Ao longo de anos acompanhando a temática envolvendo a responsabilização de bancos por golpes online e fraudes digitais, pude perceber a mudança do entendimento jurisprudencial, que é refletida também na evolução de julgados no Superior Tribunal de Justiça.
Ações judiciais envolvendo golpes bancários normalmente orbitavam em torno da dúvida técnica ligada às provas de que o cliente autorizou ou não a transação, fornecendo senhas, códigos e credenciais de acesso.
Quando a resposta era positiva, muitos consumidores acreditavam que não havia mais o que discutir, já que a narrativa era a de que a utilização de credenciais pessoais seria suficiente para afastar a responsabilidade da instituição financeira.
A evolução da jurisprudência do Superior Tribunal de Justiça, entretanto, demonstra que essa análise se tornou muito mais sofisticada e outros detalhes devem ser sopesados, sendo que atualmente a discussão vai muito além da utilização de senhas ou da realização da operação pelo próprio consumidor.
Recentes julgados de inúmeras Câmaras de Direito Privado e do STJ não consideram somente a “aprovação da transação” como critério único para afastar a responsabilidade bancária. Pelo contrário, o que deve ser averiguado é se os mecanismos de segurança do banco eram capazes de identificar que determinada movimentação era incompatível com o perfil de um cliente.
Essa mudança representa um dos avanços mais importantes da jurisprudência recente sobre fraudes eletrônicas, como podemos verificar.
O primeiro marco: o REsp 2.052.228/DF
Em outubro de 2023, a Terceira Turma do Superior Tribunal de Justiça, sob relatoria da Ministra Nancy Andrighi, julgou o REsp 2.052.228/DF, envolvendo um golpe praticado mediante falsa central de atendimento.
No caso concreto, consumidores idosos foram convencidos por um criminoso, que se passou por funcionário da instituição financeira, a aumentar o limite operacional de sua conta em um terminal eletrônico. Isso mesmo, os consumidores foram até o caixa eletrônico e procederam à execução das instruções dos golpistas.
Na sequência, foram contratados empréstimos e realizadas diversas movimentações que consumiram praticamente todo o patrimônio disponível.
O Tribunal de origem havia entendido que a responsabilidade seria exclusivamente das vítimas, porém o STJ reformou essa conclusão, sendo que a Ministra Nancy Andrighi reafirmou que as instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes inseridas no risco da atividade, conforme a Súmula 479 do STJ e o Tema Repetitivo 466.
Mais importante do que isso, destacou que o dever de segurança das instituições financeiras não se limita à proteção das credenciais de acesso, mas sim ao dever de desenvolver mecanismos capazes de identificar e impedir movimentações financeiras incompatíveis com o histórico operacional do consumidor.
Segundo a decisão, a ausência de procedimentos destinados à verificação e aprovação de operações que aparentem ilegalidade caracteriza defeito na prestação do serviço.
O reforço da tese: REsp 2.276.330/SP
Essa orientação foi reafirmada em julho de 2026, no julgamento do REsp 2.276.330/SP, novamente sob relatoria da Ministra Nancy Andrighi.
O caso envolvia um consumidor que teve seu celular furtado e, na sequência, criminosos contrataram um empréstimo de aproximadamente R$ 60 mil, realizaram transferências e efetuaram pagamentos utilizando os aplicativos bancários.
O Tribunal de Justiça havia afastado a responsabilidade da instituição financeira por entender que as operações ocorreram mediante aparelho previamente cadastrado e utilização das credenciais do consumidor.
O STJ, entretanto, restabeleceu a sentença condenatória. Para a relatora, não bastava afirmar que as operações ocorreram utilizando credenciais válidas, mas cabia à instituição financeira demonstrar que possuía mecanismos eficazes para monitorar, identificar e impedir operações manifestamente incompatíveis com o perfil do cliente.
A decisão reafirma um ponto extremamente importante para a prática forense: a utilização de senha, biometria ou aparelho cadastrado não encerra automaticamente a discussão acerca da responsabilidade da instituição financeira em casos de golpes do PIX, fraudes online e crimes cibernéticos.
Como visto, o exame passa necessariamente pela efetividade dos mecanismos internos de prevenção à fraude.
O contraponto: REsp 2.209.868/SP
A evolução jurisprudencial, entretanto, não significa que toda fraude gera automaticamente responsabilidade do banco, já que o próprio STJ demonstrou isso no julgamento do REsp 2.209.868/SP, relatado pelo Ministro Humberto Martins.
O processo envolvia o conhecido golpe da falsa central de atendimento, no qual o Tribunal de origem concluiu que não havia sido demonstrada falha na prestação do serviço nem a ocorrência de fortuito interno.
