Vanessa Villares – Advogada

A digitalização dos serviços bancários trouxe rapidez e conveniência, mas também ampliou o espaço para golpes de engenharia social, nos quais criminosos se valem de estratégias de manipulação psicológica para levar as vítimas a agir contra os próprios interesses.

Nessas fraudes, os criminosos apresentam-se como funcionários do banco, utilizam informações que conferem credibilidade à abordagem e induzem as vítimas a instalar aplicativos, compartilhar a tela ou realizar operações sob uma falsa situação de urgência.

Senha, biometria e consentimento: até onde o banco pode responsabilizar o consumidor vítima de golpe?

Autenticação técnica é suficiente para afastar a responsabilidade do banco?

Consumado o prejuízo, a defesa bancária costuma invocar a regularidade formal da transação: senha, biometria, código de segurança digital ou aparelho cadastrado.

Mas a autenticação técnica é suficiente para transferir integralmente ao consumidor o risco de uma fraude ocorrida no ambiente de operações bancárias?

A resposta exige distinguir a mera autenticação técnica da efetiva manifestação livre e consciente de vontade, distinção que orienta a definição da responsabilidade nas fraudes praticadas por engenharia social.

A responsabilidade das instituições financeiras

Sob essa perspectiva, a aplicação do Código de Defesa do Consumidor (CDC) aos serviços bancários está consolidada na Súmula 297 do Superior Tribunal de Justiça (STJ).

Nos termos do artigo 14 do CDC, a instituição financeira responde objetivamente pelos danos causados por defeitos na prestação do serviço, especialmente quando não oferece a segurança que dele legitimamente se espera. [1]

Responsabilidade objetiva não significa responsabilidade automática.

Exige-se a presença de dano, defeito do serviço e nexo causal.

O banco poderá afastar o dever de indenizar se provar a inexistência da falha ou a culpa exclusiva do consumidor ou de terceiros.

Importa verificar, portanto, se os mecanismos disponíveis eram adequados e reagiram aos sinais concretos da fraude.

É nesse contexto que a Súmula 479 do STJ qualifica como fortuito interno as fraudes praticadas por terceiros no âmbito das operações bancárias, ao reconhecer a responsabilidade objetiva quando o evento se relaciona ao risco da atividade.

Assim, a instituição não pode tratar toda fraude como fato externo apenas porque seu autor material foi um criminoso. [2]

O banco é responsável por toda fraude?

A jurisprudência recente também adverte que o banco não é segurador universal.

Em julho de 2026, o STJ afastou a responsabilidade quando as operações iniciais eram compatíveis com o perfil do cliente, embora envolvessem valores elevados, bem como porque a transferência foi realizada pessoalmente na agência, sem falha reconhecida.

Contudo, seguir instruções do criminoso não basta para caracterizar culpa exclusiva: a conduta da vítima deve ser a causa exclusiva do dano, sem contribuição relevante do sistema bancário. [3]

O dever de segurança vai além da senha

Definidos esses limites, a análise deve avançar para o funcionamento concreto dos mecanismos de prevenção.

O dever de segurança não se esgota em senhas, códigos digitais ou etapas de autenticação.

Os sistemas bancários analisam, entre outros fatores:

• valor da operação;
• horário;
• localização;
• frequência das transações;
• sequência das operações;
• destinatários;
• dispositivo utilizado;
• contratação repentina de crédito.

As instituições devem identificar e impedir movimentações incompatíveis com o histórico do correntista, pois a validação de operações suspeitas pode evidenciar defeito na prestação do serviço. [4]

Como os bancos podem reagir a movimentações suspeitas?

Não se propõe bloquear indiscriminadamente toda operação incomum.

A resposta deve ser proporcional ao risco, podendo envolver:

Alerta eficaz → comunicação clara sobre a operação suspeita.

Suspensão temporária → interrupção preventiva da movimentação.

Confirmação reforçada → adoção de etapas adicionais de autenticação.

Contato por canal independente → confirmação da operação por meio seguro e diferente daquele utilizado pelo fraudador.

