Uso Indevido de Cartão: Quando o Banco Deve Indenizar o Consumidor

Uso indevido de cartão por terceiros: panorama, fundamentos legais e caminhos práticos

Chamamos de uso indevido por terceiros toda transação em cartão (crédito, débito, virtual, carteira digital ou tokenizado) realizada sem a autorização válida do titular, por fraude, furto, roubo, engenharia social ou violação dos sistemas de pagamento. Embora as fraudes evoluam com a tecnologia (phishing, “SIM swap”, golpe do motoboy, spoofing de central telefônica, malware, vazamento de credenciais), o regime jurídico brasileiro para a proteção do consumidor é claro: as instituições financeiras e de pagamento respondem objetivamente pelos danos causados por fortuito interno — isto é, por riscos inerentes à sua atividade, como fraudes no processamento de transações. O Superior Tribunal de Justiça (STJ) consolidou esse entendimento na Súmula 479. Além disso, o CDC se aplica aos bancos e emissores, por força da Súmula 297 do STJ. 0

Base legal: quem responde e por quê

CDC + súmulas do STJ

• Súmula 297/STJ: o CDC aplica-se às instituições financeiras — logo, valem os princípios de transparência, boa-fé, informação adequada, inversão do ônus da prova e responsabilidade objetiva (art. 14). 2
• Súmula 479/STJ: bancos respondem objetivamente por danos de fortuito interno relativo a fraudes praticadas por terceiros em operações bancárias. 3

Prevenção de fraudes como dever regulatório

Além do CDC, normas do Banco Central impõem governança de segurança cibernética e controles antifraude para bancos e instituições de pagamento. A Resolução BCB 85/2021 disciplina políticas de segurança cibernética; a Resolução BCB 142/2021 estabelece procedimentos de prevenção de fraudes em serviços de pagamento. 4

Mapa de fraudes mais comuns e implicações jurídicas

1) Phishing / vishing / spoofing

Golpistas simulam sites/apps ou telefonemas do banco para capturar senhas, tokens e OTP. Quando tais credenciais são usadas para compras e transferências, a trilha digital (IPs, device fingerprint, geolocalização, canal, 3DS/EMV, logs) costuma indicar falhas no controle de risco/alerta. Em regra, a responsabilidade do emissor é objetiva (Súmula 479), salvo prova robusta de culpa exclusiva do consumidor — ex.: repasse deliberado de senha com inequívoca ciência do risco e quebra de dever básico de guarda (situação excepcional e controversa). 6

2) Golpe do motoboy / “falso funcionário”

Fraudadores recolhem cartão e senha sob pretexto de “substituição” ou “bloqueio urgente”. Muitos casos envolvem spoofing da central e conhecimento de dados que indicam vazamento ou engenharia social sofisticada. Tribunais frequentemente reconhecem a falha de segurança e impõem restituição, pois o banco deve coibir transações fora do perfil e oferecer canais confiáveis de verificação. 7

3) Clonagem, “skimming”, NFC e carteiras digitais

Embora os chips EMV reduzam clonagem, ainda há captura de dados e uso não autorizado, inclusive por tokenização indevida em carteiras digitais. A responsabilidade recai sobre os agentes do arranjo (emissor, adquirente, bandeira) conforme seu papel no fluxo de autorização e trilha de autenticação, sob a ótica do CDC e das regras da rede (3DS, autenticação reforçada). 8

4) Compras não reconhecidas e chargeback

O chargeback é o procedimento de contestação em cartões. Ele nasce nos arranjos de pagamento (bandeiras) e é operacionalizado pelo emissor; serve para estornar transações por fraude, erro de processamento ou desacordo comercial. Os prazos e motivos variam por rede e podem ser longos; mudanças recentes ampliaram discussões no mercado brasileiro. Para o consumidor, o relevante é: contestar junto ao emissor, reunir documentos e exigir a solução com base no CDC. 9

Deveres objetivos do banco e dos participantes do arranjo

• Autenticar o titular (3DS, biometria, OTP, análise de dispositivo e comportamento).
• Monitorar riscos e bloquear operações que destoem do perfil (horário incomum, geografia, volume, MCC, canal). 11
• Registrar trilhas de autorização (AAV/3DS, EMV data, IP, device ID) e fornecê-las em caso de disputa — dever de informação do CDC. 12
• Manter política de cibersegurança e controles antifraude (Res. BCB 85/2021 e 142/2021). 13

Passo a passo imediato para o consumidor

1) Bloqueie e documente

• Bloqueie cartão(s) e canalize tudo por um protocolo único (app/telefone/chat), anotando data, hora e nome do atendente.
• Registre BO se houver furto/roubo ou indícios de engenharia social; salve prints, e-mails e SMS (inclusive do golpista).

