Por George Marcos de Oliveira Silva — OAB/RN 15.306
Resumo
A expansão dos serviços bancários digitais ampliou a conveniência das operações financeiras, mas também abriu espaço para fraudes praticadas por terceiros, como golpes de falsa central, transferências não autorizadas, abertura de contas para recebimento de valores ilícitos e uso de dados obtidos indevidamente. No direito brasileiro, a responsabilidade das instituições financeiras é, em regra, objetiva quando demonstrado defeito na prestação do serviço ligado a risco inerente à atividade, conforme o art. 14 do Código de Defesa do Consumidor e a Súmula 479 do Superior Tribunal de Justiça. Isso não significa, porém, que todo prejuízo causado por criminosos gere dever automático de indenizar. A análise exige identificar o defeito do serviço, o nexo causal e eventual excludente, especialmente culpa exclusiva do consumidor ou de terceiro. Com base em julgados recentes do STJ, este artigo examina os critérios que distinguem o fortuito interno do externo e propõe parâmetros para a avaliação dos casos concretos.
Palavras-chave: Direito Bancário; responsabilidade civil; fraude bancária; fortuito interno; segurança bancária.
- Introdução
Fraudes bancárias praticadas por terceiros podem assumir diversas formas. O consumidor pode sofrer movimentação não autorizada em sua conta, ser induzido a realizar transferências após contato de falsos funcionários, pagar valores a uma conta aberta com finalidade fraudulenta ou contratar crédito sem consentimento válido. Embora o autor material do golpe seja, em regra, um terceiro, a controvérsia jurídica frequentemente se concentra na qualidade dos mecanismos de segurança e prevenção adotados pelos bancos e instituições de pagamento.
O ponto de partida está no art. 14 do Código de Defesa do Consumidor (CDC). O fornecedor de serviços responde independentemente de culpa pelos danos decorrentes de defeitos na prestação. O serviço é defeituoso quando não oferece a segurança que o consumidor pode legitimamente esperar, consideradas as circunstâncias e os riscos razoáveis da atividade. A responsabilidade pode ser afastada quando o fornecedor provar que o defeito inexiste ou que houve culpa exclusiva do consumidor ou de terceiro .
Para as instituições financeiras, o Superior Tribunal de Justiça consolidou essa orientação na Súmula 479: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias” . O enunciado não elimina, contudo, a necessidade de examinar os fatos de cada caso. Ele delimita a atribuição dos riscos próprios da atividade bancária, mas não transforma os bancos em garantidores universais contra qualquer estelionato.
- Relação de consumo e responsabilidade objetiva
A aplicação do CDC às instituições financeiras está consolidada na Súmula 297 do STJ . A responsabilidade objetiva prevista no art. 14 dispensa a prova de culpa subjetiva do banco, mas não dispensa a demonstração dos elementos essenciais da responsabilidade civil: dano, defeito do serviço e nexo causal entre ambos. O regime é objetivo quanto à culpa, não quanto à existência do próprio dever de reparar.
O defeito deve ser aferido pela segurança legitimamente esperada do serviço. Em operações bancárias, isso envolve a proteção dos sistemas de autenticação, a validação adequada de operações e a adoção de mecanismos capazes de reconhecer sinais relevantes de fraude. A avaliação deve levar em conta a modalidade da transação, o valor, a frequência, o horário, o canal utilizado, o histórico da conta e eventual contratação de empréstimo imediatamente antes de transferências atípicas.
A incidência do CDC pode alcançar não apenas o correntista que contratou o serviço. O art. 17 equipara a consumidor todas as vítimas do evento, o que permite, conforme o caso, a proteção de pessoa prejudicada por defeito do serviço ainda que não mantenha relação contratual direta com a instituição envolvida . Essa extensão não presume a responsabilidade: continuam necessários o defeito, o dano e o nexo causal.
- Fortuito interno e risco da atividade bancária
O fortuito interno corresponde ao evento relacionado aos riscos próprios do serviço oferecido. Na jurisprudência consolidada pelo STJ, fraudes e delitos de terceiros inseridos no âmbito das operações bancárias podem configurar fortuito interno, pois a segurança e a confiabilidade das transações integram o risco do empreendimento. A orientação foi firmada em julgamento repetitivo que tratou, entre outros exemplos, de abertura de contas e obtenção de empréstimos mediante fraude ou uso de documentos falsos .
A aplicação dessa tese é especialmente pertinente quando a fraude se concretiza por falha de controles sob responsabilidade da instituição. Exemplos possíveis incluem permitir movimentações evidentemente incompatíveis com o perfil de uso sem mecanismos de verificação; falhar na autenticação ou na proteção de credenciais; não adotar diligência adequada na abertura de conta utilizada para receber valores ilícitos; ou deixar de responder adequadamente a alertas de fraude. A conclusão depende da prova, e não da simples ocorrência do golpe.
