marcelo fattoriFoi publicada a Lei nº 15.397/2026, que altera o Código Penal para endurecer o tratamento penal de crimes patrimoniais, especialmente aqueles praticados em ambiente digital ou com uso de meios eletrônicos. A norma foi sancionada em 30 de abril de 2026 e publicada no Diário Oficial da União em 4 de maio de 2026, entrando em vigor na data de sua publicação.
Embora a lei trate de vários crimes — furto, roubo, estelionato, receptação, receptação de animal e interrupção ou perturbação de serviços de telecomunicação e informática — um dos pontos mais relevantes está no enfrentamento das fraudes bancárias e digitais, que passaram a ocupar lugar central na criminalidade contemporânea.
Na prática, a nova lei conversa diretamente com situações que se tornaram comuns: golpe do falso gerente, falsa central telefônica, links fraudulentos, clonagem de WhatsApp, instalação de aplicativo de acesso remoto, transferências via PIX mediante fraude, uso de contas de terceiros para receber valores ilícitos e invasões ou manipulações de dispositivos eletrônicos.
A mudança não resolve, sozinha, o problema das fraudes bancárias. Mas ela altera o patamar de resposta penal.
O que muda nas penas
A Lei nº 15.397/2026 mexe em diferentes dispositivos do Código Penal. Para o tema das fraudes bancárias, três alterações merecem atenção especial.
A primeira está no furto mediante fraude cometido por meio eletrônico ou informático. A nova redação do art. 155, § 4º-B, do Código Penal prevê pena de reclusão de 4 a 10 anos e multa quando o furto mediante fraude for cometido por meio de dispositivo eletrônico ou informático, conectado ou não à internet, com ou sem violação de mecanismo de segurança, uso de programa malicioso ou qualquer outro meio fraudulento análogo.
Esse ponto é importante. A lei não exige, necessariamente, uma invasão altamente sofisticada. O texto fala em dispositivo eletrônico ou informático, conectado ou não à rede, e também menciona meios fraudulentos análogos. Ou seja: a norma foi escrita para alcançar uma variedade de condutas, inclusive aquelas que se aproveitam de aplicativos, celulares, computadores, credenciais, engenharia social e falhas de autenticação.
A segunda alteração está no estelionato por fraude eletrônica. O art. 171, § 2º-A, passa a prever pena de reclusão de 4 a 8 anos e multa quando a fraude for cometida com uso de informações fornecidas pela própria vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, e-mail fraudulento, duplicação de dispositivo eletrônico, aplicação de internet ou outro meio fraudulento semelhante.
Aqui entra, com bastante clareza, o golpe em que a vítima é convencida a agir contra seu próprio interesse: fornece senhas, códigos, tokens, dados pessoais, confirma operações, instala aplicativos ou realiza transferências acreditando estar falando com o banco, com uma empresa conhecida, com um familiar ou com uma autoridade.
A terceira alteração é a criação da figura da cessão de conta laranja. A nova lei inclui no art. 171 a conduta de ceder, gratuitamente ou mediante pagamento, conta bancária para que nela transitem recursos destinados ao financiamento de atividade criminosa ou valores provenientes de crime. A pena, nesse caso, acompanha a do estelionato: reclusão de 1 a 5 anos e multa.
Esse ponto costuma passar despercebido, mas é central. Muitos golpes digitais dependem de uma cadeia de contas usadas para receber, pulverizar e movimentar valores. A pessoa que “empresta” a conta, vende acesso, aceita receber PIX de origem suspeita ou participa de esquemas de triangulação financeira deixa de ser tratada como personagem periférico. A depender do caso concreto, pode responder criminalmente.
Fraude bancária não é uma coisa só
É comum chamar tudo de “fraude bancária”. No direito penal, porém, a classificação pode variar.
Em alguns casos, o crime pode ser enquadrado como furto mediante fraude por meio eletrônico, especialmente quando há subtração de valores mediante manipulação tecnológica, uso indevido de dispositivo, malware, acesso indevido ou mecanismo semelhante.
Em outros, pode haver estelionato eletrônico, quando a vítima é induzida a erro e participa, sem perceber, da própria fraude. É o caso de quem recebe ligação de uma falsa central bancária e, acreditando estar protegendo sua conta, fornece informações ou realiza operações orientadas pelo criminoso.
Há ainda o caso da conta laranja, que não é propriamente o golpe contra a vítima final, mas a infraestrutura financeira do golpe. Sem ela, muitas fraudes não se completam. O dinheiro precisa sair da conta da vítima e entrar em algum lugar. É aí que aparecem contas de terceiros, contas abertas com dados falsos, contas cedidas por conhecidos, contas de passagem e estruturas de dispersão de valores.