2) Conteste formalmente

• Abra contestação das transações não reconhecidas e exija, por escrito, a trilha técnica (canal, IP, device, autenticação) e o andamento do chargeback.
• Peça liminar de bloqueio preventivo das cobranças até a conclusão da análise, com base no CDC (prática abusiva cobrar o indevido enquanto persiste a apuração).

3) Escalone e registre

• Desfecho insatisfatório? Procure a ouvidoria (leve o número do SAC).
• Registre no consumidor.gov.br anexando documentos.
• Persistindo o dano, ajuíze no Juizado Especial Cível (até 40 salários mínimos; sem advogado até 20), pleiteando restituição e, se cabível, dano moral.

Como calcular o prejuízo e o que pode ser pedido

Prejuízo material

• Estorno integral das compras não reconhecidas (valor principal), inclusive juros/encargos incidentes por atraso decorrente da fraude.
• Reembolso de tarifas ou taxas cobradas indevidamente durante a disputa (ex.: encargos por parcelamento forçado da fatura).

Dano moral (quando é plausível)

Negativação indevida, bloqueio injustificado prolongado de limites essenciais e a manutenção de cobranças após ciência da fraude podem configurar dano moral, sobretudo quando afetam o crédito/nominal do consumidor. A quantificação depende do contexto (tempo, insistência, impacto), mas a responsabilidade se ancora na falha do serviço e no dever de mitigar o dano.

Fluxo típico do chargeback (resumo visual)

1. Titular contesta no emissor (abre-se o caso).
2. Emissor avalia logs e, se pertinente, aciona a bandeira (motivo de fraude).
3. Adquirente/lojista responde com comprovantes (comprovante EMV, 3DS, comprovante de entrega).
4. Se a prova do lojista falhar, ocorre estorno; em caso de divergência técnica, a disputa pode avançar a fases internas das redes. 15

Gráfico ilustrativo de etapas; prazos variam conforme arranjo de pagamento e regras da bandeira. 16

Quadros informativos

Linhas finas: quando pode haver discussão sobre culpa exclusiva

Há controvérsias quando a prova indica colaboração decisiva do consumidor (p.ex., entrega voluntária do cartão e senha ao golpista, mesmo após alertas explícitos; ou anotações de senha no cartão). Nesses cenários, bancos às vezes invocam culpa exclusiva. Porém, a análise deve considerar se a instituição cumpriu os deveres regulatórios e de perfilamento (bloqueio de transações anômalas, confirmação ativa, canais confiáveis). Em geral, falhas de monitoramento e de comunicação minam a tese de exclusão de responsabilidade, sobretudo diante da Súmula 479 e do dever de impedir operações fora do perfil. 18

Provas úteis e como organizá-las

• Fatura com itens, datas e canais (presencial/online).
• Prints do app e do internet banking (alertas de compra, bloqueios, mensagens).
• BO, protocolos do SAC e ouvidoria.
• E-mails/SMS da suposta central (indícios de spoofing), gravações e números discados.
• Comprovantes de que as transações destroem o perfil (geografia, horário, MCC incomum, valores atípicos).

Relação entre banco, bandeira, adquirente e lojista: quem paga a conta?

Embora o consumidor lide principalmente com o emissor, o ecossistema de cartões é composto por bandeira, adquirente e lojista. Internamente, o prejuízo é alocado conforme as regras do arranjo (padrões de autenticação, “liability shift”, prova de EMV/3DS, políticas antifraude). Em julgados recentes, o lojista tem sido responsabilizado quando deixa de observar cautelas mínimas ao aceitar transações que depois originam chargeback. Para o titular, isso é irrelevante: ele pode exigir solução do emissor, e o reequilíbrio entre os participantes é tema interno. 19

Boas práticas para reduzir risco futuro

• Ative notificações em tempo real e biometria no app do banco.
• Nunca entregue cartão/senha a terceiros; bancos não recolhem cartão por motoboy.
• Desconfie de ligações/SMS pedindo OTP; confirme no canal oficial.
• Prefira cartões virtuais para compras on-line e limites separados.
• Use carteiras digitais com tokenização e autenticação forte.
• Revise faturas semanalmente; quanto mais cedo a contestação, melhor o desfecho do chargeback.

