Vanessa Villares – Advogada
A digitalização dos serviços bancários trouxe rapidez e conveniência, mas também ampliou o espaço para golpes de engenharia social, nos quais criminosos se valem de estratégias de manipulação psicológica para levar as vítimas a agir contra os próprios interesses.
Nessas fraudes, os criminosos apresentam-se como funcionários do banco, utilizam informações que conferem credibilidade à abordagem e induzem as vítimas a instalar aplicativos, compartilhar a tela ou realizar operações sob uma falsa situação de urgência.
Senha, biometria e consentimento: até onde o banco pode responsabilizar o consumidor vítima de golpe?
Autenticação técnica é suficiente para afastar a responsabilidade do banco?
Consumado o prejuízo, a defesa bancária costuma invocar a regularidade formal da transação: senha, biometria, código de segurança digital ou aparelho cadastrado.
Mas a autenticação técnica é suficiente para transferir integralmente ao consumidor o risco de uma fraude ocorrida no ambiente de operações bancárias?
A resposta exige distinguir a mera autenticação técnica da efetiva manifestação livre e consciente de vontade, distinção que orienta a definição da responsabilidade nas fraudes praticadas por engenharia social.
A responsabilidade das instituições financeiras
Sob essa perspectiva, a aplicação do Código de Defesa do Consumidor (CDC) aos serviços bancários está consolidada na Súmula 297 do Superior Tribunal de Justiça (STJ).
Nos termos do artigo 14 do CDC, a instituição financeira responde objetivamente pelos danos causados por defeitos na prestação do serviço, especialmente quando não oferece a segurança que dele legitimamente se espera. [1]
Responsabilidade objetiva não significa responsabilidade automática.
Exige-se a presença de dano, defeito do serviço e nexo causal.
O banco poderá afastar o dever de indenizar se provar a inexistência da falha ou a culpa exclusiva do consumidor ou de terceiros.
Importa verificar, portanto, se os mecanismos disponíveis eram adequados e reagiram aos sinais concretos da fraude.
É nesse contexto que a Súmula 479 do STJ qualifica como fortuito interno as fraudes praticadas por terceiros no âmbito das operações bancárias, ao reconhecer a responsabilidade objetiva quando o evento se relaciona ao risco da atividade.
Assim, a instituição não pode tratar toda fraude como fato externo apenas porque seu autor material foi um criminoso. [2]
O banco é responsável por toda fraude?
A jurisprudência recente também adverte que o banco não é segurador universal.
Em julho de 2026, o STJ afastou a responsabilidade quando as operações iniciais eram compatíveis com o perfil do cliente, embora envolvessem valores elevados, bem como porque a transferência foi realizada pessoalmente na agência, sem falha reconhecida.
Contudo, seguir instruções do criminoso não basta para caracterizar culpa exclusiva: a conduta da vítima deve ser a causa exclusiva do dano, sem contribuição relevante do sistema bancário. [3]
O dever de segurança vai além da senha
Definidos esses limites, a análise deve avançar para o funcionamento concreto dos mecanismos de prevenção.
O dever de segurança não se esgota em senhas, códigos digitais ou etapas de autenticação.
Os sistemas bancários analisam, entre outros fatores:
- valor da operação;
- horário;
- localização;
- frequência das transações;
- sequência das operações;
- destinatários;
- dispositivo utilizado;
- contratação repentina de crédito.
As instituições devem identificar e impedir movimentações incompatíveis com o histórico do correntista, pois a validação de operações suspeitas pode evidenciar defeito na prestação do serviço. [4]
Como os bancos podem reagir a movimentações suspeitas?
Não se propõe bloquear indiscriminadamente toda operação incomum.
A resposta deve ser proporcional ao risco, podendo envolver:
Alerta eficaz → comunicação clara sobre a operação suspeita.
Suspensão temporária → interrupção preventiva da movimentação.
Confirmação reforçada → adoção de etapas adicionais de autenticação.
Contato por canal independente → confirmação da operação por meio seguro e diferente daquele utilizado pelo fraudador.
