Fraude bancária e a responsabilidade do banco recebedor

Nas ações envolvendo fraudes bancárias, é recorrente a tentativa de concentrar toda a discussão na conduta da vítima. Se o Pix foi confirmado pelo correntista, se a TED foi realizada mediante autenticação ou se a operação ocorreu com utilização regular de senha e dispositivo, sustenta-se que o prejuízo decorreu exclusivamente da atuação de terceiros e que a autorização da transferência seria suficiente para afastar a responsabilidade bancária.

Esse raciocínio, entretanto, pode ser insuficiente quando a instituição demandada é aquela que mantinha a conta destinatária dos valores. Nesse cenário, existem duas situações juridicamente distintas: a forma pela qual a vítima foi induzida a realizar a operação e as condições em que os fraudadores conseguiram utilizar a estrutura bancária para receber e movimentar o produto da fraude. A autenticação da transferência na conta de origem não demonstra, por si só, a regularidade dos procedimentos de abertura, identificação e controle da conta recebedora.

Essa distinção foi enfrentada pelo TJ/SP na apelação 4005087-73.2026.8.26.0577, pela 2ª turma do Núcleo 4.0 em 2ª grau. O caso teve origem em uma fraude apresentada como oportunidade de investimento internacional. Induzida a acreditar na legitimidade da operação, a vítima realizou duas TEDs, nos valores de R$ 231.300 e R$ 262.600, além de dois Pix, de R$ 3.000 e R$ 5.500, totalizando R$ 502.400. Os recursos foram destinados a contas mantidas pela instituição financeira posteriormente responsabilizada.

Ao recorrer, o banco sustentou que havia observado os procedimentos aplicáveis à abertura das contas, alegou culpa exclusiva da vítima pela realização das transferências e, subsidiariamente, pediu o reconhecimento de culpa concorrente. O Tribunal rejeitou essas teses e manteve a condenação. A relevância do julgamento está na identificação da falha que fundamentou a responsabilidade: não o simples recebimento de valores provenientes de fraude, mas a deficiência reconhecida nos mecanismos de abertura e controle das contas utilizadas pelos fraudadores.

O banco de origem e o banco recebedor exercem funções diferentes dentro da mesma operação. A instituição na qual a vítima mantém sua conta administra os mecanismos de autenticação, os limites transacionais e os controles relacionados à movimentação daquele correntista. A instituição destinatária, por sua vez, admite seu próprio cliente no sistema financeiro, recebe os documentos apresentados, verifica as informações cadastrais e mantém os registros relativos à abertura e à utilização da conta. A análise da responsabilidade deve respeitar essa diferença, identificando quais deveres incumbiam a cada instituição e qual falha efetivamente se relaciona ao dano.

A transferência pode ter sido regularmente autenticada na origem sem que isso esclareça quem abriu a conta destinatária, quais documentos foram empregados ou como a identidade apresentada foi verificada. Transportar a discussão sobre a senha utilizada pela vítima para o procedimento de identificação do beneficiário significa tratar como equivalentes fatos que pertencem a esferas distintas de controle. A regularidade de uma etapa não comprova, necessariamente, a regularidade da outra.

A resolução 4.753/19 estabelece, em seu art. 2º, o dever de adoção de procedimentos e controles capazes de verificar e validar a identidade e a qualificação dos titulares, bem como a autenticidade das informações fornecidas. A abertura da conta, portanto, não se resume ao recebimento de documentos ou ao preenchimento de campos cadastrais. A exigência de validação demonstra que a instituição deve examinar a correspondência entre as informações apresentadas e a identidade de quem solicita o relacionamento bancário.

Essa distinção é importante porque a fraude cadastral não depende, necessariamente, de um documento materialmente falso. Documentos verdadeiros pertencentes a terceiros também podem ser utilizados indevidamente. Um documento furtado ou extraviado, assim como dados obtidos por phishing ou outras fraudes, pode conferir aparência de legitimidade a uma solicitação que não partiu de seu titular. A existência de um CPF válido ou a autenticidade do documento não demonstram, isoladamente, que a pessoa responsável pelo cadastro possuía legitimidade para utilizar aquela identidade.

É nesse contexto que a validação biométrica, a prova de vida, a conferência documental, o confronto de informações e os registros dos dispositivos empregados podem assumir relevância. Conforme os procedimentos adotados e os controles exigíveis, esses elementos permitem examinar a relação entre a identidade declarada e a pessoa que efetivamente realizou a abertura. O ponto não é eleger uma tecnologia como solução universal, mas verificar se os mecanismos empregados cumpriram sua finalidade e se existem registros capazes de demonstrar como a identificação ocorreu.

