Fraudes e delitos praticados por terceiros e a responsabilidade civil dos bancos

Bastam alguns minutos. Um celular furtado no transporte público, uma ligação de falsa central de atendimento, um aplicativo instalado por engano. Logo a conta bancária é esvaziada, empréstimos são contratados em nome da vítima e o dinheiro desaparece em uma cadeia de transferências instantâneas e, à primeira vista, irreversíveis.

A primeira reação de quem passa por isso costuma ser a mesma: a sensação de que a culpa foi sua e de que nada pode ser feito. Decisões recentes proferidas no STJ, contudo, apontam em direção diversa. Este artigo analisa os fundamentos e os limites da responsabilidade civil das instituições financeiras quanto a fraudes e delitos praticados por terceiros, abordando alguns fundamentos legislativos e a análise de decisões recentes sobre o tema.

Quem responde pelo golpe? A responsabilidade objetiva e o dever de segurança

A relação entre correntista e instituição financeira é consumerista, conforme a súmula 297 do STJ, o que atrai o art. 14 do CDC e a responsabilidade objetiva do fornecedor por defeito na prestação do serviço. Nessa linha, a súmula 479 do STJ dispõe que “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. O enunciado tem origem no julgamento repetitivo do REsp 1.197.929/PR (STJ, 2ª Seção, rel. min. Luis Felipe Salomão, DJe de 12/9/2011 - Tema repetitivo 466), que fixou serem as instituições financeiras objetivamente responsáveis pelos danos causados por fraudes praticadas por terceiros, por se tratar de risco do empreendimento.

Em termos práticos: quem lucra com a movimentação instantânea de dinheiro assume também os riscos que ela gera. O fortuito interno é risco inerente à própria atividade bancária, que não se rompe pela simples atuação de criminosos, mas apenas quando estes atuam de forma inteiramente estranha à cadeia de prestação do serviço. E o dever de segurança que decorre do art. 14, § 1º, do CDC não se restringe à integridade psicofísica do consumidor: abrange também a sua integridade patrimonial, como adiante examinado.

O banco tem como perceber a fraude? O dever de monitoramento do perfil transacional

Quatro empréstimos e sete transferências no mesmo dia, em uma conta usada como poupança, passariam despercebidos? Decisões recentes do STJ respondido que não, adensando o dever de segurança ao exigir das instituições financeiras mecanismos capazes de identificar e impedir transações incompatíveis com o perfil do cliente, que não podem passar despercebidas por um sistema antifraude minimamente eficiente.

No julgamento do REsp 2.222.059/SP (STJ, 3ª turma, rel. min. Ricardo Villas Bôas Cueva, j. 7/10/2025, DJEN 13/10/2025), que versou sobre o golpe da falsa central de atendimento, a Corte assentou que bancos e instituições de pagamento devem criar mecanismos capazes de identificar e coibir fraudes e mantê-los em constante aprimoramento, dado o elevado grau de risco da atividade. O Acórdão identificou, ainda, parâmetros que os sistemas antifraude devem considerar, como se verifica do trecho abaixo:

“(...) 9. Para a identificação de possíveis fraudes, os sistemas de proteção contra fraudes desenvolvidos pelas instituições bancárias/de pagamento devem considerar i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e o local em que as operações foram realizadas; iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos; enfim, diversas circunstâncias que, conjugadas, tornam possível ao fornecedor do serviço identificar se determinada transação deve ou não ser validada. 10. A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras e das instituições de pagamento.” (STJ, REsp 2.222.059/SP, 3ª turma, rel. min. Ricardo Villas Bôas Cueva, j. 7/10/2025, DJEN 13/10/2025)

Para a vítima, esse precedente muda o eixo da discussão. A pergunta deixa de ser “como o criminoso conseguiu acesso a minha conta?” e passa a ser “por que o banco validou operações que destoavam de tudo o que eu sempre fiz?”. A omissão em submeter operações atípicas a procedimentos de verificação, e não a mera ocorrência da fraude, é o núcleo do defeito do serviço: validadas operações que fogem do perfil e histórico do correntista, presume-se a falha dos mecanismos de segurança que a instituição está obrigada a manter.

