio negócio de conceder crédito, não um acidente vindo de fora.

E a anotação oficial do tema, escrita pelo núcleo de precedentes do próprio tribunal, cita o nosso caso com todas as letras:

As instituições bancárias respondem objetivamente pelos danos causados por fraudes ou delitos praticados por terceiros, como, por exemplo, abertura de conta-corrente ou recebimento de empréstimos mediante fraude ou utilização de documentos falsos, porquanto tal responsabilidade decorre do risco do empreendimento, caracterizando-se como fortuito interno.

O Tema 466 saiu dos recursos especiais 1.197.929 e 1.199.782, ambos do Paraná, relatados pelo ministro Luis Felipe Salomão na Segunda Seção em 24 de agosto de 2011, com trânsito em julgado em 18 de outubro de 2011. Dele nasceu a Súmula 479 do STJ, com a mesma redação.

A base legal é o art. 14 do Código de Defesa do Consumidor: o fornecedor responde independentemente de culpa por defeito na prestação, e o § 3º só o livra se provar que o defeito não existiu ou que houve culpa exclusiva do consumidor ou de terceiro. Repare que quem prova é o banco, não você. E o STJ já disse que fraude de terceiro aqui é risco do negócio, ou seja, não serve como excludente.

Como descobrir se usaram seu CPF

Antes de brigar, saiba o tamanho do estrago. O Banco Central mantém o Registrato, hoje dentro do Meu BC (meubc.bcb.gov.br), com relatórios gratuitos do que foi aberto em seu nome. Muita gente reclama no banco de onde veio a cobrança e nunca descobre que existem outras cinco contas.

Todos são gratuitos e exigem conta gov.br de nível prata ou ouro, com verificação em duas etapas ativada. O relatório é sigiloso e só pode ser pedido por você ou por quem você autorizar. O CCS cobre relacionamentos iniciados a partir de 1º de janeiro de 2001.

Some a isso a consulta gratuita nos cadastros de inadimplentes, que mostra se a dívida fraudulenta já virou negativação. Se já virou, o caminho é o do post sobre negativação indevida.

E agora, o que eu faço?

1. Tire os relatórios do Meu BC primeiro, antes de ligar para qualquer lugar. Você precisa saber quantas contas e contratos existem, em quais instituições e desde quando. Salve os PDFs: são a sua prova.
2. Registre o boletim de ocorrência. Quase toda polícia civil tem registro on-line. Descreva os contratos que você não reconhece, com instituição e data. O BO não resolve sozinho, mas é o documento que os bancos pedem e que abre o inquérito.
3. Abra reclamação no SAC de cada instituição. Peça duas coisas: o cancelamento do contrato e a cópia integral do que foi usado para contratar (documento apresentado, selfie da biometria, IP, aparelho, geolocalização, gravação da ligação). Anote o protocolo. Pelo Decreto 11.034/2022, o menu do atendimento telefônico é obrigado a ter reclamação e cancelamento no primeiro nível, e a empresa não pode mandar você repetir a demanda já registrada.
4. Cobre a resposta em sete dias. O mesmo decreto dá ao fornecedor sete dias corridos, contados do registro, para responder de forma clara, objetiva e conclusiva. Você também tem direito ao histórico das suas demandas, sem custo, em até cinco dias corridos.
5. Se não resolver, suba para a ouvidoria. Toda instituição autorizada pelo Banco Central é obrigada a ter uma, com acesso gratuito e telefone divulgado nos extratos e no site. O prazo é de até dez dias úteis, prorrogável uma única vez, de forma justificada.
6. Reclame no Banco Central e no consumidor.gov.br. São canais públicos, gratuitos e com registro formal. A reclamação no Banco Central não devolve dinheiro, mas alimenta o ranking de reclamações da instituição e costuma acelerar a análise interna.
7. Peça a exclusão dos dados usados na fraude. Pela Lei Geral de Proteção de Dados você pode exigir confirmação do tratamento, acesso, correção do que estiver inexato e eliminação do que foi tratado fora da lei. Por escrito, com protocolo.
8. Só então avalie a via judicial. Com relatórios, BO, protocolos e a negativa por escrito na mão, o caso está montado. Sem eles, fica palavra contra palavra.

