O Contexto da Ameaça e a Escala Industrial do Crime Cibernético
O ecossistema de segurança cibernética e proteção financeira no Brasil atingiu um ponto de inflexão crítico ao longo de 2026. As fraudes digitais e o estelionato eletrônico deixaram de ser crimes oportunistas, perpetrados por atores isolados operando por tentativa e erro, para se consolidarem como operações de escala industrial. O crime cibernético financeiro contemporâneo é caracterizado por uma arquitetura corporativa, dotada de divisão rigorosa de funções, metas de arrecadação e infraestrutura tecnológica avançada, frequentemente financiada por grandes organizações criminosas que buscam diversificar suas fontes de receita ilícita.
A magnitude desta transformação é evidenciada pelos dados consolidados da 20ª edição do Anuário Brasileiro de Segurança Pública, divulgada pelo Fórum Brasileiro de Segurança Pública. O levantamento revela que o Brasil registrou 2.261.055 ocorrências formais de estelionato em 2025, representando um aumento alarmante de 429,8% em relação ao início da série histórica em 2018, quando foram contabilizados 426.799 casos.
Esta volumetria traduz-se em uma média de 258 golpes documentados por hora, ou aproximadamente quatro fraudes bem-sucedidas a cada minuto no território nacional.
A distribuição geográfica destas fraudes digitais demonstra uma correlação direta com polos de alta densidade demográfica, conectividade e atividade econômica. A análise das taxas de incidência revela uma concentração acentuada nas regiões Sudeste, Sul e Centro-Oeste, evidenciando as áreas de maior vulnerabilidade sistêmica no país.
| Unidade da Federação | Taxa de Registros (por 100 mil habitantes) | Posição Nacional |
| São Paulo | 1.808,3 | 1º |
| Distrito Federal | 1.717,0 | 2º |
| Paraná | 1.339,1 | 3º |
| Rondônia | 1.329,6 | 4º |
| Santa Catarina | 1.294,8 | 5º |
| Espírito Santo | 1.254,7 | 6º |
As estatísticas baseadas em boletins de ocorrência, contudo, representam apenas uma fração do cenário real devido à subnotificação crônica. Pesquisas de vitimização complementares indicam que cerca de 26,3 milhões de brasileiros (aproximadamente 15,8% da população com 16 anos ou mais) relataram ter sofrido perdas financeiras decorrentes de fraudes digitais no período de doze meses.
Esta discrepância severa reflete não apenas o desconhecimento dos procedimentos legais de denúncia por parte das vítimas, mas também uma percepção generalizada de impunidade, corroborada pelo fato de que os mais de 2,2 milhões de casos resultaram na prisão de apenas 4.819 autores no mesmo período.
O Novo Marco Penal e a Lei 15.397/2026
O crescimento exponencial das fraudes digitais e estruturado das fraudes digitais evidenciou vulnerabilidades críticas no ordenamento jurídico brasileiro, que havia sido concebido para um paradigma onde o crime patrimonial exigia presença física. Em resposta a essa defasagem, foi sancionada a Lei nº 15.397, em 4 de maio de 2026, estabelecendo um endurecimento penal sem precedentes e reconhecendo a complexidade logística do cibercrime financeiro.
A inovação mais disruptiva desta legislação é a criminalização autônoma da figura do intermediário financeiro, popularmente conhecido como “conta laranja”. A fraude digital depende inexoravelmente de uma infraestrutura de contas de passagem para receber, fracionar, ocultar e converter o capital ilícito, dificultando o rastreamento por parte das autoridades. A Lei 15.397/2026 inseriu o inciso VII no § 2º do artigo 171 do Código Penal, tipificando especificamente a cessão, gratuita ou onerosa, de conta bancária para o trânsito de recursos destinados ao financiamento da atividade criminosa ou que dela sejam fruto. Esta medida altera a dinâmica de responsabilização, permitindo que o sistema de justiça penal puna o fornecedor da infraestrutura de lavagem de dinheiro com a mesma eficácia que pune o autor intelectual da fraude.
Paralelamente, a reforma promoveu uma alteração processual de profundo impacto ao revogar o § 5º do art. 171 do Código Penal. Com essa supressão, o crime de estelionato retorna, em sua regra geral, ao regime de ação penal pública incondicionada.
A exigência prévia de representação da vítima constituía um obstáculo logístico intransponível para o desmantelamento de redes criminosas que aplicavam micro-golpes contra milhares de cidadãos pulverizados pelo país. Atualmente, o Ministério Público detém a prerrogativa legal de instaurar ações penais de ofício ao identificar a operação destas quadrilhas, conferindo agilidade à persecução estatal.
