Estelionato digital e o golpe do Pix: tipificação, pena e o que mudou com a Lei 14.155/2021

Ana recebe uma mensagem no WhatsApp de um número desconhecido apresentando-se como gerente do seu banco. Ela fornece código de verificação, confirma dados cadastrais e, minutos depois, vê sua conta esvaziada via Pix. Pedro, por outro lado, tem o celular com aplicativo bancário acessado remotamente por malware instalado em um link falso — ele não fez nada, o dinheiro saiu sem que ele percebesse.

Os dois sofreram fraude financeira digital. Mas para o direito penal, as situações são radicalmente diferentes. No caso de Ana, o criminoso precisou que ela agisse — forneceu o código, confirmou os dados, participou do processo de indução ao erro. É estelionato. No caso de Pedro, o dinheiro foi subtraído sem qualquer participação voluntária. É furto qualificado. A distinção não é apenas acadêmica: determina o tipo penal, a pena, a competência territorial e o conjunto de teses defensivas disponíveis.

O estelionato e a fraude eletrônica: o que a Lei 14.155/2021 mudou

O estelionato está no art. 171 do Código Penal desde 1940. Sua estrutura central permanece: obter vantagem ilícita para si ou para outrem, em prejuízo alheio, induzindo ou mantendo alguém em erro mediante artifício, ardil ou qualquer outro meio fraudulento. Pena: reclusão de 1 a 5 anos, e multa.

A Lei 14.155/2021 inseriu o § 2º-A no art. 171, criando a modalidade qualificada de fraude eletrônica:

"A pena é de reclusão, de 4 (quatro) a 8 (oito) anos, e multa, se a fraude é cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento, ou por qualquer outro meio fraudulento análogo."

O elemento central da fraude eletrônica é o meio de execução: redes sociais, contato telefônico, e-mail fraudulento ou meio análogo. Não basta que o resultado (a transferência) ocorra por meio digital — é preciso que a fraude em si tenha se operado por esses canais. Um estelionato presencial tradicional em que a vítima depois faz um Pix para efetivar o pagamento não é necessariamente fraude eletrônica; o meio que induziu ao erro foi o contato físico, não o meio eletrônico.

O § 2º-B acrescenta majorante de 1/3 a 2/3 se a fraude eletrônica resulta em transferência de ativos de pessoa idosa ou vulnerável.

A distinção que mais importa: estelionato × furto mediante fraude eletrônica

A Lei 14.155/2021 também criou o § 4º-B no art. 155 do CP: furto qualificado mediante fraude eletrônica. A diferença com o estelionato não é o meio digital — é o comportamento da vítima.

Estelionato (art. 171, §2º-A): a vítima é induzida ao erro e age voluntariamente — transfere o dinheiro, fornece o código, confirma a operação. O criminoso manipula a vontade da vítima para que ela própria execute o ato lesivo. O elemento central é o consentimento viciado.

Furto mediante fraude eletrônica (art. 155, §4º-B): a vítima não age — o dinheiro é subtraído sem sua participação, por acesso não autorizado ao sistema bancário (malware, invasão, ataque remoto). O criminoso acessa o sistema e retira os valores diretamente, sem precisar da cooperação da vítima.

O STJ consolidou esse critério: quando não há voluntariedade na entrega, o delito é furto mediante fraude eletrônica, não estelionato qualificado. A ausência de participação ativa da vítima é o divisor. Isso tem impacto imediato na pena — o furto mediante fraude eletrônica tem pena de reclusão de 2 a 8 anos, enquanto o estelionato por fraude eletrônica vai de 4 a 8 anos — e no conjunto de argumentos defensivos disponíveis.

A pena e seus reflexos práticos

A fraude eletrônica com pena mínima de 4 anos tem uma consequência processual imediata que frequentemente passa despercebida: ela é inelegível para o ANPP.

O Acordo de Não Persecução Penal exige que a pena mínima seja inferior a 4 anos. O estelionato simples (1 a 5 anos) é elegível. A fraude eletrônica (4 a 8 anos) não é — a pena mínima não é inferior a 4 anos, é igual. E na jurisprudência consolidada do STJ, a forma qualificada, com pena mínima de exatamente 4 anos, já ultrapassa o limite.

O regime inicial também muda: condenado a pena superior a 4 anos sem ser reincidente, o regime pode ser semiaberto; acima de 8, fechado. A natureza do crime e a pena concreta definirão. O advogado que não examina corretamente qual dos tipos se aplica pode calcular errado as possibilidades de negociação e de regime.

Competência: onde o crime é julgado

A Lei 14.155/2021 também inseriu o § 4º no art. 70 do CPP, criando regra específica de competência:

"Nos crimes previstos no art. 171 do Código Penal, quando praticados mediante depósito, mediante emissão de cheques sem suficiente provisão de fundos em poder do sacado ou com o pagamento frustrado ou mediante transferência de valores, a competência será definida pelo local do domicílio da vítima, e, em caso de pluralidade de vítimas, a competência firmar-se-á pela prevenção."

Para transferências via Pix e DOC/TED, a regra é clara: o crime é julgado no domicílio da vítima. Isso facilita significativamente o registro de ocorrência e o andamento do processo, porque a vítima pode agir na comarca onde mora, sem precisar se deslocar até onde o criminoso operou ou onde a conta de destino estava registrada.

Mas a aplicação tem limite preciso, fixado pelo STJ (CC 185.983/DF): essa regra especial se aplica apenas às hipóteses listadas na lei — depósito, cheque e transferência de valores. Para estelionatos em outras modalidades (compra e venda presencial, entrega de produto, serviço não prestado), continua valendo a regra geral do art. 70 do CPP — competência do local da consumação, que na jurisprudência consolidada é o local onde o agente auferiu a vantagem ilícita. Um "estelionato híbrido" — com indução digital mas entrega física — exige análise cuidadosa para determinar qual regra se aplica, e a arguição de incompetência precisa ser feita no momento oportuno, pois se trata de competência relativa e sujeita à preclusão.

