Fui vítima de estelionato digital: o que preservar nas primeiras 48 horas (e o que já é tarde demais)

Primeiro, o que fazer nas próximas horas

Se você caiu num golpe hoje, comece por aqui e leia o resto depois. Nada nesta lista custa dinheiro.

1. Não apague nada. Nem a conversa, nem os e-mails, nem os áudios, nem o contato, nem o anúncio, nem o perfil salvo. Nada.
2. Não bloqueie o golpista ainda. Bloquear antes de preservar pode fazer você perder acesso ao histórico, ao perfil e aos dados de contato. Bloqueia depois — e antes disso, pare de responder.
3. Pare de responder, mas não desapareça brigando. Não avise que descobriu, não ameace, não tente "recuperar conversando". Silêncio é melhor que confronto.
4. Não pague mais nada. Nenhuma taxa, nenhum "imposto para liberar", nenhuma "multa para cancelar", nenhum "adiantamento para o resgate". Esse é o segundo golpe, e ele é feito exatamente com quem acabou de cair no primeiro.
5. Ligue para o seu banco agora e diga a palavra "fraude". Não "erro", não "transferência indevida": fraude. É o que aciona o procedimento certo, e ele tem prazo (a próxima seção explica).
6. Registre boletim de ocorrência. Pode ser hoje, online, na delegacia eletrônica do seu estado.
7. Anote enquanto está fresco: horários, valores, o que foi dito, com que nome, por qual canal. Sua memória vai piorar em dois dias, e esse relato é o que organiza todo o resto.

Agora, o resto — que é onde a maior parte das pessoas perde o que ainda dava para salvar.

Antes de tudo: isso não é sobre você ter sido ingênuo

Vale dizer, porque quase toda vítima começa a conversa se defendendo: golpe bem feito engana gente inteligente, informada e desconfiada. Ele trabalha com pressa, com autoridade, com medo, com uma janela de decisão curta demais para conferir — e quem aplica faz isso todo dia, com roteiro testado em muita gente antes de chegar em você.

A vergonha é o que faz a maioria demorar dias para contar a alguém — e é o atraso, não o golpe, que fecha as portas que ainda estavam abertas. O relógio começou a correr no momento da transferência, e ele não espera você processar o que aconteceu.

O Pix tem um mecanismo próprio — e um prazo

Existe um procedimento formal para casos de fraude no Pix, criado pelo Banco Central: o Mecanismo Especial de Devolução (MED). Ele está no regulamento anexo à Resolução BCB nº 1, de 12 de agosto de 2020, nos arts. 41-B e seguintes.

O que ele é, em linguagem direta:

• Aplica-se quando há "fundada suspeita do uso do arranjo para a prática de fraude" ou falha operacional (art. 41-B).
• Quem aciona é o seu banco, não você — mas ele aciona a partir da sua reclamação. Por isso a ligação da lista acima é o passo 5 e não o passo 15.
• O efeito prático é bloqueio dos valores na conta de quem recebeu, no que houver de saldo, e devolução se ela existir (art. 41-D, II).
• Prazo: as devoluções no âmbito do Pix "deverão ser iniciadas em até 90 (noventa) dias contados da data em que houver sido realizada a transação original" (art. 41-A, II).

Três honestidades sobre isso, porque muito conteúdo por aí vende o MED como se fosse estorno automático:

Não é garantia de dinheiro de volta. O regulamento é explícito: as devoluções "pressupõem a existência de recursos suficientes na conta transacional do usuário recebedor" (art. 41-A, I). Se a conta já foi esvaziada — e em golpe profissional ela é esvaziada em minutos — não há o que bloquear. É por isso que a diferença entre ligar em duas horas e ligar em dois dias é enorme, e a diferença entre dois dias e quinze dias é quase nenhuma.

O prazo de 90 dias é limite externo, não convite a decidir com calma. O que decide o resultado são as primeiras horas.

Existe uma novidade que quase ninguém conhece. A Resolução BCB nº 493, de 28 de agosto de 2025 criou a funcionalidade de recuperação de valores — um procedimento de "rastreamento, de bloqueio e de devolução de valores no âmbito do Pix decorrente de suspeita de fraude na transação" (art. 54, XII). Ou seja: alcança também transações seguintes, quando o dinheiro já saiu da primeira conta. É iniciada pelo seu banco a partir da sua reclamação (art. 78-N) e, pelo art. 121 do regulamento, passou a ser obrigatória para os provedores de conta transacional a partir de 2 de fevereiro de 2026.

Na prática, para você: ao falar com o banco, relate como fraude e peça registro formal da reclamação, com número de protocolo. É esse registro que faz o procedimento existir. E guarde o protocolo — ele vira documento depois.

