Golpe do Pix e fraude bancária: quando o banco pode ser responsabilizado?

Golpes praticados por aplicativos de mensagens, falsas centrais de atendimento, boletos adulterados e transferências via Pix têm causado prejuízos relevantes a consumidores e empresas. Quando a fraude ocorre, uma das primeiras dúvidas da vítima é saber se o banco deve restituir os valores.

A resposta depende das circunstâncias. A instituição financeira pode ser responsabilizada quando existe falha de segurança, vazamento de dados, abertura irregular de conta, ausência de bloqueio de transações atípicas ou outro defeito relacionado ao serviço. Por outro lado, a responsabilidade pode ser afastada quando o prejuízo decorre de fato externo à atividade bancária e não há falha atribuível à instituição.

O que a legislação diz sobre a responsabilidade dos bancos?

O Código de Defesa do Consumidor é aplicável às instituições financeiras. O artigo 14 estabelece que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos na prestação do serviço.

Um serviço pode ser considerado defeituoso quando não oferece a segurança que legitimamente se espera, consideradas as circunstâncias de seu fornecimento. No ambiente bancário, isso inclui a adoção de mecanismos adequados para autenticação, proteção de dados, análise de risco e identificação de operações suspeitas.

O Superior Tribunal de Justiça consolidou, na Súmula 479, que as instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes e delitos praticados por terceiros quando esses acontecimentos constituem risco interno da atividade bancária.

Essa responsabilidade não significa que o banco responda por qualquer golpe. Ainda devem ser demonstrados o prejuízo, a falha do serviço e a relação entre essa falha e o dano sofrido. O próprio Código de Defesa do Consumidor permite o afastamento da responsabilidade quando o fornecedor comprova a inexistência do defeito ou a culpa exclusiva do consumidor ou de terceiro.

Quando o banco pode ser responsabilizado por uma fraude?

A análise deve considerar a forma como o golpe foi executado e o comportamento dos sistemas de segurança. Alguns elementos podem indicar falha na prestação do serviço.

Transações incompatíveis com o perfil do cliente

As instituições devem manter mecanismos capazes de identificar movimentações que se afastem do histórico do correntista. Podem ser relevantes o valor, o horário, a localização, a quantidade de operações, o intervalo entre elas e a contratação de empréstimos imediatamente antes das transferências.

Uma sequência de pagamentos elevados, realizada em poucos minutos e completamente diferente do padrão da conta, pode exigir bloqueio preventivo, autenticação adicional ou contato de confirmação.

Se o banco autoriza operações manifestamente atípicas sem nenhuma providência de segurança, pode ficar caracterizado defeito do serviço, ainda que o golpe tenha começado por contato telefônico ou mensagem enviada por terceiro.

Invasão de conta e transações não autorizadas

Quando terceiros acessam a conta e realizam transferências sem a participação consciente do titular, devem ser avaliados os mecanismos utilizados para autenticação, alteração de senha, inclusão de dispositivos e validação das operações.

A utilização regular de senha ou código não prova, isoladamente, que a transação foi autorizada pelo cliente. É necessário examinar como as credenciais foram obtidas e se o sistema permitiu acessos ou movimentações incompatíveis com o comportamento habitual.

Vazamento ou uso de dados bancários sigilosos

Alguns golpes são praticados com informações detalhadas sobre contratos, saldos, compras, financiamentos ou operações recentes. Quando os criminosos utilizam dados que deveriam estar protegidos pela instituição, pode existir discussão sobre falha na segurança ou no tratamento dessas informações.

A simples afirmação do golpista de que trabalha para o banco não comprova vazamento. É necessário identificar quais dados foram utilizados e se eles poderiam ter sido obtidos por outras fontes.

Falha na abertura ou manutenção da conta recebedora

A responsabilidade também pode ser discutida em relação à instituição que mantém a conta utilizada pelo fraudador. Os bancos e instituições de pagamento devem verificar a identidade dos clientes, manter dados cadastrais atualizados e adotar procedimentos de prevenção a fraudes e lavagem de dinheiro.

Se uma conta foi aberta com documentos falsos, apresenta movimentação incompatível ou permanece sendo utilizada para receber valores de diversas vítimas sem controles adequados, pode haver falha de diligência.

Contudo, o simples fato de uma conta ter sido utilizada em um golpe não torna automaticamente responsável o banco recebedor. É necessário demonstrar que a instituição deixou de adotar as cautelas exigíveis.

Quando o banco pode não ser responsável?

