0
0
Se você foi vítima de um golpe virtual e quer saber se o banco responde pelo prejuízo, a resposta curta é: depende, mas o STJ já desenhou o critério. Quando a instituição valida operações atípicas, que destoam do perfil do cliente, há defeito no serviço e o dever de indenizar. Quando a fraude não nasce de falha do serviço prestado, a responsabilidade não é automática.
O portal do STJ publicou uma matéria reunindo decisões recentes sobre fraudes que envolvem instituições financeiras. Eu li os acórdãos citados, e o quadro que emerge é mais interessante do que a manchete sugere. Há decisões duras com os bancos, há decisões que os absolvem, e a diferença entre elas está em detalhes que quem litiga (ou quem sofreu o golpe) precisa conhecer.
Qual é a regra de partida?
Tudo começa na Súmula 479 do STJ, que reproduz a tese do Tema Repetitivo 466: “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”.
Na prática, isso significa que o consumidor não precisa provar culpa do banco. A instituição só se livra se demonstrar que não houve defeito na prestação do serviço ou que a culpa foi exclusiva do consumidor ou de terceiro, nos termos do art. 14, § 3º, do CDC.
Portanto, a pergunta decisiva nunca é “houve golpe?”. É esta: o serviço ofereceu a segurança que dele se podia esperar?
Operação fora do perfil: o critério que mais pesa
O precedente que melhor ilustra a lógica é o REsp 2.052.228/DF, da Terceira Turma, relatado pela ministra Nancy Andrighi e julgado em 12/9/2023. Um falsário, passando-se por funcionário do banco, orientou um consumidor idoso, de 75 anos, a aumentar o limite de suas transações. Em seguida, contratou em nome dele um empréstimo de R$ 59.183,00 e, somando esse valor ao saldo da conta (R$ 8.820,80), pagou compras no cartão e quitou obrigações, majoritariamente débitos fiscais de outro ente federativo.
O acórdão registra que, nas fraudes de engenharia social, “geralmente são efetuadas diversas operações em sequência, num curto intervalo de tempo e em valores elevados” e que, por isso, as transações dos criminosos “destoam completamente do perfil do consumidor”. Logo, podem e devem ser identificadas pelo banco. A ausência de procedimento de verificação para transações atípicas é defeito do serviço.
A Terceira Turma depois lapidou esse raciocínio, e hoje há um roteiro bem definido. No REsp 2.222.059/SP (relator ministro Ricardo Villas Bôas Cueva, julgado em 8/10/2025), o STJ listou o que os sistemas antifraude devem considerar:
- as transações que fogem ao perfil do cliente ou ao seu padrão de consumo;
- o horário e o local das operações;
- o intervalo de tempo entre uma transação e outra;
- a sequência das operações realizadas;
- o meio utilizado para realizá-las;
- a contratação de empréstimos atípicos antes de pagamentos suspeitos.
Nesse caso, foram 14 operações no mesmo dia, em conta que funcionava como uma espécie de poupança, com pouquíssimas movimentações. Outro ponto relevante: o STJ aplicou o mesmo regime às instituições de pagamento, com base no art. 7º da Lei 12.865/2013. Ou seja, a fintech responde como o banco tradicional.
O entendimento foi reforçado no REsp 2.269.747/DF, julgado em sessão virtual de 8 a 14/9/2026. Uma correntista de baixa renda, cuja conta servia apenas para o cartão de crédito, teve dois empréstimos contratados no mesmo dia (R$ 4.650,00 e R$ 7.450,00), seguidos de transações incomuns. Houve ainda inscrição em cadastro negativo, e o STJ lembrou que a negativação indevida, por si só, gera dano moral presumido.
O cliente que “caiu no golpe” divide a conta?
Essa é uma das defesas mais frequentes dos bancos: a culpa concorrente. O argumento é simples. Se o cliente instalou o aplicativo, informou a senha ou fez a transferência, parte do prejuízo seria dele.
O REsp 2.220.333/DF (Terceira Turma, relator ministro Villas Bôas Cueva, 8/10/2025) enfrentou o tema no chamado “golpe da mão fantasma”, em que a vítima é induzida a instalar um aplicativo de acesso remoto com a falsa promessa de normalizar a segurança da conta. O tribunal de origem havia reconhecido culpa concorrente, reduzido a condenação por danos materiais a 50% e afastado os danos morais. O STJ reformou, por unanimidade.