Se o pagamento não foi por Pix, mas por TED, boleto, cartão ou carteira digital, as regras são outras — a ordem das ações, não: comunique como fraude, hoje, e peça protocolo.

O boletim de ocorrência: o que ele faz, e o que ele não faz

O que ele faz: cria o registro oficial de que o fato existiu, na data em que existiu. Sem ele, boa parte do que vem depois não anda — pedidos ao Judiciário, discussão com instituição financeira, ação civil.

O que ele não faz: não recupera dinheiro, não obriga ninguém a investigar em determinado prazo e — isto é o que mais frustra — não é uma investigação. Um BO de três linhas ("fui vítima de golpe, perdi R$ X") não dá a ninguém por onde começar.

Dois pontos concretos sobre o registro:

Onde registrar. O art. 70, § 4º do Código de Processo Penal, incluído pela Lei 14.155/2021, estabelece que nos crimes do art. 171 do Código Penal praticados "mediante depósito (...) ou mediante transferência de valores, a competência será definida pelo local do domicílio da vítima". Em português: o caso é do lugar onde você mora, não de onde está o golpista. Isso resolve a dúvida mais comum de quem foi enganado por alguém de outro estado.

Que crime é esse. Estelionato é o art. 171 do Código Penal, com pena de reclusão de 1 a 5 anos e multa. Mas existe uma figura específica para o que aconteceu com você: o § 2º-A — fraude eletrônica, com pena de reclusão de 4 a 8 anos quando a fraude é cometida "com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, envio de correio eletrônico fraudulento, duplicação de dispositivo eletrônico ou aplicação de internet, ou por qualquer outro meio fraudulento análogo". Há ainda aumentos de pena se o crime foi praticado com servidor fora do Brasil (§ 2º-B) e se a vítima é idosa ou vulnerável (§ 4º).

Quem enquadra o fato é a autoridade, não você e não eu. Mas vale saber que existe, porque muita gente registra como "perdi dinheiro numa compra" e o registro nasce menor do que o fato foi.

Uma mudança recente que talvez você tenha lido diferente em algum lugar: até abril de 2026, o art. 171 tinha um § 5º que condicionava a ação penal, no estelionato, à representação da vítima. Esse parágrafo foi revogado pela Lei nº 15.397, de 30 de abril de 2026, que entrou em vigor na data da publicação. Como isso repercute no seu caso específico é pergunta para advogado — o que não muda é a recomendação prática: registre, e registre agora.

Preservar prova: o que fazer e o que não adulterar

Esta é a parte que ninguém consegue refazer depois, e é por isso que ela é o título do texto.

Preserve o que existe, do jeito que está. As conversas, no aplicativo em que aconteceram. Os e-mails, na caixa de entrada, sem encaminhar e apagar. Os comprovantes, no aplicativo do banco. O anúncio, o perfil, o site. O número, o e-mail, o nome usado, a chave para onde foi o dinheiro.

Não "organize". É o erro mais comum e o mais caro: a pessoa junta tudo num documento, recorta os prints, apaga o que acha irrelevante, sai do grupo, deleta o aplicativo que "não serve mais". Cada um desses gestos remove contexto que depois faz falta — e alguns removem exatamente aquilo que ligaria uma coisa à outra.

Não adultere nada, nem para melhorar. Não edite imagem para destacar, não recorte para "ficar mais claro", não redigite uma conversa em um documento. Uma prova que aparenta ter sido tratada perde valor inteira, inclusive a parte verdadeira dela.

Prints são melhores que nada e piores que quase tudo. Se você só tem prints, tudo bem: tire, guarde, não apague os originais. Mas print é imagem, e imagem é editável — quando o outro lado contesta, ele sozinho não se sustenta. Há um texto inteiro sobre isso: o que fazer nas primeiras horas para um print não ser derrubado.

Preserve o aparelho em que aconteceu. Evite o que sobrescreve dados: reinstalar aplicativos, restaurar backup por cima, formatar, "limpar para começar do zero". Se houver suspeita de acesso indevido ao aparelho ou à sua conta, isso vira assunto de perícia digital, e o exame é feito no aparelho.

Cuidado com o segundo prejuízo: seus dados. Se você entregou senha, código de verificação ou foto de documento, o dano não termina no valor transferido. Troque as senhas, ative verificação em duas etapas onde der, e trate isso como parte do mesmo incidente.

O que fica de fora deste texto de propósito: como rastrear. Não vou ensinar a levantar quem está por trás de uma chave, de um perfil ou de uma carteira, e sugiro que você não tente — a tentativa amadora costuma queimar a única chance: o perfil sai do ar quando percebe que está sendo olhado, o golpista muda de canal, e o que existia deixa de existir. Preservar é com você. Rastrear é outro trabalho.

Os prazos que correm — e é por isso que "semana que vem" é caro

O que está no seu aparelho e nas suas contas depende de você. O que está com terceiros tem prazo, e o prazo já começou.

