Como usar o banco pelo celular com segurança

Os ajustes que carregam a maior parte da proteção

Se você tiver tempo para mexer em pouca coisa, mexa nestas.

• Notificação de transação ligada, para compra, transferência, Pix e saque. É o que transforma uma descoberta de trinta dias depois em um aviso de segundos.
• Verificação em duas etapas no aplicativo do banco e no e-mail, para que uma senha descoberta não seja suficiente sozinha.
• Senha diferente no banco e no e-mail, sem repetir a de nenhum outro serviço.

O CERT.br recomenda exatamente esse conjunto no fascículo sobre banco pela internet: usar apenas o aplicativo oficial da instituição, manter senha forte e não repetida, ativar a verificação em duas etapas, ligar as notificações e ter cuidado com redes públicas.

Nenhum desses ajustes impede um golpe de acontecer. O que eles mudam é o tamanho do estrago e o tempo até você saber.

Notificação de transação, e por que ela pesa mais do que parece

A notificação não protege a conta. Ela protege o seu prazo, que é uma coisa diferente e, no Brasil, decide muita coisa.

No Pix, a chance de bloquear o valor depende de ele ainda estar em alguma conta identificada, e isso encolhe rápido. No cartão de crédito, o artigo 54-G, inciso I, do Código de Defesa do Consumidor garante que o valor contestado não seja cobrado durante a análise, desde que o aviso chegue à administradora com pelo menos dez dias de antecedência do vencimento da fatura. Quem só descobre a cobrança quando a fatura chega já perdeu essa folga.

Vale ligar três tipos de aviso, e não só o de compra no cartão: transações na conta, alteração de limite e alteração de dados cadastrais, como telefone e e-mail. A mudança de cadastro costuma vir antes do resto, porque é ela que desvia os avisos seguintes.

Se o seu aplicativo permitir escolher o valor a partir do qual avisa, deixe em zero por um tempo. Valores pequenos costumam ser teste antes de uma transação grande.

Verificação em duas etapas, e qual método escolher

Verificação em duas etapas é pedir uma segunda prova além da senha: um código gerado por aplicativo, uma confirmação dentro do próprio aplicativo do banco, a biometria do aparelho ou um código por mensagem.

Nem todos valem o mesmo. O código enviado por SMS depende da sua linha telefônica continuar sendo sua, e é justamente a linha que golpistas tentam transferir para um chip novo. Quando o aplicativo oferecer, prefira o código gerado no próprio aparelho ou a confirmação dentro do aplicativo do banco. Quando só houver SMS, ligue assim mesmo: SMS é bem melhor do que nada.

Guarde os códigos de recuperação em um lugar que não seja o próprio celular, como papel em casa. Eles são a saída quando o aparelho some, e sem eles a recuperação passa a depender do atendimento.

Vale fazer o mesmo no e-mail. Um e-mail sem segunda etapa transforma toda senha recuperável naquele endereço em uma senha que outra pessoa pode redefinir.

A senha do e-mail é a chave do resto

Vale pensar no e-mail como a chave mestra, porque é o que ele é na prática: quase todo serviço redefine senha mandando um link para ele, inclusive alguns bancos.

Três cuidados resolvem a maior parte do problema:

• Senha usada só ali. Repetir a senha do e-mail em uma loja qualquer significa que um vazamento naquela loja entrega o e-mail junto.
• Verificação em duas etapas ligada.
• Revisão das regras de encaminhamento e das sessões abertas. Uma regra que encaminha mensagens para outro endereço faz os avisos do banco sumirem sem que nada pareça errado.

Senha boa é senha longa e que você consegue lembrar. Frases com palavras que nada têm a ver umas com as outras funcionam melhor do que trocar letra por número em uma palavra curta, e um gerenciador de senhas resolve a parte de lembrar de todas.

Limites e chaves Pix

Dentro do aplicativo existem dois ajustes que mudam o teto do prejuízo possível, e eles costumam ficar escondidos em telas que ninguém abre.

Limites. Dá para definir valores diferentes para Pix, transferência e cartão, e valores diferentes para o período da noite. Nas transações Pix com recebedor pessoa física, o Banco Central fixa o limite de R$ 1.000,00 das 20h às 6h, salvo pedido expresso do usuário, e esse período pode ser ajustado para das 22h às 6h a pedido do cliente. Entre 6h e 20h, quem define o limite é a própria instituição, conforme o perfil do usuário. A redução de limite costuma valer imediatamente, enquanto o aumento passa por um prazo de espera definido em norma do Banco Central, justamente para que ninguém aumente o limite da sua conta e esvazie tudo em seguida. Vale deixar o limite no tamanho do seu uso real, e não no maior valor que o banco oferece.

Chaves Pix. Confira quais chaves existem no seu nome e apague as que você não usa. O Banco Central oferece um relatório gratuito de chaves Pix pelo Meu BC, com as chaves registradas e o histórico. O relatório de chaves atuais sai na hora e o completo pode levar até dois dias úteis, e é preciso conta gov.br nível prata ou ouro com verificação em duas etapas.

A lista completa de obrigações do banco sobre limites, bloqueio e devolução está em o que o banco é obrigado a fazer quando você cai em um golpe.

O hábito que encontra o que a notificação não mostra

Notificação mostra o que acontece agora. Ela não mostra o que foi mudado. Por isso vale uma olhada semanal de dois ou três minutos, sempre nos mesmos lugares:

• Extrato da conta, linha por linha, inclusive os valores pequenos.
• Fatura do cartão, com atenção ao nome do estabelecimento, e não só ao valor.
• Aparelhos autorizados no aplicativo do banco. Um aparelho que você não reconhece é motivo para ligar hoje.
• Dados cadastrais: telefone, e-mail e endereço. Mudança que você não fez é sinal de acesso indevido.
• Débitos automáticos e assinaturas ligados à conta.