Sucessivas transferências, novos favorecidos, crédito seguido de pagamentos ou esvaziamento da reserva exigem maior capacidade de resposta.

A vulnerabilidade da pessoa idosa

Essa exigência ganha contornos ainda mais relevantes quando a vítima é uma pessoa idosa.

A idade não presume incapacidade nem elimina o dever de cautela. Ainda assim, ignorar essa condição desconsidera uma vulnerabilidade concreta diante de abordagens que exploram medo, urgência, autoridade e menor familiaridade com ferramentas digitais.

O Estatuto da Pessoa Idosa impõe a prevenção de ameaças a seus direitos.

Por isso, essas fraudes devem ser examinadas sob a perspectiva da hipervulnerabilidade, o que exige linguagem acessível, alertas claros, canais humanos de confirmação e protocolos reforçados para operações que comprometam parcela expressiva do patrimônio. [5]

A proteção não significa retirar a autonomia da pessoa idosa, mas considerar sua vulnerabilidade concreta diante de mecanismos sofisticados de fraude.

Proteção de dados também integra o dever de segurança

A proteção dos dados pessoais integra o próprio dever de segurança das instituições financeiras.

A Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) estabelece os princípios da segurança e da prevenção.

Além disso, o artigo 46 exige a adoção de medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados, vazamentos e qualquer forma de tratamento inadequado ou ilícito.

No setor bancário, esse dever se soma ao sigilo previsto na Lei Complementar nº 105/2001 e alcança informações como:

• saldo;
• limite;
• movimentações;
• produtos contratados;
• hábitos financeiros do correntista.

[6]

O conhecimento dessas informações pelos criminosos não permite presumir, por si só, que o vazamento ocorreu nos sistemas do banco, pois os dados podem ser obtidos por diferentes meios.

Ainda assim, quando a abordagem revela informações bancárias específicas e reservadas, sua origem precisa ser esclarecida, pois esses elementos tornam a narrativa fraudulenta mais convincente e podem ser decisivos para que a vítima acredite estar em contato com a própria instituição.

Comprovado que tratamento irregular ou incidente de segurança sob a esfera de controle do banco contribuiu para o prejuízo, poderá surgir o dever de reparação.

Quem deve produzir as provas?

A vulnerabilidade do consumidor também se manifesta no campo probatório.

O consumidor possui o extrato e sua narrativa; a instituição detém registros do dispositivo, protocolo de internet, geolocalização, autenticação, alteração de limites, análise antifraude, alertas e critérios de aprovação.

Não basta, portanto, afirmar que “a senha foi corretamente utilizada”.

À luz do artigo 6º, inciso VIII, do CDC e do artigo 373, § 1º, do Código de Processo Civil, quem detém melhores condições técnicas deve demonstrar o percurso da transação e a atuação dos mecanismos de segurança.

Exigir que a vítima prove uma falha interna sem acesso a esses elementos equivale, muitas vezes, a exigir prova impossível.

Autenticação não é sinônimo de consentimento

É justamente nesse ponto que se torna essencial distinguir autenticação técnica de manifestação consciente de vontade.

Senha, biometria e código de segurança digital comprovam a validação de uma credencial; não demonstram, isoladamente, vontade livre, consciente e imune à fraude.

A vítima pode operar enganada sobre a finalidade, assim como o criminoso pode controlar remotamente um aparelho cadastrado.

Isso não invalida automaticamente toda transação contestada.

Devem ser examinados, conjuntamente:

• a forma de atuação dos criminosos;
• a compatibilidade das operações;
• os alertas emitidos;
• a resposta do banco;
• a conduta do consumidor;
• os mecanismos de segurança disponíveis.

Somente a partir desse conjunto será possível definir se houve fortuito interno, culpa exclusiva ou contribuição causal da instituição.

Conclusão

Assim, nas fraudes praticadas por engenharia social, não basta saber quem digitou a senha.

