Em caso conduzido pela SMA Advogados, decisão afastou a culpa exclusiva do consumidor e reconheceu falha no monitoramento de transferências atípicas.

A realização de uma transferência Pix pela própria vítima não afasta automaticamente a responsabilidade do banco por uma fraude.

Essa foi a conclusão adotada pelo Superior Tribunal de Justiça em um caso conduzido pela SMA Advogados. O consumidor havia perdido a ação em primeira instância e também no Tribunal de Justiça, mas obteve a reforma das decisões no julgamento do recurso especial.

O ponto central analisado pelo STJ foi o seguinte: ainda que o consumidor tenha digitado a senha e confirmado as transferências, as instituições financeiras continuam obrigadas a monitorar as operações e a identificar movimentações incompatíveis com o perfil da conta.

No caso, foram realizadas várias transferências sucessivas, em um curto intervalo de tempo, para diferentes destinatários desconhecidos. Mesmo diante desse comportamento atípico, as operações foram processadas sem bloqueio, contato de confirmação ou procedimento adicional de segurança.

Para o STJ, essa omissão caracterizou defeito na prestação do serviço bancário.

Resposta direta: o banco responde quando a vítima faz o Pix?

O banco pode ser responsabilizado mesmo quando o Pix é realizado pela própria vítima.

Isso ocorre quando as características das operações demonstram que o sistema bancário deveria ter identificado uma possível fraude e adotado medidas de segurança, como bloqueio temporário, confirmação adicional ou contato com o consumidor.

A responsabilidade, contudo, não é automática. Cada caso depende da análise das movimentações, do perfil da conta, do comportamento do consumidor e dos mecanismos de segurança utilizados pelas instituições financeiras.

A pergunta jurídica correta não é apenas “quem fez a transferência?”, mas também:

O banco deveria ter percebido que aquelas operações eram suspeitas?

O que aconteceu no caso analisado pelo STJ?

O consumidor foi abordado por fraudadores por meio de aplicativo de mensagens.

Os criminosos se apresentaram como representantes de uma instituição financeira e ofereceram um suposto empréstimo empresarial. Para que o crédito fosse liberado, afirmaram que seria necessário adquirir certificados e realizar determinados pagamentos.

Acreditando estar seguindo um procedimento bancário legítimo, o consumidor efetuou várias transferências por Pix.

As operações foram realizadas em sequência, em curto espaço de tempo e para diferentes contas que não faziam parte do histórico habitual de destinatários do cliente.

Depois de perceber a fraude, o consumidor buscou a responsabilização das instituições envolvidas. A tese sustentada foi a de que os sistemas bancários permitiram a realização de uma sequência manifestamente atípica de operações sem qualquer intervenção de segurança.

Por que o consumidor perdeu em primeira instância?

A sentença afastou a responsabilidade dos bancos porque as transferências haviam sido realizadas e confirmadas pelo próprio titular da conta.

O entendimento foi de que o prejuízo decorreria exclusivamente da falta de cautela do consumidor, que teria acreditado nas mensagens dos criminosos e autorizado voluntariamente as operações.

Com isso, a primeira instância reconheceu a chamada culpa exclusiva da vítima.

Segundo essa interpretação, como a senha não havia sido subtraída e o aplicativo não teria sido diretamente invadido, não existiria falha na prestação do serviço bancário.

Por que o Tribunal de Justiça manteve a sentença?

O Tribunal de Justiça adotou raciocínio semelhante.

O acórdão considerou que as instituições financeiras não poderiam ser responsabilizadas por transferências realizadas pelo próprio consumidor sem a devida verificação da identidade dos destinatários e da autenticidade das mensagens recebidas.

A conclusão foi a de que a fraude teria ocorrido fora do ambiente bancário e que o comportamento do cliente seria a única causa do prejuízo.

Por isso, o recurso de apelação foi rejeitado e a sentença de improcedência foi mantida.

O que mudou no julgamento pelo STJ?

No recurso especial, a controvérsia recebeu outro enquadramento jurídico.

O STJ reconheceu que a confirmação formal das transferências pelo consumidor não era suficiente para afastar o dever de segurança das instituições financeiras.