Prova digital: onde muitas defesas falham e onde muitas acusações também

A prova em crimes de fraude eletrônica é majoritariamente digital: capturas de tela, registros de conversa, logs bancários, dados de geolocalização, metadados de arquivos. E aqui há dois problemas frequentes — um que afeta a acusação e outro que abre espaço para a defesa.

O problema da acusação: prints de tela capturados sem qualquer forma de autenticação técnica têm valor probatório questionável. Uma imagem de conversa de WhatsApp pode ser forjada, editada ou descontextualizada. O STJ reconhece a necessidade de preservação da cadeia de custódia da prova digital (arts. 158-A a 158-F do CPP, inseridos pelo Pacote Anticrime). A coleta de prova digital sem observância dos procedimentos de hash e registro temporal é vício que pode contaminar o laudo pericial e enfraquecer a acusação. O advogado de defesa que identifica ausência de cadeia de custódia adequada tem fundamento sólido para contestar a prova.

O que a acusação usa para comprovar o dolo: quando a defesa alega que o acusado também foi enganado por terceiro ou que enviou o comprovante de boa-fé, a acusação tende a recorrer a metadados (dados embutidos no arquivo digital — data, hora, dispositivo de criação) e ao comportamento pós-fato (bloqueio imediato da vítima, revenda rápida de bens, uso do valor transferido em curto prazo). A ausência de metadados consistentes com a narrativa acusatória é argumento defensivo relevante.

Ação penal e representação

O estelionato simples é crime de ação penal pública condicionada à representação da vítima (art. 171, §5º, do CP, incluído pela Lei 13.964/2019). Isso significa que, sem a representação, o Ministério Público não pode oferecer denúncia.

A fraude eletrônica (§2º-A) é tratada como qualificadora do estelionato. A dúvida que surgiu na doutrina — se a qualificadora mantém a ação pública condicionada ou se segue regime autônomo — tem sido respondida de forma majoritária no sentido de que a qualificadora não afasta o §5º: a representação ainda é necessária para o estelionato qualificado por fraude eletrônica, salvo nas hipóteses do próprio §5º que preveem ação pública incondicionada (quando praticado contra a administração pública, entidade de direito público ou empresas concessionárias).

Isso tem implicação prática direta: a vítima que não representa dentro do prazo decadencial de 6 meses (contado do conhecimento da autoria) perde o direito de provocar a ação penal. E a representação oferecida pode ser retratada antes do recebimento da denúncia — o que pode ser relevante para a negociação de uma composição civil em casos de menor valor.

O que a defesa deve verificar

Diante de imputação por estelionato digital ou fraude eletrônica, o protocolo defensivo passa por quatro análises:

1. Tipificação correta: o acusado realmente induziu a vítima ao erro (estelionato), ou houve acesso não autorizado ao sistema sem participação da vítima (furto)? A diferença na pena mínima e nas possibilidades de negociação é significativa.

2. Competência: a fraude foi por transferência/Pix (domicílio da vítima) ou por outro meio (regra geral do art. 70)? Se o processo está tramitando em comarca errada, a incompetência precisa ser arguida imediatamente — preclusão por sujeição.

3. Cadeia de custódia da prova digital: os prints, logs e arquivos digitais foram coletados com observância dos arts. 158-A a 158-F do CPP? Há hash que garanta integridade? Metadados consistentes com a narrativa acusatória?

4. Representação da vítima: foi formulada dentro do prazo decadencial de 6 meses do conhecimento da autoria? Pode a defesa viabilizar composição civil e retratação antes do recebimento da denúncia?

---

Referências jurisprudenciais e legais

• Lei 14.155/2021 — criou o art. 171, §2º-A (fraude eletrônica, 4 a 8 anos), §2º-B (majorante para idoso ou vulnerável) e art. 155, §4º-B (furto mediante fraude eletrônica); inseriu §4º no art. 70 do CPP (competência pelo domicílio da vítima em transferências).
• STJ, CC 185.983/DF, Rel. Min. Joel Ilan Paciornik, Terceira Seção — competência especial do §4º do art. 70 do CPP aplica-se apenas às hipóteses expressamente previstas (depósito, cheque, transferência); estelionato clássico segue a regra geral.
• STJ (consolidado) — estelionato exige voluntariedade da vítima; ausência de participação ativa caracteriza furto mediante fraude eletrônica (art. 155, §4º-B).
• STJ, Súmula 479 — instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno (fraude praticada por terceiros); estendida a fintechs em 2025-2026 (REsp 2.229.519/DF, Terceira Turma).
• STJ, Súmula 17 — o crime de falso é absorvido pelo estelionato quando o falso se esgota na prática do estelionato (consunção; meio para obter a vantagem patrimonial).
• Base legal: art. 171, caput, §§2º-A, 2º-B, 4º e 5º, do CP (estelionato e fraude eletrônica); art. 155, §4º-B, do CP (furto mediante fraude eletrônica); art. 70, §4º, do CPP (competência); arts. 158-A a 158-F do CPP (cadeia de custódia da prova digital); art. 38 do CPP (prazo decadencial de 6 meses para representação).

Jurisprudência conferida nos sítios oficiais do STJ e em fontes doutrinárias. Os precedentes de 2025-2026 sobre responsabilidade bancária em golpe do Pix por engenharia social ainda estão em formação — antes de citar em peça, verifique o estado atual no sítio do STJ.