Boleto falso: de quem é a responsabilidade?

Paguei um boleto falso: o dinheiro volta?

Depende de uma pergunta só, e ela não é se você foi enganado.

A pergunta é de onde o golpista tirou o que sabia.

Se ele sabia o valor exato da sua parcela, o número da placa do carro financiado, quantas prestações faltavam, a data em que você mandou e-mail para quitar, alguém deixou esse dado vazar, e quem deixou responde.

Se ele só sabia o que qualquer pessoa sabe, que você existe, que tem um CNPJ, que tem um financiamento em algum lugar, e o boleto chegou por um e-mail ou um WhatsApp que não era do banco, o Superior Tribunal de Justiça tem chamado isso de fato exclusivo de terceiro, e o banco não devolve.

Entre esses dois extremos há uma faixa, e é nela que o caso se ganha ou se perde.

Esta página diz o que o STJ decidiu de 2023 a 2026 sobre o golpe do boleto, em qual situação cada um da cadeia responde, o que você precisa provar e o que fazer nas primeiras horas. Se o seu caso é de Pix, o guia é caí no golpe do PIX.

De quem é a responsabilidade: as quatro situações que o STJ separa

No golpe do boleto há mais gente na história do que no golpe do Pix.

Há o golpista, o banco onde você tem conta, a empresa que você achou que estava pagando, o banco que emitiu o boleto de verdade, o banco onde o golpista recebeu, e às vezes uma intermediadora de pagamento. Cada um responde por uma coisa, e a tabela é o mapa.

A base de tudo é a Súmula 479 do STJ: "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias". Fortuito interno, que é o risco que faz parte do próprio negócio do banco.

O outro lado está no art. 14, § 3º, II, do Código de Defesa do Consumidor: o fornecedor não responde quando prova "a culpa exclusiva do consumidor ou de terceiro". O golpe do boleto vive na fronteira entre a súmula e esse inciso, e cada linha da tabela é um jeito de o tribunal traçar a fronteira.

Quando o banco devolve: o golpista sabia demais

O caso que virou referência é o REsp 2.077.278, da Terceira Turma, julgado em outubro de 2023.

A consumidora tinha um financiamento, mandou e-mail ao banco para quitar, e recebeu um boleto de quitação de golpistas que sabiam que ela era cliente, que ela tinha pedido a quitação, quantas parcelas faltavam e qual era o saldo devedor.

O STJ disse que dado de operação bancária é sigiloso por lei, que o banco tem o dever de guardar, e que "o tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço". O banco foi condenado a devolver, com a Súmula 479 e o art. 44 da LGPD.

Em maio de 2025, no REsp 2.187.854, o mesmo raciocínio foi mais longe.

Ali os golpistas sabiam o valor e o número exato das parcelas e a placa do veículo. O tribunal reconheceu o vazamento, mandou devolver, e acrescentou dano moral presumido: a fraude viabilizada por vazamento gera a "sensação de insegurança" de quem descobre que seus dados estão na mão de golpistas, e isso se indeniza sem prova de sofrimento.

Ou seja: o que faz o banco responder não é o boleto ser falso. É o boleto ser convincente com informação que só o banco tinha.

Se o boleto que você pagou trazia dado que você nunca deu a ninguém, mande o boleto e o comprovante pelo WhatsApp. Dá pra dizer, na conversa inicial, se o dado era sigiloso ou público, que é o que decide se o pedido anda.

Quando o banco não devolve: o boleto veio de fora

Aqui está a maior parte dos casos, e é preciso dizer isso antes que alguém prometa o contrário.

No REsp 2.046.026, de junho de 2023, o comprador de um carro assumiu o financiamento do vendedor e pagou a quitação por um boleto que veio por e-mail. O e-mail não era do banco, e o boleto não tinha sido emitido pelo banco. A ministra Nancy Andrighi registrou que a operação foi "efetuada, em sua integralidade, fora da rede bancária", e que por isso a fraude era fato exclusivo de terceiro: sem falha do serviço, sem devolução.

O critério é o canal. Boleto que chega por WhatsApp, por e-mail de remetente estranho, por link de anúncio, por site que copia o layout do banco, é boleto que passou por fora. No REsp 2.176.783, de maio de 2025, o STJ disse que criar o site copiado é fato de terceiro, e que a cliente não tinha provado nem vazamento nem que avisou o banco antes de a operação se consumar.

De 2024 a 2026 a Terceira e a Quarta Turmas mantiveram, em mais de dez recursos, decisões que reconheceram culpa exclusiva da vítima. O padrão se repete: boleto recebido por aplicativo de mensagem, beneficiário que não era o banco nem a empresa, e-mail que caiu na pasta de spam, alertas de fraude ignorados.

Num deles, de junho de 2026, o tribunal anotou que o nome do beneficiário era de pessoa física, diferente da empresa que a cliente achava que estava pagando.

Não existe tema repetitivo sobre golpe do boleto. Em agosto de 2026 um recorrente pediu que o STJ uniformizasse o assunto, e o pedido foi rejeitado. Enquanto isso, cada caso é decidido pelos seus fatos.

E o banco do golpista?

Todo boleto emitido por banco é registrado, e isso muda o jogo.

O Banco Central explica, na sua página oficial sobre boleto fraudado, que "o sistema do banco informa o real beneficiário do boleto e o valor do pagamento" antes de você confirmar. Quer dizer: na tela do seu aplicativo apareceu o nome de quem ia receber. Se apareceu ‘Fulano de Tal’ e você achava que pagava a financeira, a tela é a prova do golpe, e o nome é a pista de quem recebeu.

