Em golpes bancários, a discussão sobre responsabilidade costuma se concentrar na conta da vítima: se houve falha de autenticação, movimentações incompatíveis com o perfil do cliente ou deficiência nos mecanismos de prevenção à fraude. Mas há outra questão igualmente relevante: qual é a responsabilidade da instituição que permitiu a abertura ou utilização da conta utilizada pelo próprio fraudador para receber os valores desviados?
O Superior Tribunal de Justiça possui entendimento consolidado de que fraudes inseridas no risco da atividade bancária podem caracterizar fortuito interno e gerar responsabilidade objetiva da instituição financeira. O Tema Repetitivo 466 e a Súmula 479 do STJ mencionam expressamente, entre os exemplos de falha relacionada à atividade bancária, a abertura de conta-corrente mediante fraude ou utilização de documentos falsos.
A lógica é relativamente simples. Bancos e instituições de pagamento não se limitam a executar ordens de transferência. Eles também possuem deveres relacionados à identificação de seus clientes, abertura de contas, monitoramento das movimentações e prevenção à utilização do sistema financeiro para práticas fraudulentas. Quando uma conta é criada a partir de documentação falsa ou mediante mecanismos de identificação insuficientes e passa a ser utilizada para receber e movimentar valores provenientes de golpes, pode surgir uma falha autônoma na prestação do serviço.
A responsabilidade não depende apenas do banco da vítima
Em muitas fraudes há mais de uma instituição financeira envolvida. A vítima possui conta em determinado banco, mas o dinheiro é transferido para uma conta aberta em outra instituição, controlada pelo fraudador ou por uma pessoa utilizada como intermediária.
Nessas situações, seria excessivamente simplificador examinar apenas se o banco da vítima poderia ter impedido a transferência. Também deve ser analisada a atuação da instituição que admitiu o fraudador em seu sistema e forneceu a infraestrutura necessária para receber e movimentar os recursos.
Em junho de 2026, a Quarta Turma do STJ enfrentou caso envolvendo abertura fraudulenta de conta em plataforma financeira digital. O Tribunal manteve a responsabilização das fornecedoras porque as instâncias anteriores haviam identificado falha tanto na abertura da conta quanto nas operações subsequentes. Para o STJ, constatado o defeito na prestação do serviço, incide o regime de responsabilidade objetiva previsto no Código de Defesa do Consumidor e a compreensão de que fraudes dessa natureza integram, em princípio, o risco da atividade financeira.
A decisão é relevante porque mostra que o dever de segurança existe nos dois extremos da operação: tanto na instituição que guarda e transfere o dinheiro da vítima quanto naquela que recebe e movimenta os valores em nome do beneficiário da transferência.
Abertura digital de contas não reduz o dever de segurança
A digitalização facilitou enormemente a contratação de serviços financeiros. Hoje é possível abrir contas em poucos minutos por meio de fotografias de documentos, reconhecimento facial e outras formas de identificação remota.
Essa facilidade, porém, não elimina o dever da instituição de estabelecer mecanismos razoáveis de verificação da identidade do cliente. Pelo contrário, quando a abertura ocorre inteiramente à distância, a confiabilidade dos processos tecnológicos de identificação passa a integrar diretamente a segurança do serviço oferecido.
A instituição financeira não responde simplesmente porque um criminoso conseguiu abrir uma conta. A responsabilidade depende da existência de uma falha juridicamente relevante. O que precisa ser investigado é se os procedimentos de identificação eram adequados, se existiam inconsistências perceptíveis nos documentos ou dados apresentados e se as movimentações posteriores apresentavam características que justificariam medidas adicionais de controle.
O ponto central é que a fraude documental não deve ser tratada automaticamente como um acontecimento completamente externo à atividade financeira. A verificação de identidade é justamente uma das etapas que compõem o próprio serviço de abertura de contas.
A responsabilidade também não é automática
O entendimento do STJ não significa que todo banco que recebeu valores provenientes de um golpe deva indenizar a vítima.
Em outro julgamento de 2026, o Tribunal manteve decisão que afastou a responsabilidade da instituição destinatária porque não haviam sido identificados indícios prévios de fraude na abertura da conta. Além disso, após ser comunicada do golpe, a instituição havia realizado o bloqueio das contas e colaborado com a investigação. Naquele caso, as instâncias ordinárias concluíram que não existia falha concreta do serviço capaz de estabelecer nexo causal entre a atuação do banco e o prejuízo.
Esse contraste é importante. A responsabilidade objetiva prevista no CDC não significa responsabilidade automática. Ainda é necessário demonstrar defeito na prestação do serviço e relação causal entre esse defeito e o dano.
Assim, a simples utilização de determinada conta para receber dinheiro de origem fraudulenta não basta, isoladamente, para responsabilizar a instituição. É preciso examinar como a conta foi aberta, quais documentos foram utilizados, quais mecanismos de verificação foram adotados, qual era o perfil de movimentação e como o banco reagiu quando tomou conhecimento da fraude.
O problema das chamadas “contas laranja”
Essa discussão ganha especial importância diante da utilização recorrente de chamadas “contas laranja”, abertas ou disponibilizadas para receber valores provenientes de golpes.
Algumas pertencem a pessoas que conscientemente cedem suas contas aos fraudadores. Outras podem ter sido abertas mediante utilização indevida de documentos de terceiros ou mecanismos fraudulentos de identificação. Em ambos os casos, a existência dessas contas é parte importante da infraestrutura utilizada para viabilizar e dispersar rapidamente os valores obtidos pela fraude.
Por isso, os mecanismos de prevenção não podem estar concentrados exclusivamente na origem da transferência. Contas recém-abertas que passam a receber sucessivamente valores elevados, transferências provenientes de diversas vítimas ou movimentações incompatíveis com o perfil cadastrado podem demandar monitoramento e verificação adicionais.
Quanto maior a capacidade tecnológica das instituições de identificar padrões atípicos, mais relevante se torna a discussão sobre os limites do dever de prevenção.
A análise deve considerar toda a cadeia da fraude
Golpes bancários contemporâneos frequentemente envolvem várias etapas e múltiplos agentes. Pode haver uma instituição responsável pela conta da vítima, outra pela conta que recebe inicialmente os recursos e ainda outras utilizadas para sua dispersão.
A responsabilidade civil não deve ser atribuída automaticamente a todas elas, mas também não deve ser examinada como se cada operação fosse completamente independente das demais. Em cada etapa, é necessário verificar quais deveres de segurança incumbiam à instituição e se houve falha capaz de contribuir para a produção ou agravamento do dano.
Quando uma conta é aberta mediante documentos falsos ou mecanismos de identificação inadequados e passa a funcionar como instrumento de fraude, o defeito pode existir antes mesmo da transferência realizada pela vítima. Nessa hipótese, a instituição que permitiu a criação e utilização da conta pode integrar a cadeia causal do prejuízo.
Por outro lado, se a abertura ocorreu mediante procedimentos regulares, sem sinais detectáveis de fraude, e a instituição adotou medidas adequadas após ser comunicada, a mera passagem do dinheiro pela conta não é suficiente para impor responsabilidade.
A questão, portanto, não é simplesmente saber em qual banco estava a conta do fraudador, mas se aquela instituição cumpriu adequadamente seu próprio dever de identificação, monitoramento e segurança.
