_edited.png)
Fraude bancária em conta empresarial: quando o banco possui Responsabilidade Civil
- Dr. Fernando Puppe
- 6 de jul.
- 11 min de leitura
Uma fraude bancária contra uma empresa raramente termina no instante em que o dinheiro deixa a conta. Dependendo do valor e da estrutura financeira do negócio, o prejuízo pode comprometer o pagamento da folha de salários, tributos, fornecedores, financiamentos e outras obrigações indispensáveis à continuidade da atividade empresarial.
O problema se torna ainda mais grave porque, em muitas situações, as transferências fraudulentas são executadas em poucos minutos, por meio de Pix, pagamentos de boletos, transferências sucessivas ou até mesmo mediante a contratação de empréstimos seguida da imediata dispersão dos recursos.
Diante desse cenário, uma pergunta se tornou recorrente: quando uma empresa sofre fraude em sua conta bancária, o banco é obrigado a devolver os valores?
A resposta exige análise cuidadosa. Nem toda fraude gera automaticamente responsabilidade da instituição financeira. Da mesma forma, a utilização correta de senha, token, biometria ou aparelho previamente cadastrado não é, isoladamente, suficiente para excluir a responsabilidade do banco.
O ponto central costuma estar em outro lugar: o sistema de segurança da instituição financeira era capaz de identificar que aquelas movimentações estavam fora do padrão normal da conta empresarial? Houve sinais objetivos de fraude? O banco reagiu adequadamente depois de comunicado? As operações eram realmente compatíveis com o histórico financeiro daquela empresa?
É a partir dessas perguntas que muitos litígios bancários precisam ser construídos.
A responsabilidade do banco por fraudes não depende apenas de descobrir quem aplicou o golpe
No direito brasileiro, a responsabilidade das instituições financeiras por fraudes está relacionada ao dever de segurança inerente ao próprio serviço bancário.
O Superior Tribunal de Justiça consolidou, na Súmula 479, o entendimento de que as instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relacionado a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. Isso significa que determinados riscos criminosos, justamente porque relacionados ao funcionamento da atividade financeira, podem integrar o risco do empreendimento bancário. o, contudo, não significa que qualquer golpe sofrido por uma empresa será necessariamente indenizado.
O que precisa ser investigado é a existência de falha de segurança, defeito do serviço, deficiência na identificação de movimentações suspeitas, omissão na contenção do prejuízo ou descumprimento de deveres de diligência.
Quando aplicável o Código de Defesa do Consumidor, o art. 14 da Lei nº 8.078/1990 estabelece a responsabilidade do fornecedor pelos danos causados por defeitos relativos à prestação dos serviços. Nos casos em que a relação não seja considerada consumerista, permanecem relevantes as normas gerais da responsabilidade civil e do inadimplemento contratual, especialmente os arts. 186, 187, 389, 422 e 927 do Código Civil.
Também as instituições de pagamento possuem deveres legais de segurança. O art. 7º da Lei nº 12.865/2013 estabelece princípios relacionados à segurança, proteção dos interesses econômicos dos usuários, confiabilidade e qualidade dos serviços de pagamento. O STJ já afirmou que o dever de segurança não se restringe aos bancos tradicionais, alcançando também instituições de pagamento. avras, a discussão jurídica não deve se limitar a afirmar que “houve uma fraude”. É necessário examinar como a fraude aconteceu e, sobretudo, por que os mecanismos de segurança permitiram que ela fosse concluída.
Conta empresarial também pode receber proteção jurídica contra falhas bancárias
Existe uma cautela importante quando o titular da conta é uma empresa.
A jurisprudência do STJ admite que pessoas jurídicas possam ser consideradas consumidoras, mas a incidência do Código de Defesa do Consumidor precisa ser analisada conforme a natureza da contratação e as circunstâncias concretas da relação.
O Tribunal adota a chamada teoria finalista mitigada. Assim, mesmo quando determinado serviço é utilizado no contexto de uma atividade empresarial, a proteção consumerista poderá ser reconhecida diante da demonstração de vulnerabilidade técnica, jurídica, econômica ou informacional da pessoa jurídica em relação ao fornecedor.
Por outro lado, a jurisprudência também contém decisões afastando o CDC quando a empresa não demonstrou essa vulnerabilidade ou quando o serviço financeiro constituía insumo direto para o desenvolvimento de sua atividade econômica. é relevante porque uma ação indenizatória bem construída não deve depender exclusivamente de uma única tese.
Mesmo quando houver discussão sobre a incidência do CDC, a relação entre banco e empresa continua sujeita ao contrato, à boa-fé objetiva, aos deveres laterais de proteção e à responsabilidade civil prevista no Código Civil.