A análise deveria considerar o conjunto das operações e não apenas o uso regular da senha.

No caso concreto, havia uma sequência de transferências:

• realizadas em curto intervalo de tempo;
• destinadas a diferentes recebedores desconhecidos;
• incompatíveis com o comportamento habitual da conta;
• relacionadas a uma dinâmica típica de golpe de engenharia social.

Mesmo diante desses elementos, os sistemas bancários validaram todas as movimentações sem exigir qualquer confirmação adicional.

Para o STJ, a ausência de bloqueio ou verificação revelou falha na prestação do serviço.

A senha correta exclui a responsabilidade do banco?

Não necessariamente.

A utilização de senha, biometria ou dispositivo previamente autorizado demonstra que a operação foi formalmente autenticada. Isso, porém, não comprova que a transação era regular ou que correspondia à verdadeira vontade do consumidor.

Nos golpes de engenharia social, a vítima é manipulada para realizar pessoalmente uma operação que acredita ser legítima.

O criminoso não precisa necessariamente invadir o aplicativo ou descobrir a senha. Em muitos casos, ele utiliza informações verdadeiras, linguagem semelhante à empregada pelos bancos e uma falsa situação de urgência para convencer o consumidor a confirmar a transferência.

Por essa razão, a autenticação da operação é apenas um dos elementos que devem ser examinados.

O banco também precisa avaliar se o comportamento da conta é compatível com o histórico do cliente.

O que são operações bancárias atípicas?

Operações atípicas são movimentações que destoam do padrão de utilização da conta ou apresentam características normalmente relacionadas a fraudes.

A atipicidade não depende apenas do valor de uma transferência isolada.

Uma sequência de operações de menor valor também pode ser suspeita, especialmente quando realizada para vários destinatários desconhecidos em poucos minutos.

Entre os elementos que podem indicar uma operação atípica estão:

• valores incompatíveis com o histórico da conta;
• aumento repentino na frequência das transferências;
• vários pagamentos realizados em sequência;
• destinatários que nunca receberam valores daquele cliente;
• movimentações em horários incomuns;
• alteração repentina de dispositivo ou localização;
• contratação de empréstimo seguida de transferências;
• esvaziamento rápido do saldo disponível;
• aumento de limite imediatamente anterior às operações;
• comportamento semelhante a golpes já identificados pelo sistema financeiro.

Esses fatores devem ser analisados em conjunto.

Não existe uma regra segundo a qual apenas uma transferência de valor elevado precisa ser bloqueada. Dependendo do perfil do consumidor, várias movimentações sucessivas podem representar um sinal de fraude ainda mais evidente.

Qual é o dever de segurança dos bancos?

O artigo 14 do Código de Defesa do Consumidor estabelece a responsabilidade objetiva do fornecedor pelos danos causados por defeitos na prestação do serviço.

Nas relações bancárias, o dever de segurança não se limita a impedir que terceiros descubram a senha do cliente.

As instituições financeiras também devem desenvolver mecanismos capazes de:

• conhecer o comportamento habitual da conta;
• identificar movimentações fora do padrão;
• reconhecer sequências relacionadas a golpes;
• suspender temporariamente operações suspeitas;
• solicitar confirmações adicionais;
• comunicar o consumidor diante de sinais relevantes de fraude.

A Súmula 479 do STJ determina que as instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes e delitos praticados por terceiros no âmbito das operações bancárias.

Esse entendimento decorre do chamado risco do empreendimento.

Ao disponibilizar serviços de pagamento instantâneo, as instituições obtêm benefícios econômicos, mas também assumem o dever de oferecer sistemas de segurança proporcionais à velocidade e aos riscos dessas ferramentas.

O que é culpa exclusiva da vítima?

A culpa exclusiva da vítima é uma situação em que o comportamento do próprio consumidor constitui a única causa do prejuízo.

Quando efetivamente demonstrada, ela pode afastar a responsabilidade do fornecedor, nos termos do artigo 14, § 3º, inciso II, do Código de Defesa do Consumidor.

Entretanto, a excludente deve ser interpretada de maneira restritiva.

Para que exista culpa exclusiva, não pode haver nenhuma contribuição da falha do serviço para a ocorrência do dano.

