Ligaram dizendo ser o atendimento da loja e pediram dados para estornar

O que denuncia a abordagem antes do prejuízo

Nenhuma central legítima pede senha, código enviado por mensagem, foto de documento ou transferência para estornar valores. Estorno acontece pelo mesmo caminho do pagamento original, sem qualquer ação do cliente.

Outros sinais recorrentes: pressa e insistência para manter a chamada, pedido para instalar aplicativo de acesso remoto sob o nome de "programa de segurança", oferta de transferir a ligação para o "setor antifraude do banco" e orientação para não desligar enquanto resolve.

A regra prática é encerrar a ligação e retornar pelo canal oficial da loja ou do banco, buscado no site ou no cartão — nunca pelo número que ligou nem por um contato passado durante a chamada.

O dado que o golpista tinha não caiu do céu

Aqui está o ponto que muda o caso. Quando o interlocutor cita número de pedido, item exato, valor com centavos e endereço de entrega, a informação veio de algum lugar: da base da loja, de um parceiro logístico, de um sistema de atendimento terceirizado ou de um funcionário.

A responsabilidade do fornecedor de serviços pelos danos causados por defeito na prestação independe de culpa, conforme o art. 14 do Código de Defesa do Consumidor, que alcança também as informações insuficientes ou inadequadas sobre os riscos do serviço. Falha na proteção dos dados do pedido é defeito da prestação, e o dano decorrente da fraude viabilizada por esse vazamento passa a ser discutível diretamente com a empresa.

Por isso o registro dos detalhes que o golpista sabia é a peça mais valiosa do caso. Anote imediatamente, com o máximo de precisão, quais dados foram mencionados na ligação, e peça à loja, por escrito, esclarecimento sobre eventual incidente de segurança.

As primeiras horas depois de fornecer dados ou transferir

A ordem das providências importa:

• avise o banco imediatamente e conteste as operações não reconhecidas, pedindo bloqueio preventivo — se houve Pix, o mecanismo de devolução previsto na regulamentação depende de acionamento rápido;
• troque senhas e desative acessos, começando pelo aplicativo bancário e pelo e-mail vinculado às compras;
• desinstale qualquer aplicativo indicado durante a chamada e desconecte o aparelho da rede até verificar o que foi instalado;
• registre ocorrência policial descrevendo a ligação, os dados citados e as operações realizadas;
• comunique a loja por escrito, relatando o episódio e solicitando informação sobre a origem dos dados.

Essa comunicação escrita à empresa cumpre função dupla: preserva a data da ciência e força a companhia a se manifestar sobre um eventual incidente.

O enquadramento criminal e o que ele destrava

Obter vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro mediante artifício, ardil ou qualquer outro meio fraudulento é o que descreve o art. 171 do Código Penal. Quando a fraude é praticada por meio eletrônico com informações fornecidas pela própria vítima ou por terceiro induzido a erro, a pena sobe para reclusão de quatro a oito anos, na forma do § 2º-A.

Se houve instalação de programa de acesso remoto, pode incidir também o art. 154-A, que tipifica a invasão de dispositivo informático de uso alheio com o fim de obter, adulterar ou destruir dados sem autorização do usuário.

O valor prático do registro policial é permitir a requisição de dados que particulares não obtêm: titularidade da conta que recebeu a transferência, origem da chamada e registros de acesso. Sem isso, a ação civil contra o autor direto fica sem endereço.

Quando a cobrança contra a loja não avança

Nem todo caso comporta responsabilização da empresa. Se a abordagem se apoiou apenas em informação genérica — "identificamos uma compra suspeita no seu cartão" — sem qualquer dado específico do pedido, o argumento de vazamento não se sustenta, e a discussão fica restrita ao autor da fraude.

Também enfraquece a posição do consumidor a transferência feita depois de alertas expressos, ou o fornecimento de senha e código de autenticação, que costuma ser tratado como conduta que rompe o nexo causal — embora esse ponto seja discutido caso a caso, especialmente quando há evidência de engenharia social sofisticada.

Dois cenários ilustram. Uma consumidora recebe ligação em que o interlocutor recita o número do pedido, o modelo do produto e o valor exato, três dias após a compra: o indício de vazamento é forte e a empresa terá de explicá-lo. Outro consumidor recebe ligação genérica em nome de "central de compras" e transfere valores sem que nenhum dado real seja citado: aqui a responsabilização da loja é improvável.

Vale levar o caso a um advogado particular quando os dados citados na ligação eram específicos do seu pedido: a resposta da loja e o protocolo aberto formam a base da análise e podem ser encaminhados digitalmente, sem reunião presencial.