GOLPES BANCÁRIOS POR TELEFONE, WHATSAPP E PIX. ANÁLISE DO STJ E A RESPONSABILIDADE DOS BANCOS - SÚMULA 479 STJ

Introdução

Poucos temas têm gerado tantos debates no Direito Bancário contemporâneo quanto a responsabilidade das instituições financeiras pelos prejuízos decorrentes de golpes praticados por terceiros.

A popularização do Pix, o crescimento das transações digitais e a sofisticação dos mecanismos de fraude fizeram surgir uma nova categoria de ilícitos: os chamados golpes de engenharia social.

O Golpe de Engenharia Social não é aquele em que o criminoso invade sistemas ou quebra mecanismos de segurança do banco, mas sim aquele em que há manipulação psicológica da vítima, a fim de que ela realize atos que resultem no prejuízo financeiro. Na maioria dos casos, há utilização de técnicas de persuasão, urgência, medo, autoridade ou falsa confiança, onde os golpistas se passam por funcionários de bancos, empresas, órgãos públicos ou pessoas conhecidas para convencer o consumidor a fornecer senhas, compartilhar códigos de autenticação, instalar aplicativos, contratar empréstimos ou realizar transferências via Pix. Em outras palavras, o ataque é direcionado mais ao comportamento humano do que à tecnologia, explorando a confiança e a boa-fé da vítima para obter acesso aos seus recursos financeiros.

Diferentemente das fraudes bancárias tradicionais, nas quais o criminoso invade sistemas, falsifica documentos ou realiza operações sem qualquer participação da vítima, os golpes de engenharia social (dependem justamente da atuação do próprio consumidor, ou seja, é a vítima quem fornece senhas, valida tokens, autoriza transferências, realiza operações acreditando estar seguindo orientações legítimas de funcionários do banco etc.

Diante dessa nova realidade, surgiu uma importante discussão jurídica:

Até que ponto os bancos podem ser responsabilizados por prejuízos causados por fraudes praticadas mediante manipulação psicológica do próprio cliente?

Recentemente, o Superior Tribunal de Justiça voltou a enfrentar essa questão ao julgar o REsp nº 2.209.868, reafirmando uma tendência jurisprudencial que vem delimitando com maior precisão os contornos da responsabilidade civil das instituições financeiras.

O caso concreto

O caso teve origem na Comarca de Santos/SP.

Uma consumidora alegou ter recebido ligação telefônica oriunda de número com prefixo 0800, supostamente pertencente à central de segurança do banco. Durante o contato, os golpistas afirmaram que havia movimentações suspeitas em sua conta bancária.

Segundo a narrativa apresentada nos autos, os criminosos convenceram a correntista de que funcionários da própria agência poderiam estar envolvidos em fraudes.

Com base nessa falsa premissa, ela foi orientada a realizar transferências para contas indicadas pelos estelionatários.

Inicialmente foram realizadas transferências via Pix nos valores de R$ 2.490,99 e R$ 1.000,00.

No dia seguinte, a vítima compareceu pessoalmente à agência e efetuou nova transferência no valor de R$ 28.000,00 para terceiro estranho à relação bancária.

Somente posteriormente percebeu ter sido vítima de golpe.

Em primeira instância, o banco foi condenado ao ressarcimento dos prejuízos materiais e ao pagamento de indenização por danos morais.

Porém, a decisão foi modificada pela 15ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo.

O posicionamento do TJSP

O acórdão, relatado pelo Desembargador Elói Estevão Troly, reconheceu que as instituições financeiras estão submetidas ao regime de responsabilidade objetiva previsto no artigo 14 do Código de Defesa do Consumidor. Na prática isso quer dizer que o consumidor não precisa provar que o banco agiu com culpa, negligência ou imprudência para buscar uma indenização.

Todavia, o TJSP destacou que a própria legislação consumerista prevê hipóteses de exclusão da responsabilidade.

Dispõe o artigo 14, § 3º, inciso II, do CDC:

"O fornecedor de serviços só não será responsabilizado quando provar a culpa exclusiva do consumidor ou de terceiro."

Partindo desse dispositivo, o Tribunal concluiu que não havia falha na prestação dos serviços bancários.

O acórdão observou que:

• as transferências foram realizadas pela própria cliente;

• as operações foram regularmente autenticadas;

• não houve invasão dos sistemas bancários;

• não houve participação de funcionários da instituição;

• não foram identificadas falhas nos mecanismos de segurança do banco.

O ponto central da decisão foi a ausência de relação entre os serviços prestados pela instituição financeira e o prejuízo suportado pela consumidora.

Para o Tribunal, o dano decorreu diretamente da atuação dos golpistas e da conduta da própria vítima, que realizou as operações sem buscar confirmação pelos canais oficiais do banco.

A confirmação do entendimento pelo STJ

Ao analisar o Recurso Especial nº 2.209.868, o Ministro Humberto Martins manteve o entendimento adotado pelo TJSP, reafirmando o fundamento da decisão.

Segundo o STJ, o Tribunal de origem concluiu que as operações realizadas não configuravam fortuito interno e não eram inerentes aos riscos da atividade bancária.

