Fraude digital e as “maquininhas online”: quando o golpista é o lojista

Em resumo: o golpista que vende por link de pagamento responde por estelionato, fraude eletrônica ou furto mediante fraude. A plataforma não responde pelo crime dele, mas pode responder pela própria falta de diligência ao credenciá-lo, monitorá-lo e guardar registros. É isso que o STJ e o Banco Central passaram a examinar.

Quando um golpista se cadastra como lojista numa plataforma de pagamento on-line, a empresa que lhe fornece a “maquininha digital” deixa de ser mera intermediária e passa a ser alvo de três riscos ao mesmo tempo: penal, civil e regulatório.

Gateways, subcredenciadoras e facilitadoras permitem que qualquer CNPJ, ou até CPF, venda por link de pagamento, checkout ou QR Code em poucos minutos. Essa facilidade é o modelo de negócio do setor. É também o atalho preferido de quem monta lojas falsas, vende produtos que nunca serão entregues ou usa cartões clonados para “esquentar” dinheiro.

Este artigo mostra como o ordenamento brasileiro trata esse cenário em outubro de 2026: o que mudou no crime de fraude eletrônica com a Lei 15.397/2026, quais deveres o Banco Central impôs aos participantes dos arranjos de pagamento e como o STJ vem distribuindo a conta entre lojista, subcredenciadora, credenciadora e banco.

1. Quem é quem na “maquininha online”

A “maquininha online” é, juridicamente, um participante de arranjo de pagamento, figura criada pela Lei 12.865/2013 (art. 6º) e regulada pela Resolução BCB 150/2021.

Com a redação dada pela Resolução BCB 522/2025, o regulamento define o subcredenciador como o participante que habilita, exclusivamente, o usuário final recebedor (o lojista) a aceitar instrumentos de pagamento, sem participar da liquidação como credor perante o emissor. É o caso típico das plataformas de link de pagamento e checkout que operam “penduradas” numa credenciadora maior.

1. Compradorpaga com cartão ou Pix
2. Emissorbanco do comprador
3. Instituidorbandeira do arranjo
4. Credenciadorliquida as transações
5. Subcredenciadora “maquininha online”
6. Lojistahonesto ou golpista

O ponto sensível está na base da cadeia: quem decide aceitar o lojista é o subcredenciador. Se essa porta de entrada falha, todos os demais elos sentem o prejuízo.

2. O crime: fraude eletrônica depois da Lei 15.397/2026

O lojista que monta uma loja virtual para receber por produtos que nunca entrega comete estelionato. Se a fraude usa redes sociais ou meios análogos, comete fraude eletrônica, punida com reclusão de 4 a 8 anos.

A Lei 15.397/2026, publicada em 4 de maio de 2026, alterou os arts. 155 e 171 do Código Penal. A redação atual do § 2º-A do art. 171 é esta:

“A pena é de reclusão, de 4 (quatro) a 8 (oito) anos, e multa, se a fraude é cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, envio de correio eletrônico fraudulento, duplicação de dispositivo eletrônico ou aplicação de internet, ou por qualquer outro meio fraudulento análogo.”

Três mudanças da Lei 15.397/2026 importam diretamente para as plataformas de pagamento:

• Ação penal incondicionada. A lei revogou o § 5º do art. 171. O estelionato voltou a não depender de representação da vítima, e o Ministério Público pode agir mesmo que nenhum comprador formalize queixa.
• Conta laranja tipificada. Passou a ser crime ceder, gratuita ou onerosamente, conta bancária para que nela transitem recursos de atividade criminosa (art. 171, § 2º, VII). Quem “empresta” o cadastro ao golpista também responde.
• Furto eletrônico mais grave. A pena máxima do § 4º-B do art. 155 subiu de 8 para 10 anos.

A competência segue a regra que a Lei 14.155/2021 incluiu no art. 70, § 4º, do Código de Processo Penal: nos estelionatos praticados por transferência de valores, o processo corre no domicílio da vítima. Com dezenas de compradores lesados, a plataforma pode receber ofícios e requisições de vários estados ao mesmo tempo.

A empresa de pagamento, como pessoa jurídica, não comete estelionato. Seus gestores, porém, podem ser investigados por lavagem de dinheiro (Lei 9.613/1998) se houver indícios de que sabiam, ou assumiram o risco, de que a conta do lojista servia para ocultar dinheiro de golpes.