Ao apreciar o recurso especial, o STJ manteve essa conclusão, não porque tenha afastado a importância do monitoramento comportamental, mas porque eventual alteração desse entendimento exigiria reexame das provas produzidas no processo, providência vedada pela Súmula 7 do STJ. Nesse caso, não ficou provado que as transações que desfalcaram a vítima eram atípicas.
A decisão evidencia um aspecto muitas vezes ignorado pelos profissionais que atuam nessa área: o sucesso da demanda depende diretamente da qualidade da prova produzida, sendo necessário demonstrar tecnicamente que a operação possuía características capazes de despertar alertas nos sistemas antifraude da instituição financeira ou mesmo que a instituição falhou com controles preventivos e reativos que deveriam funcionar.
Afinal, o que caracteriza uma operação fora do perfil?
Embora cada instituição financeira utilize modelos próprios de análise de risco, os modernos sistemas antifraude normalmente realizam avaliações comportamentais envolvendo diversos fatores simultaneamente.
Entre eles destacam-se:
- histórico financeiro do cliente;
- padrão habitual de movimentações;
- valor das operações;
- velocidade entre transações sucessivas;
- frequência das movimentações;
- contratação repentina de empréstimos;
- inclusão de novos favorecidos;
- alteração do dispositivo utilizado (Device ID);
- troca recente de aparelho celular;
- endereço IP;
- geolocalização;
- tipo de autenticação utilizada;
- horário da operação;
- rede utilizada (Wi-Fi habitual, nova rede ou conexão móvel);
- padrão de navegação dentro do aplicativo;
- análise de risco comportamental (behavioral analytics).
Esses elementos permitem que os sistemas identifiquem movimentações incompatíveis com o comportamento histórico daquele consumidor.
Quando as operações apresentam elevado grau de risco, espera-se da instituição financeira a adoção de medidas adicionais de confirmação, autenticação reforçada ou mesmo bloqueio preventivo da transação, ainda que para confirmação.
É exatamente esse dever de segurança que vem sendo reiteradamente valorizado pelo Superior Tribunal de Justiça e que deve ser o entendimento predominante na segunda instância brasileira.
A crescente importância da perícia técnica
Essa evolução da jurisprudência produz reflexos diretos na atuação de advogados, pois grande parte dessas informações que comprovam a atipicidade de transações não está disponível ao consumidor.
Muitas vezes sequer são espontaneamente apresentadas pela instituição financeira, que omite registros internos que aclarariam ainda mais suas vulnerabilidades, mesmo que solicitados por peritos forenses.
Sem conhecimento técnico, diversos advogados perdem oportunidades, pois deixam de requerer registros fundamentais, como:
- logs de autenticação;
- identificação do dispositivo utilizado;
- histórico de dispositivos cadastrados;
- registros de geolocalização;
- endereço IP;
- trilhas de auditoria;
- eventos de autenticação;
- alertas emitidos pelos sistemas antifraude;
- score de risco atribuído à operação;
- regras aplicadas pelo motor antifraude;
- histórico de validações e bloqueios automáticos.
Esses elementos podem ser determinantes para demonstrar se o banco efetivamente cumpriu seu dever de segurança ou se falhou, e é justamente nesse cenário que a atuação do assistente técnico especializado em provas digitais ganha protagonismo.
Mais do que analisar documentos já produzidos, o assistente técnico auxilia na definição da estratégia probatória, na formulação de quesitos, na identificação dos registros que devem ser preservados, no acompanhamento dos exames do perito do juízo e na interpretação dos elementos técnicos apresentados pela instituição financeira.
Em muitos processos, é exatamente essa atuação que permite transformar informações técnicas em provas compreensíveis para o magistrado.
Conclusão
A evolução dos julgamentos do STJ demonstra que as ações envolvendo fraudes bancárias deixaram de ser discussões centradas exclusivamente na conduta da vítima.
O foco desloca-se, cada vez mais, para a efetividade dos mecanismos de prevenção à fraude implementados pelas instituições financeiras, que detêm recursos, controles técnicos e devem seguir boas práticas de segurança da informação ao oferecer seus serviços.
Os precedentes do REsp 2.052.228/DF, do REsp 2.276.330/SP e do REsp 2.209.868/SP revelam que a responsabilidade do banco dependerá, em grande medida, da demonstração técnica de que a operação efetivamente destoava do perfil do consumidor e de que a instituição possuía (ou não) mecanismos capazes de identificá-la.
Nesse contexto, a prova técnica deixa de ser um elemento acessório para assumir papel central na solução desses litígios. Para advogados que atuam nessa área, compreender os sistemas de monitoramento comportamental e contar com o apoio de assistentes técnicos especializados pode ser a diferença entre uma tese baseada em alegações e uma demanda sustentada por evidências técnicas robustas.