Conclusão

O sistema brasileiro oferece proteção robusta ao titular de cartão em casos de uso indevido por terceiros. A combinação de CDC (aplicável aos bancos; Súmula 297) e da Súmula 479 (responsabilidade objetiva por fortuito interno) sustenta a reparação do consumidor e incentiva controles antifraude eficazes. Normas do Banco Central (Res. BCB 85/2021 e 142/2021) exigem políticas de segurança e prevenção, ao passo que a jurisprudência recente reforça o dever de bloquear transações fora do perfil. Ao consumidor, cabem medidas rápidas: bloquear, contestar, escalonar e guardar prova. Aos emissores e demais agentes do arranjo, impõe-se governança técnica, transparência e solução célere. Com esses pilares, casos de fraude deixam de ser tragédias pessoais e passam a ser incidentes controláveis, resolvidos com eficiência, justiça e previsibilidade. 20

Guia Rápido — Uso Indevido de Cartão por Terceiros: Responsabilidade e Ações Imediatas

Quando um consumidor descobre compras ou saques realizados em seu cartão de crédito ou débito que não reconhece, o primeiro passo é entender que isso caracteriza uso indevido por terceiros. A legislação brasileira, amparada pelo Código de Defesa do Consumidor (CDC) e pela Súmula 479 do STJ, estabelece que bancos e emissores respondem objetivamente por fraudes e falhas de segurança — ou seja, devem reparar o dano mesmo que o golpe tenha sido cometido por terceiros.

1. O que é o fortuito interno e por que isso importa

No direito do consumidor, o chamado fortuito interno é qualquer risco que decorre da própria atividade empresarial. No caso dos bancos, isso inclui fraudes, clonagens, vazamentos de dados e falhas de autenticação. Por isso, o uso indevido do cartão não é considerado um acidente imprevisível: faz parte do risco do negócio, e o consumidor não pode ser responsabilizado.

O STJ firmou esse entendimento na Súmula 479: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

2. Ações imediatas do consumidor

• Bloqueie o cartão e comunique o banco imediatamente. Solicite novo plástico e anote o número do protocolo.
• Conteste as transações formalmente (por aplicativo, telefone ou agência). O banco deve abrir uma investigação e fornecer comprovantes da origem das compras.
• Registre boletim de ocorrência (BO), especialmente em casos de furto, perda ou golpe de engenharia social.
• Guarde todos os comprovantes de comunicação, faturas e protocolos.

3. Responsabilidade objetiva e dever de segurança

De acordo com o artigo 14 do CDC, o fornecedor responde independentemente de culpa pelos danos causados ao consumidor em decorrência de falhas na prestação do serviço. Isso inclui transações fraudulentas, clonagens e movimentações que destoam do padrão habitual de uso do cliente. O banco tem obrigação de:

• Manter mecanismos antifraude capazes de detectar transações atípicas;
• Garantir comunicação eficaz e canais de bloqueio rápidos;
• Oferecer reembolso em tempo razoável caso não prove a culpa do consumidor.

4. Situações comuns e como agir

• Cartão clonado: o banco deve restituir os valores e cancelar cobranças.
• Golpe do motoboy ou da central falsa: mesmo que o cliente tenha entregado o cartão acreditando falar com o banco, há falha de segurança institucional e o banco é responsável.
• Phishing ou SMS falso: se a fraude decorre de falha de autenticação ou engenharia social previsível, também há responsabilidade da instituição.

5. Caminhos para reparação

Se o banco não resolver a contestação:

• Acione a ouvidoria e registre o número do protocolo;
• Registre queixa no site consumidor.gov.br;
• Se persistir o problema, procure o Procon ou o Juizado Especial Cível (até 40 salários mínimos). É possível pedir restituição em dobro e indenização moral, conforme os arts. 42 e 14 do CDC.

