Publicado em: 27/06/2023
Atualizado em:
Vishing é um golpe de engenharia social praticado por chamadas telefônicas ou mensagens de voz. O criminoso se apresenta como banco, empresa, órgão público ou suporte técnico para obter dados, autorizar operações ou convencer a vítima a transferir dinheiro.
A fraude pode parecer legítima porque o contato menciona nome, CPF ou banco utilizado. Esses dados, porém, não comprovam a identidade de quem liga.
Neste artigo, você entenderá como o vishing funciona, quais sinais merecem atenção, como consumidores e empresas podem se prevenir, o que fazer após o golpe e quando a responsabilidade de instituições envolvidas pode ser discutida.
Como funciona o golpe de vishing?
O termo vishing combina voz e phishing. Enquanto o phishing costuma utilizar e-mails, links ou páginas falsas, o vishing explora a conversa telefônica para criar confiança, medo ou urgência.
Uma abordagem comum é a falsa central bancária. O golpista informa uma compra suspeita, um empréstimo não reconhecido ou um suposto bloqueio da conta. Depois, pede senha, código de autenticação, instalação de aplicativo ou uma transferência de “segurança”.
O Banco Central alerta sobre a falsa central e informa que o banco não solicita ações no aplicativo, no internet banking ou no caixa eletrônico para cancelar uma compra durante a ligação.
Quais sinais ajudam a identificar o vishing?
O golpe pode usar atendentes, gravações e falsificação do número exibido. Reconhecer o telefone na tela, portanto, não confirma a origem da chamada.
Alguns sinais frequentes são:
- Pressão para agir imediatamente;
- Pedido de senha, código ou token;
- Orientação para instalar aplicativo;
- Solicitação de transferência ou Pix;
- Ameaça de bloqueio ou perda de dinheiro;
- Resistência quando a vítima decide desligar;
- Pedido para manter a ligação em segredo.
A Anatel explica que o spoofing pode falsificar a identificação da chamada. A confirmação deve ocorrer por outro canal, usando o aplicativo oficial, o número impresso no cartão ou o site da instituição.
Como se proteger durante uma ligação suspeita?
A principal medida é não tomar decisões financeiras sob pressão. Desligar a chamada não confirma compras nem cancela direitos.
Nunca informe senha completa, código recebido por mensagem, token ou combinação de autenticação. Também não compartilhe a tela, não instale programas indicados pelo interlocutor e não faça transferências para “proteger” o saldo.
Depois, abra o aplicativo oficial, verifique extrato e dispositivos autorizados. Persistindo a dúvida, use o telefone indicado no cartão ou procure uma agência.
Vishing, phishing e smishing são a mesma coisa?
As três práticas utilizam engenharia social, mas o principal canal empregado é diferente. Conhecer essa distinção ajuda a identificar como a fraude começou e quais provas precisam ser preservadas.
| Modalidade | Canal principal | Exemplo |
| Vishing | ligação ou mensagem de voz | falsa central bancária |
| Phishing | e-mail ou página falsa | link para atualizar cadastro |
| Smishing | mensagem de texto | SMS sobre compra inexistente |
Uma fraude pode combinar os três métodos. A vítima pode receber um SMS, ligar para uma central falsa e, durante a conversa, acessar uma página fraudulenta. O conteúdo sobre phishing e links falsos apresenta cuidados complementares.
O que fazer depois de cair em um golpe de vishing?
A reação deve começar assim que a fraude for percebida. Não é preciso esperar a confirmação definitiva do prejuízo para comunicar a instituição.
As providências iniciais podem seguir esta ordem:
- Contatar o banco por canal oficial;
- Bloquear cartão ou acesso comprometido;
- Trocar senhas e encerrar sessões desconhecidas;
- Contestar operações não reconhecidas;
- Solicitar o mecanismo aplicável ao Pix;
- Registrar boletim de ocorrência;
- Preservar números, mensagens e comprovantes.
O Mecanismo Especial de Devolução do Pix deve ser acionado pelo aplicativo da instituição o mais rápido possível. Ele permite o bloqueio e a análise dos recursos, mas não garante a devolução integral.
Se houve invasão de conta, o Ministério da Justiça orienta trocar senhas, acompanhar movimentações e consultar o Registrato no serviço “Invadiram minha conta e fizeram transações”.
Quais provas devem ser guardadas?
A prova não se limita à gravação. O conjunto documental deve mostrar a abordagem, as operações, a comunicação ao banco e as providências posteriores.
Preserve histórico de chamadas, áudios, capturas de tela, comprovantes, extratos, protocolos, e-mails, respostas da instituição e boletim de ocorrência. Anote data, horário, número utilizado e conteúdo aproximado da conversa.
Se houve acesso remoto, registre o programa e as permissões concedidas. Depois, remova o acesso, troque as senhas em dispositivo seguro e encerre sessões desconhecidas.
O banco é sempre responsável pelo prejuízo?
