Golpe do Cartão de Crédito: Como Funciona no Modo Presencial e Online

1. O que aconteceu

Em maio de 2026, a Polícia Civil do Rio Grande do Norte, em ação conjunta com a Polícia Civil da Bahia, deflagrou a “Operação Cartãozeiro”, mirando um grupo suspeito de clonar cartões de crédito e realizar compras fraudulentas em nome de terceiros. A apuração começou depois que uma instituição financeira identificou 168 ocorrências de fraude eletrônica em apenas dez dias. Foram cumpridos quatro mandados de prisão preventiva em Salvador (BA) contra dois homens e duas mulheres, com idades entre 26 e 47 anos, e o prejuízo estimado à instituição financeira ultrapassou R$ 800 mil.

Fonte: Tribuna de Notícias (RN), 19/05/2026.

2. Classificação jurídica do fato

Quando o golpista usa dados de cartão obtidos por clonagem (presencial) ou por vazamento/captura de dados (não presencial) para efetuar saques, compras ou transferências sem que a vítima tenha participado ou consentido com a operação, a jurisprudência do STJ — pacificada, entre outros, no CC 149.752/PI (3ª Seção) — enquadra a conduta como furto mediante fraude (art. 155, §4º, II, do Código Penal), e não como estelionato, aplicando-se a forma eletrônica (art. 155, §4º-B) quando a subtração ocorre por meio de dispositivo eletrônico ou pela internet, sem uso físico do cartão. Já quando o próprio titular é induzido a erro e entrega voluntariamente seus dados ou autoriza a operação (por exemplo, em golpes de phishing), a tipificação correta é estelionato (art. 171, caput, e §2º-A, quando praticado por meio eletrônico), com pena majorada nessa hipótese. A atuação coordenada de um grupo, com divisão de tarefas entre clonagem, compras e revenda, pode ainda configurar concurso com associação criminosa (art. 288 do CP).

3. Como o golpe funciona

O golpe do cartão se divide, de forma geral, em duas modalidades:

Cartão presente: o criminoso captura os dados no momento em que o cartão físico é utilizado — por exemplo, com dispositivos acoplados a maquininhas ou caixas eletrônicos que copiam as informações da tarja ou do chip enquanto o titular realiza a transação normalmente.
Cartão não presente: os dados são obtidos previamente, por vazamento, phishing ou aquisição em mercados clandestinos, e usados para compras ou transações on-line, sem que o cartão físico precise estar em posse do golpista.

Em ambos os casos, organizações como a identificada na Operação Cartãozeiro costumam operar de forma segmentada: uma parte do grupo obtém os dados, outra realiza as compras ou transferências, e outra revende os bens adquiridos — atuando em janelas curtas e intensas de atividade (como as 168 ocorrências em dez dias) justamente para dificultar a detecção pela instituição financeira antes que o prejuízo seja identificado.

4. Sinais de alerta

Notificações de compras ou transações que você não reconhece, mesmo de valores pequenos.
Cobranças “teste” de baixo valor, seguidas de uma compra maior em curto intervalo.
Resistência ao inserir o cartão em terminais ou caixas eletrônicos, ou presença de um dispositivo extra acoplado à entrada do cartão.
Mensagens, e-mails ou ligações pedindo para “confirmar dados”, “atualizar cadastro” ou informar código enviado por SMS.
Ausência do aviso de segurança (SMS/aplicativo) para uma compra que o próprio banco costuma notificar.

5. Como se prevenir

Ative notificações em tempo real de todas as movimentações do cartão no aplicativo do banco.
Prefira cartões com chip e aproximação (contactless) a passar a tarja magnética sempre que possível.
Ao usar caixas eletrônicos ou maquininhas, observe se há qualquer peça ou adesivo estranho na entrada do cartão e cubra o teclado ao digitar a senha.
Evite salvar dados do cartão em sites pouco conhecidos; quando disponível, use cartão virtual de uso único para compras on-line.
Nunca informe código de confirmação (OTP) recebido por SMS ou aplicativo a terceiros, mesmo que se identifiquem como funcionários do banco.
Revise a fatura periodicamente, mesmo sem receber alerta.
Dê preferência a lojas on-line que exibem a etapa de autenticação 3DS (3-D Secure) no fechamento da compra — protocolo desenvolvido pelas bandeiras para transações com cartão não presente.

Padrão 3DS: uma camada extra de segurança no cartão não presente

Nas compras on-line, o protocolo 3DS pede ao próprio banco emissor uma confirmação extra de identidade do comprador (senha, token, biometria ou código enviado ao aplicativo), antes de autorizar a transação. Além de dificultar o uso de dados clonados ou vazados, essa autenticação tem um efeito prático importante: quando a compra é autenticada pelo 3DS e, ainda assim, é contestada como fraude pelo titular, a responsabilidade financeira (o chargeback) deixa de recair sobre o lojista e passa a ser do banco emissor do cartão — o chamado liability shift. Ou seja, o prejuízo da fraude é suportado pela instituição financeira, e não pelo comerciante, justamente por ter sido o banco quem validou a identidade do comprador naquele momento.

Vale reforçar: o 3DS reduz o risco, mas não elimina por completo a possibilidade de fraude — se o próprio golpista conseguir também burlar a etapa de autenticação (por exemplo, interceptando o código de confirmação), a proteção deixa de se aplicar.

6. Se você já caiu no golpe

Contate imediatamente o emissor do cartão para bloquear o cartão e contestar as transações não reconhecidas.
Guarde prints de tela, mensagens e o extrato/fatura com as cobranças indevidas.
Registre boletim de ocorrência, preferencialmente em delegacia especializada em crimes cibernéticos ou fraudes eletrônicas.
Solicite o estorno (chargeback) junto ao banco ou à bandeira do cartão.
Monitore seu CPF em serviços de proteção ao crédito, pois um mesmo vazamento de dados costuma gerar tentativas repetidas de fraude.

7. O que a lei prevê para o autor

O furto mediante fraude (art. 155, §4º, II ou §4º-B, CP) prevê pena de reclusão de 2 a 8 anos e multa, quando qualificado pela fraude ou pelo meio eletrônico. O estelionato (art. 171, CP) prevê reclusão de 1 a 5 anos e multa, majorada de um terço à metade quando praticado por meio eletrônico ou à distância (art. 171, §2º-A). Quando há grupo estruturado, ainda pode incidir o crime de associação criminosa (art. 288, CP), em concurso material. Na Operação Cartãozeiro, os quatro presos permanecem, até a conclusão do processo, na condição de investigados/suspeitos, não havendo, até o momento, notícia de condenação definitiva — devendo ser preservada a presunção de inocência.

8. Aviso editorial

Este conteúdo tem finalidade exclusivamente educativa e preventiva, foi elaborado com base em informações públicas e não expõe a identidade de vítimas ou de investigados. Nenhuma afirmação aqui feita deve ser interpretada como juízo de culpa antes do trânsito em julgado de eventual sentença condenatória.