Assim, quando uma instituição financeira deixa de identificar uma sequência de operações claramente atípicas, já não é possível afirmar que a conduta do consumidor foi a única causa do prejuízo.

Mesmo que a vítima tenha sido enganada e confirmado as transferências, a ausência de monitoramento bancário pode ter contribuído diretamente para a consumação da fraude.

Nessa situação, não existe culpa exclusiva do consumidor.

A participação da vítima no golpe isenta o banco?

Não.

O STJ reconheceu que a participação do consumidor, decorrente da manipulação realizada pelos fraudadores, não exclui a responsabilidade bancária quando também existe falha no dever de monitoramento.

Em golpes de engenharia social, a vítima costuma ser induzida a praticar atos que facilitam a fraude.

Essa circunstância precisa ser considerada, mas não pode servir para afastar automaticamente a análise da segurança bancária.

Caso contrário, todo o risco das operações digitais seria transferido ao consumidor, embora sejam os bancos que possuem acesso aos dados, aos sistemas antifraude e às ferramentas necessárias para identificar comportamentos suspeitos.

Não é razoável exigir do consumidor comum o mesmo conhecimento técnico e a mesma capacidade de detecção de fraudes que devem ser exigidos de uma instituição financeira.

O golpe foi considerado fortuito interno ou externo?

O STJ considerou que a fraude estava relacionada ao risco da atividade bancária.

Embora o contato inicial dos criminosos tenha ocorrido por aplicativo de mensagens, o prejuízo somente foi consumado porque as transferências passaram pelos sistemas administrados pelas instituições financeiras.

As operações foram autenticadas, processadas e concluídas dentro do ambiente bancário.

Além disso, deveriam ter sido submetidas aos mecanismos de monitoramento e prevenção a fraudes dos bancos envolvidos.

Por essa razão, o evento não poderia ser tratado como completamente estranho à atividade financeira.

A fraude foi enquadrada como fortuito interno, ou seja, como um risco relacionado ao próprio serviço prestado.

O STJ precisou reexaminar as provas do processo?

Não.

Os fatos relevantes já estavam reconhecidos pelas decisões anteriores: o consumidor havia realizado as transferências depois de ser enganado pelos fraudadores.

O que o STJ examinou foi a consequência jurídica desses fatos.

A discussão consistia em definir se a realização das operações pelo próprio titular seria suficiente para configurar culpa exclusiva da vítima ou se a ausência de bloqueio das movimentações atípicas representava falha bancária.

Tratava-se, portanto, de uma questão de enquadramento jurídico, e não de uma nova análise das provas.

Por isso, foi afastada a aplicação da Súmula 7 do STJ, que impede o simples reexame de fatos e provas em recurso especial.

A decisão significa que o banco responde por todos os golpes do Pix?

Não.

A decisão não cria uma responsabilidade automática das instituições financeiras por qualquer fraude envolvendo Pix.

É necessário analisar as circunstâncias concretas de cada caso.

A responsabilização tende a depender da demonstração de que:

1. as operações eram atípicas em relação ao perfil do consumidor;
2. havia sinais objetivos de possível fraude;
3. o banco tinha condições técnicas de identificar esses sinais;
4. nenhuma providência razoável de segurança foi adotada;
5. a omissão bancária contribuiu para o prejuízo.

Em contrapartida, quando as operações são compatíveis com o histórico da conta e não apresentam sinais objetivos de irregularidade, a responsabilização pode ser afastada.

Cada processo exige uma análise individualizada dos extratos, das transferências, dos destinatários, dos horários, dos limites e da forma como a fraude foi praticada.

Quais provas são importantes em uma ação de fraude bancária?

A análise de um caso de fraude bancária não deve se limitar ao comprovante da transferência.

Para demonstrar a atipicidade das movimentações e a falha do serviço, é importante preservar:

• extratos bancários anteriores e posteriores ao golpe;
• comprovantes de todas as transferências;
• conversas mantidas com os fraudadores;
• números de telefone e perfis utilizados;
• registros das ligações recebidas;
• protocolos de atendimento dos bancos;
• respostas enviadas pelas instituições;
• documentos sobre empréstimos ou aumento de limite;
• informações sobre dispositivos e acessos à conta;
• histórico de destinatários e movimentações habituais;
• registro da ocorrência e da contestação da fraude.