Em outubro de 2025, a Terceira Turma do STJ reconheceu a responsabilidade de bancos e instituições de pagamento em casos de golpe da falsa central nos quais foram constatadas falhas de segurança e operações muito destoantes do perfil dos clientes. O Tribunal mencionou como fatores relevantes o valor, o horário, a sequência e o intervalo entre transações, o meio utilizado e a contratação de empréstimos atípicos antes dos pagamentos suspeitos. A decisão também ressaltou que instituições de pagamento compartilham o dever de segurança no processamento das transações .
Esse entendimento não significa que qualquer transação realizada após uma ligação fraudulenta seja imputável ao banco. O elemento decisivo foi a presença de falhas relacionadas à atividade financeira, inclusive a validação de operações atípicas sem proteção suficiente. O golpe praticado por terceiro não rompe, por si só, o nexo causal quando o risco se materializa por defeito do serviço que a instituição tinha o dever de prevenir.
- Limites: fortuito externo e excludentes de responsabilidade
O art. 14, § 3º, do CDC prevê duas hipóteses principais de exclusão: inexistência do defeito e culpa exclusiva do consumidor ou de terceiro . O fato de terceiro só afasta a responsabilidade quando for efetivamente externo à atividade e romper o nexo causal; não basta apontar que o golpe foi executado por estelionatário. Caso contrário, a excludente esvaziaria a regra do fortuito interno justamente nas situações em que a fraude se vale dos serviços bancários.
A culpa exclusiva do consumidor também deve ser demonstrada e não se presume apenas porque a vítima seguiu instruções do fraudador ou autorizou formalmente a operação. É necessário examinar o contexto: a forma de autenticação, as informações que o criminoso detinha, a aparência de legitimidade do contato, a atipicidade das movimentações e as barreiras de segurança disponíveis. A conduta da vítima pode ser relevante, mas sua participação não rompe automaticamente o nexo causal se também houver defeito do serviço.
Em julho de 2026, a Terceira Turma do STJ manteve a improcedência de pedido indenizatório em caso de golpe da falsa central. Segundo as premissas fixadas pelo tribunal de origem, as transferências não eram incompatíveis com o perfil da cliente, uma operação de maior valor foi realizada presencialmente e não se identificou falha bancária; a revisão dessa moldura probatória não era possível em recurso especial. O STJ ressaltou que a responsabilidade objetiva não é automática e depende de demonstração de defeito ou de vínculo do evento com o risco da atividade .
Entenda seus direitos e deveres
Veja o que se aplica ao seu caso e o que fazer a seguir. Contar minha situação
A decisão de 2026 deve ser lida em conjunto com os precedentes favoráveis a consumidores. Não estabelece imunidade para operações presenciais nem afasta a Súmula 479. Demonstra, isso sim, que o resultado depende dos fatos comprovados e da identificação de uma falha ou de um risco interno. A forma presencial da transação, assim como a participação do consumidor, é um dado relevante, mas não substitui a análise integral das circunstâncias.
- Fraude com uso de conta de terceiro
Uma situação distinta ocorre quando o consumidor vítima transfere valores para uma conta mantida em outra instituição, aberta ou utilizada pelo fraudador. A responsabilidade do banco recebedor não decorre automaticamente do fato de a conta ter sido usada em golpe. É necessário investigar se houve falha na verificação de identidade e qualificação do titular, no monitoramento ou na resposta aos sinais de irregularidade, conforme o dever aplicável à instituição.
Em janeiro de 2025, a Terceira Turma do STJ afastou a responsabilidade de banco digital em caso de fraude de falso leilão. O Tribunal considerou que não havia demonstração de defeito na abertura da conta: a instituição havia cumprido diligências de identificação e qualificação do titular segundo a regulamentação aplicável. O julgamento destacou que, se houver descumprimento dessas diligências, poderá existir falha no dever de segurança; mas o uso posterior da conta por estelionatários não basta, isoladamente, para responsabilizar o banco .
Esse precedente ajuda a delimitar o dever de segurança. Não se exige que a instituição impeça todo uso criminoso de uma conta regularmente aberta, mas que adote medidas diligentes de identificação, qualificação e monitoramento compatíveis com a legislação e com os riscos conhecidos. Também é preciso distinguir o banco da vítima do banco que mantém a conta destinatária, pois os deveres e as provas relevantes podem ser diferentes.
- Ônus da prova e elementos de análise
Em ações dessa natureza, a prova deve ser organizada em torno de questões concretas: quais operações ocorreram, por qual canal, com que autenticação e em que sequência; se eram compatíveis com o histórico da conta; se houve contratação de crédito ou alteração de limites; quais alertas foram acionados; quando a instituição foi comunicada; e que providências foram adotadas. A análise também pode considerar registros de acesso, dispositivos, localização aproximada, tentativas de autenticação e histórico de atendimento, observados os limites de privacidade e proteção de dados.