O fundamento é elegante. A redução da indenização pelo grau de culpa deve ser interpretada de forma restritiva, só cabendo quando a vítima, de forma consciente, assume e potencializa o risco. Segundo o acórdão, não é razoável entender que quem instala um programa de captação dissimulada de dados, sob orientação de alguém que se diz preposto do banco, “assumiu o risco consciente de vir a sofrer danos”. O banco respondeu integralmente.
Como advogado, considero o raciocínio coerente. O golpista usa justamente a técnica que neutraliza a cautela da vítima. Cobrar dela diligência extra é ignorar como a engenharia social funciona.
Quando o banco não responde
Seria um erro ler a jurisprudência do STJ como uma garantia de reembolso. Há decisões que afastam o dever de indenizar, e vale entender por quê.
Golpe da falsa central, com culpa exclusiva da vítima
No REsp 2.209.868/SP (Terceira Turma, relator ministro Humberto Martins), a cliente, induzida por golpistas que se passavam por prepostos do banco, fez transferências via Pix e, ainda, uma transferência de R$ 28.000,00 presencialmente no caixa da agência. O tribunal paulista reconheceu culpa exclusiva da autora e de terceiros, ressaltando que ela não comunicou a situação aos funcionários mesmo estando na agência.
Aqui vai o pulo do gato: o STJ não reexaminou os fatos, por força da Súmula 7. Ele apenas constatou que, pelas premissas fixadas na origem, não havia fortuito interno, e por isso afastou a Súmula 479 e o Tema 466. Esse acórdão não diz que o golpe da falsa central isenta o banco. Diz que, naquele processo, os fatos estabelecidos pelo tribunal estadual não revelaram falha do serviço. Um detalhe de registro: o processo foi retirado de pauta em 5/5/2026 e concluído em 16/6/2026.
Golpe do leilão falso e a vítima que não é correntista
No REsp 2.124.423/SP (Terceira Turma, relatora ministra Nancy Andrighi, acórdão de 21/8/2024), a vítima pagou por um suposto leilão de veículo em uma conta aberta pelos estelionatários em banco digital. Ela não era cliente dessa instituição, e por isso o STJ afastou o raciocínio do desvio de perfil, que pressupõe um correntista cujo padrão de consumo se conhece.
O foco passou a ser a abertura da conta. O banco deve verificar e validar a identidade dos titulares, nos termos da Resolução 4.753/2019, e seguir as regras de prevenção à lavagem de dinheiro. Se comprova que cumpriu esses deveres, não há defeito. O acórdão registra ainda que o tribunal de origem não apontou elementos de que o pagamento destoasse do padrão de movimentação da conta usada no golpe.
Atenção a um dado que costuma ficar de fora dos resumos: o resultado foi 3 votos a 2. Ficaram vencidos os ministros Moura Ribeiro e Humberto Martins. Os embargos de declaração foram rejeitados por unanimidade em outubro de 2024. Não é um tema pacificado em torno de margem folgada.
Abertura de conta fraudulenta e criptoativos: a cadeia de responsáveis
Dois julgados de 2026 mostram que a pergunta passou a ser: quem prestou o serviço em que a fraude se consumou?
No AREsp 3.193.758/SP (Quarta Turma, relator ministro Raul Araújo, sessão virtual de 9 a 15/6/2026), houve transferência não autorizada entre contas do autor e abertura de conta digital sem o seu conhecimento. O STJ manteve a condenação solidária das duas instituições, reconhecendo a responsabilidade objetiva pelo risco do empreendimento. Mas o acórdão traz um alerta importante: a falha do serviço bancário, por si só, não gera dano moral automático. É preciso demonstrar que o ilícito foi além do mero aborrecimento. No caso, a indenização de R$ 5.000,00 foi mantida porque o tribunal local concluiu que os transtornos superaram o mero aborrecimento, e o STJ não podia rever essa conclusão pela Súmula 7.