Portanto, a condição empresarial da vítima não transforma uma falha de segurança em fato juridicamente irrelevante. O enquadramento normativo pode variar conforme o caso, mas o dever de examinar a qualidade e a segurança do serviço bancário permanece juridicamente relevante.
Transações atípicas: um dos principais pontos para análise da responsabilidade bancária
Uma das questões mais importantes nas ações envolvendo fraude bancária é verificar se as operações contestadas eram compatíveis com o histórico financeiro da empresa.
O Superior Tribunal de Justiça, no julgamento do REsp nº 2.052.228, reconheceu que as instituições financeiras possuem o dever de desenvolver mecanismos capazes de identificar e impedir movimentações incompatíveis com o perfil do cliente.
Naquele julgamento, o STJ considerou relevante a existência de operações que destoavam do histórico da conta e reconheceu que a ausência de procedimentos eficazes de verificação para transações aparentemente irregulares pode caracterizar defeito na prestação do serviço. são foi reforçada posteriormente pela Terceira Turma do STJ em julgamentos envolvendo golpes de engenharia social e falsa central de atendimento.
Nos REsps nº 2.222.059 e nº 2.229.519, o Tribunal destacou que os sistemas de prevenção devem considerar fatores como valor da operação, horário, localização, intervalo entre transações, sequência de movimentações, meio empregado e eventual contratação atípica de empréstimos imediatamente antes da realização de pagamentos suspeitos. essa lógica a uma conta empresarial exige análise individualizada.
Uma empresa que movimenta milhões de reais diariamente possui um padrão diferente de uma pequena sociedade empresária cujo histórico demonstra poucas transferências mensais. Da mesma forma, uma companhia que habitualmente realiza pagamentos durante o horário comercial pode apresentar um sinal relevante de anormalidade quando, em poucos minutos durante a madrugada, sua conta registra múltiplas transferências para novos beneficiários.
Por isso, a prova não deve ser construída apenas em torno do valor absoluto desviado.
Pode ser muito mais relevante demonstrar que:
a empresa nunca havia transferido recursos para aqueles destinatários;
as operações aconteceram em sequência e em curto espaço de tempo;
houve alteração brusca do padrão de horários;
foram utilizados limites recém-ampliados;
um empréstimo foi contratado imediatamente antes das transferências;
todo o saldo disponível foi rapidamente pulverizado;
houve utilização de dispositivo ou localização incomum;
ou a movimentação contrariava radicalmente o comportamento histórico da conta.
O histórico bancário anterior à fraude, portanto, pode ser tão importante quanto o extrato do próprio dia do golpe.
A utilização de senha ou autenticação não encerra automaticamente a discussão
Uma defesa recorrente das instituições financeiras consiste em afirmar que a operação foi realizada mediante credenciais válidas, biometria, token, senha ou aparelho previamente autorizado.
Essa circunstância é relevante, mas não necessariamente conclusiva.
Em fraudes digitais sofisticadas, criminosos podem obter acesso por meio de engenharia social, aplicativos de acesso remoto, páginas falsas, captura de credenciais, falsos atendimentos bancários e outros mecanismos.
Em novembro de 2025, ao julgar o REsp nº 2.220.333, a Terceira Turma do STJ decidiu que, havendo falha do sistema bancário relacionada à aprovação de diversas operações incompatíveis com o perfil da vítima, não seria adequado atribuir culpa concorrente à correntista simplesmente porque ela havia sido induzida pelo fraudador a instalar um aplicativo de acesso remoto.
O Tribunal enfatizou, naquele caso, que a instituição possui o dever de criar e aperfeiçoar continuamente seus mecanismos de detecção e contenção de fraudes. cada processo possui fatos próprios. Há situações em que a culpa exclusiva da vítima ou de terceiro poderá efetivamente romper o nexo causal.
A própria jurisprudência do STJ demonstra que a responsabilidade bancária não é automática. No REsp nº 2.124.423, relativo a golpe praticado mediante conta digital utilizada por estelionatários, a Terceira Turma afastou a responsabilidade da instituição porque, no caso concreto, não foi demonstrado descumprimento das diligências exigíveis na abertura e manutenção daquela conta. o é fundamental: uma ação judicial consistente precisa identificar concretamente a falha imputada ao banco.
Não basta alegar que o dinheiro foi enviado para uma conta utilizada por criminosos. Pode ser necessário demonstrar falhas cadastrais, ausência de monitoramento, movimentações incompatíveis, omissão diante de alertas, deficiência de mecanismos antifraude ou reação inadequada após a comunicação do incidente.
Fraude por Pix: a velocidade da reação pode influenciar a recuperação dos valores
No caso de fraude por Pix, uma das primeiras providências deve ser a imediata comunicação à instituição financeira.