3. A responsabilidade da plataforma: civil, regulatória e digital

A plataforma que credencia um golpista não responde pelo crime dele, mas responde pelo próprio dever de diligência: o STJ já admite que falhas no credenciamento e na guarda de registros geram responsabilidade perante os demais elos da cadeia.

Na esfera civil

O STJ separa duas relações.

Entre empresas do arranjo, não há relação de consumo. No REsp 1.990.962/RS (2024) e no REsp 2.212.357/RS (2025), a Terceira Turma afastou o CDC e a solidariedade automática entre credenciadora, subcredenciadora e lojista: cada um responde pelo contrato que assinou, porque a solidariedade não se presume (art. 265 do Código Civil).

Mas quem habilita o golpista sem diligência paga parte da conta. No REsp 2.230.872 (Quarta Turma, rel. Min. Isabel Gallotti, divulgado pelo STJ em novembro de 2025), o banco condenado a indenizar uma vítima de fraude com cartão obteve direito de regresso contra a credenciadora. Houve culpa concorrente: o banco não adotou mecanismos para identificar a fraude, e a credenciadora não fez as diligências prévias ao credenciar o falso lojista nem manteve o registro das transações. O prejuízo foi dividido igualmente entre as duas.

No chargeback, a regra é dividir o risco. O STJ considera abusiva a cláusula que joga sobre o lojista, em qualquer circunstância, todo o prejuízo de contestações (AREsp 2.455.757/SP, julgado em 14/04/2026). O lojista só arca sozinho quando viola o contrato e contribui de modo decisivo para a fraude (REsp 2.180.780/SP). Quando o lojista é o próprio golpista e desaparece com o dinheiro, quem fica exposto é a plataforma.

Perante o comprador lesado, a discussão volta ao Código de Defesa do Consumidor. A plataforma que intermedeia e lucra com a transação integra a cadeia de fornecimento (arts. 7º, parágrafo único, 14 e 25, § 1º, do CDC), e a lógica do fortuito interno da Súmula 479 do STJ, firmada para instituições financeiras, é o argumento central dessas ações.

Na esfera regulatória

A Resolução 522 também proibiu que a bandeira atribua à credenciadora o gerenciamento de riscos das transações capturadas por subcredenciadores (art. 35-E, parágrafo único). Na prática, a subcredenciadora passa a ser acompanhada diretamente pelo instituidor do arranjo.

Na esfera do Direito Digital

O elo com o Direito Digital está na prova e nos dados.

• Marco Civil da Internet (Lei 12.965/2014). O provedor de aplicação deve guardar os registros de acesso por seis meses (art. 15) e fornecê-los mediante ordem judicial (art. 22). São esses registros (IP, data e hora) que ligam o cadastro falso a uma pessoa real. No REsp 2.230.872, a falta de registro das transações pela credenciadora foi justamente um dos fundamentos da condenação.
• LGPD (Lei 13.709/2018). A prevenção à fraude é base legal expressa para tratar dados sensíveis, como biometria facial na validação do lojista (art. 11, II, “g”). Para os demais dados, o legítimo interesse (art. 7º, IX) sustenta o monitoramento transacional, desde que documentado. Em contrapartida, a plataforma deve adotar medidas de segurança (art. 46) e responde por incidentes que exponham dados de compradores.
• Compartilhamento antifraude. A Resolução Conjunta CMN/BCB nº 6/2023 criou o sistema de troca de dados sobre indícios de fraude entre instituições reguladas, conciliado com a LGPD.

4. Como o golpe atinge a empresa de pagamento

O prejuízo da plataforma nasce no intervalo entre o repasse ao lojista e a reclamação do comprador: quando a contestação chega, o golpista já sacou e sumiu.

O roteiro costuma ser este:

1. O golpista abre conta como lojista, muitas vezes com CNPJ recém-aberto, documentos de terceiros ou um “laranja”.
2. Divulga produtos em redes sociais ou sites falsos e recebe por link de pagamento, cartão ou Pix.
3. Pede antecipação de recebíveis ou saque rápido e esvazia o saldo.
4. Os compradores contestam (chargeback) ou registram boletim de ocorrência.
5. A plataforma recebe o débito do chargeback, ofícios policiais de várias comarcas e, às vezes, ações de consumidores.