O Marco Civil da Internet (Lei 12.965/2014) fixa dois prazos mínimos de guarda:

O quê	Quem guarda	Prazo mínimo	Base
Registros de conexão (quem usou qual IP, quando)	o administrador de sistema autônomo, na provisão de conexão	1 ano	art. 13
Registros de acesso a aplicações	o provedor de aplicações	6 meses	art. 15

São mínimos de guarda obrigatória: nada impede o provedor de guardar mais, e nada garante que ele guarde. Passado o prazo, o dado pode simplesmente não existir mais.

E esses registros não se pedem por e-mail. O art. 10, § 1º condiciona a disponibilização a ordem judicial, e o art. 22 permite que a parte interessada requeira ao juiz o fornecimento — desde que o pedido traga "fundados indícios da ocorrência do ilícito", justificativa da utilidade dos registros e o período a que se referem. Ou seja: o pedido precisa chegar com o caso já organizado. Não é formulário; é requerimento que alguém precisa instruir. Cada semana de espera consome prazo de guarda e não adianta nenhuma etapa.

O que já é tarde demais, e o que ainda dá

Escrevo esta seção porque a alternativa — deixar você descobrir sozinho — é pior. Uma parte disto vai doer.

Provavelmente já é tarde para:

• Bloquear o dinheiro, se já passaram muitos dias. Em golpe estruturado, o valor é movimentado quase imediatamente, muitas vezes em cadeia, e a conta que recebeu costuma estar vazia. O procedimento continua valendo a pena — o prazo de 90 dias existe —, mas a chance de haver saldo cai rápido.
• A conversa que você apagou. Pode haver rastro recuperável no aparelho, dependendo do modelo, do sistema e de quanto o celular foi usado desde então — mas cada dia de uso reduz essa chance, porque o espaço vai sendo sobrescrito.
• O perfil, o anúncio ou o site que saiu do ar e do qual ninguém guardou nada enquanto estava no ar.
• Dados de terceiros já fora do prazo de guarda. Um caso de dois anos atrás esbarra nos prazos do Marco Civil, e não há o que pedir.

Ainda dá, quase sempre:

• Comunicar como fraude e registrar formalmente, mesmo tarde. Registro atrasado vale mais que registro nenhum, e casos idênticos costumam se somar.
• Preservar o que sobrou, do jeito que está — e o aparelho, se houver suspeita de invasão.
• Organizar o que existe em documento que sustente um pedido — que é a etapa em que a maioria trava sozinha, e a que decide se algo vai andar.
• Impedir a continuidade. Muita vítima descobre, ao organizar o caso, que o golpe ainda está em curso com ela — cobrança recorrente, acesso ativo a uma conta, uso dos seus dados em nome de terceiros. Parar isso é resultado concreto, mesmo quando o dinheiro não volta.

E uma advertência que vale mais que todas as anteriores: desconfie de quem promete recuperar seu dinheiro. Ninguém sério promete resultado — nem advogado, nem investigador, nem perito. Quem cobra para "reverter o Pix" ou para "hackear de volta" está aplicando o segundo golpe, e ele funciona porque a vítima quer muito acreditar. Trabalho honesto promete método e clareza sobre o que dá e o que não dá — nunca o resultado.

Onde isso deixa de ser algo que você faz sozinho

Quatro coisas você faz hoje, sem ninguém e sem custo: não apagar nada, parar de responder, não pagar mais nada e comunicar ao banco como fraude. São exatamente as que não dá para refazer depois.

Daí em diante há um limite, e vale reconhecê-lo antes de gastar tempo.

Quando a prova precisa nascer documentada. Se o conteúdo ainda está no ar — o perfil, o anúncio, o site — a coleta feita com registro de cada passo vale muito mais que a mesma captura feita às pressas e explicada depois. É o serviço de coleta de provas digitais com cadeia de custódia, e ele tem janela: o que está em pé hoje pode não estar amanhã.

Quando o caso precisa virar um pedido que se sustente. Os registros de terceiros só saem por ordem judicial, com fundados indícios e período delimitado. Reunir e organizar o material que instrui esse pedido é trabalho técnico — e é a diferença entre um pedido que anda e um que é indeferido. É o que fazemos em golpe do Pix e fraude digital, junto com o advogado do caso.

Quando o dinheiro foi para cripto. Aí a discussão muda de terreno e exige análise específica. Preserve endereços, comprovantes e conversas exatamente como estão; não é material que se refaz.

Quando você não sabe em que fase está. É a situação mais comum, e não tem nada de vergonhosa. A consulta inicial é gratuita e conduzida com sigilo e respeito — e serve, entre outras coisas, para dizer com honestidade se ainda há o que preservar, em vez de vender uma esperança que não se sustenta.