O roteiro é sempre parecido. Alguém liga, diz que é do banco, informa que detectou uma movimentação suspeita, pede confirmação de dados ou convence a vítima a autorizar uma operação, e pronto: o dinheiro vai embora. O golpe do falso atendimento bancário é um dos mais aplicados no Brasil hoje, e também um dos que mais chegam ao Judiciário com pedidos de indenização contra as instituições financeiras.
A 3ª Turma do Superior Tribunal de Justiça acabou de reafirmar uma posição que vem sendo construída há alguns anos: quando o golpe é executado por pessoas de fora do banco, usando mensagens e ligações falsas para enganar o consumidor, o banco não tem responsabilidade pelo prejuízo. Uma correntista que caiu nessa situação teve seu recurso especial negado. A decisão não é inédita em seu conteúdo, mas o fato de o STJ continuar reafirmando sinaliza que essa tese está se fechando como posição da corte.
A lógica que o STJ usou pra chegar lá
O Código de Defesa do Consumidor impõe responsabilidade objetiva aos fornecedores de serviço. Isso significa que, em regra, o banco responde pelos danos causados por defeito no serviço sem precisar que o consumidor prove culpa. Até aqui, nada de surpreendente.
O ponto é que o CDC tem uma exceção expressa: quando o dano é causado exclusivamente por culpa de terceiro, o fornecedor se livra da responsabilidade. É exatamente essa exceção que o STJ aplicou. O fraudador que ligou fingindo ser funcionário do banco não é um agente da instituição. Ele é um terceiro totalmente alheio à relação contratual. O banco não falhou no serviço que presta. Quem falhou foi um criminoso de fora.
Nossa leitura: a decisão é tecnicamente consistente. O nexo de causalidade entre a conduta do banco e o dano simplesmente não existe quando o veículo do golpe é a engenharia social praticada por terceiros. Não dá para imputar ao banco o fato de um estelionatário ter sido convincente ao telefone.
Quando o banco SIM responde, e a diferença importa
Essa distinção é fundamental para quem está pensando em ajuizar ação ou orientar alguém que foi vítima. Há situações em que a responsabilidade do banco é clara e tem amparo em jurisprudência consolidada:
- Sistemas próprios da instituição foram comprometidos: invasão de aplicativo, vazamento de dados de dentro do banco, clonagem de cartão por falha de segurança interna.
- Autenticação negligente: o banco aprovou transações sem seguir seus próprios protocolos de segurança, como validação em dois fatores ou análise de comportamento atípico.
- Transações atípicas sem bloqueio ou alerta: movimentação fora do padrão do cliente, transferências em horários incomuns ou valores anormais processados sem qualquer freio.
- Phishing com uso de canais oficiais adulterados: o consumidor foi induzido por dentro do aplicativo real ou recebeu comunicação via sistema do banco que foi comprometido.
Nesses casos, o argumento de "culpa exclusiva de terceiro" não se sustenta, porque a falha passa a ser do próprio serviço prestado. A jurisprudência, incluindo do STJ, tende a responsabilizar o banco quando o rastreamento aponta para a negligência interna.
Engenharia social não é defeito do serviço bancário
O ponto mais sensível aqui é o seguinte: o golpe do falso atendimento depende de a vítima acreditar no fraudador e fornecer informações ou autorizar operações voluntariamente. O banco não induziu isso. Um terceiro induziu.
Isso não significa que a vítima "merece" o prejuízo. Significa que, juridicamente, a cadeia causal começa e termina no criminoso. Falando sério: há quem discorde dessa posição, e existem decisões de primeira e segunda instâncias que às vezes responsabilizam o banco mesmo nesses casos, sobretudo quando a vítima é idosa ou demonstradamente vulnerável. Mas o STJ, como corte uniformizadora, está sinalizando qual é o caminho correto e vinculando os tribunais estaduais a seguir.
A variável da vulnerabilidade real do consumidor ainda pode ser explorada em casos específicos, principalmente quando há indícios de que o criminoso teve acesso a dados que só poderiam ter vazado de dentro da instituição. Esse é o ponto de virada que transforma um caso perdido em um caso com chance real.
O que fazer na próxima semana se isso afeta você ou seu cliente
Se você é empresário com contas corporativas, ou tem funcionários com acesso a contas da empresa, estas ações concretas valem mais do que qualquer ação judicial preventiva:
- Mapear todos os acessos bancários da empresa: quem tem senha, quem pode autorizar transferências, qual o limite por operação. Esse mapeamento reduz a superfície de ataque antes que qualquer golpe aconteça.
- Implementar dupla aprovação para transferências acima de um valor-limite: a maioria dos bancos corporativos já oferece essa funcionalidade sem custo adicional. Não usar é exposição desnecessária.
- Treinar a equipe financeira: um funcionário que sabe que banco legítimo nunca pede senha por telefone ou WhatsApp é mais eficaz do que qualquer apólice de seguro cibernético.
- Documentar imediatamente em caso de golpe: boletim de ocorrência, prints de todas as comunicações recebidas, extrato completo da movimentação. Se houver qualquer indício de falha dos controles internos do banco, essa documentação é o que sustenta a ação.
Na prática: a janela para reverter uma transferência fraudulenta é de horas, não de dias. O Mecanismo Especial de Devolução (MED) do Pix existe exatamente para isso e tem prazo de 7 dias corridos a partir da transação suspeita para ser acionado junto ao banco. Esse prazo passa rápido e pouquíssimas vítimas sabem que ele existe.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
