O Golpe da Mão Fantasma: Quando Criminosos Assumem o Controle do Seu Celular e Por Que o Banco Ainda Responde

Como funciona o golpe da mão fantasma

O golpe da mão fantasma explora dois elementos humanos fundamentais: a confiança e o medo. A vítima recebe uma ligação de alguém que se identifica como representante do banco ou de órgão de segurança digital. O script é elaborado: há uma movimentação suspeita em sua conta, é urgente proteger os valores. Para resolver, basta instalar um aplicativo de suporte remoto (AnyDesk, TeamViewer ou QuickSupport) e seguir as instruções.

A partir do momento em que a vítima instala o aplicativo e concede as permissões solicitadas, o fraudador assume controle total do dispositivo. Vê a tela em tempo real, digita comandos, realiza transferências, contrata empréstimos, altera senhas. A vítima observa a própria conta sendo esvaziada sem conseguir intervir. Daí o nome: a tela se move sozinha.

O que o banco deveria ter detectado

Os sistemas antifraude modernos são capazes de identificar padrões específicos que caracterizam o acesso remoto: múltiplas operações em sequência acelerada; transações de valor incompatível com o histórico do cliente; acesso realizado via protocolo de desktop remoto; alteração de configurações do aplicativo em horário incomum; movimentações para destinatários nunca antes utilizados pelo titular.

A Resolução BCB nº 1/2020 e a Resolução CMN nº 4.949/2021 impõem que as instituições financeiras mantenham sistemas de monitoramento capazes de identificar transações atípicas e bloquear operações suspeitas. Quando esses sistemas falham e aprovam em sequência operações que claramente divergem do perfil do cliente, configura-se o defeito na prestação do serviço que fundamenta a responsabilidade objetiva.

Fortuito interno: o argumento que derruba a defesa bancária

Ao analisar a questão, a 5ª Câmara de Direito Privado do Tribunal de Justiça de Mato Grosso (TJ-MT), no julgamento da Apelação Cível 10186069620258110003, relatado pelo desembargador Luiz Octavio Oliveira Saboia Ribeiro em 2 de junho de 2026, firmou entendimento de que a engenharia social que explora a vulnerabilidade informacional do consumidor por simulação de identidade não caracteriza culpa exclusiva da vítima. A decisão determinou que empréstimos fraudulentos transitados na conta devem ser declarados inexistentes e que a subtração de recursos próprios configura dano material ressarcível, sendo presumido o dano moral decorrente de fraude bancária não bloqueada.

A engenharia social não configura fortuito externo que exclua a responsabilidade do banco. A manipulação do consumidor para instalar um aplicativo não é culpa exclusiva sua; é, ao contrário, razão adicional para que o banco reforce seus mecanismos de detecção. O STJ, no REsp 2.052.228/DF, estabeleceu que o banco tem o dever de identificar e bloquear operações que destoem do perfil do consumidor em relação a valores, frequência e objeto. Esse dever não desaparece pelo fato de a fraude ter sido facilitada por engenharia social.

A prova técnica decisiva no golpe da mão fantasma

• IP de acesso: quando o acesso ao aplicativo ocorre a partir de IP diferente do habitual do titular (especialmente um IP associado a servidor externo, VPN ou protocolo de desktop remoto), esse dado demonstra que o dispositivo foi operado remotamente.
• Geolocalização: o acesso via AnyDesk ou TeamViewer frequentemente gera uma geolocalização inconsistente, pois o dispositivo pode estar em Goiânia, mas o acesso chega via servidor em outro estado ou país.
• Velocidade das operações: transferências e contratações realizadas em sequência de segundos, sem o tempo natural de navegação humana, são padrão identificável nos logs de sistema.
• Horário: operações realizadas em horário de madrugada, ou em período em que o titular historicamente não acessa o sistema, reforçam o padrão de acesso não autorizado.

"Mas eu mesmo instalei": a defesa de culpa exclusiva e seus limites jurídicos

A culpa exclusiva do consumidor como excludente de responsabilidade (CDC, art. 14, §3º, II) só se configura quando a conduta do consumidor for a causa única e suficiente do dano, sem qualquer concorrência da falha do fornecedor. No golpe da mão fantasma, há sempre concorrência do banco: a falha nos sistemas de monitoramento, a ausência de bloqueio de operações atípicas e a não identificação do acesso remoto são defeitos no serviço que contribuem causalmente para o dano, mesmo que a vítima tenha contribuído ao instalar o aplicativo.

Protocolo imediato para vítimas

• Desconectar imediatamente o dispositivo da internet (modo avião) e desinstalar o aplicativo remoto.
• Alterar todas as senhas bancárias de outro dispositivo, não do comprometido.
• Ligar para o banco de outro telefone e solicitar bloqueio imediato da conta e de todas as transações pendentes.
• Registrar Boletim de Ocorrência descrevendo o script do golpe com o máximo de detalhes.
• Solicitar ao banco o relatório completo de todas as operações realizadas durante o período de acesso remoto.

Perguntas frequentes

O banco pode alegar que eu violei os termos de uso ao instalar aplicativo de terceiro? Os termos de uso não eximem o banco de seus deveres de segurança impostos por lei e regulação. A violação de norma contratual de orientação geral não configura culpa exclusiva suficiente para afastar a responsabilidade objetiva.

Quanto tempo depois do golpe ainda posso acionar o banco? O prazo prescricional é de cinco anos contados do conhecimento do dano (art. 27 CDC). Mas os logs bancários têm prazo de retenção limitado: quanto mais rápida a solicitação, maior a disponibilidade de prova.