A empresa ocupa dois lugares ao mesmo tempo, e é isso que confunde a resposta. Ela é vítima do evento, e o art. 17 do Código de Defesa do Consumidor equipara aos consumidores todas as vítimas, o que dispensa discutir se a empresa é consumidora. E ela é agente de tratamento dos dados que o criminoso usou, o que abre a segunda pergunta, a desconfortável: de onde saíram os dados. Uma coisa não anula a outra.
Existe um argumento novo e pouco usado, e ele é forte. Desde o Decreto 12.564/2025, que regulamenta o art. 2º-I da Lei 10.820/2003, a contratação de consignado por plataforma exige autenticação biométrica com prova de vida no momento da assinatura e a geração e o armazenamento de evidências técnicas feitas para servir de prova. Quem foi vítima de engenharia social não precisa provar que não assinou: pede o que a norma manda existir.
O colaborador recebe contato de alguém que se apresenta como do setor pessoal, sabe o nome dele, o cargo, o nome da empresa e o banco em que recebe. Justamente por saber tudo isso, ele não desconfia. A conversa termina com dados confirmados e, semanas depois, aparece uma operação que ele não fez. Quando a empresa é procurada, a primeira reação é dizer que não tem nada a ver com aquilo. Só que quem sabia o cargo, a matrícula e o banco tinha uma base de dados na mão, e essa base costuma ter apenas duas origens possíveis.
Um colaborador foi abordado por alguém se passando pelo RH?
As primeiras horas decidem duas coisas: o que dá para reverter e o que a empresa vai precisar demonstrar depois. Vale saber a ordem antes de agir.
Por que a empresa não é espectadora
A reação instintiva é dizer que o golpe foi contra o colaborador e que a empresa não participou. Juridicamente, isso é meio certo e meio perigoso.
É certo que a empresa não responde pelo contrato fraudulento. É perigoso porque ignora as duas posições que ela ocupa.
Primeira posição: vítima. O art. 17 do Código de Defesa do Consumidor equipara aos consumidores todas as vítimas do evento. A empresa que teve o nome usado, absorveu horas de apuração e respondeu ao colaborador é atingida pelo mesmo evento. Isso importa porque dispensa a discussão, sempre difícil, sobre a empresa ser ou não consumidora na relação contratual.
Segunda posição: agente de tratamento. A folha concentra exatamente o insumo de que esse golpe precisa. Se o criminoso sabia cargo, matrícula e banco de recebimento, ele tinha dados, e dados vêm de algum lugar.
A pergunta que ninguém quer fazer
Vale fazer internamente, e cedo, porque a resposta muda o tamanho do problema.
| Padrão observado | Hipótese mais provável | O que fazer |
|---|---|---|
| Um colaborador atingido, dados genéricos | Vetor externo, base comprada ou vazamento de terceiro | Apurar e orientar. Registrar |
| Vários atingidos na mesma competência | Hipótese de vazamento precisa ser investigada | Acionar o encarregado de dados antes de concluir |
| Criminoso sabia rubrica, margem ou valor exato do líquido | Informação que só existe na folha | Tratar como incidente até prova em contrário |
| Contato veio por canal que a empresa realmente usa | Comprometimento de canal interno | Isolar o canal e comunicar por outro |
A Lei Geral de Proteção de Dados trata isso em dois artigos. O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados. E o art. 48 obriga a comunicar à autoridade nacional e ao titular o incidente que possa acarretar risco ou dano relevante.
Há um detalhe do §1º do art. 48 que funciona como autodiagnóstico: a comunicação precisa descrever quais medidas de segurança estavam em uso. Quem não tem o que escrever nessa linha já sabe onde está a fragilidade, sem precisar contratar auditoria.
O argumento que mudou de lado em 2025
Esta é a parte que ainda quase ninguém está usando, e ela desloca o ônus.
Quando a engenharia social termina em contrato de consignado, a instituição costuma responder invocando culpa exclusiva de terceiro, prevista no inciso II do §3º do art. 14 do CDC. E do outro lado se responde com a Súmula 479 do STJ, de responsabilidade objetiva por fortuito interno.
Essa discussão ficou mais concreta. O art. 2º-I da Lei 10.820/2003, incluído pela Lei 15.179/2025, e o Decreto 12.564, de 24 de julho de 2025, passaram a exigir, na contratação por plataforma:
| Exigência | Onde está |
|---|---|
| Verificação biométrica da identidade com prova de vida | Art. 2º, I, do Decreto 12.564/2025 |
| Consentimento colhido de forma livre, informada e inequívoca, registrado e armazenado em formato acessível ao trabalhador e auditável | Art. 2º, II e parágrafo único |
| Assinatura eletrônica qualificada, ou avançada com biometria com prova de vida no momento da assinatura | Art. 3º, I e II, alínea a |
| Geração e armazenamento de evidências técnicas que assegurem autoria e integridade, utilizáveis como prova em processo administrativo e judicial | Art. 3º, II, alínea b |
A consequência prática é direta: não se trata mais de palavra contra palavra. Existe um acervo que a norma manda existir e manda ser acessível. Pedi-lo, por escrito, é o primeiro movimento, e a ausência dele é informação, não impasse.
Para citar. O art. 17 do CDC equipara aos consumidores todas as vítimas do evento, o que alcança a empresa atingida pelo golpe. E o Decreto 12.564/2025 exige, na contratação de consignado por plataforma, biometria com prova de vida no momento da assinatura e a geração e o armazenamento de evidências técnicas utilizáveis como prova. Quem alega não reconhecimento pede o que a norma manda existir.