Os prazos que correm contra você

Repare no prazo de noventa dias: se você ligou para o banco e ouviu algo que ajuda o seu caso, peça a gravação dentro desses noventa dias. Depois, a empresa não é mais obrigada a guardar o arquivo. É prova que a norma já obriga o outro lado a produzir e que quase ninguém pede.

Dá para pedir indenização?

Depende do que aconteceu com o seu nome, e é honesto dizer que não existe valor de tabela nem resultado garantido. Dá para explicar a régua que os tribunais usam.

Se a dívida fraudulenta gerou negativação, a jurisprudência trata o caso como dano moral que independe de prova de sofrimento, porque o abalo de crédito é presumido. Mas existe um freio, a Súmula 385 do STJ:

Da anotação irregular em cadastro de proteção ao crédito, não cabe indenização por dano moral, quando preexistente legítima inscrição, ressalvado o direito ao cancelamento.

Traduzindo: se você já tinha uma negativação legítima antes da fraudulenta, o dano moral costuma cair. O direito de cancelar a anotação indevida continua de pé e a dívida continua não sendo sua. Só a indenização fica comprometida.

Se a fraude não negativou seu nome e foi resolvida rápido, a tendência é o caso ser tratado como aborrecimento, sem dano moral. Já os prejuízos materiais (valores debitados, parcelas, tarifas) são outra conversa: provam-se com extrato e pedem-se de volta.

A Lei Geral de Proteção de Dados abre uma segunda porta. O art. 42 obriga quem trata dados a reparar o dano causado em violação à lei, e o § 2º permite ao juiz inverter o ônus da prova quando a alegação for verossímil ou quando provar for excessivamente difícil para o titular. O art. 48 obriga a comunicar incidente de segurança relevante à autoridade nacional e ao titular, pedido útil quando a empresa alega que o sistema não falhou.

O lado criminal, e uma mudança recente que ajuda a vítima

Quem se passa por outra pessoa comete falsa identidade, com detenção de três meses a um ano (art. 307 do Código Penal). Se obteve vantagem, o crime é estelionato, hoje com reclusão de um a cinco anos e multa. Quando a fraude é eletrônica, com dados obtidos por rede social, ligação, e-mail falso ou aplicação de internet, a pena sobe para reclusão de quatro a oito anos (art. 171, § 2º-A).

A mudança que interessa à vítima veio com a Lei 15.397/2026, que revogou o § 5º do art. 171. Era o parágrafo que exigia representação da vítima para o Ministério Público agir na maioria dos casos. Sem ele, o estelionato volta a ser de ação penal pública incondicionada: inquérito e denúncia não dependem mais de você formalizar representação dentro de prazo. A mesma lei criou o crime de cessão de conta laranja (art. 171, § 2º, VII), o elo que costuma aparecer depois de uma fraude de identidade. Reunimos tudo no post sobre a nova lei de furto, roubo e golpe.

Como reduzir o risco

• Não publique foto de documento nem selfie segurando documento em rede social ou aplicativo de mensagem. É esse material que alimenta os motores de comparação facial.
• Forneça dados e biometria só em site e aplicativo oficiais, digitando o endereço, nunca por link recebido.
• Desconfie de pedido de selfie fora de contexto: processo seletivo, sorteio, cadastro de benefício.
• Tire o relatório de contas e relacionamentos do Meu BC uma vez por ano. É gratuito e leva minutos.
• Se o crédito for negado sem explicação, trate como sinal de alerta, não como acaso.

Perguntas frequentes

Eu preciso pagar a dívida enquanto discuto?

Não. A dívida não é sua e o contrato não foi feito por você. O que você precisa é registrar a contestação formalmente, com protocolo. Pagar para limpar o nome enfraquece o caso, porque pode ser lido como reconhecimento do débito.