É necessário compreender por que sistemas que monitoram dispositivos, localização, valores, destinatários e hábitos de consumo não impediram o esvaziamento anormal de contas nem a realização de transferências atípicas.

A responsabilidade deve ser definida não pela aparência formal da autenticação, mas pela capacidade concreta de cada parte de prevenir o dano.

Nessas circunstâncias, a autenticação formal da operação não pode servir como justificativa automática para atribuir o prejuízo ao consumidor.

Quando a instituição financeira deixa de reagir a movimentações manifestamente incompatíveis com o perfil do correntista, essa omissão deve ser considerada na apuração de quem responde pelo dano.

Em última análise, o uso regular de uma credencial não afasta, por si só, o dever de segurança nem transforma a vítima da fraude em responsável pelo prejuízo.

---

Notas

[1] Súmula 297 do Superior Tribunal de Justiça e artigo 14 do Código de Defesa do Consumidor.

[2] Súmula 479 do Superior Tribunal de Justiça.

[3] Jurisprudência do Superior Tribunal de Justiça, julho de 2026.

[4] Referência jurisprudencial indicada no material original.

[5] Estatuto da Pessoa Idosa.

[6] Lei nº 13.709/2018 (LGPD) e Lei Complementar nº 105/2001.

Referências

BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Código de Defesa do Consumidor. Brasília, DF: Presidência da República, 1990. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm. Acesso em: 28 jul. 2026.

BRASIL. Lei nº 10.741, de 1º de outubro de 2003. Estatuto da Pessoa Idosa. Brasília, DF: Presidência da República, 2003. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/2003/l10.741.htm. Acesso em: 28 jul. 2026.

BRASIL. Lei nº 13.105, de 16 de março de 2015. Código de Processo Civil. Brasília, DF: Presidência da República, 2015. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato20152018/2015/lei/l13105.htm. Acesso em: 28 jul. 2026. Página 3 ARTIGO JURÍDICO | VANESSA VILLARES BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm. Acesso em: 28 jul. 2026.

BRASIL. Lei Complementar nº 105, de 10 de janeiro de 2001. Dispõe sobre o sigilo das operações de instituições financeiras. Brasília, DF: Presidência da República, 2001. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/lcp/lcp105.htm. Acesso em: 28 jul. 2026. BRASIL. Superior Tribunal de Justiça. Súmula nº 297. O Código de Defesa do Consumidor é aplicável às instituições financeiras. Brasília, DF: Superior Tribunal de Justiça, 2004. Disponível em: https://scon.stj.jus.br/docs_internet/VerbetesSTJ.pdf. Acesso em: 28 jul. 2026.

BRASIL. Superior Tribunal de Justiça. Súmula nº 479. As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Brasília, DF: Superior Tribunal de Justiça, 2012. Disponível em: https://scon.stj.jus.br/docs_internet/VerbetesSTJ.pdf. Acesso em: 28 jul. 2026.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.052.228/DF. Relatora: Ministra Nancy Andrighi. Terceira Turma. Julgado em: 12 set. 2023. DJe: 15 set. 2023. Brasília, DF: Superior Tribunal de Justiça, 2023. Disponível em: https://scon.stj.jus.br/jurisprudencia/externo/informativo/?acao=pesquisar&apli…. Acesso em: 28 jul. 2026.

BRASIL. Superior Tribunal de Justiça. Recursos Especiais nº 2.222.059/SP e nº 2.229.519/DF. Relator: Ministro Ricardo Villas Bôas Cueva. Terceira Turma. Julgados em: 7 out. 2025. DJEN: 13 out. 2025. Brasília, DF: Superior Tribunal de Justiça, 2025. Disponível em: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2025/21102025…. Acesso em: 28 jul. 2026.

BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.209.868/SP. Relator: Ministro Humberto Martins. Terceira Turma. Julgado em: 16 jun. 2026. DJEN: 24 jun. 2026. Brasília, DF: Superior Tribunal de Justiça, 2026. Disponível em: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/15072026…. Acesso em: 28 jul. 2026.