Essa observação é extremamente relevante porque toca em um dos conceitos mais importantes da responsabilidade civil bancária contemporânea.

O que é fortuito interno?

A expressão "fortuito interno" tornou-se conhecida especialmente após a edição da Súmula 479 do STJ:

"As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias."

Em termos simples, essa regra significa que o banco normalmente é responsável pelos prejuízos causados por fraudes e golpes que acontecem dentro da atividade bancária, especialmente quando o criminoso consegue realizar operações sem a autorização do cliente ou explorar falhas de segurança dos sistemas da instituição financeira. Como os bancos exercem uma atividade que envolve riscos, a Justiça entende que eles devem assumir os prejuízos decorrentes de fraudes que poderiam ter sido evitadas por mecanismos adequados de controle, monitoramento e segurança.

A Súmula consolidou entendimento segundo o qual determinados riscos integram a própria atividade desenvolvida pelas instituições financeiras.

São exemplos clássicos:

• abertura fraudulenta de contas;

• empréstimos contratados por terceiros;

• falsificação de documentos;

• fraudes cadastrais;

• invasões de sistemas;

• movimentações não autorizadas.

Nessas hipóteses, o risco decorre diretamente da atividade bancária e, por isso, o prejuízo deve ser suportado pela instituição financeira.

O desafio trazido pelos golpes de engenharia social

O problema enfrentado pela jurisprudência atual é que os golpes modernos frequentemente não se encaixam nesse modelo tradicional.

Um artigo doutrinário publicado no portal Migalhas (www.migalhas.com.br) destaca precisamente esse ponto.

Segundo o autor, a responsabilidade objetiva não pode ser confundida com responsabilidade automática ou responsabilidade integral.

Mesmo sob a égide do CDC continuam sendo necessários três elementos fundamentais:

• dano (prejuízo);

• defeito do serviço;

• nexo causal (relação entre defeito no serviço e dano);

Em outras palavras, não basta a existência do prejuízo. É indispensável demonstrar que o dano decorreu de uma falha atribuível à instituição financeira.

A centralidade do nexo causal

O grande mérito do artigo doutrinário está em demonstrar que a discussão contemporânea deixou de girar em torno da culpa do banco. Hoje, o debate concentra-se na causalidade.

A pergunta correta não é:

"Houve golpe?"

A pergunta correta é:

"O golpe decorreu de defeito do serviço bancário?"

Essa mudança de perspectiva é fundamental.

A responsabilidade objetiva elimina a necessidade de provar culpa. Mas ela não elimina a necessidade de provar nexo causal (relação entre serviço defeituoso e dano). Aliás, o próprio artigo 14, § 3º, do CDC preserva expressamente as hipóteses de rompimento desse vínculo causal.

O fato exclusivo da vítima e de terceiro

A doutrina moderna vem substituindo a expressão "culpa exclusiva da vítima" pela expressão "fato exclusivo da vítima".

E a mudança não é meramente terminológica. Ela busca afastar julgamentos morais sobre o comportamento do consumidor. O que importa não é saber se a vítima foi imprudente. O que importa é identificar quem efetivamente produziu o resultado danoso.

Nas fraudes por engenharia social, a vítima frequentemente participa da cadeia causal:

• fornece dados;

• confirma operações;

• instala aplicativos;

• realiza transferências;

• compartilha códigos de autenticação.

Isso não elimina automaticamente a responsabilidade do banco. Mas exige análise muito mais cuidadosa do nexo causal.

Quando o banco continua responsável?

A evolução jurisprudencial não significa imunidade das instituições financeiras.

O próprio texto doutrinário destaca situações em que a responsabilidade permanece plenamente configurada.

Entre elas:

• movimentações incompatíveis com o perfil do cliente;

• contratação instantânea de empréstimos seguida de dispersão dos recursos;

• ausência de mecanismos de monitoramento;

• falhas de autenticação;

• inexistência de alertas de segurança;

• descumprimento de normas regulatórias do Banco Central;

• omissão diante de sinais objetivos de fraude.

Nesses cenários, o defeito do serviço pode integrar a cadeia causal e justificar a responsabilização da instituição financeira.

Conclusão

O julgamento do REsp 2.209.868 demonstra que o STJ não está abandonando a proteção do consumidor.

O que a Corte busca é evitar a transformação da responsabilidade objetiva em um sistema de garantia universal contra qualquer prejuízo decorrente de fraude.

A Súmula 479 continua plenamente válida. O que mudou foi a sofisticação da análise.

Os tribunais passaram a investigar com maior profundidade se o prejuízo decorreu efetivamente de uma falha da instituição financeira ou se foi produzido por fatores externos capazes de romper o nexo causal.

Em tempos de golpes cada vez mais sofisticados, a discussão jurídica deixa de ser simplesmente sobre a existência da fraude.

A verdadeira pergunta passa a ser:

"Quem, juridicamente, deve responder pelo dano?"

A resposta continuará dependendo da análise concreta de cada caso, da identificação dos riscos inerentes à atividade bancária e, sobretudo, da demonstração do nexo causal entre a conduta da instituição financeira e o prejuízo suportado pelo consumidor.