Golpes digitais: STJ distingue falha de segurança do banco e fraude sem nexo com o serviço

O Superior Tribunal de Justiça (STJ) reuniu, em publicação de 11 de outubro, decisões que delimitam quando bancos respondem por golpes digitais. O ponto central é a relação entre o prejuízo e a segurança do serviço: autorizar operações suspeitas pode caracterizar falha bancária, enquanto uma fraude sem esse vínculo não gera indenização automática.

Entre os casos apresentados está o Recurso Especial (REsp) 2.269.747, julgado pela Terceira Turma em setembro de 2026. O tribunal destacou que validar movimentações suspeitas e diferentes do perfil do correntista evidencia defeito do serviço. Valores, frequência e sequência das operações ajudam a identificar essa incompatibilidade.

A base jurídica está no artigo 14 do Código de Defesa do Consumidor (CDC). A responsabilidade objetiva dispensa provar culpa do fornecedor, mas exige dano decorrente de defeito do serviço. A segurança que o consumidor pode esperar integra essa avaliação. O banco pode afastar a responsabilidade se provar inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.

No REsp 2.209.868, relatado pelo ministro Humberto Martins, a Terceira Turma manteve a rejeição de indenização a uma cliente. Após ligação de falsos funcionários, ela fez dois Pix e, no dia seguinte, foi à agência transferir R$ 28 mil. O Tribunal de Justiça de São Paulo considerou as transferências compatíveis com seu histórico e não reconheceu falha bancária.

O STJ preservou essa conclusão porque modificá-la exigiria reexaminar as provas, o que a Súmula 7 impede no recurso especial. Esse recurso examina questões de direito federal; não funciona como nova oportunidade de reconstruir todos os fatos do processo.

O chamado fortuito interno é a fraude ligada ao risco da própria atividade bancária. Naquele caso, o relator entendeu que o quadro factual reconhecido na origem afastava esse vínculo. Assim, a existência de um golpe e a participação do cliente em transferências não substituem a análise concreta da segurança do serviço.

A publicação também apresenta o REsp 2.220.333, sobre uma cliente induzida a instalar aplicativo de acesso remoto. O STJ afastou a divisão dos prejuízos: ser enganada não significava assumir conscientemente o risco. Culpa concorrente, que permite repartir a reparação, exige avaliação da conduta e de sua contribuição para o dano.

Os precedentes tratam de situações distintas. A comparação mostra a importância da prova sobre o padrão de movimentação, os controles de segurança e o vínculo entre o serviço e o prejuízo. A reunião divulgada neste domingo apresenta esses entendimentos; não corresponde a um julgamento único de todos os casos.