A reestruturação penal também englobou o agravamento das penas para delitos correlatos que frequentemente atuam como vetores iniciais para fraudes bancárias.
| Tipificação Criminal (Lei 15.397/2026) | Conduta Especificada | Pena Base e Sanções Adicionais |
| Cessão de Conta Laranja | Empréstimo ou aluguel de conta para trânsito de recursos ilícitos | 1 a 5 anos de reclusão e multa |
| Estelionato por Fraude Eletrônica | Obtenção de vantagem via redes sociais, clonagem ou links | 4 a 8 anos de reclusão e multa |
| Furto Qualificado de Eletrônicos | Subtração de aparelhos celulares, tablets e computadores | 4 a 10 anos de reclusão e multa |
| Regime de Ação Penal (Estelionato) | Persecução de ofício (Revogação do § 5º do art. 171) | Ação Pública Incondicionada |
Defesa Sistêmica e Rastreabilidade Financeira
Enquanto o Direito Penal atua na esfera punitiva e dissuasória, a contenção imediata dos danos requer respostas estruturais do Sistema Financeiro Nacional (SFN). O advento do sistema de pagamentos instantâneos (Pix), gerido pelo Banco Central do Brasil (BCB), revolucionou a liquidez da economia, mas sua velocidade de processamento tornou-se o veículo preferencial para a evasão de capitais subtraídos ilicitamente. Para mitigar este efeito, o BCB instituiu o Mecanismo Especial de Devolução (MED), um protocolo normativo que faculta o bloqueio e a repatriação de fundos em casos de fundada suspeita de fraude.
Contudo, a rápida adaptação dos atores de ameaça expôs limitações na versão original do MED. Fraudadores passaram a empregar automações e scripts para transferir os fundos recebidos da conta primária para camadas sucessivas de contas de passagem em frações de segundo, resultando no esvaziamento do saldo antes que o bloqueio pudesse ser efetivado. Para neutralizar esta tática de ofuscação, o BCB delineou os aprimoramentos técnicos que constituem o MED 2.0.
A nova arquitetura introduz o rastreamento topológico de múltiplas camadas, obrigando as instituições financeiras a acompanhar o fluxo do dinheiro e a impor bloqueios em contas secundárias, terciárias e subsequentes, até 11 dias após a formalização da contestação pela vítima. Esta funcionalidade, de adoção facultativa desde o final de 2025, torna-se mandatória para todos os participantes do ecossistema Pix a partir de 2 de fevereiro de 2026.
Adicionalmente, a regulação financeira buscou mitigar assimetrias operacionais através da Instrução Normativa (IN) BCB nº 766, promulgada em julho de 2026 com efeitos a partir de 1º de setembro do mesmo ano. O normativo padroniza os prazos de contestação em 80 dias para todas as requisições vinculadas a suspeitas de fraude.
Anteriormente, enquanto a contestação original de um golpe possuía o prazo de 80 dias, contestações secundárias — acionadas quando um fraudador simulava ser vítima para cancelar uma devolução legítima — contavam com apenas 30 dias. A convergência destes prazos visa unificar o gerenciamento de risco no Diretório de Identificadores de Contas Transacionais (DICT), simplificando a governança de disputas complexas no ambiente digital.
O Fator Humano e a Sofisticação da Engenharia Social
A despeito dos avanços legislativos e do robustecimento das infraestruturas transacionais, o elemento humano permanece como a superfície de ataque mais explorada. As instituições investem vastos recursos em criptografia e monitoramento algorítmico, mas os fraudadores contemporâneos focam na engenharia social, contornando barreiras sistêmicas ao manipular a vítima para que ela própria autorize a transação anômala.
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) classifica estas táticas como a exploração meticulosa de instintos psicológicos universais.
As campanhas de fraude orquestram cenários que ativam gatilhos de urgência (falsos bloqueios de conta), ganância (ofertas de investimentos fictícios em criptomoedas) ou obediência cega à autoridade (simulação de contato de entidades governamentais ou profissionais liberais). A incorporação da Inteligência Artificial neste domínio elevou a letalidade destas abordagens, permitindo a geração de textos persuasivos e interações automatizadas livres dos tradicionais erros gramaticais que antes serviam como indicadores de comprometimento.
O Estudo de Caso: O Golpe do Falso Advogado
A intersecção entre o vazamento de dados estruturados, a automação por Inteligência Artificial e a engenharia social atinge seu ápice em um esquema que gerou um impacto superior a R$ 2,8 bilhões nos últimos três anos: o Golpe do Falso Advogado. Este vetor de ataque consolida-se como uma ameaça de alta precisão (spear-phishing) direcionada a jurisdicionados com expectativa de recebimento de valores pecuniários.
A cadeia de execução da fraude inicia-se com a coleta não autorizada (web scraping) de dados contidos em plataformas do sistema judiciário, como o Processo Judicial Eletrônico (PJe). Os criminosos mapeiam ações cíveis, previdenciárias e trabalhistas em fase de liquidação de sentença, extraindo informações críticas: nome do magistrado, numeração única, valor da condenação e, primordialmente, os dados de contato do autor da ação e de seu advogado constituído.
Valendo-se desta inteligência de fontes abertas e vazamentos, os fraudadores contatam a vítima através de aplicativos de mensageria. Para estabelecer autoridade, utilizam a identidade visual do escritório de advocacia legítimo e, por intermédio de tecnologias de deepfake, chegam a clonar a voz do causídico para o envio de mensagens de áudio.