Quando uma falha nessa etapa permite a constituição de uma conta sob identidade falsa ou indevidamente apropriada, suas consequências podem ultrapassar a irregularidade cadastral. A conta passa a integrar a infraestrutura financeira, tornando-se apta a receber transferências e a encaminhar recursos a outros destinatários. Se utilizada para o recebimento do produto de estelionatos, pode funcionar como instrumento da execução da fraude, e não apenas como um endereço bancário incidentalmente escolhido pelo criminoso.

O fraudador pode recorrer à engenharia social para induzir a vítima ao erro, apresentando-se como gerente, funcionário de uma central de atendimento, advogado ou representante de um investimento. Essa abordagem explica a obtenção da confiança do consumidor, mas não esgota a compreensão do resultado patrimonial. Para receber e movimentar os valores por meio bancário, o criminoso também depende de uma conta disponível para essa finalidade. A investigação da responsabilidade não deve ignorar as condições que permitiram sua abertura ou utilização.

Defendo, nesse contexto, que as falhas de identificação e controle não podem ser tratadas como acontecimentos necessariamente estranhos ao estelionato quando a própria conta constitui um instrumento para o recebimento e a circulação dos valores. Não se atribui ao banco participação intencional no crime. Discute-se se o descumprimento de um dever de segurança, situado em sua esfera de atuação, contribuiu para o dano. A distinção preserva a análise individualizada sem excluir antecipadamente a instituição recebedora da investigação.

É nesse sentido que deficiências nos controles bancários podem favorecer um verdadeiro ecossistema para a prática de estelionatos. A expressão não pressupõe conivência institucional, mas identifica a possibilidade de aproveitamento de serviços financeiros legítimos para a execução de atividades ilícitas. A narrativa utilizada para enganar a vítima e a estrutura empregada para receber o dinheiro são componentes diferentes da mesma fraude. O reconhecimento de responsabilidade depende de demonstrar como uma falha atribuível à instituição integrou essa sequência, e não apenas de constatar que os valores passaram por uma conta mantida por ela.

A análise encontra uma dificuldade probatória relevante. A vítima normalmente dispõe dos próprios extratos, dos comprovantes das transferências e das comunicações mantidas com os fraudadores. Não possui, contudo, acesso aos documentos apresentados para abertura da conta destinatária, aos registros de validação da identidade ou aos controles internos da instituição recebedora. Essa assimetria não pode ser ignorada quando a regularidade desses procedimentos constitui o objeto da controvérsia.

No caso examinado, o Tribunal enfrentou expressamente essa questão ao rejeitar a alegação de cerceamento de defesa. O acórdão mencionou ficha cadastral integral, relatório técnico de validação biométrica, trilha de auditoria, logs de IP e dispositivo, análise de risco e histórico de monitoramento. Considerou que a documentação era preexistente, estava sob domínio da instituição e deveria ter acompanhado a contestação, nos termos do art. 434 do CPC.

O fundamento deve ser compreendido em sua dimensão concreta. O art. 434 do CPC estabelece o dever de instruir a petição inicial ou a contestação com os documentos destinados a provar as alegações da parte. Na controvérsia examinada, a instituição invocava a regularidade de procedimentos cujos registros estavam sob seu controle. A questão, portanto, não era exigir do banco uma prova abstrata de que nenhuma fraude poderia ocorrer, mas examinar a documentação que sustentava sua própria afirmação sobre a abertura das contas.

Se a instituição afirma que identificou corretamente seu cliente, os registros correspondentes devem permitir verificar como essa identificação ocorreu. A apresentação de uma imagem documental, por exemplo, não responde necessariamente a uma controvérsia sobre quem a forneceu ou sobre sua correspondência com a pessoa submetida ao cadastro. Do mesmo modo, a referência à utilização de biometria precisa ser acompanhada dos elementos que permitam compreender o procedimento efetivamente realizado, quando esse aspecto estiver em discussão.

Isso não significa dispensar a vítima de demonstrar a fraude, o prejuízo e os elementos que relacionam sua pretensão ao serviço bancário. Tampouco autoriza concluir que toda ausência documental comprova, isoladamente, a responsabilidade. Significa reconhecer que a avaliação da prova deve considerar quem possui os registros necessários ao esclarecimento dos fatos. Exigir do consumidor a reconstrução integral de procedimentos realizados exclusivamente nos sistemas da instituição pode tornar inacessível justamente a prova do defeito discutido.