Prevenção que funciona: um protocolo, não um aviso
Circular interna dizendo para desconfiar não protege ninguém, porque o golpe se apoia justamente em parecer legítimo. O que funciona é o inverso: tornar previsível o comportamento do RH verdadeiro, para que o falso fique visível por contraste.
Quatro regras, escritas, comunicadas e cumpridas sem exceção:
Um canal único e nominado. O RH fala por um canal só, informado na admissão e repetido periodicamente. Qualquer contato fora dele é, por definição interna, não oficial.
Uma lista do que o RH nunca pede. Curta e memorizável. Senha, código recebido por mensagem e confirmação de dados bancários por telefone não são pedidos pelo setor pessoal, nunca, em nenhuma circunstância.
Um caminho de verificação sem constrangimento. O colaborador precisa saber que pode encerrar e ligar de volta pelo canal oficial, e que fazer isso nunca será tratado como desconfiança ofensiva. Golpe se apoia em pressa e em constrangimento.
Conferência mensal do próprio holerite. O §3º do art. 3º da Lei 10.820/2003 obriga a empresa a discriminar cada operação descontada. Colaborador que confere todo mês descobre em trinta dias, e não em seis meses.
As primeiras horas, quando já aconteceu
| Passo | Ação | Por quê |
|---|---|---|
| 1 | Registrar por escrito o relato, com data, canal usado e o que o criminoso demonstrou saber | A lista do que ele sabia é o que aponta a origem dos dados |
| 2 | Preservar prints e registros antes que sumam | Conversa apagada e notificação volátil desaparecem em dias |
| 3 | Verificar se apareceu operação na folha e conferir a averbação | Separa tentativa de golpe consumado |
| 4 | Pedir formalmente à instituição as evidências técnicas e o registro do consentimento biométrico | É o acervo que o Decreto 12.564/2025 manda existir e ser acessível |
| 5 | Avisar os demais colaboradores pelo canal oficial, sem detalhar o método | Alerta protege. Manual de execução circula para o lado errado |
| 6 | Acionar o encarregado de dados se houver qualquer indício de origem interna | O prazo de comunicação corre do conhecimento, não da conclusão |
| 7 | Não interromper desconto por decisão própria enquanto apura | Interromper cria a falha de retenção do §1º do art. 5º |
Três coisas que a empresa não deve fazer
Não detalhar o método do golpe na comunicação interna. Descrever passo a passo instrui quem não deveria ser instruído. O aviso útil diz o que o RH nunca pede e por onde verificar, não como o crime é feito.
Não afirmar de imediato que não houve vazamento. Antes de apurar, essa afirmação é chute, e ela reaparece depois como contradição.
Não tratar o colaborador que caiu como descuidado. Além de injusto, é o que faz o próximo demorar a contar, e demora é o que transforma um caso em vários.
Perguntas frequentes
A empresa responde pelo golpe do falso RH?
Pelo contrato fraudulento, não. Mas ela é agente de tratamento dos dados envolvidos, e o art. 46 da LGPD exige medidas técnicas e administrativas aptas a protegê-los. A responsabilidade se decide olhando o que existia antes do incidente.
A empresa também é vítima?
É. O art. 17 do Código de Defesa do Consumidor equipara aos consumidores todas as vítimas do evento, o que dispensa discutir se a empresa é consumidora na relação contratual.
O banco pode alegar culpa exclusiva de terceiro?
Pode alegar, mas o argumento tem limite. A excludente do inciso II do §3º do art. 14 do CDC exige culpa exclusiva, e falha própria que tenha contribuído para o resultado desfaz a exclusividade. A Súmula 479 do STJ firma a responsabilidade objetiva por fortuito interno.
O que pedir à instituição quando aparece um consignado fraudulento?
As evidências técnicas e o registro do consentimento biométrico. O Decreto 12.564/2025 exige biometria com prova de vida no momento da assinatura e a geração e o armazenamento de evidências utilizáveis como prova, em formato acessível ao trabalhador.
Vários colaboradores foram abordados. Isso indica vazamento?
Indica que a hipótese precisa ser investigada, não que esteja confirmada. Se o criminoso demonstrou saber informação que só existe na folha, o indício é forte e o encarregado de dados deve ser acionado.
Como avisar a equipe sem ensinar o golpe?
Dizendo o que o RH nunca pede e por onde verificar. O aviso eficaz descreve o comportamento previsível do setor pessoal verdadeiro, e não o método do criminoso.
A empresa deve suspender o desconto enquanto apura?
Não por decisão própria. Interromper a retenção cria a falha prevista no §1º do art. 5º da Lei 10.820/2003. O caminho é documentar e cobrar formalmente a instituição.
Quer saber exatamente o que exigir da instituição?
Alguém do escritório pode redigir o pedido formal das evidências técnicas e do registro de consentimento, com o fundamento e o prazo, e dizer o que o silêncio da instituição significa.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 20/08/2026. Código de Defesa do Consumidor, Lei 8.078, de 11 de setembro de 1990, art. 14, caput e §§1º e 3º, e art. 17. Lei 13.709, de 14 de agosto de 2018, arts. 46 e 48. Lei 10.820, de 17 de dezembro de 2003, art. 2º-I, incluído pela Lei 15.179/2025, art. 3º, §3º, e art. 5º, §1º. Decreto 12.564, de 24 de julho de 2025, arts. 2º e 3º. Súmula 479 do Superior Tribunal de Justiça, vigente, que não é súmula vinculante. Textos conferidos na fonte oficial nesta data. Ressalva: o regime de plataforma digital é recente e a regulamentação complementar do Ministério do Trabalho e Emprego segue em edição, o que recomenda reconferência periódica.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de textos normativos e jurisprudência conferidos na fonte oficial na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende da documentação preservada, do canal utilizado pelo criminoso e do que a instituição apresentar sobre a formalização.