Esse nome tem uma conta em algum banco. E abrir conta para golpista tem consequência.

No REsp 2.124.423, de agosto de 2024, o STJ julgou justamente um banco digital que abriu a conta usada num golpe pela internet. A regra que saiu: o banco só escapa se demonstrar que cumpriu o dever de "verificar e validar a identidade e a qualificação dos titulares da conta", como manda a regulação do Banco Central. Naquele caso ele demonstrou e não foi condenado, mas funciona ao contrário quando não demonstra.

É um pedido raro nas ações que chegam ao STJ. No REsp 2.176.783 o próprio STJ anotou que a responsabilidade "pela abertura e administração da conta utilizada pelo fraudador" não tinha sido levada ao tribunal, e por isso não foi julgada.

Golpe do boleto de protesto e o boleto no DDA

Duas variantes têm nome próprio.

A falsa intimação de protesto chega por correio, e-mail ou WhatsApp com brasão, selo digital de tribunal e o seu CNPJ, dizendo que uma dívida será protestada se o boleto não for pago. Os Cartórios de Protesto de Goiás alertam: não existe ‘Cartório Nacional de Protesto’, e a serventia de verdade se confere na lista do Tribunal de Justiça de Goiás.

Quem paga esse boleto paga um golpista, e a análise de responsabilidade é a da seção anterior: veio de fora, beneficiário estranho.

O DDA, o débito direto autorizado, é o serviço em que os boletos emitidos contra o seu CPF ou CNPJ aparecem dentro do seu banco. Ele ajuda porque um boleto que não aparece no DDA não foi registrado contra você. Mas o DDA não confere se a dívida existe: golpista com seus dados pode emitir boleto registrado, e ele aparece ali com a mesma cara dos outros. A conferência continua sendo o nome do beneficiário.

O que fazer nas primeiras horas

O boleto compensa em dia útil, e isso é a sua chance.

Se o boleto tinha QR Code, o pagamento foi Pix, cai na hora e não há compensação. Aí o caminho é o Mecanismo Especial de Devolução, em como pedir o estorno do PIX do golpe.

O boletim está em boletim de ocorrência online.

Como saber se o boleto era falso, e como provar

Quem pagou já sabe que era falso. O que importa agora é provar o que apareceu na tela.

O boleto verdadeiro tem o banco emissor nos três primeiros dígitos do código de barras, o beneficiário com o CNPJ da empresa e o valor que você devia. O falso troca o beneficiário, às vezes o banco, raramente o valor. Na hora de pagar, o aplicativo mostra o nome de quem vai receber: essa tela, e não o boleto em si, é a prova central, porque mostra o que o banco informou e o que você viu.

Guarde o e-mail ou a conversa por onde o boleto chegou, com o remetente e o número. É isso que responde à pergunta do STJ: por dentro ou por fora do banco.

Quanto tempo, quanto custa, onde entrar

Cinco anos, pelo art. 27 do Código de Defesa do Consumidor, contados de quando você soube do dano.

Não use o prazo inteiro: gravação de atendimento e registro de acesso somem em meses.

Cabe no Juizado Especial Cível quando o pedido couber em quarenta salários mínimos, R$ 64.840,00 em 2026, e sem advogado até R$ 32.420,00; o rito está em como funciona o Juizado de Pequenas Causas. Não há custas para entrar em primeiro grau. O pedido é o valor do boleto, mais dano moral quando houver vazamento, contra quem a tabela da segunda seção apontar, e dá pra colocar mais de um réu na mesma ação.

Se você já reclamou e o banco negou por escrito, mande a negativa pelo WhatsApp. A conversa inicial serve para dizer contra quem o pedido tem chance, porque errar o réu é o jeito mais comum de perder esse caso.

Resumindo

Resumindo: boleto falso é devolvido por quem deixou vazar o dado que tornou o golpe convincente; o banco responde quando a fraude passou pelos canais dele ou quando ignorou seu aviso, e não quando o boleto veio de fora com beneficiário estranho; o banco que abriu a conta do golpista responde se não provar que checou a identidade; a tela do beneficiário é a prova; o prazo é de cinco anos, no Juizado até R$ 64.840.

Vale a pena chamar quem já cuida desses casos

Dá pra ligar para o banco, registrar o boletim e reclamar no Banco Central sozinho, e isso se faz hoje, antes de qualquer conversa com advogado.

O que se perde sem orientação é a escolha do réu. Na experiência do escritório, o erro mais comum é processar só o próprio banco, que é quem menos responde no golpe do boleto, e deixar de fora a empresa de onde o dado saiu e o banco onde o golpista recebeu. A ação volta improcedente com a frase ‘culpa exclusiva da vítima’, e a pessoa conclui que não tinha direito, quando tinha contra outro.

O que falta quando a pessoa vai sozinha

A tela do beneficiário que não foi salva, o e-mail apagado que provaria por onde o boleto entrou, o pedido de dano moral que não foi feito porque ninguém lembrou do vazamento: cada um desses é o que separa a devolução da sentença de improcedência.

É um pouco mais trabalhoso no começo, porque exige reconstruir o caminho do boleto até você, mas é o que faz o pedido apontar para quem tem que pagar.

Se você pagou um boleto falso, mande o boleto, o comprovante e a tela do pagamento pelo WhatsApp. A conversa inicial serve para dizer de onde saiu o dado, quem responde e se o caso cabe no Juizado.