Fraude por e-mail em boleto: Fortuito interno e dever de segurança

O avanço de técnicas de fraude cada vez mais sofisticadas no ambiente digital tem exigido dos tribunais um reposicionamento constante sobre os limites da responsabilidade objetiva do fornecedor nas relações de consumo. Decisão recente do TJ/SP, em ação de declaração de inexistência de débito decorrente de pagamento de boleto fraudado, ilustra bem esse movimento e merece análise.

O caso e a controvérsia técnica

Tratava-se de ação ajuizada por consumidor que, após solicitar a emissão de boleto para pagamento antecipado de obrigação junto a instituição de ensino, recebeu por e-mail documento aparentemente regular, efetuando o pagamento. Posteriormente, constatou-se que os valores haviam sido desviados para conta de terceiro, estranho à relação obrigacional original.

A instituição ré sustentou, em sua defesa, a ocorrência de culpa exclusiva de terceiro (CDC, art. 14, §3º, II), argumentando que a fraude teria ocorrido fora de seu ambiente sistêmico, hipoteticamente por má-fé ou vulnerabilidade do próprio equipamento do consumidor.

A controvérsia foi dirimida por meio de perícia técnica minuciosa, determinada em sede de instrução. O laudo constatou que o e-mail contendo o boleto fora interceptado e adulterado durante o próprio tráfego da comunicação eletrônica, antes de seu recebimento pelo consumidor, e não após, como sustentava a defesa. A perícia identificou ausência de autenticação SPF, DKIM e DMARC no domínio de origem, além de duplicação e edição seletiva do arquivo PDF, com alteração exclusiva dos dados bancários do beneficiário. A técnica foi classificada como uma variante do ataque man-in-the-middle (MITM), denominada no laudo "Man-in-the-Email".

Fundamentos da decisão: Fortuito interno x fortuito externo

O acórdão adotou entendimento consolidado na jurisprudência consumerista quanto à distinção entre fortuito interno e externo como critério de exclusão (ou não) da responsabilidade do fornecedor. Ainda que não demonstrada qualquer falha ou vulnerabilidade nos sistemas internos da instituição ré, entendeu-se que a fraude se concretizou na própria cadeia de comunicação por ela iniciada, o que a caracteriza como fortuito interno, inerente ao risco da atividade, e não como causa excludente de responsabilidade.

Nesse sentido, prevaleceu a tese de que, ao optar pelo e-mail como meio de transmissão de documento sensível para fins de cobrança, o fornecedor assume o ônus de garantir a integridade dessa comunicação. A ausência de mecanismos robustos de autenticação e segurança na troca de e-mails, mesmo diante de fraude tecnicamente sofisticada e de difícil percepção pelo consumidor médio, não afasta o dever objetivo de segurança previsto no art. 14, §1º, do CDC.

Merece destaque a fundamentação de que a atuação de terceiro fraudador, por si só, não configura a excludente do art. 14, §3º, quando o risco se insere no âmbito das atividades previsíveis do fornecedor em ambiente digital, entendimento que se alinha à teoria do risco-proveito e ao princípio da vulnerabilidade do consumidor.

Boa-fé objetiva e o art. 309 do CC

Outro ponto relevante do julgado é a aplicação subsidiária do art. 309 do CC ("o pagamento feito de boa-fé ao credor putativo é válido, ainda provado depois que não era credor"), reconhecendo a validade do adimplemento realizado pelo consumidor nos exatos termos em que a cobrança lhe foi apresentada, reforçando que meros avisos genéricos de conferência de dados bancários não têm o condão de transferir ao consumidor o risco de segurança que compete ao fornecedor gerir.

Relevância prática

A decisão se soma a precedentes semelhantes já proferidos por outras Câmaras do TJ/SP em casos de interceptação de boletos, consolidando entendimento de que:

1. O fornecedor responde objetivamente por falhas na segurança das comunicações eletrônicas utilizadas para cobrança, ainda que não demonstrada vulnerabilidade específica em seus sistemas internos;
2. A fraude decorrente de interceptação e adulteração de e-mail configura fortuito interno, não excluindo a responsabilidade do prestador de serviço.

O julgado reforça a tendência jurisprudencial de responsabilização do fornecedor por riscos inerentes à digitalização de processos de cobrança, tema que tende a ganhar ainda mais relevância diante do crescimento de fraudes bancárias praticadas por meio de engenharia social e interceptação de comunicações eletrônicas.