Paguei num site falso idêntico ao da loja verdadeira: o roteiro da reação

O endereço quase igual: registrar a prova antes de o site sumir

Páginas clonadas duram dias, às vezes horas. Antes de qualquer outro passo, preserve: o endereço completo da página (não só a tela inicial), capturas da oferta, do carrinho e do fechamento, os e-mails de “confirmação” recebidos e o comprovante do pagamento com o nome do beneficiário. Para compras de valor alto, a ata notarial — lavrada em cartório, inclusive por meio eletrônico — congela o conteúdo do site com fé pública.

Esse conjunto cumpre três funções: demonstra o ardil na esfera penal, identifica a conta que recebeu o dinheiro e documenta a diferença entre o domínio falso e o oficial, o que afasta qualquer alegação de arrependimento de compra comum.

Pix para CNPJ desconhecido: o rastro que alimenta a devolução

O nome que aparece no comprovante raramente é o da varejista imitada — costuma ser uma empresa de fachada aberta para girar dinheiro de golpe. Essa divergência é a sua melhor prova e o gatilho da providência mais urgente: comunicar o banco e pedir a instauração do procedimento de devolução por fraude do arranjo do Pix contra a conta recebedora.

O regulamento do Pix impõe registro rápido, contado da transferência, e a recuperação depende do saldo que restar — quadrilhas de loja falsa pulverizam a arrecadação diariamente. Feito o pedido, registre a ocorrência policial: o estelionato por meio eletrônico se amolda ao art. 171, §2º-A, do Código Penal, e a investigação alcança os dados do domínio e da conta.

Cartão em vez de Pix: a contestação muda de natureza

Se o pagamento foi por cartão de crédito, o cenário melhora: conteste a compra junto ao emissor relatando a fraude. A transação feita em estabelecimento inexistente, sem entrega e sem correspondência com a loja anunciada, sustenta o cancelamento e o estorno pelo próprio arranjo do cartão.

A recusa do emissor em analisar a contestação, quando os indícios de clonagem são evidentes, abre discussão de defeito do serviço pela regra do art. 14 do Código de Defesa do Consumidor — a pretensão de reparação correspondente prescreve em cinco anos, contados do conhecimento do dano (art. 27 do CDC).

A marca copiada responde? Em regra não — e as exceções

A varejista imitada também foi lesada: sua marca foi usurpada. Por isso, a tendência dominante é afastar a responsabilidade da loja verdadeira pelo golpe praticado em domínio alheio, tratando-o como fato de terceiro (art. 14, §3º, do CDC). Processar a marca famosa só porque o layout era parecido costuma terminar em improcedência.

Há exceções estreitas: se a empresa foi formalmente alertada da clonagem, tinha meios de agir e permaneceu inerte por longo período, ou se o golpe explorou vazamento de dados dos próprios clientes dela, a discussão de falha própria ganha corpo. São hipóteses que exigem prova documental, não presunção.

Identificar quem operava o site: a trilha do Marco Civil

Descobrir quem operava o domínio falso passa pelos registros guardados por provedores. O art. 22 do Marco Civil permite pedir ao juiz o fornecimento desses dados para processo cível ou penal; essa entrega mediante ordem judicial permanece distinta da responsabilidade pelo conteúdo.

O desenho definitivo do Tema 987 resulta dos embargos concluídos pelo STF em 2026 e separa os papéis da plataforma. Se o provedor vendeu ou impulsionou publicidade paga para o site falso, há presunção relativa de culpa do provedor, independentemente de notificação. Para afastar essa presunção, a plataforma precisa demonstrar atuação diligente e tempestiva na prevenção ou na retirada do conteúdo fraudulento.

Na exibição orgânica, é preciso que a notificação extrajudicial traga indicação específica do conteúdo e exponha a razão da ilicitude. Nessa exibição orgânica, a ciência da plataforma seguida de omissão e sem resposta diligente dentro de prazo razoável pode fundamentar responsabilidade. Na exibição orgânica, dúvida razoável sobre a ilicitude após exame qualificado impede responsabilização automática. Por isso, a prova deve indicar onde o link apareceu, se era patrocinado e qual empresa prestava cada serviço. Os registros podem levar ao operador; o recebedor bancário só deve ser cobrado quando houver participação, nexo, retenção sem causa ou outro fundamento demonstrado.

A aplicação temporal começa em 5 de agosto de 2025. Condutas continuadas ou permanentes seguem a tese atual; o STF preservou decisões transitadas em julgado.