O processo apresentou ainda uma circunstância relevante: as contas destinatárias foram posteriormente bloqueadas pela própria instituição após contestações provenientes de outras instituições financeiras. O bloqueio, isoladamente, não demonstraria irregularidade na abertura. No conjunto examinado, porém, o Tribunal o considerou um elemento que reforçava a fragilidade identificada nos mecanismos de abertura e monitoramento. Seu significado decorreu da relação com as demais provas, e não de uma presunção de que toda medida posterior de segurança constitui reconhecimento de responsabilidade.

A mesma atenção à relação entre os fatos é necessária na análise da culpa exclusiva ou concorrente da vítima. A circunstância de o consumidor ter realizado a transferência participa da explicação material do prejuízo, mas não permite concluir, automaticamente, que exista conduta culposa apta a excluir ou reduzir a responsabilidade da instituição. É necessário examinar sua contribuição causal à luz do defeito do serviço efetivamente identificado.

Quando se discute a abertura e o controle da conta destinatária, a vítima não participa da seleção dos documentos aceitos, da validação da identidade do titular ou da definição dos mecanismos de segurança. A autorização da transferência não modifica esses procedimentos nem demonstra que foram adequadamente cumpridos. Por isso, a discussão sobre a forma pela qual o consumidor foi enganado não substitui a análise da falha imputada ao banco recebedor.

No julgamento examinado, o Tribunal afastou a culpa concorrente ao considerar que a conduta da vítima não interferia na causa eficiente do dano reconhecida no caso, situada na deficiência dos mecanismos de abertura e controle das contas recebedoras.

Esse fundamento não deve ser convertido em uma regra segundo a qual o comportamento da vítima jamais poderia ser relevante. Ele demonstra, antes, que a alegação de culpa concorrente precisa ser confrontada com a causa do dano efetivamente identificada, e não deduzida da simples realização da transferência.

A inexistência de relação contratual direta entre a vítima e a instituição destinatária também não encerrou a discussão. O julgamento reconheceu a condição de consumidor por equiparação, prevista no art. 17 do CDC. Essa proteção permite examinar o dano relacionado ao serviço bancário mesmo quando a pessoa atingida não é correntista do banco responsável pela conta recebedora. A equiparação, contudo, não substitui a demonstração dos pressupostos da responsabilidade.

A responsabilidade objetiva prevista no art. 14 do CDC e a orientação da súmula 479 do STJ, relativa aos danos decorrentes de fortuito interno associado a fraudes e delitos praticados por terceiros no âmbito de operações bancárias, não transformam as instituições em garantidoras universais. Permanecem relevantes a identificação do defeito do serviço, o dano, o nexo causal e a análise das excludentes aplicáveis. A objetividade da responsabilidade dispensa a demonstração de culpa do fornecedor, mas não autoriza responsabilização fundada apenas na ocorrência de uma fraude.

A análise da responsabilidade do banco recebedor em fraudes bancárias exige essa delimitação: não se trata de responsabilizar a instituição pelo simples recebimento dos valores, mas de verificar se uma falha nos procedimentos de abertura, identificação ou controle da conta contribuiu para o prejuízo. Do mesmo modo, não se trata de desconsiderar a transferência realizada pela vítima, mas de impedir que esse fato seja utilizado como resposta suficiente para falhas atribuídas a outra etapa da operação.

A análise da fraude deve acompanhar a sequência dos acontecimentos: a abordagem da vítima, a indução ao erro, a transferência, o recebimento dos recursos e sua movimentação posterior, quando existente. Cada etapa pode envolver deveres distintos. A identificação de responsabilidade exige relacionar as provas à conduta imputada a cada instituição, sem presumir que todas respondam e sem excluir alguma delas antes de examinar os serviços que efetivamente prestou.

A segurança bancária começa antes da primeira movimentação. A identificação de quem solicita uma conta, a validação das informações apresentadas e a preservação dos registros correspondentes integram as condições de acesso ao sistema financeiro.

Quando se alega que uma deficiência nesses controles permitiu a utilização da conta como instrumento de fraude, essa questão merece análise própria, vinculada às provas e ao dano discutido.

Uma coisa é explicar por que o dinheiro saiu da conta da vítima; outra é verificar em quais condições os fraudadores conseguiram recebê-lo e movimentá-lo. A primeira pergunta não elimina a segunda. É essa distinção que permite examinar a responsabilidade do banco recebedor sem presumir o dever de indenizar e sem tornar juridicamente invisíveis as falhas que possam ter contribuído para a consumação da fraude.