En la estafa de la falsa central, los delincuentes se presentan como empleados de un banco, alegan que existe una operación sospechosa e inducen a la víctima a proporcionar datos, instalar programas, contratar créditos o transferir fondos. El contacto puede parecer legítimo porque menciona información personal, utiliza números telefónicos enmascarados o reproduce procedimientos similares a los de una atención real.

La existencia del fraude no determina, por sí sola, quién debe soportar la pérdida. Conforme al derecho brasileño, la conclusión depende de la relación entre la conducta de los delincuentes, la actuación del consumidor y la calidad de los mecanismos de seguridad y respuesta de la entidad financiera o de pago.

¿La responsabilidad del banco es automática?

No. El artículo 14 del Código de Defensa del Consumidor de Brasil establece responsabilidad objetiva por defectos en la prestación del servicio, pero permite excluirla cuando el proveedor demuestra que no existió defecto o que el daño se debió exclusivamente al consumidor o a un tercero.

La Súmula 479 del Tribunal Superior de Justicia de Brasil (STJ) dispone que las entidades financieras responden por los daños derivados de fraudes de terceros cuando el hecho constituye un riesgo interno vinculado a la propia actividad bancaria. La aplicación de este criterio exige examinar las circunstancias concretas.

¿Qué fallas pueden indicar un servicio defectuoso?

En decisiones recientes, el STJ señaló circunstancias que pueden demostrar que una operación debió activar los sistemas de prevención del fraude, entre ellas:

  • operaciones incompatibles con el historial y el perfil económico del cliente;
  • préstamos inusuales contratados inmediatamente antes de las transferencias;
  • varias operaciones consecutivas, en poco tiempo, destinadas a nuevos beneficiarios;
  • importes, horarios, lugares, dispositivos o medios de acceso ajenos al patrón habitual;
  • validación de operaciones sospechosas sin cautelas adicionales proporcionales al riesgo;
  • demora injustificada en bloquear fondos o activar mecanismos de mitigación tras la comunicación oportuna del fraude.

Estos factores no constituyen una lista automática. El conjunto de pruebas debe demostrar si los controles disponibles eran adecuados y si la entidad podía razonablemente haber identificado o reducido el daño.

¿Qué decidió el STJ en 2026?

Las decisiones de 2026 muestran que el resultado puede variar según los hechos acreditados.

En el REsp 2.209.868/SP, la Tercera Sala mantuvo una decisión que excluyó la responsabilidad del banco. El tribunal de origen había concluido que no existían operaciones incompatibles con el perfil de la clienta ni defecto del servicio y que la transferencia de mayor importe se realizó personalmente sin informar del fraude a los empleados de la sucursal.

En sentido distinto, en el AgInt en el REsp 2.221.112/SC, la Cuarta Sala consideró relevante la comunicación casi inmediata y la demora de cinco días para activar efectivamente el bloqueo cautelar y el MED de Pix. La falta de reacción y mitigación se consideró un defecto del servicio.

En el REsp 2.269.747, la Tercera Sala reiteró que los bancos y las entidades de pago deben vigilar las operaciones atípicas. La decisión consideró, entre otros elementos, préstamos contratados el mismo día y movimientos incompatibles con el historial de la cuenta.

Estos precedentes no sustituyen el análisis individual. Proporcionan criterios jurídicos para determinar si existió un riesgo interno, un defecto de seguridad, ruptura del nexo causal o culpa exclusiva.

¿Cómo funciona el MED de Pix?

El Mecanismo Especial de Devolução (MED), o Mecanismo Especial de Devolución, es un procedimiento propio de Pix destinado a aumentar las posibilidades de recuperar fondos en casos de fraude. Según el Banco Central de Brasil, la víctima puede presentar la solicitud ante su entidad dentro de los 80 días siguientes a la operación, pero debe actuar lo antes posible.

Una vez iniciado el procedimiento, las entidades implicadas analizan la incidencia y pueden bloquear temporalmente los fondos disponibles en las cuentas relacionadas, hasta el límite impugnado. La devolución puede ser total, parcial o no producirse, porque depende de la confirmación del fraude y de la existencia de saldo recuperable.

Como regla general, el MED no se aplica a desacuerdos comerciales, a un Pix enviado por error a otra persona ni a fondos recibidos por un tercero de buena fe. La solicitud del MED tampoco supone el reconocimiento automático de responsabilidad civil de la entidad.

¿Qué debe hacer la víctima inmediatamente?

  1. Interrumpir el contacto y no instalar aplicaciones ni proporcionar nuevas contraseñas, códigos o claves de seguridad.
  2. Comunicar el hecho al banco por sus canales oficiales, solicitar el bloqueo preventivo y pedir el MED para las transferencias Pix que cumplan sus requisitos.
  3. Cambiar las contraseñas y proteger los dispositivos, especialmente si se instaló un programa de acceso remoto o se compartieron credenciales.
  4. Presentar una denuncia policial con la cronología, los importes, las cuentas destinatarias y los medios utilizados por los delincuentes.
  5. Conservar los protocolos y documentos antes de borrar mensajes, registros de llamadas, correos electrónicos o aplicaciones.

La rapidez puede facilitar el bloqueo de los fondos y también documenta el momento en que la entidad recibió el aviso.

¿Qué pruebas deben conservarse?

  • extractos completos y comprobantes de las operaciones;
  • protocolos de atención, horarios y canales oficiales utilizados;
  • capturas de pantalla, mensajes, correos electrónicos y registros de llamadas;
  • documentos sobre préstamos, aumentos de límites o registro de nuevos dispositivos;
  • respuestas del banco, estado del MED y eventual negativa de devolución;
  • elementos que muestren el patrón habitual de movimientos de la cuenta;
  • denuncia policial y reclamaciones ante organismos de protección del consumidor, si existen.

Estos registros permiten reconstruir la secuencia de los hechos y analizar si las operaciones eran atípicas, si la comunicación fue oportuna y qué medidas se adoptaron realmente.

¿Cuándo puede ser conveniente un análisis jurídico?

La evaluación individual puede ser pertinente cuando la entidad se niega a bloquear fondos o abrir el MED, responde con una demora relevante, registra préstamos no reconocidos o información negativa, valida operaciones claramente incompatibles con el perfil del consumidor o discute el origen de una filtración de datos.

También deben examinarse las respuestas administrativas, los contratos, las reglas de autenticación, las pruebas técnicas disponibles y la posible participación de varias entidades. El reembolso, la declaración de inexistencia de una deuda y la compensación por otros daños dependen de los hechos y de las pruebas; no son consecuencias automáticas de la estafa.

Conclusión

Las estafas de falsa central exigen una reacción rápida, la conservación de pruebas y un análisis cuidadoso de la cadena de seguridad. La jurisprudencia reciente del STJ confirma dos puntos complementarios del derecho brasileño: el banco no responde automáticamente por todo fraude, pero puede ser responsable cuando el servicio no detecta operaciones atípicas o no reacciona adecuadamente después del aviso.

Vinicius Faria Advocacia
OAB/RJ 189.329
Rio de Janeiro — Brasil
Contenido informativo. Este artículo trata de la legislación y la jurisprudencia brasileñas disponibles en la fecha de publicación. Toda situación concreta depende de sus documentos, pruebas y circunstancias. No se prometen resultados.

Fuentes oficiales