O art. 14, § 3º, atribui ao fornecedor o ônus de provar as excludentes previstas nesse dispositivo . Isso não elimina a importância de o consumidor apresentar os elementos a seu alcance, como extratos, comprovantes, protocolos e registros da comunicação com a instituição. A inversão judicial do ônus da prova prevista no art. 6º, VIII, do CDC não é automática: depende dos requisitos legais e de decisão no caso concreto. Em particular, a instituição costuma ter maior disponibilidade dos registros técnicos necessários para explicar como a operação foi autenticada e por que foi liberada.
A perícia ou a exibição de registros pode ser relevante quando a controvérsia envolve autenticação, dispositivo, análise antifraude ou funcionamento de sistemas. Por outro lado, a simples afirmação genérica de que a operação foi “validada por senha” não resolve, necessariamente, a discussão sobre a qualidade da segurança: autenticação bem-sucedida e ausência de defeito são questões relacionadas, mas não idênticas, quando há indícios de comprometimento de credenciais ou de movimentação manifestamente atípica.
- Danos materiais e morais
Reconhecida a responsabilidade, a reparação material deve corresponder ao prejuízo efetivamente demonstrado e causalmente ligado ao defeito do serviço. Pode envolver valores transferidos ou sacados sem autorização, cobranças de operações fraudulentas e consequências financeiras comprovadas, sem duplicidade de ressarcimento. O exame deve separar perdas causadas pela fraude de obrigações legítimas anteriormente existentes.
O dano moral requer análise própria. A fraude pode gerar aflição, insegurança e perturbação relevantes, mas sua caracterização e quantificação dependem das circunstâncias, da extensão dos efeitos e da orientação jurisprudencial aplicável. Nem todo desacordo contratual ou falha operacional conduz automaticamente a indenização extrapatrimonial. Também podem ser relevantes a privação de recursos essenciais, a duração do problema, a conduta adotada após a comunicação e eventual negativação indevida decorrente da fraude.
- Considerações sobre transferências instantâneas
A rapidez das transferências instantâneas reduz o tempo disponível para interromper uma operação, mas não afasta os deveres de segurança. O Banco Central mantém mecanismos próprios de segurança e orientação ao usuário do Pix, inclusive o Mecanismo Especial de Devolução (MED), destinado a situações previstas nas regras do arranjo . O MED não equivale a uma garantia de reembolso: sua utilização depende das regras aplicáveis, da análise da ocorrência e da disponibilidade dos recursos na conta destinatária.
O acionamento tempestivo dos canais da instituição e dos mecanismos regulatórios pode ser importante para tentar bloquear ou recuperar valores. Contudo, a existência ou o insucesso do MED não decide, por si só, a responsabilidade civil. Esta continua subordinada à análise do defeito do serviço, do nexo causal e das excludentes previstas no CDC.
- Conclusão
A responsabilidade dos bancos por fraudes praticadas por terceiros resulta da conjugação entre o regime do art. 14 do CDC e a teoria do fortuito interno, sintetizada na Súmula 479 do STJ. Quando a fraude se relaciona a falhas de segurança ou prevenção inerentes às operações bancárias, o fato de o autor material ser terceiro não afasta, por si só, o dever de reparar. A instituição responde objetivamente, mas ainda é necessário demonstrar dano, defeito do serviço e nexo causal.
Os precedentes recentes do STJ confirmam que a solução não é automática. Transações incompatíveis com o perfil, autenticação insuficiente, falhas na abertura de contas ou ausência de resposta a sinais de fraude podem apontar para defeito do serviço. Em sentido contrário, a comprovação de diligência adequada, a inexistência de movimentações atípicas e a culpa exclusiva do consumidor ou de terceiro podem afastar a responsabilidade. A distinção entre fortuito interno e externo deve, portanto, ser feita a partir da dinâmica concreta do evento e das medidas que razoavelmente cabiam à instituição.
O desafio jurídico contemporâneo consiste em equilibrar a proteção do consumidor com a delimitação dos riscos efetivamente assumidos pelo fornecedor. Esse equilíbrio depende de prova técnica e contextual, sem presunções absolutas a favor de qualquer das partes: nem toda fraude gera dever de indenizar, mas tampouco a participação de um estelionatário ou a autenticação formal da transação bastam para exonerar a instituição financeira.
Referências
[1] Lei nº 8.078, de 11 de setembro de 1990, Código de Defesa do Consumidor
[2] Súmula 479 do Superior Tribunal de Justiça
[3] Súmula 297 do Superior Tribunal de Justiça
[4] STJ: bancos e instituições de pagamento devem indenizar clientes por falhas que viabilizam golpe da falsa central
[5] STJ: sem transações incompatíveis com perfil de cliente, banco não responde por golpe da falsa central
[6] STJ: responsabilidade por golpe com uso de conta digital exige demonstração de falta de diligência
[7] Banco Central do Brasil: Pix e mecanismos de segurança