A responsabilidade poderá ser afastada quando a instituição demonstrar que seus sistemas funcionaram adequadamente e que o prejuízo decorreu de circunstância completamente alheia ao serviço bancário.

Isso pode ocorrer, conforme as provas, quando:

• a operação era compatível com o perfil e os limites habituais do cliente;
• não havia indício objetivo de fraude no momento da transação;
• o banco adotou autenticação e alertas de segurança adequados;
• a vítima transferiu valores para terceiro sem relação com a instituição;
• a fraude ocorreu integralmente fora do ambiente bancário;
• não houve falha na abertura ou no monitoramento da conta recebedora;
• a conduta da vítima constituiu causa exclusiva do prejuízo.

A realização voluntária de um Pix não afasta, por si só, a responsabilidade bancária. Mesmo nas fraudes de engenharia social, deve-se verificar se as transações eram atípicas, se houve contratação incomum de crédito e se o sistema deveria ter identificado a situação.

Também não é adequado presumir culpa do consumidor apenas porque ele clicou em um link, instalou um aplicativo ou forneceu determinada informação. O comportamento da vítima deve ser examinado em conjunto com a eficiência dos mecanismos de segurança da instituição.

Quais golpes bancários são mais frequentes?

Falsa central de atendimento

O criminoso se apresenta como funcionário do banco e informa a existência de uma compra suspeita, invasão ou problema de segurança. A vítima é orientada a instalar um aplicativo, informar códigos, aumentar limites ou realizar transferências para uma suposta conta segura.

Golpe do Pix

A transferência pode decorrer de perfil clonado, falsa venda, pedido de familiar, QR Code adulterado ou contato de falso funcionário. O enquadramento jurídico dependerá da participação da vítima e das medidas de segurança adotadas pelas instituições envolvidas.

Phishing

A vítima recebe mensagem ou e-mail com um link que imita a página de um banco ou estabelecimento. Ao inserir seus dados, entrega credenciais que podem ser utilizadas para acessar contas e realizar operações.

Boleto adulterado

O documento apresenta dados aparentemente corretos, mas direciona o pagamento a outro beneficiário. A responsabilidade pode variar conforme a origem da adulteração, os dados utilizados pelo fraudador e a existência de falha na cadeia de fornecimento.

Clonagem ou uso indevido de cartão

Compras não reconhecidas podem resultar de vazamento de dados, clonagem, perda do cartão ou uso indevido das credenciais. A instituição deve analisar a contestação e demonstrar os elementos utilizados para validar as transações.

O que fazer imediatamente após um golpe do Pix?

A rapidez na comunicação pode aumentar a possibilidade de bloqueio dos recursos e contribuir para a investigação. A vítima deve adotar as seguintes providências:

1. comunicar imediatamente a fraude ao banco pelos canais oficiais;
2. solicitar o bloqueio da conta, dos cartões e dos acessos comprometidos;
3. contestar formalmente as operações não reconhecidas;
4. pedir a abertura do Mecanismo Especial de Devolução, quando aplicável;
5. guardar os números de protocolo;
6. registrar boletim de ocorrência;
7. preservar conversas, e-mails, números, perfis e comprovantes;
8. alterar senhas por meio de um dispositivo seguro;
9. encerrar sessões e remover dispositivos desconhecidos;
10. comunicar o fato às plataformas utilizadas no golpe.

A vítima deve evitar apagar mensagens ou formatar o aparelho antes de preservar as provas. Em situações mais complexas, poderão ser necessários ata notarial, perícia técnica ou pedidos judiciais de preservação de registros.

O boletim de ocorrência é importante, mas não produz automaticamente a devolução dos valores. Da mesma forma, a reclamação administrativa não impede a adoção posterior de outras medidas.

Como funciona o Mecanismo Especial de Devolução do Pix?

O Mecanismo Especial de Devolução, conhecido como MED, é um procedimento criado pelo Banco Central para facilitar a análise e a eventual recuperação de valores transferidos por Pix em casos de fraude ou falha operacional.

A vítima deve registrar a contestação perante sua própria instituição financeira. Segundo as regras do Banco Central, o pedido relacionado a fraude pode ser apresentado em até oitenta dias contados da data da transferência.

A instituição analisará o relato e, quando identificar fundada suspeita de fraude, poderá acionar o procedimento para tentativa de bloqueio dos recursos encontrados nas contas envolvidas.

