Golpes praticados por meio de falsas centrais de atendimento, clonagem de contas, aplicativos de acesso remoto, furto de celulares e outras formas de engenharia social tornaram-se parte relevante das controvérsias envolvendo consumidores e instituições financeiras. Em poucos minutos, uma fraude pode resultar na contratação de empréstimos, aumento de limites, transferências sucessivas e esvaziamento de contas que durante anos apresentaram padrão de movimentação completamente diferente.
Quando isso ocorre, a existência de um criminoso como autor imediato da fraude não resolve, por si só, a discussão sobre quem deve suportar o prejuízo. A responsabilidade civil exige uma análise mais ampla da cadeia em que o dano ocorreu e, particularmente, das medidas de segurança que poderiam razoavelmente ser esperadas da instituição responsável por movimentar e custodiar os recursos do consumidor.
A jurisprudência do Superior Tribunal de Justiça vem desenvolvendo essa questão a partir de uma premissa importante: a responsabilidade dos bancos não decorre simplesmente do fato de alguém ter sido vítima de um golpe, mas também não pode ser afastada apenas porque as operações foram realizadas mediante senha, token, biometria ou outro mecanismo formal de autenticação. Entre esses dois extremos está a investigação sobre a existência de um efetivo defeito na prestação do serviço.
Fraude de terceiro e o risco da atividade bancária
As relações entre instituições financeiras e seus clientes estão submetidas ao Código de Defesa do Consumidor, conforme entendimento consolidado na Súmula 297 do STJ. Como consequência, aplica-se o regime de responsabilidade objetiva pelo defeito na prestação do serviço previsto no art. 14 do CDC.
No campo específico das fraudes bancárias, a Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos causados por fraudes e delitos praticados por terceiros quando esses eventos representam fortuito interno, isto é, riscos relacionados ao próprio desenvolvimento da atividade bancária. O entendimento tem origem em julgamento repetitivo da Segunda Seção do Tribunal e parte da ideia de que determinados riscos de fraude integram a atividade econômica desenvolvida pelas instituições financeiras e não podem ser simplesmente transferidos ao consumidor.
Isso não significa estabelecer uma espécie de seguro universal contra qualquer crime que envolva dinheiro depositado em um banco. A noção de fortuito interno pressupõe algum vínculo entre o evento danoso e os riscos próprios do serviço prestado. O aspecto decisivo passa a ser compreender se o sistema ofereceu a segurança que legitimamente poderia ser esperada ou se o dano ocorreu por circunstâncias completamente externas à esfera de atuação da instituição.
Essa distinção ganhou ainda mais importância com a digitalização dos serviços financeiros. Se, de um lado, aplicativos, pagamentos instantâneos e contratação remota de crédito ampliaram significativamente a conveniência para o consumidor, de outro também aumentaram a velocidade e a escala dos prejuízos possíveis em caso de fraude. Quanto maior a capacidade do sistema de executar operações em segundos, maior também a importância dos mecanismos destinados a identificar aquelas que apresentam sinais evidentes de anormalidade.
O dever de segurança não termina na autenticação da operação
Uma das evoluções mais importantes da jurisprudência recente está na compreensão de que o dever de segurança da instituição financeira não pode ser reduzido à verificação de que determinada operação foi realizada mediante as credenciais corretas.
Senha, token, reconhecimento facial, biometria e validação pelo aparelho são instrumentos de autenticação relevantes, mas não necessariamente demonstram que o titular da conta manifestou conscientemente sua vontade. Golpes de engenharia social são construídos precisamente para obter credenciais, induzir a vítima a realizar procedimentos de autenticação ou assumir temporariamente o controle de dispositivos regularmente cadastrados.
Por isso, a existência de uma autenticação tecnicamente válida não encerra a investigação sobre a qualidade do serviço bancário. Torna-se necessário verificar também se as operações apresentavam características que deveriam ter acionado os mecanismos de prevenção da instituição.