As consequências se acumulam em cinco frentes:

• Financeira. O chargeback recai sobre quem repassou o dinheiro. Sem saldo do lojista para compensar, a perda é da plataforma.
• Operacional. Pela competência no domicílio da vítima (art. 70, § 4º, do CPP), um único golpista pode gerar requisições de dados de delegacias e juízos de vários estados, cada uma com prazo próprio.
• Contratual. Índices altos de fraude e contestação levam a multas, retenções e até ao descredenciamento pela credenciadora ou pela bandeira, que responde pela gestão centralizada de riscos.
• Regulatória. Falhas de cadastro e monitoramento podem ser enquadradas como descumprimento de PLD/FT e das regras antifraude do Banco Central, sujeitas ao processo administrativo sancionador da Lei 13.506/2017.
• Reputacional e penal. O nome da plataforma aparece no extrato da vítima e na imprensa. Se a investigação indicar tolerância consciente a contas suspeitas, os gestores podem ser chamados a explicar a conduta no inquérito por lavagem de dinheiro.

Há ainda um efeito colateral: os mesmos mecanismos que travam o golpista (rejeição por fundada suspeita, bloqueio cautelar) atingem lojistas honestos quando mal calibrados, o que gera outro tipo de litígio.

5. O que a plataforma deve fazer

A melhor defesa da “maquininha online” é conseguir provar, documento por documento, que agiu com diligência antes, durante e depois da fraude, porque é exatamente isso que o STJ e o Banco Central passaram a examinar.

Dois cuidados equilibram esse rigor. O primeiro é a proporcionalidade: bloqueios devem ter critério objetivo e aviso ao titular, como já exige a Resolução 501 nas transações rejeitadas. O segundo é contratual: cláusulas que transferem ao lojista honesto todo o risco de fraude tendem a ser anuladas, o que enfraquece a defesa da própria plataforma.

6. Como afastar a responsabilidade da plataforma

Não existe cláusula que isente a “maquininha online” perante o comprador lesado: o CDC declara nula qualquer estipulação que exonere ou atenue o dever de indenizar (arts. 25 e 51, I). A saída legal é outra: estruturar a operação para que a plataforma consiga provar uma excludente, não responda solidariamente pelo lojista e recupere o que eventualmente pagar.

A estratégia tem quatro camadas.

1. Provar a excludente: “o serviço não teve defeito”

O art. 14, § 3º, do CDC diz que o fornecedor de serviços só não responde quando provar que o defeito inexiste ou que a culpa é exclusiva do consumidor ou de terceiro. O golpista é esse terceiro, mas o argumento só funciona se a plataforma demonstrar que seu próprio serviço foi seguro.

Isso exige prova documental de três coisas: credenciamento diligente (identidade validada, CNPJ conferido, risco classificado), monitoramento ativo (alertas disparados e tratados) e reação rápida (bloqueio, comunicação ao Coaf, resposta a ofícios). Sem esse dossiê, a fraude tende a ser tratada como fortuito interno, risco do próprio negócio, e a excludente cai.

Há ainda uma tese de defesa útil nas ações de consumidores: o dano decorre do produto não entregue pelo lojista, não de falha no processamento do pagamento, que funcionou como deveria. Ela não é garantida, mas ganha força exatamente quando a diligência está documentada.

2. Impedir a solidariedade entre empresas

Na relação com lojistas, credenciadoras e bandeiras não há CDC, e o Código Civil é claro: a solidariedade não se presume; resulta da lei ou da vontade das partes (art. 265). Os contratos devem, portanto:

• definir com precisão o papel de cada parte no arranjo e afastar expressamente qualquer solidariedade não prevista em lei;
• prever que o lojista declara a licitude da atividade, a veracidade dos dados e a existência real dos produtos, respondendo por perdas decorrentes de fraude que praticar ou facilitar;
• distribuir o risco de chargeback de forma proporcional à conduta de cada um, sem jogar tudo sobre o lojista em qualquer circunstância (o STJ anula essa cláusula, e o art. 424 do Código Civil veda renúncia antecipada a direitos em contratos de adesão).

3. Garantir o ressarcimento antes de precisar dele

Responsabilidade de nada adianta se o golpista já sacou tudo. A proteção prática é financeira e precisa estar no contrato:

• Reserva de risco (rolling reserve): retenção temporária de um percentual das vendas de contas novas ou de ramos de alto risco.
• Prazo de repasse escalonado: contas recém-abertas recebem em prazo maior e com limite de antecipação.
• Compensação contratual: autorização para descontar chargebacks e perdas de recebíveis futuros do lojista.
• Garantias: cessão fiduciária de recebíveis ou aval dos sócios em contas de maior volume.

