O “Laranja” e o Terceiro de Boa-Fé: Duas Faces Distintas do Mesmo Golpe Bancário
Toda fraude bancária de massa — o famoso “golpe do Pix”, os empréstimos consignados fraudulentos, os falsos leilões — depende de um elo estrutural: uma conta bancária capaz de receber e escoar o dinheiro sem apontar diretamente para o autor da fraude. Duas figuras cumprem essa função, mas com naturezas jurídicas radicalmente opostas. De um lado, o “laranja”, que sabe o que está fazendo e cede sua conta, gratuita ou onerosamente, para que nela transitem valores ilícitos. De outro, o terceiro inocente, cujos dados cadastrais são obtidos por meio ilegal — vazamento, phishing, invasão de dispositivo, engenharia social — e utilizados à sua revelia para abrir uma conta em seu nome, sem que ele jamais tenha consentido com qualquer coisa.
Confundir essas duas condutas na investigação e na denúncia é o erro mais comum — e mais grave — nesse tipo de apuração. Este texto trata de cada uma delas separadamente, à luz da recente Lei nº 15.397/2026, que finalmente deu tipicidade autônoma à conduta do laranja.
PARTE I — A conduta do “laranja”: cessão de conta bancária (art. 171, §2º, VII, do CP)
1. Contexto normativo
Até abril de 2026, quem emprestava a própria conta para o trânsito de dinheiro de origem criminosa enfrentava um vazio de tipicidade que a praxe forense preenchia de forma quase automática com o crime de lavagem de capitais (art. 1º da Lei nº 9.613/1998), cuja pena — reclusão de 3 a 10 anos — é desproporcional à contribuição, muitas vezes rudimentar, do laranja para o esquema. A Lei nº 15.397/2026 rompeu esse enquadramento ao inserir no Código Penal, como modalidade equiparada ao estelionato, o inciso VII do §2º do art. 171, que passou a punir quem cede, gratuita ou onerosamente, conta bancária para que nela transitem recursos destinados ao financiamento de atividade criminosa ou que dela sejam fruto, com pena de reclusão de 1 a 5 anos e multa — a mesma pena do estelionato simples, e sensivelmente inferior à da lavagem.
2. Conceito e objeto jurídico
Trata-se de crime contra o patrimônio, topograficamente alojado no tipo do estelionato, mas que também tutela, de forma reflexa, a confiança no sistema financeiro e a persecução penal dos crimes patrimoniais praticados por meio digital — daí a razão pela qual parte da doutrina prefere identificá-lo pelo nome dado pela própria exposição de motivos da lei: “fraude bancária”.
3. Elementos do tipo penal
O núcleo do tipo é o verbo “ceder”, que pode se realizar por qualquer meio — abertura de conta em nome próprio para uso alheio, empréstimo de acesso ao aplicativo bancário, entrega de cartão e senha, compartilhamento de token de autenticação. A conduta é comissiva e admite tanto a cessão prévia (a conta é disponibilizada antes da prática do golpe, para receber valores futuros) quanto a cessão posterior (o titular, já ciente da origem ilícita, permite que os valores nela permaneçam ou circulem). O tipo é expressamente indiferente à onerosidade: pune-se tanto quem aluga a conta por dinheiro quanto quem a empresta “de favor” a um amigo ou parente.
4. Sujeitos do crime
Sujeito ativo é qualquer pessoa titular ou possuidora de conta bancária apta a movimentar valores — crime comum. Sujeito passivo imediato é a vítima final do golpe que originou os recursos; mediatamente, a coletividade, na medida em que o tipo protege a integridade do sistema de pagamentos.
5. Elemento subjetivo
Exige-se dolo, admitido tanto na forma direta (o laranja sabe positivamente a origem ou destinação ilícita dos valores) quanto na eventual, por meio da teoria da cegueira deliberada (willful blindness), já consagrada pelo STJ em casos de lavagem de capitais e que a doutrina propõe importar integralmente para o novo tipo: configura dolo eventual a conduta de quem, diante de circunstâncias manifestamente suspeitas — remuneração pela simples cessão da conta, desconhecido que pede para “receber um dinheiro” e repassar em espécie —, decide deliberadamente não indagar a origem dos valores para poder alegar, depois, ignorância. O precedente de referência é a APn 940/DF (STJ, rel. Min. Og Fernandes, j. 06/05/2020), que fixou os parâmetros da cegueira deliberada no âmbito da lavagem de dinheiro e vem sendo invocado, por analogia, para o novo crime de cessão de conta laranja.