“A operação foi feita com a sua senha/biometria/token”: A insuficiência da autenticação formal e o ônus probatório do banco

Quem já contestou uma fraude junto ao banco conhece a resposta padrão: as operações teriam sido autenticadas mediante senha pessoal, token ou biometria, em aparelho regularmente cadastrado, de modo que a responsabilidade seria exclusivamente da vítima.

Há entendimento, no entanto, que refuta essa afirmação, como aquele encontrado na decisão monocrática proferida no REsp 2.276.330/SP, pela excelentíssima ministra relatora Nancy Andrighi, versando sobre a hipótese de empréstimo consignado contratado por aplicativo após furto do celular do consumidor. O Tribunal de origem havia afastado a responsabilidade do banco justamente por ter sido a operação “validada em aparelho regularmente cadastrado, com credenciais pessoais e sigilosas”, e a decisão foi reformada, valendo ressaltar o seguinte trecho:

“(...) 2. O serviço é considerado defeituoso quando não fornece a segurança que o consumidor dele pode esperar (art. 14, § 1º, do CDC). O dever de segurança é noção que abrange tanto a integridade psicofísica do consumidor, quanto a sua integridade patrimonial. Assim, é dever da instituição financeira verificar a regularidade e a idoneidade das transações realizadas pelos consumidores, desenvolvendo mecanismos capazes de dificultar a prática de delitos. (...) 4. É entendimento da 3ª turma do STJ que a ausência de procedimentos de verificação e aprovação para transações atípicas e que aparentam ilegalidade corresponde a defeito na prestação de serviço, capaz de gerar a responsabilidade objetiva por parte da instituição financeira.” (STJ - REsp 2.276.330/SP, relatora.: min. Nancy Andrighi, decisão monocrática, Data de Julgamento: 1/7/2026, Data de Publicação: 3/7/2026)

Na referida decisão, a ministra relatora explicitou que incumbe à instituição financeira demonstrar, cumulativamente, (i) a anuência expressa do consumidor às operações impugnadas e (ii) a adoção de todos os mecanismos de segurança aplicáveis. A simples exibição de telas do fluxo padrão de contratação, com registro de login e chave de segurança, não se desincumbe desse ônus: é preciso comprovar que o sistema de monitoramento de risco efetivamente avaliou a compatibilidade das operações com o perfil e o histórico de consumo do correntista. A autenticação formal, portanto, não substitui o monitoramento comportamental.

“A culpa foi minha?” Os limites da responsabilidade e a culpa exclusiva do consumidor

A responsabilidade bancária, todavia, não é absoluta, e o § 3º do art. 14 do CDC permite seu afastamento quando comprovada a inexistência de defeito ou a culpa exclusiva do consumidor ou de terceiros.

Em julgamento de julho de 2026 (REsp 2.209.868/SP, 3ª turma, rel. min. Humberto Martins), a Corte afastou a indenização a uma vítima do golpe da falsa central, por entender que as transações eram compatíveis com o histórico da conta e que a conduta da própria vítima (que foi pessoalmente à agência e transferiu valor elevado sem buscar esclarecimentos) rompeu o nexo causal.

A responsabilidade bancária pressupõe, assim, a demonstração de falha concreta no serviço, e não decorre automaticamente da mera ocorrência do golpe. É exatamente por isso que a análise técnica de cada caso (extratos, horários, protocolos de atendimento, perfil da conta) é decisiva para o êxito da pretensão reparatória.

Por outro lado, a culpa concorrente do consumidor já recebeu do STJ interpretação restritiva. No REsp 2.220.333/DF (3ª turma, rel. min. Ricardo Villas Bôas Cueva, j. 7/10/2025, DJEN 13/10/2025), a Corte afastou a redução proporcional da indenização mesmo em hipótese na qual a própria vítima instalara, por indução de estelionatário, aplicativo malicioso em seu celular (golpe da “mão fantasma”), fixando que a mitigação da responsabilidade exige a assunção consciente do risco pela vítima. Vejamos o relevante trecho do julgado:

“5. A teoria do risco concorrente mantém relação direta com a tese da responsabilidade pressuposta. Para a sua adequada aplicação, a vítima deveria pressupor, presumir, depreender, suspeitar, pressentir, enfim, inferir que a sua conduta poderia potencializar o risco de sofrer danos. 6. Não é razoável entender que a vítima de um golpe, ao instalar programa de captação dissimulada de dados pessoais em seu dispositivo, sob a orientação de pessoa que dizia ser preposta do banco, assumiu o risco consciente de vir a sofrer danos.” (STJ, REsp 2.220.333/DF, 3ª turma, rel. min. Ricardo Villas Bôas Cueva, j. 7/10/2025, DJEN 13/10/2025)