Não. A responsabilidade não decorre automaticamente do fato de o golpe envolver uma conta bancária. É necessário avaliar a dinâmica da fraude, os mecanismos de segurança, o perfil das transações e a resposta dada após a comunicação.
A Súmula 479 do Superior Tribunal de Justiça admite responsabilidade objetiva por fraudes ligadas ao risco interno da atividade. Em outubro de 2025, o tribunal reconheceu que falhas bancárias podem viabilizar o golpe da falsa central.
Por outro lado, em 15 de julho de 2026, o Superior Tribunal de Justiça afastou a responsabilidade em caso sem transações incompatíveis com o perfil do cliente e sem falha atribuível ao serviço. A decisão reforçou a necessidade de analisar o caso concreto.
Quais crimes podem estar envolvidos?
O Código Penal prevê a fraude eletrônica no artigo 171, parágrafo 2º-A, quando a vantagem ilícita é obtida por informações fornecidas por pessoa induzida a erro por contatos telefônicos, redes sociais, correio eletrônico ou meios semelhantes.
Conforme a execução, podem existir outros delitos. O enquadramento depende das condutas e das provas reunidas.
A vítima não precisa indicar o crime no boletim. Deve narrar os fatos, informar valores, contas destinatárias, números utilizados e outros dados úteis.
Vishing corporativo e riscos para empresas
Empresas também podem ser alvo. Criminosos podem se apresentar como diretores, fornecedores, bancos ou profissionais de suporte para alterar dados de pagamento, obter acesso a sistemas ou induzir transferências.
Mudanças de conta bancária, pagamentos fora da rotina e solicitações urgentes devem ser confirmados por outro canal e, quando possível, por mais de uma pessoa autorizada.
Treinamentos, limites, autenticação em múltiplos fatores e registros de aprovação reduzem riscos. O artigo sobre fraudes bancárias apresenta cuidados complementares.
Análise jurídica em situação de falsa central
Em uma situação acompanhada pelo escritório Galvão & Silva Advocacia, um consumidor recebeu ligação de suposta central bancária e foi induzido a fornecer códigos relacionados à conta. Depois, identificou operações que não reconhecia.
A análise reuniu chamadas, movimentações, protocolos e comunicações. O material permitiu avaliar a ação dos fraudadores, possíveis falhas do serviço e as medidas cabíveis.
A situação demonstra a importância de agir e organizar provas, embora o resultado dependa das circunstâncias e dos elementos disponíveis.
Perguntas frequentes sobre vishing:
Banco pode pedir senha ou código por telefone?
Instituições podem confirmar dados limitados, mas não devem solicitar senha completa, token ou código de autenticação para cancelar transações. Diante da dúvida, desligue e procure um canal oficial.
O número do banco na tela garante que a ligação é verdadeira?
Não. Técnicas de falsificação podem alterar o número exibido. Confirme o contato pelo aplicativo, pelo site oficial ou pelo telefone impresso no cartão.
É possível recuperar um Pix feito durante o golpe?
Pode ser possível acionar o Mecanismo Especial de Devolução. A restituição depende da análise da fraude e da existência de recursos bloqueáveis.
A instituição financeira sempre deve indenizar a vítima?
Não. A responsabilidade depende de eventual falha do serviço, do padrão das transações, dos mecanismos de segurança e das provas do caso.
O boletim de ocorrência resolve sozinho o problema?
Não. O registro documenta os fatos, mas a vítima também deve comunicar a instituição, contestar operações, preservar provas e avaliar outras medidas.
Como o escritório Galvão & Silva Advocacia pode ajudar?
O escritório Galvão & Silva Advocacia atua na análise de golpes de vishing, considerando registros telefônicos, operações bancárias, protocolos, mecanismos de segurança e respostas das instituições envolvidas.
A atuação pode incluir organização das provas, contestações administrativas, avaliação de falhas na prestação do serviço e estudo de medidas relacionadas ao Direito Digital, Bancário e do Consumidor.
Quando houver prejuízo, movimentação não reconhecida ou dúvida sobre a resposta da instituição, é importante procurar orientação jurídica para examinar documentos, prazos e medidas adequadas ao caso.
Dr. Daniel Ângelo Luiz da Silva
Sou advogado, sócio fundador do escritório Galvão & Silva Advocacia, formado pela Universidade Processus e inscrito na OAB/DF nº 54.608. Atuo há mais de uma década em Direito Civil, Empresarial, Inventário, Homologação de Sentença Estrangeira e em litígios complexos envolvendo disputas patrimoniais. Além da advocacia, sou professor, escritor e palestrante, fluente em inglês e espanhol. […]
Dr. Caio de Souza Galvão
Sou advogado, sócio-fundador do escritório Galvão & Silva Advocacia, formado pela Universidade Católica de Brasília e pós-graduado em Ciências Penais pela Universidade Cândido Mendes. Iniciei minha trajetória no TJDFT, atuando no 1º Juizado Cível, Criminal e de Violência Doméstica, além de exercer funções como conciliador. Passei pelo TST, TCU e Procuradoria-Geral do Banco Central, onde […]