6. Concurso de pessoas e concurso de crimes
O ponto mais controvertido da nova lei é a relação entre o inciso VII e o crime de lavagem de capitais. Há posições em pelo menos três direções: (i) a de que o novo tipo é especial e afasta a lavagem sempre que a conduta se limitar à cessão passiva da conta; (ii) a de que, se a cessão ocorre previamente ao golpe — para receber especificamente o produto de fraudes futuras —, o laranja é antes coautor ou partícipe do próprio estelionato que sucede o inciso VII, respondendo pelo crime-fim e não pelo crime-meio; e (iii) a de que os dois tipos coexistem autonomamente, cabendo concurso material quando a conduta do agente ultrapassar a mera cessão e envolver atos de ocultação mais sofisticados (múltiplas contas, fracionamento, conversão em criptoativos). Some-se a isso a controvérsia sobre a retroatividade da lei mais benéfica: para os laranjas já condenados por lavagem antes de maio de 2026, discute-se em que medida o novo inciso VII, por cominar pena mais branda, pode ser aplicado retroativamente (art. 5º, XL, CF), tema já enfrentado pelo STJ em decisões recentes sobre o alcance da novatio legis in mellius.
Fechamento técnico — Parte I
Capitulação penal: art. 171, §2º, VII, do CP (cessão de conta laranja), podendo concorrer com o art. 1º da Lei nº 9.613/1998 (lavagem de capitais) conforme a sofisticação da ocultação, ou ser absorvido pelo crime-fim quando a cessão integrar o próprio iter do estelionato. Modus operandi típico: anúncio em redes sociais ou grupos de mensagens oferecendo “conta para receber dinheiro”; abertura de conta digital em nome do próprio laranja mediante promessa de comissão; entrega de senha/token a terceiro. Circunstâncias: causa de aumento quando a vítima final for idosa ou vulnerável. Proveito econômico: comissão fixa ou percentual sobre o valor transitado, elemento relevante para a dosimetria e para eventual perdimento de bens.
PARTE II — O terceiro de boa-fé: uso indevido de dados cadastrais mediante obtenção ilegal
1. Conceito e distinção da figura anterior
Aqui a lógica se inverte por completo. Não há cessão, não há consentimento, não há sequer conhecimento do titular dos dados. O agente obtém informações cadastrais de terceiro — CPF, RG, comprovante de renda, selfie, dados bancários — por meio ilícito (vazamento de bases de dados, phishing, engenharia social, invasão de dispositivo informático, compra em fóruns de dados vazados) e as utiliza para abrir uma conta bancária ou digital em nome desse terceiro, sem que ele jamais tenha autorizado ou tomado ciência. O terceiro figura como vítima, nunca como autor.
2. Objeto jurídico e objeto material
Tutelam-se cumulativamente o patrimônio (da instituição financeira e da vítima final do golpe subsequente), a fé pública (pela falsificação ou uso de identidade alheia perante o sistema bancário) e, reflexamente, a integridade dos dados pessoais do terceiro usurpado. Objeto material são os próprios dados cadastrais e a conta fraudulentamente aberta em nome do terceiro.
3. Elementos do tipo e classificações pertinentes
A conduta se desdobra tipicamente em dois momentos, que podem configurar concurso material de crimes:
- Obtenção ilícita dos dados: quando ocorre mediante invasão de dispositivo informático alheio, com violação indevida de mecanismo de segurança, para obter dados ou informações sem autorização, tipifica-se o art. 154-A do CP; se decorrente de mero vazamento de terceiros (bancos de dados corporativos violados) do qual o agente apenas se aproveita, a conduta relevante penalmente desloca-se para a etapa seguinte.
- Utilização fraudulenta dos dados para abertura de conta e obtenção de vantagem: aqui a classificação técnica exige atenção redobrada, e a jurisprudência tem distinguido com precisão o estelionato mediante fraude eletrônica (art. 171, §2º-A, CP) do furto mediante fraude eletrônica (art. 155, §4º-B, CP). O critério diferenciador é a voluntariedade do ato de disposição patrimonial: se alguém (a instituição financeira ou a vítima final) é induzida a erro e entrega o bem ou libera o crédito voluntariamente acreditando estar diante do verdadeiro titular dos dados, há estelionato; se o agente acessa a conta ou os sistemas e subtrai os valores sem que ninguém entregue voluntariamente coisa alguma, há furto qualificado mediante fraude eletrônica.