A lei parece reconhecer algo que a prática já mostrava: os golpes digitais não são atos isolados. Eles formam ecossistemas.
Casos práticos
Imagine o golpe da falsa central bancária. A vítima recebe uma ligação aparentemente profissional. O criminoso informa que houve uma tentativa de compra suspeita e orienta a pessoa a confirmar dados, instalar um aplicativo ou transferir valores para uma suposta “conta segura”. Se a vítima fornece informações ou realiza operações porque foi induzida a erro, o caso pode se aproximar da fraude eletrônica prevista no art. 171, § 2º-A, com pena de 4 a 8 anos.
Outro exemplo: o criminoso envia um link por mensagem, a vítima instala um aplicativo malicioso e, a partir dele, o fraudador consegue acessar informações ou movimentar recursos. Dependendo da dinâmica, pode haver furto mediante fraude cometido por dispositivo eletrônico ou informático, cuja pena agora pode chegar a 10 anos.
Há também o caso do “freela” para receber PIX. A pessoa vê um anúncio dizendo: “ganhe dinheiro emprestando sua conta por algumas horas”. Aceita receber valores e repassá-los para outra pessoa, ficando com uma comissão. Se os recursos forem provenientes de crime ou destinados a atividade criminosa, essa conduta pode se enquadrar na nova previsão de cessão de conta laranja.
Outro caso recorrente é a clonagem de WhatsApp. O criminoso assume a conta da vítima e pede transferências a familiares, clientes ou colegas de trabalho. Quem envia o dinheiro foi induzido a erro por meio de aplicação de internet. A conduta pode configurar fraude eletrônica. Se os valores caem em contas cedidas por terceiros, entra também a discussão sobre conta laranja.
Em empresas, o problema assume outra forma: boletos falsos, alteração de dados bancários de fornecedores, e-mails que simulam ordens internas de pagamento e mensagens falsas em nome de diretores. Nesses casos, além do aspecto penal, surge uma pergunta incômoda: quais controles internos existiam para validar pagamentos, alterar dados cadastrais de fornecedores e aprovar transações fora do padrão?
O que muda para bancos, empresas e vítimas
Para as vítimas, a nova lei reforça a importância de registrar ocorrência, preservar evidências e buscar orientação rapidamente. Prints, e-mails, comprovantes, números de telefone, links, dados da conta destinatária, protocolos de atendimento e registros de comunicação podem ser determinantes.
Para bancos, fintechs e instituições de pagamento, o endurecimento penal não elimina a discussão sobre responsabilidade civil. O Superior Tribunal de Justiça possui entendimento consolidado de que instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Em decisões recentes, o STJ também ressaltou o dever de identificar movimentações financeiras suspeitas e incompatíveis com o perfil do cliente.
Para empresas em geral, o recado é outro: fraude bancária deixou de ser assunto exclusivo do banco. Ela envolve governança, segurança da informação, treinamento, validação de pagamentos, gestão de fornecedores, dupla checagem, controle de acessos, autenticação, prevenção a phishing e resposta a incidentes.
Não basta dizer que “foi golpe”. Será cada vez mais importante demonstrar quais controles existiam, como a fraude ocorreu, quem autorizou a operação, quais evidências foram preservadas e quais medidas foram adotadas imediatamente após o evento.
A lei endurece a pena, mas prevenção continua sendo o ponto principal
A Lei nº 15.397/2026 representa uma resposta legislativa ao crescimento das fraudes digitais e bancárias. O aumento das penas pode ter efeito relevante na persecução penal, especialmente contra organizações criminosas que operam golpes em escala.
Mas há um limite evidente: o direito penal atua depois que o dano já aconteceu.
Por isso, a prevenção continua sendo o ponto mais importante. Para pessoas físicas, isso significa desconfiar de urgências artificiais, nunca informar senhas ou códigos por telefone, não instalar aplicativos por orientação de terceiros e confirmar qualquer solicitação financeira por outro canal.
Para empresas, significa estruturar controles reais: política de pagamentos, validação de dados bancários, segregação de funções, logs, monitoramento de acessos, treinamento contra engenharia social, gestão de incidentes e canais internos para reporte rápido.
A fraude bancária moderna não depende apenas de tecnologia sofisticada. Muitas vezes, ela depende de pressa, medo, desatenção e confiança mal colocada.
E é justamente por isso que a resposta jurídica precisa ser acompanhada de uma resposta organizacional. A nova lei aumenta o custo penal do golpe. Agora, pessoas, empresas e instituições financeiras precisam aumentar também a maturidade dos seus mecanismos de prevenção, detecção e reação.