Sucessivas transferências, novos favorecidos, crédito seguido de pagamentos ou esvaziamento da reserva exigem maior capacidade de resposta.
A vulnerabilidade da pessoa idosa
Essa exigência ganha contornos ainda mais relevantes quando a vítima é uma pessoa idosa.
A idade não presume incapacidade nem elimina o dever de cautela. Ainda assim, ignorar essa condição desconsidera uma vulnerabilidade concreta diante de abordagens que exploram medo, urgência, autoridade e menor familiaridade com ferramentas digitais.
O Estatuto da Pessoa Idosa impõe a prevenção de ameaças a seus direitos.
Por isso, essas fraudes devem ser examinadas sob a perspectiva da hipervulnerabilidade, o que exige linguagem acessível, alertas claros, canais humanos de confirmação e protocolos reforçados para operações que comprometam parcela expressiva do patrimônio. [5]
A proteção não significa retirar a autonomia da pessoa idosa, mas considerar sua vulnerabilidade concreta diante de mecanismos sofisticados de fraude.
Proteção de dados também integra o dever de segurança
A proteção dos dados pessoais integra o próprio dever de segurança das instituições financeiras.
A Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) estabelece os princípios da segurança e da prevenção.
Além disso, o artigo 46 exige a adoção de medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados, vazamentos e qualquer forma de tratamento inadequado ou ilícito.
No setor bancário, esse dever se soma ao sigilo previsto na Lei Complementar nº 105/2001 e alcança informações como:
- saldo;
- limite;
- movimentações;
- produtos contratados;
- hábitos financeiros do correntista.
O conhecimento dessas informações pelos criminosos não permite presumir, por si só, que o vazamento ocorreu nos sistemas do banco, pois os dados podem ser obtidos por diferentes meios.
Ainda assim, quando a abordagem revela informações bancárias específicas e reservadas, sua origem precisa ser esclarecida, pois esses elementos tornam a narrativa fraudulenta mais convincente e podem ser decisivos para que a vítima acredite estar em contato com a própria instituição.
Comprovado que tratamento irregular ou incidente de segurança sob a esfera de controle do banco contribuiu para o prejuízo, poderá surgir o dever de reparação.
Quem deve produzir as provas?
A vulnerabilidade do consumidor também se manifesta no campo probatório.
O consumidor possui o extrato e sua narrativa; a instituição detém registros do dispositivo, protocolo de internet, geolocalização, autenticação, alteração de limites, análise antifraude, alertas e critérios de aprovação.
Não basta, portanto, afirmar que “a senha foi corretamente utilizada”.
À luz do artigo 6º, inciso VIII, do CDC e do artigo 373, § 1º, do Código de Processo Civil, quem detém melhores condições técnicas deve demonstrar o percurso da transação e a atuação dos mecanismos de segurança.
Exigir que a vítima prove uma falha interna sem acesso a esses elementos equivale, muitas vezes, a exigir prova impossível.
Autenticação não é sinônimo de consentimento
É justamente nesse ponto que se torna essencial distinguir autenticação técnica de manifestação consciente de vontade.
Senha, biometria e código de segurança digital comprovam a validação de uma credencial; não demonstram, isoladamente, vontade livre, consciente e imune à fraude.
A vítima pode operar enganada sobre a finalidade, assim como o criminoso pode controlar remotamente um aparelho cadastrado.
Isso não invalida automaticamente toda transação contestada.
Devem ser examinados, conjuntamente:
- a forma de atuação dos criminosos;
- a compatibilidade das operações;
- os alertas emitidos;
- a resposta do banco;
- a conduta do consumidor;
- os mecanismos de segurança disponíveis.
Somente a partir desse conjunto será possível definir se houve fortuito interno, culpa exclusiva ou contribuição causal da instituição.
Conclusão
Assim, nas fraudes praticadas por engenharia social, não basta saber quem digitou a senha.