Esses documentos ajudam a reconstruir a sequência dos fatos e a comparar as operações fraudulentas com o padrão normal de uso da conta.

Por que essa decisão do STJ é importante?

A decisão é importante porque afasta uma análise excessivamente simplificada das fraudes bancárias.

Não basta verificar se a senha foi corretamente digitada ou se o consumidor apertou o botão de confirmação.

Os sistemas bancários atuais possuem capacidade de processar grandes quantidades de dados e identificar comportamentos incompatíveis com o histórico de uma conta.

Se uma instituição oferece transferências instantâneas, também precisa adotar mecanismos capazes de reagir com rapidez diante de movimentações suspeitas.

A segurança integra o próprio serviço bancário.

A partir dessa perspectiva, o comportamento do consumidor e a atuação do banco precisam ser analisados conjuntamente.

Conclusão

No caso conduzido pela SMA Advogados, o consumidor perdeu a ação em primeira instância e também no Tribunal de Justiça.

As decisões anteriores entenderam que a realização das transferências pelo próprio titular caracterizaria culpa exclusiva da vítima.

O Superior Tribunal de Justiça, entretanto, reformou esse entendimento.

A decisão reconheceu que as operações apresentavam sinais relevantes de atipicidade e que os bancos permitiram a realização de várias transferências sucessivas sem bloqueio ou verificação adicional.

Com isso, foi afastada a culpa exclusiva do consumidor e reconhecida a falha na prestação do serviço bancário.

O precedente reforça que a realização do Pix pela própria vítima não encerra a discussão sobre a responsabilidade civil.

Além de verificar quem confirmou a operação, é necessário analisar se a instituição financeira cumpriu seu dever de monitorar, identificar e impedir movimentações suspeitas.

Em fraudes bancárias, a pergunta decisiva não é apenas quem realizou a transferência.

Também é preciso saber por que o sistema bancário permitiu que uma sequência atípica de operações fosse concluída sem qualquer intervenção.

Fale com especialista

Perguntas frequentes sobre responsabilidade bancária e golpe do Pix

O banco é responsável quando o cliente faz o Pix?

O banco pode ser responsabilizado quando as transferências apresentam sinais de fraude e, mesmo assim, são processadas sem bloqueio ou confirmação adicional. A responsabilidade depende das circunstâncias concretas.

Digitar a senha significa que o banco não tem responsabilidade?

Não. A senha demonstra a autenticação formal da operação, mas não afasta a obrigação de verificar se a movimentação é compatível com o perfil e o histórico do cliente.

O que caracteriza uma transferência atípica?

Valor, frequência, horário, localização, quantidade de destinatários, intervalo entre as operações, contratação anterior de crédito e incompatibilidade com o histórico da conta são alguns dos fatores relevantes.

A engenharia social é culpa exclusiva da vítima?

Não necessariamente. A culpa exclusiva somente existe quando a conduta do consumidor é a única causa do dano. Se o banco também falhou no monitoramento, a excludente pode ser afastada.

Todo golpe do Pix gera direito a indenização?

Não. É necessário demonstrar a fraude, o prejuízo, a atipicidade das operações e a contribuição da falha bancária para a ocorrência do dano.

O banco precisa bloquear toda transferência diferente?

Não. O banco deve possuir sistemas capazes de avaliar o risco das operações. Dependendo do caso, poderá exigir uma confirmação adicional, suspender temporariamente a transação ou entrar em contato com o cliente.

Quais documentos devem ser guardados após um golpe?

Extratos, comprovantes, conversas, registros de ligações, protocolos bancários, respostas das instituições, histórico da conta e documentos relacionados às operações devem ser preservados.

A SMA Advogados atua de forma especializada no Direito Bancário, analisando minuciosamente o histórico de transações, o tempo de resposta das instituições e a regularidade das contas envolvidas para garantir a proteção integral dos direitos do consumidor.

Vítima de fraude ou golpe bancário? Entre em contato com os especialistas da SMA Advogados para avaliar o seu caso.

Fale com um especialista