Segurança Digital em Bancos: Quando Há Dever de Indenizar nas Fraudes Financeiras

Panorama do problema e conceito de “dever de indenizar”

A fraude financeira digital — por meios como phishing, malware, SIM swap, engenharia social, sequestro de sessão, golpes via PIX e clonagem/roubo de credenciais — explora vulnerabilidades tecnológicas e humanas para autorizar transações não reconhecidas. Em uma relação de consumo bancária, o regime de responsabilidade é objetivo (art. 14 do CDC) e orientado pela teoria do risco do empreendimento: quem aufere lucro com o serviço assume os riscos típicos de sua atividade. No Brasil, a Súmula 297 do STJ confirma a aplicação do CDC às instituições financeiras e a Súmula 479 estabelece que respondem objetivamente por danos causados por fortuito interno, como fraudes eletrônicas vinculadas ao negócio bancário.

Assim, quando um golpe decorre de falhas razoavelmente evitáveis com controles de segurança, monitoramento, autenticação e resposta a incidentes — ou quando o banco não comprova robustamente a regularidade da autenticação —, forma-se o dever de indenizar, abrangendo restituição do valor transferido, danos materiais acessórios (juros, tarifas, negativação indevida) e, em certos casos, dano moral.

Mapeamento das fraudes e impactos jurídicos

Tipologias técnicas frequentes

• Phishing/Smishing/Vishing: captura de credenciais via links e páginas falsas ou ligações spoofadas. Gera transações autenticadas com dados subtraídos, o que não comprova vontade do correntista.
• SIM swap: portabilidade indevida do número para apropriar-se de 2FA por SMS. Exige gestão de risco conjunta entre banco e operadora.
• Malware/Keylogger e Sequestro de sessão: interceptação de tokens/cookies ou injeção de telas. Provas periciais e telemetria do dispositivo ajudam a demonstrar anomalia.
• Golpe do PIX: QR falso, mandrake de “suporte”, conta laranja, encadeamento de múltiplos PSPs para dificultar rastreio.
• Conta/Cartão por aproximação: pagamentos sem senha em sequência atípica, indício de falha de monitoramento se não houver barreiras de risco.

Indícios técnicos de anomalia que favorecem a indenização

• Dispositivo, IP e geolocalização não habituais; ASNs estrangeiros; uso de VPN/Tor na primeira autenticação.
• Sequência atípica (valores altos, horários incomuns, múltiplas transferências fracionadas).
• Queda/ausência de fatores múltiplos de autenticação prometidos em contrato.
• Telemetria inconsistente (navegador/dispositivo divergente) e logs incompletos.

Regime jurídico da responsabilidade e excludentes

Responsabilidade objetiva e fortuito interno

Nos termos do art. 14 do CDC, o fornecedor responde pelos danos causados por defeito de serviço; a instituição financeira deve demonstrar que prestou serviço adequado e seguro. A jurisprudência consolidada (v.g., Súmula 479 do STJ) considera fraudes eletrônicas fortuito interno — um risco inerente à atividade bancária —, não sendo suficiente alegar “culpa de terceiro” sem prova concreta e robusta.

Excludentes possíveis

• Culpa exclusiva do consumidor: quando o titular compartilha senha, anota códigos em local óbvio, revela token a terceiros em ligação, ignora alertas do aplicativ​o ou viola de forma patente e inequívoca o dever básico de guarda. Necessita prova específica.
• Culpa exclusiva de terceiro: por exemplo, estelionato totalmente estranho ao ambiente bancário e impossível de mitigar, sem qualquer sinalização anômala nos sistemas.
• Ausência de defeito: instituição comprova autenticação forte, consistência de IP/dispositivo/comportamento, telemetria compatível com uso habitual e inexistência de falhas de monitoramento.

Responsabilidade nas cadeias de pagamento e no PIX

PSPs, contas laranja e MED

No ecossistema PIX, os PSPs (prestadores de serviço de pagamento) operam sob regulamentação do Banco Central e respondem por controles antifraude, monitoramento e cooperação entre instituições. O Mecanismo Especial de Devolução (MED) permite a retenção/devolução de valores, quando há indícios de fraude, mediante prazos e requisitos formais. A falta de diligência em acionar o MED ou investigar contas recebedoras recorrentes em fraudes pode agravar a responsabilidade.

Corresponsabilidade e regressos

Se a fraude envolver cadeia de PSPs (banco do pagador, do recebedor e intermediários), é possível discutir responsabilidade solidária na via consumerista, com posterior ação regressiva entre instituições conforme culpa e descumprimento de deveres regulatórios/contratuais.

Direitos do consumidor lesado e estratégias processuais

Pedidos usuais

• Restituição integral do valor subtraído e desconstituição de débitos/encargos.
• Tutela de urgência para bloqueio de valores em trânsito e acionamento do MED.
• Indenização por danos morais em hipóteses de gravidade (negativação indevida, abalo relevante, vulneráveis/idosos).
• Exibição de documentos e preservação de logs para reconstrução probatória (fundamental para ônus dinâmico/inversão).

Ônus da prova e inversão

O juiz pode aplicar o ônus dinâmico ou a inversão do ônus (art. 6º, VIII, CDC), exigindo da instituição a melhor prova disponível (telemetria, trilhas de auditoria, relatórios do sistema antifraude). A simples alegação de “senha correta” não é suficiente; é preciso demonstrar a regularidade da autenticação e a ausência de anomalia.

Governança de segurança: deveres regulatórios e contratuais

Normas prudenciais e políticas de cibersegurança

O Conselho Monetário Nacional e o Banco Central exigem política de segurança cibernética, gestão de riscos operacionais, continuidade de negócios e controles para contratação de nuvem e provedores (Resolução CMN 4.893/2021, que substituiu a 4.658/2018, entre outras). Essas normas fundamentam o padrão de diligência esperado e são frequentemente invocadas em litígios. Adicionalmente, a LGPD impõe princípios de segurança e prevenção, com dever de adotar medidas técnicas e administrativas aptas a proteger dados pessoais.

Controles mínimos razoáveis

• MFA forte (biometria, push assinado, chaves FIDO) e travas para novos dispositivos.
• Behavioral analytics (risco em tempo real), limites dinâmicos e step-up de autenticação.
• Detecção de SIM swap e bloqueios preventivos; cooperação com telcos.
• Resposta a incidentes com SLA e acionamento imediato do MED.
• Jornada segura do usuário (alertas claros, antifraude no UX, educação continuada).

Prevenção do consumidor e mitigação de risco

Boas práticas do usuário

• Jamais compartilhar senhas, tokens ou autorizar acesso remoto a desconhecidos.
• Preferir biometria e alertas em tempo real; revisar limites e dispositivos confiáveis.
• Desconfiar de contatos “do banco” pedindo códigos ou atualizações urgentes; confirmar pelo canal oficial.
• Registrar BO e comunicar o banco imediatamente em suspeita de fraude.

Conclusão

Em síntese, há dever de indenizar quando a fraude resulta de defeitos do serviço ou de risco inerente não mitigado (fortuito interno). O banco precisa demonstrar autenticação legítima e segurança compatível com o estado da arte. No ecossistema do PIX, a diligência exige reação rápida (MED), cooperação entre PSPs e guarda de evidências. Ao consumidor, cabe agir prontamente, preservar provas e demandar a reparação integral quando presentes dano e nexo causal.