Fraude bancária: responsabilidade depende da falha de segurança demonstrada

Fraude bancária não se resolve apenas com a pergunta “o banco tem responsabilidade?”. Antes é preciso reconstruir como o dinheiro saiu, quais controles foram superados, quando o cliente percebeu e o que a instituição fez depois da comunicação. Essa cronologia diferencia uma operação autenticada normalmente de uma movimentação incompatível com o perfil, um golpe de engenharia social ou uma invasão de conta.

O STJ consolidou na Súmula 479 a responsabilidade objetiva das instituições financeiras por danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. A súmula, porém, não elimina a análise do nexo causal, da dinâmica da fraude e de eventual comportamento do próprio consumidor.

O tipo de fraude muda a prova

“Golpe” reúne situações tecnicamente diferentes. Há transferência Pix induzida por falso atendente, acesso indevido ao aplicativo, contratação de empréstimo não reconhecido, troca de dispositivo, cartão utilizado por terceiro, boleto adulterado e fraude praticada dentro de marketplace.

Para cada uma, a prova relevante muda. Em acesso indevido, podem importar dispositivo, IP, autenticação e mudança cadastral; em operação induzida, ganham peso a sequência de contatos, o destinatário e os alertas apresentados; em empréstimo fraudulento, contratação, biometria, liberação e destino dos valores entram no centro da discussão.

Por isso, registrar apenas um boletim de ocorrência raramente basta para explicar a falha alegada. O BO documenta a notícia do fato; ele não substitui extratos, comprovantes, protocolos, telas do aplicativo, mensagens e registros técnicos.

Pix exige reação rápida, mas o MED não é garantia de devolução

O Banco Central mantém o Mecanismo Especial de Devolução — MED para hipóteses de fraude, golpe ou crime envolvendo Pix. A orientação oficial atual informa que o pedido deve ser registrado na instituição em até 80 dias da transação. Isso é um canal de tentativa de recuperação, não uma promessa de restituição.

A rapidez importa porque valores podem ser transferidos novamente ou sacados. Assim que o golpe é percebido, a sequência operacional tende a ser: comunicar imediatamente a instituição, acionar o mecanismo disponível no aplicativo ou atendimento, preservar protocolos e formalizar a ocorrência. O pedido judicial, se necessário, vem depois; a preservação da trilha financeira começa antes.

A discussão jurídica está na falha do serviço

O Código de Defesa do Consumidor disciplina a responsabilidade dos fornecedores por defeitos na prestação de serviços. Em fraude bancária, a questão concreta costuma ser se os mecanismos de segurança, autenticação, monitoramento e resposta funcionaram de modo compatível com o risco da atividade e com a movimentação realizada.

Uma transação de valor atípico, em novo dispositivo e seguida de outras alterações cadastrais pode apresentar quadro distinto de uma transferência habitual feita pelo próprio titular depois de conversa com golpista. Não se deve concluir culpa automática em nenhuma direção: é preciso confrontar o padrão da conta, as barreiras de segurança e a sequência exata dos fatos.

Isso também evita duplicar a página de golpe digital, que cuida da identificação da cadeia técnica em sentido amplo. Aqui o foco é a posição da instituição financeira e a segurança do serviço bancário.

O banco também produz prova relevante

Parte dos dados decisivos normalmente está sob controle da instituição: logs de acesso, dispositivo utilizado, método de autenticação, alertas de risco, alteração de limite, cadastro de favorecido e análise antifraude. O CPC admite instrumentos para requerer exibição e produção de prova quando necessário, mas o pedido precisa ser delimitado; “juntar todos os logs” sem explicar o fato que se pretende demonstrar tende a ser pouco eficiente.

Do lado do cliente, a organização deve incluir:

• extrato completo do período, não só a linha da fraude;
• comprovantes com identificadores da operação;
• protocolos de bloqueio e contestação;
• mensagens, números e perfis usados pelo fraudador;
• horário em que a fraude foi descoberta e comunicada;
• telas do MED ou da contestação;
• eventual empréstimo ou alteração cadastral associada.

O dano precisa ser separado da transação

A saída do valor é o primeiro prejuízo, mas o caso pode envolver outros efeitos: encargos de empréstimo fraudulento, bloqueio da conta, negativação, indisponibilidade de capital ou despesas para recompor a situação. Cada consequência deve ser provada em sua própria trilha.

Essa separação também impede transformar dano moral em consequência automática de qualquer fraude. A página de dano moral trata justamente da necessidade de analisar repercussão concreta, e dano material mostra como demonstrar perdas patrimoniais além de estimativas.

Uma análise robusta de fraude bancária termina com quatro colunas: transação → mecanismo de segurança → reação após a ciência → dano comprovado. É essa reconstrução, e não o rótulo “fui vítima de golpe”, que permite discutir responsabilidade com precisão.

Um detalhe que costuma separar casos fortes de narrativas frágeis é o comportamento imediatamente anterior à operação. Houve aumento de limite no mesmo dia? cadastro de novo dispositivo? sequência de transações fora do padrão? contato telefônico atribuído ao banco? Essas informações ajudam a testar se a instituição possuía sinais objetivos de risco e quais barreiras efetivamente foram acionadas. Não é necessário presumir que todo comportamento atípico deveria ter sido bloqueado; é necessário demonstrar por que, naquele contexto, o mecanismo de prevenção é juridicamente discutido.

Também convém separar recuperação de valores de reconhecimento de responsabilidade. O MED pode localizar recursos sem decidir quem responde civilmente; inversamente, a inexistência de saldo recuperável não encerra a discussão sobre eventual falha de segurança.