É necessário compreender por que sistemas que monitoram dispositivos, localização, valores, destinatários e hábitos de consumo não impediram o esvaziamento anormal de contas nem a realização de transferências atípicas.
A responsabilidade deve ser definida não pela aparência formal da autenticação, mas pela capacidade concreta de cada parte de prevenir o dano.
Nessas circunstâncias, a autenticação formal da operação não pode servir como justificativa automática para atribuir o prejuízo ao consumidor.
Quando a instituição financeira deixa de reagir a movimentações manifestamente incompatíveis com o perfil do correntista, essa omissão deve ser considerada na apuração de quem responde pelo dano.
Em última análise, o uso regular de uma credencial não afasta, por si só, o dever de segurança nem transforma a vítima da fraude em responsável pelo prejuízo.
Notas
[1] Súmula 297 do Superior Tribunal de Justiça e artigo 14 do Código de Defesa do Consumidor.
[2] Súmula 479 do Superior Tribunal de Justiça.
[3] Jurisprudência do Superior Tribunal de Justiça, julho de 2026.
[4] Referência jurisprudencial indicada no material original.
[5] Estatuto da Pessoa Idosa.
[6] Lei nº 13.709/2018 (LGPD) e Lei Complementar nº 105/2001.
Referências
BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Código de Defesa do Consumidor. Brasília, DF: Presidência da República, 1990. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm. Acesso em: 28 jul. 2026.
BRASIL. Lei nº 10.741, de 1º de outubro de 2003. Estatuto da Pessoa Idosa. Brasília, DF: Presidência da República, 2003. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/2003/l10.741.htm. Acesso em: 28 jul. 2026.
BRASIL. Lei nº 13.105, de 16 de março de 2015. Código de Processo Civil. Brasília, DF: Presidência da República, 2015. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato20152018/2015/lei/l13105.htm. Acesso em: 28 jul. 2026. Página 3 ARTIGO JURÍDICO | VANESSA VILLARES BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm. Acesso em: 28 jul. 2026.
BRASIL. Lei Complementar nº 105, de 10 de janeiro de 2001. Dispõe sobre o sigilo das operações de instituições financeiras. Brasília, DF: Presidência da República, 2001. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/lcp/lcp105.htm. Acesso em: 28 jul. 2026. BRASIL. Superior Tribunal de Justiça. Súmula nº 297. O Código de Defesa do Consumidor é aplicável às instituições financeiras. Brasília, DF: Superior Tribunal de Justiça, 2004. Disponível em: https://scon.stj.jus.br/docs_internet/VerbetesSTJ.pdf. Acesso em: 28 jul. 2026.
BRASIL. Superior Tribunal de Justiça. Súmula nº 479. As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Brasília, DF: Superior Tribunal de Justiça, 2012. Disponível em: https://scon.stj.jus.br/docs_internet/VerbetesSTJ.pdf. Acesso em: 28 jul. 2026.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.052.228/DF. Relatora: Ministra Nancy Andrighi. Terceira Turma. Julgado em: 12 set. 2023. DJe: 15 set. 2023. Brasília, DF: Superior Tribunal de Justiça, 2023. Disponível em: https://scon.stj.jus.br/jurisprudencia/externo/informativo/?acao=pesquisar&apli…. Acesso em: 28 jul. 2026.
BRASIL. Superior Tribunal de Justiça. Recursos Especiais nº 2.222.059/SP e nº 2.229.519/DF. Relator: Ministro Ricardo Villas Bôas Cueva. Terceira Turma. Julgados em: 7 out. 2025. DJEN: 13 out. 2025. Brasília, DF: Superior Tribunal de Justiça, 2025. Disponível em: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2025/21102025…. Acesso em: 28 jul. 2026.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.209.868/SP. Relator: Ministro Humberto Martins. Terceira Turma. Julgado em: 16 jun. 2026. DJEN: 24 jun. 2026. Brasília, DF: Superior Tribunal de Justiça, 2026. Disponível em: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/15072026…. Acesso em: 28 jul. 2026.
Uma resposta