O MED não garante a devolução. A recuperação depende da análise do caso e da existência de saldo disponível. Como os criminosos costumam transferir ou retirar o dinheiro rapidamente, a comunicação imediata permanece essencial.

O mecanismo não é destinado a simples desacordo comercial, arrependimento, erro no envio causado pelo próprio usuário ou controvérsia sobre produto e serviço legitimamente contratados.

É possível entrar com ação judicial contra o banco?

A medida judicial pode ser avaliada quando a instituição recusa o ressarcimento, não esclarece os critérios de validação ou existem elementos indicando falha de segurança.

Conforme o caso, a ação poderá envolver pedidos de:

• declaração de inexistência de empréstimos ou operações fraudulentas;
• restituição dos valores subtraídos;
• cancelamento de cobranças decorrentes da fraude;
• exibição de registros de acesso e autenticação;
• identificação das contas utilizadas pelos criminosos;
• reparação de danos materiais comprovados;
• indenização por dano moral, quando houver repercussão juridicamente relevante.

Também poderá ser analisado pedido de tutela de urgência para suspender cobranças, impedir negativação, bloquear valores ainda rastreáveis ou interromper descontos relacionados à fraude. A concessão depende da probabilidade do direito e do perigo de dano previstos no artigo 300 do Código de Processo Civil.

A indenização por dano moral não é automática. É necessário verificar se a ocorrência produziu consequências que ultrapassam o prejuízo econômico ordinário, como comprometimento de verba essencial, negativação indevida, recusa prolongada de solução ou grave perturbação da vida financeira.

Quais provas são importantes?

A análise da responsabilidade bancária depende fortemente da documentação. Devem ser preservados:

• extratos bancários completos;
• comprovantes das transferências;
• conversas com os criminosos;
• números de telefone e perfis utilizados;
• e-mails e links recebidos;
• protocolos de atendimento;
• respostas formais do banco;
• boletim de ocorrência;
• histórico de movimentação anterior da conta;
• documentos sobre empréstimos ou aumento de limite;
• comprovantes de tentativas de bloqueio pelo MED.

O histórico anterior pode ajudar a demonstrar que as transações eram incompatíveis com o perfil do cliente. Também é importante registrar a sequência dos fatos, incluindo horário do contato, momento das transferências e instante em que o banco foi comunicado.

Dúvidas frequentes sobre fraude bancária

O banco sempre deve devolver um Pix feito em golpe?

Não. A responsabilidade depende da existência de falha no serviço e da relação dessa falha com o prejuízo. O fato de a vítima ter realizado a transferência não encerra a análise.

Se a vítima informou a senha, perde automaticamente o direito?

Não. Deve-se verificar como a informação foi obtida, se houve engenharia social e se as operações posteriores eram atípicas. O compartilhamento da senha é relevante, mas não afasta automaticamente eventual falha bancária.

O MED garante a recuperação do dinheiro?

Não. O mecanismo permite investigar e tentar bloquear valores relacionados à fraude, mas a devolução depende da análise e da existência de recursos nas contas envolvidas.

O banco que recebeu o Pix também pode responder?

Em algumas situações, sim. Isso pode ocorrer quando for demonstrada falha na abertura, validação, manutenção ou fiscalização da conta utilizada pelo fraudador.

É preciso registrar boletim de ocorrência?

O registro é recomendável porque formaliza a notícia do crime e reúne informações úteis. Contudo, ele não substitui a comunicação ao banco nem assegura, isoladamente, a devolução.

Existe prazo para contestar um Pix fraudulento?

O pedido de abertura do MED deve ser apresentado ao banco em até oitenta dias da transação. A adoção de outras medidas pode estar sujeita a prazos próprios, que devem ser analisados conforme o caso.

Conclusão

A responsabilidade dos bancos em golpes digitais não é automática, mas também não pode ser afastada apenas porque a fraude foi praticada por terceiro ou porque a vítima realizou uma transferência.

Devem ser analisados o funcionamento dos mecanismos de segurança, o perfil habitual da conta, a existência de operações atípicas, o uso de dados sigilosos e a regularidade da conta recebedora.

Após a fraude, a vítima deve comunicar imediatamente a instituição, solicitar o MED quando aplicável, registrar a ocorrência e preservar todos os documentos. Quanto mais rápida e organizada for a reação, maiores serão as possibilidades de rastreamento e esclarecimento dos fatos.

Este conteúdo possui caráter exclusivamente informativo e não substitui a análise individual da dinâmica do golpe, das transações realizadas e das medidas adotadas pelas instituições envolvidas.