No REsp 2.250.674/MG (Terceira Turma, relator ministro Villas Bôas Cueva, 8/4/2026), o STJ afirmou que as prestadoras de serviços de ativos virtuais se submetem ao CDC, por força do art. 13 da Lei 14.478/2022, e ao mesmo dever de proteção e transparência das instituições financeiras. Porém, a responsabilidade depende de delimitar qual serviço cada empresa prestou. Como a fraude ocorreu depois que o autor transferiu os ativos para uma carteira vinculada a outra plataforma, responsável pela custódia, a intermediadora não respondeu. O acórdão menciona a Resolução BCB 520/2025 e as práticas de know your client e know your transaction como parâmetros.
O que isso muda na prática?
Minha leitura do conjunto, sempre dependente do caso concreto:
- Perfil é prova. Extratos dos meses anteriores mostram o que era normal para aquela conta. Sem isso, fica difícil demonstrar que a operação destoava.
- Tempo e sequência importam. Muitas operações em curto intervalo, empréstimo recém-contratado e esvaziamento do saldo são o retrato típico do que o STJ considera sinal de alerta.
- Fintechs não são território livre. Instituições de pagamento respondem como bancos, e provedores de criptoativos seguem o CDC.
- Delimite o serviço falho. Em cadeias com mais de uma empresa, é preciso avaliar quem prestou o serviço em que a fraude se consumou.
- Dano moral exige argumento próprio. Não conte com presunção, salvo hipóteses como a negativação indevida.
Em suma, o STJ consolidou um padrão: banco que valida o que um bom sistema antifraude barraria responde pelo prejuízo. Mas o tribunal também não transformou a Súmula 479 em seguro universal contra golpes. O desfecho passa por fatos, provas e pela identificação de quem falhou.
Perguntas frequentes
O banco sempre devolve o dinheiro de um golpe virtual?
Não. A responsabilidade do banco é objetiva, mas depende de defeito na prestação do serviço, o chamado fortuito interno (Súmula 479 do STJ). Se a instituição demonstra que não houve falha ou que a culpa foi exclusiva da vítima ou de terceiro, nos termos do art. 14, § 3º, do CDC, ela não responde.
Cair no golpe significa culpa do cliente?
Não por si só. No REsp 2.220.333, o STJ afastou a culpa concorrente de vítima do golpe da mão fantasma, por entender que ela não assumiu conscientemente o risco de sofrer danos. Porém, a culpa exclusiva pode ser reconhecida quando os fatos da causa a demonstram, como ocorreu no REsp 2.209.868, julgado em junho de 2026.
A fintech responde como o banco?
Sim. O STJ aplica às instituições de pagamento o mesmo regime das instituições financeiras, com base no art. 7º da Lei 12.865/2013 e na Súmula 297. Isso foi decidido no REsp 2.222.059, em outubro de 2025, e reforçado no REsp 2.269.747, em setembro de 2026.
Todo golpe gera dano moral?
Não. Segundo o AREsp 3.193.758, a falha do serviço bancário, por si só, não gera dano moral presumido: é preciso comprovar que o ato ilícito superou o mero aborrecimento. A inscrição indevida em cadastro de inadimplentes, por outro lado, configura dano moral presumido, conforme o REsp 2.269.747.
O banco responde quando a conta do golpista foi aberta em outro banco?
Depende. No REsp 2.124.423 (golpe do leilão falso), por 3 votos a 2, o STJ afastou a responsabilidade do banco digital que comprovou ter verificado a identidade dos titulares e cumprido as regras de prevenção à lavagem de dinheiro. Já no AREsp 3.193.758, a abertura fraudulenta de conta gerou condenação solidária.
Deixe seu comentário abaixo: você já recebeu uma ligação da “falsa central” ou teve uma operação bloqueada a tempo pelo seu banco? Como foi a experiência?
Este conteúdo é meramente informativo e educativo e não substitui a análise individualizada do caso concreto.
Fontes
- STJ, notícia “Golpes virtuais, danos reais: o STJ diante das fraudes envolvendo instituições financeiras”: https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/11102026-Golpes-virtuais–danos-reais-o-STJ-diante-das-fraudes-envolvendo-instituicoes-financeiras.aspx
- Inteiro teor dos REsp 2.052.228/DF, 2.124.423/SP, 2.209.868/SP, 2.220.333/DF, 2.222.059/SP, 2.250.674/MG e 2.269.747/DF e do AREsp 3.193.758/SP.
Receba a Pauta LawGeek
Uma curadoria do que muda em Direito e Tecnologia (IA, LGPD, cripto e legaltech), explicada na prática, direto no seu e-mail.