Se a plataforma ainda assim indenizar o consumidor, tem direito de regresso contra o causador do dano (art. 934 do Código Civil) e contra outros elos que tenham concorrido para ele, como o STJ reconheceu no REsp 2.230.872.

4. Proteger os gestores na esfera penal

Como a pessoa jurídica não comete estelionato, o risco penal recai sobre diretores e se resume a uma pergunta: eles sabiam, ou assumiram o risco, de que a conta servia ao golpe? A resposta é documental:

• política escrita de prevenção à fraude e à lavagem, aprovada pela diretoria;
• comunicação ao Coaf, em 24 horas, das operações suspeitas, como manda o art. 11, II, da Lei 9.613/1998;
• registro no sistema antifraude compartilhado da Resolução Conjunta CMN/BCB 6/2023 e da Resolução BCB 343/2023, quando a plataforma for instituição autorizada;
• guarda dos registros de acesso por pelo menos seis meses (art. 15 do Marco Civil) e trilha de cada decisão de bloqueio ou liberação.

Em resumo: a plataforma não se livra da responsabilidade por contrato com o consumidor, mas pode chegar ao processo em posição de vencer, com prova de diligência, sem solidariedade com o golpista e com garantias para recuperar o que pagar.

7. Conclusão

Em 2026, a “maquininha online” deixou de ser vista como um cano neutro por onde o dinheiro passa: lei penal, Banco Central e STJ convergem para cobrar dela o dever de saber quem está do outro lado.

O golpista responde por estelionato, fraude eletrônica ou furto mediante fraude; quem empresta o cadastro, por cessão de conta laranja. A plataforma não responde pelo crime, mas responde pela porta que abriu. Credenciamento frouxo, monitoramento ausente e registros perdidos transformam a vítima indireta em corresponsável.

É nesse ponto que o Direito Digital deixa de ser tema acessório: Marco Civil e LGPD definem o que a empresa pode coletar, o que precisa guardar e como prova sua diligência. Para fintechs e gateways, compliance antifraude é hoje defesa jurídica, não apenas custo operacional.

Conteúdo informativo. Não substitui consulta jurídica individual.

8. Base legal e fontes oficiais

Dispositivos legais conferidos nos textos oficiais em 28/10/2026.

Legislação

• Lei 15.397/2026 — altera os arts. 155 e 171 do Código Penal (Câmara dos Deputados)
• Código Penal compilado e Código de Processo Penal compilado (Planalto)
• Lei 14.155/2021 — cria a fraude eletrônica e o art. 70, § 4º, do CPP
• Código de Defesa do Consumidor e Código Civil (Planalto)
• Lei 12.865/2013 — arranjos e instituições de pagamento
• Lei 12.965/2014 (Marco Civil da Internet)
• Lei 13.709/2018 (LGPD)
• Lei 9.613/1998 (lavagem de dinheiro)
• Lei 13.506/2017 (processo administrativo sancionador)

Banco Central

• Resolução BCB 150/2021 — regulamento dos arranjos de pagamento
• Resolução BCB 522/2025 — riscos de fraude e de golpe nos arranjos
• Resolução BCB 494/2025 — autorização prévia de instituições de pagamento
• Resolução BCB 496/2025 — regras do Pix e limite para instituições não autorizadas
• Resolução BCB 501/2025 — rejeição de transações com fundada suspeita de fraude
• Resolução Conjunta CMN/BCB 6/2023 e Resolução BCB 343/2023 — compartilhamento de dados sobre fraudes
• Circular BCB 3.978/2020 — prevenção à lavagem de dinheiro

Jurisprudência do STJ

• REsp 1.990.962/RS — sem CDC nem solidariedade automática entre empresas do arranjo (notícia oficial do STJ)
• REsp 2.212.357/RS — credenciadora não responde solidariamente por dívida da subcredenciadora (notícia oficial do STJ)
• REsp 2.230.872 — regresso do banco contra credenciadora que habilitou falso lojista (notícia oficial do STJ)
• REsp 2.180.780/SP — chargeback e dever de cautela do lojista (Conjur)
• AREsp 2.455.757/SP — abusividade da imputação exclusiva do chargeback ao lojista (Conjur)