O consumidor também pode pedir que o banco apresente a trilha técnica da transação (IP, dispositivo, geolocalização, autenticação), pois o ônus da prova é invertido em favor do cliente, conforme o art. 6º, VIII, do CDC.

Mensagem-chave do guia

Fraudes de cartão são cada vez mais sofisticadas, mas o direito do consumidor é claro: quem responde é o banco. A negligência, a falta de monitoramento e o desrespeito ao perfil do cliente configuram falha na prestação de serviço. O consumidor deve agir com agilidade, guardar provas e recorrer aos canais corretos — e, se necessário, à Justiça — para obter reparação integral e impedir novos prejuízos.

FAQ — Uso Indevido de Cartão por Terceiros

Referências Jurídicas e Fundamentação Técnica

1. Base normativa aplicável

• Lei nº 8.078/1990 – Código de Defesa do Consumidor (CDC): garante ao consumidor o direito à segurança, à informação e à reparação integral de danos decorrentes de falha na prestação de serviços. O artigo 14 estabelece a responsabilidade objetiva do fornecedor, independentemente de culpa, quando há defeito na segurança do serviço.
• Artigo 6º, VIII, do CDC: assegura a inversão do ônus da prova em favor do consumidor, impondo ao banco demonstrar que a transação foi legítima e segura.
• Artigo 42, parágrafo único, do CDC: determina que o consumidor cobrado indevidamente tem direito à restituição em dobro do valor pago.
• Súmula 297 do STJ: “O Código de Defesa do Consumidor é aplicável às instituições financeiras.” Essa súmula vincula bancos e operadoras de cartão às regras de proteção ao consumidor.
• Súmula 479 do STJ: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros.” Essa é a base para a responsabilização automática do banco em casos de fraude.

2. Normas do Banco Central e resoluções complementares

• Resolução BCB nº 85/2021: estabelece políticas de segurança cibernética e define diretrizes para prevenção de incidentes e tratamento de dados sensíveis em instituições financeiras.
• Resolução BCB nº 142/2021: impõe às instituições de pagamento a adoção de mecanismos de autenticação forte, análise de risco e monitoramento contínuo de transações, justamente para evitar o uso indevido de cartões e transferências não autorizadas.
• Circular nº 3.681/2013 (BACEN): reforça que os bancos devem manter controles internos eficazes e procedimentos para detecção de irregularidades, especialmente em transações eletrônicas.

3. Entendimento consolidado nos tribunais

• STJ – REsp 1.899.304/SP (2021): reconhece que transações fora do perfil do cliente configuram falha de segurança, impondo ao banco o dever de indenizar e restituir os valores indevidos.
• STJ – AgInt no AREsp 1.731.927/SC (2020): reafirma que golpes de engenharia social, mesmo quando envolvem manipulação do consumidor, são de responsabilidade da instituição financeira se houve deficiência nos mecanismos de autenticação.
• STJ – REsp 1.899.304/DF: determina que o banco deve indenizar sempre que a fraude decorre de falha previsível ou controlável dentro do sistema bancário.
• STF – Tema 590 de Repercussão Geral: reafirma a constitucionalidade da aplicação do CDC às instituições financeiras.

4. Responsabilidade e reparação ao consumidor

• O banco deve reembolsar integralmente os valores debitados em decorrência de uso indevido.
• Se houver cobrança indevida, o consumidor tem direito à restituição em dobro (art. 42, parágrafo único, CDC).
• Nos casos de negativação indevida ou constrangimento, cabe dano moral presumido.
• O consumidor pode ingressar no Juizado Especial Cível e requerer indenização até o limite de 40 salários mínimos, sem necessidade de advogado até 20 salários.

5. Encerramento Técnico

O conjunto normativo brasileiro é claro ao determinar que o risco das operações financeiras não pode ser transferido ao consumidor. A jurisprudência pacificada do STJ e as diretrizes do Banco Central reforçam o dever de vigilância das instituições, que devem atuar preventivamente e corrigir de forma célere qualquer fraude detectada. A negligência na proteção dos dados e transações do cliente constitui falha na prestação de serviço, ensejando não apenas a restituição dos valores, mas também compensação moral pelos danos causados. Em síntese, o consumidor lesado por uso indevido de cartão tem respaldo legal sólido para exigir reparação integral e imediata.