Quem divide a conta com outra pessoa ganha mais com esse hábito, porque a maior parte das compras estranhas tem explicação simples dentro de casa, e descobrir isso em dois minutos evita bloquear um cartão sem necessidade.

O aparelho e a rede em que você usa o banco

O aplicativo do banco é tão seguro quanto o celular em que ele está aberto.

• Instale aplicativo só pela loja oficial do sistema. Link que chega em mensagem pedindo para instalar um aplicativo do banco não leva ao aplicativo do banco.
• Mantenha o sistema atualizado. Boa parte das atualizações fecha exatamente as brechas usadas por programas maliciosos.
• Use bloqueio de tela com senha, além da biometria. Sem isso, o celular na mão de outra pessoa já é a conta aberta.
• Desconfie de pedido para instalar programa de acesso remoto. Nenhum banco resolve problema pedindo para ver a sua tela por um aplicativo que você instala na hora.
• Evite fazer transação em rede aberta. O CERT.br recomenda cuidado com redes públicas; em caso de necessidade, os dados do celular costumam ser a opção mais simples.

Vale também revisar as permissões dos aplicativos instalados, principalmente as de acessibilidade e de leitura de notificação, que dão acesso ao que aparece na tela.

O que um banco não vai pedir

Boa parte dos golpes bancários não depende de invadir nada: depende de uma ligação convincente. A Febraban descreve esses formatos, inclusive as centrais de atendimento falsas, que usam gravações e menus parecidos com os do banco, e a ligação que diz que o cartão foi clonado e manda alguém buscar o plástico.

Vale guardar a lista curta do que nunca é pedido por um banco de verdade:

• senha, código do aplicativo ou código recebido por mensagem;
• o cartão de volta, cortado ou inteiro, com alguém passando para buscar;
• instalação de um programa para o funcionário resolver o problema à distância;
• transferência para uma conta segura, conta espelho ou conta em nome de outra pessoa;
• que você retorne a ligação para um número enviado por mensagem.

A regra prática que funciona em qualquer um desses casos é a mesma: encerre o contato e procure o canal oficial por conta própria, pelo aplicativo que já está no seu celular ou pelo telefone do verso do cartão. Se a mensagem chegou por SMS, vale ler como identificar um SMS falso do banco.

Se o celular sumir

Com o celular vai junto o aplicativo do banco, o e-mail, os códigos de verificação e, muitas vezes, o próprio cartão salvo na carteira digital. Por isso o aviso precisa alcançar operadora e banco ao mesmo tempo.

O programa Celular Seguro, do Ministério da Justiça, permite emitir um alerta que comunica automaticamente operadoras e instituições financeiras, com opção de bloqueio do aparelho pelo IMEI. Dá para cadastrar antes uma pessoa de confiança que possa emitir o alerta no seu lugar, o que resolve o problema óbvio de precisar do celular para avisar que o celular sumiu.

Junto disso, peça o bloqueio da linha à operadora, avise o banco pelos canais oficiais e registre a ocorrência. Os passos estão em como bloquear um celular roubado.

O que esses ajustes não resolvem

Vale dizer com clareza, porque promessa de proteção total é sempre falsa.

Nenhum ajuste impede um pagamento que você mesmo autoriza. Se uma ligação convence alguém a fazer um Pix, a verificação em duas etapas vai confirmar aquele Pix direitinho, porque quem confirmou foi a pessoa certa. É por isso que a parte de reconhecer o contato falso continua sendo a mais importante, e por isso a culpa por um golpe é sempre de quem aplica o golpe.

Também não protegem dados que vazaram em outro lugar, fora do banco, nem impedem que alguém tente abrir conta ou crédito no seu nome.

Se alguma coisa já aconteceu, a ordem dos primeiros minutos está em invadiram minha conta do banco: o que fazer agora. E se o que saiu foi um Pix, o caminho está em golpe do Pix: o que fazer se o pagamento já foi feito.

Fontes consultadas

As recomendações, as regras e os serviços citados foram checados em 23/09/2026 nestas páginas:

• CERT.br: fascículo Banco via Internet, com aplicativo oficial, senha forte e não repetida, verificação em duas etapas, notificações e cuidado com redes públicas
• Febraban: alerta para golpes envolvendo cartões de crédito e débito, com as centrais falsas, a ligação que pede o cartão de volta e as páginas e mensagens falsas
• Lei nº 14.181, de 2021, que incluiu o artigo 54-G no Código de Defesa do Consumidor, com o aviso de dez dias antes do vencimento da fatura
• Banco Central: limites de valor para as transações Pix, atualizado em 02/01/2026, com o limite de R$ 1.000,00 das 20h às 6h para recebedor pessoa física e o ajuste do período para das 22h às 6h a pedido do usuário
• Gov.br: emitir relatório de chaves Pix, gratuito, com entrega imediata do relatório de chaves atuais e até dois dias úteis para o completo
• Ministério da Justiça e Segurança Pública: levaram meu celular, com o alerta do Celular Seguro, o bloqueio pelo IMEI e o aviso às instituições financeiras
• Ministério da Justiça e Segurança Pública: tive perdas financeiras, com a orientação de falar com o banco só por canais oficiais
• Gov.br: registrar ocorrência policial online

Perguntas frequentes