Essa questão foi enfrentada diretamente pela Terceira Turma do STJ no julgamento do REsp 2.222.059/SP, em outubro de 2025. Ao analisar fraude praticada mediante falsa central de atendimento, o Tribunal afirmou que bancos e instituições de pagamento têm o dever de desenvolver e aprimorar continuamente mecanismos capazes de identificar e impedir operações suspeitas.
O julgamento é relevante porque densifica aquilo que anteriormente poderia ser tratado de maneira relativamente abstrata como “dever de segurança”. O STJ passou a apontar elementos concretos que devem integrar os sistemas de prevenção, como a compatibilidade das operações com o perfil histórico do cliente, horário e local das transações, intervalo entre as movimentações, sequência das operações, meio utilizado e eventual contratação atípica de crédito imediatamente antes da transferência dos recursos.
A responsabilidade deixa, portanto, de estar centrada exclusivamente na pergunta sobre como o fraudador obteve acesso à conta. Em determinadas situações, outra questão pode ser ainda mais importante: por que uma instituição financeira autorizou uma sucessão de operações extraordinárias sem submetê-las a uma verificação adicional?
Transações incompatíveis com o perfil do cliente podem revelar defeito do serviço
Imagine-se uma conta utilizada normalmente para pagamento de despesas ordinárias e pequenas transferências. Em poucas horas, são contratados empréstimos, ampliados limites e realizadas diversas transferências de valores elevados para destinatários com os quais o cliente jamais havia realizado qualquer operação.
Individualmente, cada uma dessas transações pode ter passado corretamente pelos mecanismos de autenticação. Consideradas em conjunto, porém, elas podem formar um padrão completamente incompatível com a utilização histórica da conta.
É justamente nesse ponto que os sistemas modernos de prevenção à fraude adquirem relevância jurídica. A instituição financeira dispõe de informações sobre histórico de movimentação, dispositivos utilizados, localização aproximada, horários, destinatários, valores e características das operações. Esses dados não servem apenas para ampliar a conveniência ou oferecer novos produtos ao cliente; também integram a estrutura de segurança que sustenta a prestação do serviço.
Quando operações manifestamente atípicas são autorizadas sem qualquer barreira adicional, pode estar caracterizado o defeito previsto no art. 14 do Código de Defesa do Consumidor. O problema não é simplesmente o fato de o criminoso ter enganado o cliente, mas a incapacidade do sistema de reagir a uma sequência de acontecimentos que, analisada pelos mecanismos disponíveis à própria instituição, apresentava sinais relevantes de fraude.
Esse raciocínio também demonstra por que cada caso precisa ser examinado concretamente. Uma transferência de determinado valor pode ser completamente incompatível com o histórico de um consumidor e absolutamente normal para outro. A análise do defeito do serviço depende, portanto, da relação entre as operações questionadas e o padrão efetivo de utilização da conta.
A culpa do consumidor não pode ser presumida porque ele foi enganado
Grande parte dos golpes atuais depende de alguma participação da própria vítima. O criminoso convence o consumidor a clicar em um link, fornecer uma informação, instalar um aplicativo, realizar uma transferência ou seguir instruções apresentadas como procedimentos de segurança.
Essa participação frequentemente leva à alegação de culpa exclusiva do consumidor, hipótese que, nos termos do art. 14, § 3º, do Código de Defesa do Consumidor, pode afastar a responsabilidade do fornecedor.
O problema está em distinguir participação causal de culpa juridicamente relevante. O fato de determinada ação da vítima integrar a sequência que permitiu o golpe não significa necessariamente que ela tenha assumido conscientemente o risco do resultado.
A Terceira Turma do STJ enfrentou diretamente essa distinção no REsp 2.220.333/DF, envolvendo o chamado golpe da “mão fantasma”. A vítima havia sido induzida por fraudadores que se apresentavam como funcionários do banco a instalar um aplicativo que possibilitou o acesso remoto ao aparelho. A partir daí, foram realizadas operações incompatíveis com seu perfil habitual.