O Banco Central mantém o Mecanismo Especial de Devolução, conhecido como MED, destinado a ampliar a possibilidade de recuperação de recursos em casos de fraude, golpe ou crime envolvendo Pix. Segundo as regras divulgadas pelo Banco Central, o pedido pode ser registrado na instituição financeira em até 80 dias da transferência fraudulenta. ob o aspecto prático, esperar não é uma boa estratégia.
Golpistas frequentemente transferem os valores entre diversas contas. Quanto maior o intervalo entre a fraude e a comunicação formal, maior pode ser a dificuldade para localizar e bloquear recursos ainda disponíveis.
O sistema do MED passou por aprimoramentos relevantes. O Banco Central tornou obrigatória, a partir de 2 de fevereiro de 2026, a funcionalidade aprimorada que permite ampliar o rastreamento de transações subsequentes e a possibilidade de bloqueio de valores não apenas na conta que recebeu originalmente o Pix, mas também em contas seguintes utilizadas na dispersão dos recursos. o, não deve ser confundido com uma decisão judicial de indenização.
A tentativa de recuperação administrativa e a discussão de responsabilidade civil possuem objetos jurídicos distintos. O fato de o MED não conseguir recuperar integralmente o dinheiro não significa, por si só, que a empresa perdeu qualquer possibilidade de ressarcimento judicial. Da mesma forma, a mera abertura do procedimento administrativo não representa reconhecimento automático de responsabilidade pela instituição financeira.
Por isso, o protocolo do MED, as respostas apresentadas pelo banco, os horários das comunicações e as providências efetivamente tomadas precisam ser preservados documentalmente.
A prova documental pode decidir o processo
Em ações sobre fraude bancária em empresa, a qualidade da prova frequentemente define a força da demanda.
A empresa precisa agir rapidamente para preservar informações que, meses depois, podem ser difíceis de reconstruir.
Entre os documentos normalmente relevantes estão:
extratos bancários completos dos meses anteriores e posteriores à fraude;
comprovantes das transações contestadas;
protocolos de atendimento;
registro da contestação das operações;
documentação do MED;
comunicações com gerente ou central de relacionamento;
boletim de ocorrência;
e-mails, mensagens e notificações recebidas durante o golpe;
registro dos aparelhos autorizados;
informações disponíveis sobre IP, geolocalização e dispositivo utilizado;
contratos bancários e regras de autenticação;
documentos contábeis que demonstrem os impactos da retirada dos recursos.
A depender da dinâmica do fato, também pode ser necessário requerer judicialmente a apresentação de registros técnicos que estejam exclusivamente sob controle da instituição financeira.
Nesse contexto, a distribuição do ônus da prova deve ser trabalhada de acordo com o regime jurídico aplicável e com a disponibilidade concreta das informações. A empresa consegue apresentar seu histórico financeiro e os sinais externos da fraude, mas determinados dados técnicos — logs de acesso, mecanismos de autenticação, alertas internos, análises antifraude e informações sobre bloqueios — podem estar exclusivamente na esfera de controle do prestador do serviço.
Uma estratégia processual adequada precisa identificar essa assimetria desde o início da demanda.
Quais prejuízos podem ser discutidos judicialmente?
Quando demonstrada a responsabilidade da instituição financeira, o primeiro pedido normalmente envolve a restituição dos valores indevidamente retirados da conta.
Dependendo das circunstâncias, outros prejuízos podem ser discutidos, desde que demonstrados o dano e o nexo causal.
Uma fraude bancária pode, por exemplo, gerar encargos financeiros decorrentes da necessidade de obtenção urgente de crédito, multas por inadimplemento contratual, perda de negócios, paralisação de operações ou outros danos patrimoniais diretamente relacionados ao evento.
Os arts. 402 e 403 do Código Civil estabelecem a disciplina das perdas e danos, abrangendo o que a parte efetivamente perdeu e aquilo que razoavelmente deixou de lucrar, observada a relação direta e imediata com o fato causador do prejuízo. da pessoa jurídica também é juridicamente possível, conforme a Súmula 227 do STJ. Contudo, não deve ser tratado como consequência automática de qualquer prejuízo financeiro. A jurisprudência exige a análise de repercussões concretas sobre a honra objetiva, a imagem, a credibilidade ou a reputação empresarial. dicamente responsável precisa distinguir prejuízo material, lucros cessantes e eventual dano extrapatrimonial, evitando pedidos genéricos que enfraqueçam a consistência do processo.
O que a empresa deve fazer imediatamente após descobrir a fraude?
A primeira providência é interromper a continuidade do dano.
Isso normalmente significa comunicar imediatamente a instituição financeira, contestar formalmente as operações, solicitar bloqueios, alterar credenciais, revisar acessos e aparelhos autorizados, preservar provas e registrar detalhadamente a cronologia dos fatos.