A mensagem do precedente é clara e deve ser repetida a cada vítima que se culpa pelo ocorrido: ter sido enganado por engenharia social sofisticada, ou furtado contra a própria vontade, não é assumir conscientemente um risco. A culpa exclusiva ou concorrente do consumidor somente afasta ou reduz a responsabilidade da instituição quando a vítima assume, de forma consciente, o risco do dano, hipótese que não se confunde com a de quem foi ludibriado ou vitimado por crime.

Conclusão: A vítima do golpe não está desamparada

A fraude bancária é, hoje, um risco social relevante. Segundo dados do 20º Anuário Brasileiro de Segurança Pública, divulgado em 23/7/2026, “83,2% da população afirma temer ser vítimas de uma fraude pela internet ou pelo celular”.  Porém, o ordenamento jurídico vem atribuindo o custo, em regra, a quem tem os meios técnicos e econômicos de preveni-lo: a instituição financeira.

A responsabilidade civil bancária quanto a fraudes e delitos praticados por terceiros se situa na confluência entre a responsabilidade objetiva do art. 14 do CDC e a análise concreta do defeito do serviço. Decisões recentes do STJ já demonstram três direções complementares e favoráveis ao consumidor diligente: (i) exigir das instituições financeiras e de pagamento mecanismos ativos de identificação de transações atípicas, com parâmetros objetivos de monitoramento (REsp 2.222.059/SP); (ii) recusar à autenticação formal por senha, token ou biometria a aptidão de, isoladamente, afastar o defeito do serviço, atribuindo ao banco o ônus de provar a anuência expressa do consumidor e a adoção de todos os mecanismos de segurança (REsp 2.276.330/SP); e (iii) restringir a culpa exclusiva ou concorrente do consumidor às hipóteses de assunção consciente do risco (REsp 2.220.333/DF), sem, contudo, transformar a súmula 479 em presunção absoluta de culpa institucional (REsp 2.209.868/SP).

Para quem foi vítima, três providências fazem toda a diferença: comunicar imediatamente a fraude ao banco, guardando o número de protocolo; registrar o boletim de ocorrência; e preservar todos os documentos que revelem a atipicidade das operações, como extratos, horários, mensagens e histórico da conta. É sobre esse conjunto probatório que se constrói a demonstração da falha do serviço.

_____________

Referências

BRASIL. Superior Tribunal de Justiça. Súmula nº 297. Brasília: STJ, 2004.

BRASIL. Superior Tribunal de Justiça. Súmula nº 479. Brasília: STJ, 2012.

BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Código de Defesa do Consumidor. Diário Oficial da União, Brasília, DF, 1990.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 1.197.929/PR (Tema Repetitivo 466). Segunda Seção. Rel. Min. Luis Felipe Salomão. DJe 12 set. 2011.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.222.059/SP (e REsp nº 2.229.519/SP). Terceira Turma. Rel. Min. Ricardo Villas Bôas Cueva. Julgamento em 7 out. 2025. DJEN 13 out. 2025.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.220.333/DF. Terceira Turma. Rel. Min. Ricardo Villas Bôas Cueva. Julgamento em 7 out. 2025. DJEN 13 out. 2025.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.276.330/SP. Rel. Min. Nancy Andrighi. Decisão monocrática de 1º jul. 2026. DJEN 3 jul. 2026.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.209.868/SP. Terceira Turma. Rel. Min. Humberto Martins. Julgamento em 14 jul. 2026.

FERREIRA, Viviane; SILVA JUNIOR, Anibal Pereira da. Súmula 479: o risco moral do excesso de paternalismo judicial. Migalhas, 22 out. 2025.

Anuário Brasileiro de Segurança Pública 2026 / Fórum Brasileiro de Segurança Pública. 1 (2026). São Paulo: FBSP, 2026. 424 p. il.; color. Anual. Ano 20 (2026). ISSN: 1983-7364 Disponível em: https://publicacoes.forumseguranca.org.br/handle/fbsp/305