A Terceira Turma do Superior Tribunal de Justiça decidiu, por unanimidade, que a responsabilidade dos bancos pelos prejuízos do chamado golpe da falsa central de atendimento não é automática. No julgamento do REsp 2.209.868, de relatoria do ministro Humberto Martins, com acórdão publicado em 24/06/2026 e decisão noticiada pelo tribunal em 15/07/2026, o colegiado manteve o entendimento do Tribunal de Justiça de São Paulo que negou indenização a uma cliente vítima da fraude. A responsabilização depende da demonstração de falha na prestação do serviço, como a não identificação de operações incompatíveis com o perfil do cliente ou a insuficiência dos mecanismos de segurança.
O caso julgado pelo STJ
A consumidora recebeu uma ligação de número com prefixo 0800, supostamente da central de segurança do banco. Os golpistas mencionaram dados pessoais e alertaram para uma suposta tentativa de compra na conta. Seguindo as orientações para “proteger” o patrimônio, ela fez duas transferências via Pix, de R$ 2.490,99 e R$ 1.000. No dia seguinte, compareceu pessoalmente a uma agência e transferiu R$ 28 mil para a conta indicada pelos criminosos, sem buscar esclarecimento com os funcionários sobre a ligação que havia recebido.
Para o TJSP, as transferências por Pix não destoavam do histórico de movimentação da conta, e a operação de maior valor foi feita presencialmente pela própria vítima. Diante dessas premissas, o STJ concluiu que não houve defeito do serviço, mas culpa exclusiva da vítima e de terceiros, hipótese que rompe o nexo causal e afasta o dever de indenizar, nos termos do art. 14, § 3º, II, do Código de Defesa do Consumidor. Rever essa conclusão exigiria reexame de provas, o que a Súmula 7 veda em recurso especial.
Por que a Súmula 479 não foi aplicada
A Súmula 479 do STJ atribui às instituições financeiras responsabilidade objetiva por fraudes praticadas por terceiros no âmbito das operações bancárias, na linha do Tema 466 dos recursos repetitivos. O relator destacou, porém, que essa responsabilidade pressupõe que o evento seja inerente ao serviço bancário prestado, configurando o que a jurisprudência chama de fortuito interno. No caso concreto, as transações não tiveram participação direta do banco, e a atuação dos fraudadores, somada à conduta da própria vítima, rompeu essa ligação. Em outras palavras: a jurisprudência protetiva continua de pé, mas não se aplica de forma automática a todo e qualquer golpe.
Quando o banco continua obrigado a indenizar
A decisão de 2026 não deixa o consumidor desamparado. Em decisão noticiada em 21/10/2025, a mesma Terceira Turma, em julgados relatados pelo ministro Ricardo Villas Bôas Cueva (REsps 2.222.059 e 2.229.519), definiu que bancos e instituições de pagamento devem indenizar clientes quando houver falha na proteção de dados ou na identificação de transações suspeitas. Num dos casos, o correntista que fazia pouquíssimas movimentações mensais sofreu catorze transações num único dia, além de empréstimo atípico contratado na sequência, e o tribunal reconheceu o defeito do serviço. Os sistemas antifraude devem ser capazes de detectar operações que fujam do perfil habitual do cliente, considerando valor, horário, local, intervalo entre uma operação e outra e a contratação de empréstimos incomuns imediatamente antes de pagamentos suspeitos. Esse dever alcança também as instituições de pagamento, por força do art. 7º da Lei 12.865/2013.
Em decisão noticiada em 13/11/2025, o mesmo colegiado foi além: havendo falha de segurança do banco, não cabe sequer alegar culpa concorrente do consumidor para dividir o prejuízo (REsp 2.220.333). Na hipótese, a vítima do golpe do acesso remoto, induzida a instalar um aplicativo falso, teve empréstimo de R$ 45 mil contratado em seu nome e movimentações totalmente incompatíveis com o perfil da conta. O STJ determinou o ressarcimento integral, porque a culpa concorrente exige que a vítima tenha assumido conscientemente algum risco, o que não se verifica em quem age enganado por fraudador.
O que separa a indenização da negativa
Lidas em conjunto, as decisões traçam uma linha divisória. O banco responde quando o golpe passa pelos seus próprios filtros, com a validação de operações que o sistema de segurança tinha o dever de identificar e barrar; e deixa de responder quando as transações se mostram compatíveis com o perfil do cliente e a fraude se consuma por atos praticados fora do alcance da instituição. Por isso a prova é decisiva. O histórico de movimentação da conta, os extratos do período, os protocolos das reclamações feitas ao banco, o boletim de ocorrência e o registro das ligações ou mensagens recebidas ajudam a demonstrar de que lado dessa linha o caso concreto está.
Cada situação tem contornos próprios, e o resultado depende do exame das provas e das circunstâncias específicas. Se você passou por situação parecida e quer entender como essas decisões se aplicam ao seu caso, convidamos para uma conversa inicial sobre o tema: fale com o escritório pelo WhatsApp.