O Tribunal afastou a tentativa de distribuir o prejuízo entre banco e cliente com fundamento em culpa concorrente. O raciocínio foi o de que a redução da responsabilidade pressupõe que a vítima tenha assumido conscientemente um risco capaz de contribuir para o dano. Ser ludibriado por uma técnica de engenharia social construída justamente para ocultar o perigo é diferente de voluntariamente expor-se a um risco conhecido.
Essa distinção é especialmente relevante diante da crescente sofisticação dos golpes. Fraudes podem utilizar informações verdadeiras sobre a vítima, identidade visual das instituições, números telefônicos aparentemente legítimos e narrativas cuidadosamente construídas para transmitir credibilidade. Avaliar a conduta do consumidor como se ele soubesse, no momento da ação, aquilo que somente se tornou evidente depois do golpe pode conduzir a uma atribuição artificial de culpa.
Isso não significa que o banco responda por qualquer golpe
A jurisprudência recente do próprio STJ também demonstra o limite desse raciocínio. Em julho de 2026, a Terceira Turma julgou o REsp 2.209.868/SP, igualmente relacionado ao golpe da falsa central de atendimento, mas chegou a resultado diferente.
Nesse caso, a instituição financeira não foi responsabilizada porque as premissas estabelecidas pelas instâncias inferiores indicavam que as operações realizadas não destoavam do perfil da cliente e que não havia falha concreta nos mecanismos de segurança do banco. Diante dessas circunstâncias, o Tribunal considerou rompido o nexo causal necessário à responsabilização.
A comparação entre os precedentes é particularmente esclarecedora. A Súmula 479 do STJ não cria responsabilidade automática pela simples existência de uma fraude. O fato de o crime envolver uma conta bancária não basta para transferir todo prejuízo à instituição financeira.
É necessário verificar se o evento se relaciona ao risco interno da atividade e se houve defeito na prestação do serviço. Transações flagrantemente anormais, contratação extraordinária de crédito, movimentações sucessivas em curto espaço de tempo e inexistência de barreiras adicionais podem indicar falha do sistema. Quando as operações são compatíveis com o histórico da conta e a instituição demonstra a adequação de seus controles, a conclusão pode ser diferente.
A responsabilidade objetiva elimina a necessidade de provar culpa da instituição financeira, mas não elimina a necessidade de demonstrar defeito, dano e nexo causal.
A prova ganha papel decisivo nesses processos
A evolução da jurisprudência desloca parte importante da discussão para a prova sobre o funcionamento concreto dos mecanismos de segurança. Não basta ao consumidor afirmar que foi vítima de um golpe, assim como não deveria bastar ao banco apresentar registros internos indicando que determinada operação foi efetuada com senha ou dispositivo cadastrado.
A questão relevante está na reconstrução da sequência de acontecimentos. Histórico de movimentações, horário das operações, valores, destinatários, contratação prévia de empréstimos, alteração de limites, localização dos acessos e protocolos de comunicação com a instituição podem demonstrar se havia sinais objetivos de fraude.
Do lado da instituição financeira, ganha importância a demonstração de que seus mecanismos de segurança efetivamente analisaram essas circunstâncias. A simples reprodução de telas internas indicando autenticação positiva não necessariamente responde à questão sobre o funcionamento do sistema antifraude.
Essa dimensão probatória é particularmente importante porque existe profunda assimetria informacional entre as partes. O cliente conhece sua rotina financeira, mas somente a instituição possui acesso completo aos critérios utilizados pelo sistema para classificar uma operação como normal, suspeita ou sujeita a bloqueio. Em muitos casos, a discussão judicial depende justamente de revelar o que o sistema identificou — ou deixou de identificar — quando as transações foram executadas.