Nos casos envolvendo Pix, deve ser solicitada a adoção dos mecanismos próprios de contestação e recuperação disponíveis no sistema. , é recomendável organizar uma linha do tempo precisa:
quando a fraude começou;
quando foi identificada;
qual foi a primeira comunicação ao banco;
quais valores foram movimentados;
para quantos destinatários;
em que horários;
qual resposta foi dada pela instituição;
e quais consequências financeiras surgiram depois.
Essa reconstrução cronológica pode ser decisiva para demonstrar tanto a atipicidade das operações quanto eventual demora ou insuficiência da reação da instituição financeira.
A responsabilidade bancária precisa ser construída a partir das particularidades do caso
Os casos de fraude bancária empresarial não devem ser tratados por meio de fórmulas prontas.
Uma boa análise precisa reconstruir tecnicamente a dinâmica financeira da conta e comparar o comportamento normal da empresa com as operações fraudulentas.
É necessário verificar, entre outros aspectos, se havia sinais de movimentação atípica, se as autenticações foram compatíveis com os protocolos de segurança, se houve mudança de dispositivo, se ocorreram várias transações sucessivas, se os valores foram pulverizados, se o banco recebeu comunicação em tempo de agir e quais providências adotou após ser alertado.
A evolução da jurisprudência do STJ demonstra atenção crescente ao dever das instituições financeiras de possuir sistemas capazes de identificar operações que destoem do comportamento histórico do cliente. Ao mesmo tempo, existem decisões afastando a responsabilidade quando a falha do serviço não é comprovada.
É justamente por isso que a diferença entre uma alegação genérica de fraude e uma ação indenizatória tecnicamente estruturada está na qualidade da reconstrução dos fatos e da prova. que tiveram recursos retirados por Pix, transferências digitais ou outras movimentações não reconhecidas, a avaliação jurídica deve começar o quanto antes. A análise do histórico da conta, dos padrões transacionais, das comunicações com o banco e dos registros do incidente permite definir se há elementos para responsabilização e qual estratégia é mais adequada para buscar a recuperação dos prejuízos.
Dr. Fernando Luis Puppe, OAB/RS 83.691
Contato do escritório: WhatsApp: (51) 9727-1715
O Escritório Dartagnan & Stein Sociedade de Advogados atua de forma estratégica em demandas cíveis, empresariais, patrimoniais, imobiliárias, bancárias, tributárias, trabalhistas patronais, sucessórias, familiares e de proteção de dados, com atendimento técnico e possibilidade de atuação em nível nacional nos casos compatíveis com tramitação digital e análise documental.
Referências
BANCO CENTRAL DO BRASIL. Resolução BCB nº 1, de 12 de agosto de 2020. Institui o arranjo de pagamentos Pix e aprova o seu Regulamento. Brasília, DF: Banco Central do Brasil, 2020.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 493, de 28 de agosto de 2025. Altera o Regulamento do Pix para aprimoramento dos procedimentos relacionados ao Mecanismo Especial de Devolução. Brasília, DF: Banco Central do Brasil, 2025. nº 8.078, de 11 de setembro de 1990**. Dispõe sobre a proteção do consumidor e dá outras providências. Brasília, DF: Presidência da República, 1990.
BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Institui o Código Civil. Brasília, DF: Presidência da República, 2002. nº 12.865, de 9 de outubro de 2013**. Dispõe, entre outras matérias, sobre os arranjos de pagamento e as instituições de pagamento integrantes do Sistema de Pagamentos Brasileiro. Brasília, DF: Presidência da República, 2013.
BRASIL. Superior Tribunal de Justiça. Súmula nº 227. A pessoa jurídica pode sofrer dano moral. Brasília, DF: STJ, 1999.
BRASIL. Superior Tribunal de Justiça. Súmula nº 297. O Código de Defesa do Consumidor é aplicável às instituições financeiras. Brasília, DF: STJ, 2004.
BRASIL. Superior Tribunal de Justiça. Súmula nº 479. Responsabilidade objetiva das instituições financeiras por danos decorrentes de fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Brasília, DF: STJ, 2012.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.052.228. Terceira Turma. Relatora: Ministra Nancy Andrighi. Brasília, DF: STJ, 2023.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.124.423. Terceira Turma. Relatora: Ministra Nancy Andrighi. Brasília, DF: STJ, 2025.
BRASIL. Superior Tribunal de Justiça. Recursos Especiais nº 2.222.059 e nº 2.229.519. Terceira Turma. Relator: Ministro Ricardo Villas Bôas Cueva. Brasília, DF: STJ, 2025.
BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.220.333. Terceira Turma. Relator: Ministro Ricardo Villas Bôas Cueva. Brasília, DF: STJ, 2025.
Comentários