O banco pode me cobrar a prova de que não fui eu?

A lógica é a inversa. Pelo art. 14, § 3º, do CDC, é o fornecedor que precisa provar que o defeito não existiu ou que houve culpa exclusiva sua. Você pode e deve exigir cópia do que foi apresentado na contratação: documento, selfie da biometria, IP, aparelho e gravação.

Meu nome já foi negativado. Consigo tirar rápido?

O art. 43, § 3º, do CDC dá ao consumidor o direito de exigir a correção imediata do dado inexato, e o cadastro tem cinco dias úteis para comunicar a alteração a quem recebeu a informação errada. O pedido costuma andar mais rápido com o boletim de ocorrência e a certidão negativa do Banco Central anexados.

O Registrato mostra saldo e movimentação das contas?

Não. Ele mostra em quais instituições existe ou existiu vínculo e desde quando, mas não traz agência, número de conta, dados cadastrais, saldo ou movimentação. Para isso, o caminho é pedir à própria instituição ou pela via judicial.

Quanto tempo eu tenho para entrar na Justiça?

Cinco anos, pelo art. 27 do CDC. O detalhe é que a contagem começa quando você toma conhecimento do dano e de quem o causou, não na data em que a conta foi aberta. Em fraude de identidade, isso costuma render meses a mais.

Fizeram um Pix da conta falsa. O caso é o mesmo?

Não exatamente. Quando o dinheiro sai da sua própria conta depois de você ter fornecido dados a um golpista, a discussão muda: o STJ olha se houve falha do banco, como deixar passar operação incompatível com o seu perfil. Essa régua está no post sobre o golpe da falsa central.

Precisa de ajuda com o seu caso?

Comece pelos canais gratuitos, nesta ordem: relatórios do Meu BC, boletim de ocorrência, SAC de cada instituição, ouvidoria, Banco Central e consumidor.gov.br. Boa parte dos casos se resolve aí, sem custo e sem processo.

Se a instituição negar, enrolar ou insistir na cobrança, aí vale sentar com um advogado de confiança para avaliar o seu caso concreto. Você pode encontrar um advogado aqui.

Base legal

• Código de Defesa do Consumidor (Lei 8.078/1990): art. 14, caput, §§ 1º e 3º; art. 27; art. 43, §§ 1º a 3º.
• STJ, Tema Repetitivo 466 (REsp 1.197.929/PR e REsp 1.199.782/PR, rel. min. Luis Felipe Salomão, Segunda Seção, j. 24/08/2011) e a Súmula 479, dele originada.
• STJ, Súmula 385 (negativação preexistente legítima e o direito ao cancelamento).
• Decreto 11.034/2022 (SAC): arts. 5º, II; 10; 12, §§ 1º a 5º; 13; e 14, II.
• Resolução CMN 4.860/2020 (ouvidoria): arts. 6º, § 1º, I, e § 2º; e 7º, III.
• Lei Geral de Proteção de Dados (Lei 13.709/2018): arts. 18, I a IV; 42, § 2º; e 48.
• Código Penal: art. 307; art. 171, caput, § 2º, VII, e § 2º-A, com as alterações da Lei 15.397/2026, que revogou o § 5º.

Fontes

• Agência Brasil, “Golpe do sósia usa tecnologia para tentar burlar biometria”, 06/09/2026, com dados do Mapa da Fraude do 1º semestre de 2026 da Serasa Experian.
• STJ, Precedentes Qualificados, ficha do Tema Repetitivo 466, com a tese firmada e as anotações do NUGEPNAC.
• Banco Central do Brasil, páginas de serviço do Registrato no gov.br: CCS, SCR, Chaves Pix e certidão negativa de relacionamento com o SFN.
• Banco Central do Brasil, Resolução CMN 4.860/2020, texto na base de normativos do BC.
• Planalto, textos compilados da Lei 8.078/1990, da Lei 13.709/2018, do Código Penal e do Decreto 11.034/2022.