O Pix alterou a dimensão do dever de prevenção
A disseminação dos pagamentos instantâneos tornou ainda mais evidente a importância dos mecanismos preventivos. A grande vantagem do Pix é justamente permitir que valores sejam transferidos praticamente de forma imediata. Em uma situação de fraude, essa mesma característica reduz drasticamente o intervalo disponível para identificar o problema e impedir a dispersão do dinheiro.
Isso modifica a própria estrutura do risco. Sistemas financeiros baseados em liquidação quase instantânea precisam desenvolver ferramentas igualmente rápidas de detecção de comportamentos anormais. Não seria coerente colher todos os benefícios econômicos da velocidade das transações e tratar os riscos produzidos por essa mesma velocidade como acontecimentos inteiramente externos ao serviço.
Ao mesmo tempo, a instantaneidade reforça a importância da reação do consumidor tão logo a fraude seja percebida. A comunicação imediata à instituição financeira e a adoção dos procedimentos existentes para tentativa de bloqueio e recuperação dos valores podem aumentar as chances de limitar os prejuízos e também produzir registros importantes para uma eventual discussão posterior.
O ponto, mais uma vez, não é construir uma presunção absoluta contra qualquer das partes. É compreender que a segurança de um sistema de pagamentos instantâneos depende da atuação coordenada dos mecanismos tecnológicos das instituições e das respostas adotadas depois que uma irregularidade é identificada.
Fraudes digitais transformam segurança em elemento central da qualidade do serviço
A discussão sobre golpes bancários evidencia uma transformação mais ampla na responsabilidade civil contemporânea. Em serviços digitais complexos, o defeito nem sempre decorre da execução incorreta de uma operação isolada. Pode decorrer da própria arquitetura organizacional e tecnológica utilizada para prestar o serviço.
O banco pode ter processado tecnicamente todas as transferências conforme as credenciais apresentadas e, ainda assim, ter prestado um serviço defeituoso se sua estrutura de monitoramento não foi capaz de perceber uma sequência de operações evidentemente incompatível com o comportamento habitual do cliente.
Nesse sentido, a responsabilidade civil passa a dialogar diretamente com governança de riscos, desenho de sistemas antifraude, proteção de dados e mecanismos de autenticação. O dever jurídico de segurança não existe separadamente dessas escolhas técnicas e organizacionais. É por meio delas que a instituição concretiza a proteção que o consumidor legitimamente espera do serviço contratado.
Essa perspectiva também evita dois extremos. De um lado, não se pode transformar a instituição financeira em garantidora universal contra qualquer fraude praticada na sociedade. De outro, a crescente sofisticação dos golpes não pode servir para transferir integralmente ao consumidor os riscos de sistemas financeiros que operam com crescente velocidade, automação e capacidade de análise de dados.
O que define a responsabilidade é a análise da falha concreta
Os precedentes recentes do STJ permitem identificar uma linha jurisprudencial mais equilibrada do que a simples afirmação de que “o banco responde pelo golpe” ou “o consumidor forneceu a senha e, portanto, responde pelo prejuízo”.
A existência de autenticação formal não necessariamente demonstra consentimento. A participação da vítima em uma fraude de engenharia social não caracteriza automaticamente culpa exclusiva ou concorrente. Operações incompatíveis com seu padrão histórico podem revelar deficiência dos mecanismos de monitoramento. Ao mesmo tempo, a responsabilidade objetiva não dispensa a demonstração de uma falha do serviço relacionada ao dano ocorrido.
É justamente a reconstrução concreta do evento que permite separar situações juridicamente distintas. Em alguns casos, a fraude representa risco interno que deveria ter sido identificado ou mitigado pela instituição financeira. Em outros, o crime ocorre fora da esfera de atuação do fornecedor e sem qualquer indício de deficiência na prestação do serviço.
Por isso, o debate sobre golpes bancários não deve ser reduzido à pergunta sobre quem apertou o botão que realizou a transferência. A questão juridicamente mais importante é saber se, diante de todas as informações disponíveis e dos riscos inerentes à atividade, o sistema financeiro ofereceu a segurança que razoavelmente se poderia esperar dele.
