Bancos podem ser responsabilizados por "golpe da falsa central"

A 3ª Turma do STJ decidiu: banco e instituição de pagamento devem indenizar a vítima do golpe da falsa central de atendimento quando há falha na segurança do sistema, seja na proteção de dados, seja na identificação de uma transação suspeita.

"Uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos" (REsp 2.229.519/DF, Relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 7/10/2025, DJEN de 13/10/2025).

No caso analisado, um cliente de poucas movimentações fez 14 transações num dia. O sistema não viu o óbvio. Serviço que não dá a segurança esperada é defeituoso (art. 14 do CDC). E tem mais: o STJ decidiu que a falha de segurança do banco afasta a alegação de culpa concorrente do consumidor.

Mas não é automático: sem provar a transação incompatível com o perfil, o banco se isenta (REsp 2.209.868). A atipicidade é o coração. O dever do banco é detectar o desvio do perfil do cliente: valor, horário, local, intervalo entre as operações, sequência, meios usados e empréstimo atípico antes de um pagamento suspeito.

E onde está a prova? Não na história do golpe. Mas sim na trilha do sistema: logs de autenticação, dispositivo e IP do acesso, geolocalização e a comunicação do banco antes da transação. É lá que se vê se o sistema falhou.

No processo bancário de 2026, o golpe não define a culpa. A trilha do sistema define.