Dependendo do meio empregado para viabilizar a fraude, pode ainda configurar-se falsidade ideológica (art. 299 do CP) ou uso de documento falso (art. 304 do CP), quando o agente apresenta documentos adulterados ou presta declarações falsas para completar o cadastro em nome do terceiro usurpado.
4. Sujeitos do crime
Sujeito ativo é quem obtém ilicitamente os dados e/ou os emprega na fraude — podem ser pessoas distintas, em concurso de agentes, quando a obtenção e o uso são divididos entre integrantes de uma mesma organização (quem vende dados vazados e quem os utiliza para abrir contas). Sujeito passivo é duplo: o terceiro cuja identidade foi usurpada (vítima de violação de seus dados e de eventual dano à sua vida cadastral — negativações indevidas, contas em seu nome) e a instituição financeira ou a vítima final enganada pelo estratagema.
5. Elemento subjetivo
Dolo direto quanto à obtenção ilícita dos dados e quanto ao emprego fraudulento para abrir a conta e movimentar valores. Não há espaço, nessa figura, para dolo eventual ou cegueira deliberada por parte do terceiro usurpado: ele não pratica ato algum, não recebe proveito, não é indagado sobre nada — não há, portanto, qualquer elemento subjetivo a ele imputável, e sua posição é de completa atipicidade quanto ao fato de terceiro.
6. A situação jurídica do terceiro usurpado
É juridicamente incorreto — e um erro recorrente em notícias de fato e até em representações policiais apressadas — tratar o titular dos dados usurpados como “laranja” ou investigá-lo com a mesma lente do art. 171, §2º, VII. Faltam-lhe dolo, ação e, frequentemente, qualquer ciência do ocorrido: ele só toma conhecimento do fato ao ser cobrado por dívida que não contraiu ou ao ter seu nome negativado. A jurisprudência cível, aliás, já consolidou entendimento no sentido de que as instituições financeiras respondem objetivamente pelos danos causados por fraudes de terceiros na abertura de contas com documentos falsos ou dados usurpados, por se tratar de fortuito interno inerente ao risco da atividade bancária digital — o que reforça, no plano penal, que o verdadeiro autor do ilícito é quem se apropriou dos dados, jamais o titular deles.
Fechamento técnico — Parte II
Capitulação penal do autor: art. 154-A do CP (quando houver invasão de dispositivo informático para obtenção dos dados) em concurso material com art. 171, §2º-A, CP (estelionato mediante fraude eletrônica) ou art. 155, §4º-B, CP (furto mediante fraude eletrônica), conforme tenha havido ou não disposição patrimonial voluntária da vítima final; eventual concurso com art. 299 ou 304 do CP em caso de falsificação documental complementar. Modus operandi típico: aquisição de bases de dados vazadas em fóruns clandestinos; phishing direcionado; abertura de conta digital 100% online explorando falhas na verificação biométrica ou documental da instituição financeira. Circunstâncias: relevância da causa de aumento etária quando a vítima final do golpe subsequente for idosa; relevância, para a responsabilidade civil solidária do banco, da comprovação de falha nos protocolos de segurança na abertura da conta. Proveito econômico: normalmente auferido não pelo terceiro usurpado (que nada recebe), mas pelo autor da fraude e por eventuais laranjas subsequentes na cadeia de lavagem dos valores.
Síntese para a prática investigativa
A distinção entre as duas figuras não é acadêmica: ela define se a pessoa que aparece como titular de uma conta usada em fraude será investigada como autora (laranja, art. 171, §2º, VII, CP) ou ouvida como vítima (terceiro usurpado). O critério prático mais seguro é verificar se houve, de fato, algum ato de disposição da própria conta pelo titular — abertura consciente, entrega de senha, recebimento de comissão — ou se a conta foi aberta inteiramente à sua revelia, com dados obtidos por terceiros. Essa verificação, feita já na fase de representação por quebra de sigilo e nos primeiros atos de investigação, evita tanto a impunidade de verdadeiros laranjas que se escondem atrás da alegação de “furto de identidade” quanto a criminalização indevida de vítimas de vazamento de dados.