A narrativa aplicada invoca a iminência da liberação de um alvará judicial de alto valor, condicionando a transferência apenas ao pagamento de falsas “guias de custas”, “impostos” ou “taxas de certificação”. Sob o peso da expectativa financeira e da aparente legitimidade técnica dos documentos forjados, a vítima transfere os fundos para as contas laranjas operadas pela quadrilha.
A Resposta do Poder Judiciário: Implementação do MFA
A proliferação deste esquema evidenciou que a proteção dos repositórios de dados judiciais é fundamental para a mitigação de fraudes derivadas. Diante deste imperativo, o Conselho Nacional de Justiça (CNJ) determinou a reestruturação da arquitetura de acesso aos sistemas eletrônicos do Poder Judiciário.
A partir de novembro de 2025, tornou-se mandatória a exigência de Autenticação em Múltiplos Fatores (MFA) para todos os usuários externos — incluindo advogados, peritos e partes processuais — que necessitem ingressar no PJe, na Plataforma Digital do Poder Judiciário (PDPJ) e no portal Jus.br. A lógica de segurança aplicada exige que a verificação de credenciais estáticas (login, senha ou certificado digital) seja complementada por um fator de posse dinâmico. Este segundo fator consiste em um token numérico de seis dígitos, de validade efêmera, gerado localmente em um aplicativo autenticador no dispositivo móvel do usuário.
Esta barreira tecnológica desarticula o modelo de ataque massivo: para comprometer o acesso de um profissional e extrair os dados processuais necessários para o golpe, o criminoso precisaria obter, simultaneamente, as credenciais criptográficas e o controle físico do dispositivo móvel da vítima. A medida elimina a vulnerabilidade associada ao envio de códigos via e-mail ou SMS, canais historicamente suscetíveis à interceptação por agentes maliciosos.
Em complemento a esta defesa sistêmica, a Ordem dos Advogados do Brasil (OAB) disponibilizou a plataforma “Confirma ADV”, uma interface de consulta pública que permite a qualquer cidadão validar a identidade, a inscrição regular e os contatos oficiais de um advogado, introduzindo uma etapa de verificação independente antes da efetivação de qualquer transferência financeira.
Implicações na Responsabilidade Civil
A elevação do rigor penal e o refinamento tecnológico dos mecanismos de controle exercem um efeito imediato sobre a doutrina da responsabilidade civil no Brasil, particularmente no tocante às instituições financeiras. O arcabouço normativo estabelecido pela Lei 15.397/2026 e pelas resoluções do BCB eleva o padrão exigido de compliance e vigilância sobre o sistema de pagamentos.
Bancos, fintechs e corretoras de criptoativos que negligenciem seus protocolos de Know Your Customer (KYC), permitindo a abertura de contas com documentação inidônea (favorecendo a proliferação das agora criminalizadas contas laranjas), ou que falhem em reter transações atípicas que destoem frontalmente do perfil transacional de seus clientes, enfrentam um risco jurídico severo.
A ausência de mecanismos robustos de detecção de fraudes é cada vez mais interpretada pelo Judiciário como falha na prestação de serviço, sujeitando as instituições ao dever de indenizar as vítimas por danos materiais e morais, alterando o cálculo de risco no setor financeiro.
Conclusões
A análise estrutural da criminalidade, das fraudes digitais, cibernética no Brasil revela a transição de um modelo fragmentado para um complexo ecossistema industrial de fraudes financeiras, sustentado por inteligência artificial, engenharia social avançada e exploração de infraestruturas de pagamento instantâneo. No entanto, o biênio 2025-2026 marca o início de uma resposta coordenada do Estado e do setor privado.
A Lei 15.397/2026 fornece ao sistema de justiça penal as ferramentas estatutárias necessárias para processar em larga escala a logística de lavagem de dinheiro das quadrilhas e para contornar os entraves processuais do estelionato.
O rastreamento topológico introduzido pelo MED 2.0 no ecossistema Pix ataca a capacidade de ocultação financeira dos golpistas, garantindo um período viável para a recuperação de ativos. Finalmente, a proteção dos repositórios de dados mediante a adoção do MFA pelo CNJ mitiga o suprimento de inteligência que alimenta golpes altamente direcionados. A convergência destas frentes regulatórias, penais e tecnológicas estabelece um novo paradigma de defesa, essencial para restaurar a confiança no ambiente digital brasileiro.
Fontes Consultadas
- Fórum Brasileiro de Segurança Pública – Anuário 2026 (Acesso em 30/07/2026 às 14:00)
- Diário Oficial da União – Lei nº 15.397/2026 (Acesso em 30/07/2026 às 14:15)
- Banco Central do Brasil – Instrução Normativa BCB nº 766 (Acesso em 30/07/2026 às 14:30)
- CERT.br – Relatório de Tendências de Engenharia Social (Acesso em 30/07/2026 às 14:45)
- Conselho Nacional de Justiça – Resolução sobre MFA (Acesso em 30/07/2026 às 15:00)
