Responsabilidade civil por fraudes digitais: quando bancos, fintechs e instituições de pagamento devem indenizar a vítima?

A digitalização dos serviços financeiros trouxe agilidade, mas também ampliou os riscos de fraudes. Hoje, golpes por Pix, falsa central de atendimento, boletos adulterados, aplicativos falsos, clonagem de WhatsApp, links maliciosos e engenharia social atingem consumidores de todos os perfis. A questão jurídica central é objetiva: quando a vítima deve suportar sozinha o prejuízo e quando o banco, fintech ou instituição de pagamento deve responder civilmente?

No Direito Civil contemporâneo, a responsabilidade não pode ser analisada apenas sob a ideia simplista de que “a vítima caiu no golpe”. Em muitos casos, o golpe somente se concretiza porque houve falha no dever de segurança, deficiência na prevenção de operações suspeitas, liberação de transações incompatíveis com o perfil do cliente ou insuficiência nos mecanismos de autenticação e bloqueio. O Código Civil considera ato ilícito a conduta omissiva ou comissiva que viole direito e cause dano a outrem, inclusive dano moral; também prevê o dever de reparar aquele que causa dano por ato ilícito.

Nas relações bancárias e de pagamento, aplica-se também o Código de Defesa do Consumidor. O artigo 14 do CDC estabelece que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos relativos à prestação dos serviços. Em termos práticos, isso significa que o consumidor não precisa provar a intenção do banco ou da instituição financeira de causar o dano; deve demonstrar o prejuízo, a relação de consumo e a falha ou defeito do serviço.

A jurisprudência do Superior Tribunal de Justiça consolidou orientação importante por meio da Súmula 479: as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Em outras palavras, fraudes previsíveis dentro da atividade bancária não são, em regra, fatos totalmente estranhos ao risco do negócio.

Essa compreensão é especialmente relevante nos golpes digitais. O STJ já decidiu que bancos devem desenvolver mecanismos capazes de identificar e impedir movimentações que destoem do perfil habitual do cliente, como transações sucessivas, valores elevados, operações realizadas em curto intervalo de tempo, contratação atípica de empréstimos e pagamentos incompatíveis com o histórico da conta. A ausência de mecanismos adequados de verificação pode configurar defeito na prestação do serviço.

No chamado golpe da falsa central de atendimento, a vítima recebe ligação ou mensagem de alguém que se passa por funcionário do banco, informa suposta movimentação suspeita e induz o cliente a realizar procedimentos que acabam permitindo o desvio de valores. Em 2025, a Terceira Turma do STJ decidiu que bancos e instituições de pagamento podem ser responsabilizados quando houver falhas na proteção de dados ou na identificação de transações suspeitas que viabilizem esse tipo de golpe.

Outro ponto relevante é a tentativa, muito comum, de atribuir culpa ao consumidor. É claro que cada caso exige análise concreta. Contudo, o STJ também já decidiu que, quando há falha no sistema de segurança bancária, não se pode presumir culpa concorrente da vítima apenas porque ela foi induzida por criminosos a instalar aplicativo falso ou seguir orientações fraudulentas. Para haver culpa concorrente, é necessário que o consumidor tenha assumido conscientemente um risco concreto e previsível, o que nem sempre ocorre em golpes sofisticados de engenharia social.

Isso não significa, porém, que toda fraude digital gere automaticamente obrigação de indenizar. Há situações em que a responsabilidade da instituição financeira depende de prova mais específica da falha. O próprio STJ decidiu que, em golpe envolvendo conta digital usada por estelionatários, a responsabilização do banco exige demonstração de falta de diligência na abertura ou manutenção da conta, especialmente quanto à verificação da identidade do titular e às regras regulatórias aplicáveis. Se a instituição comprovar que adotou os procedimentos exigidos pelo Banco Central, a responsabilidade pode ser afastada.

Portanto, a análise jurídica deve ser técnica. A vítima deve reunir documentos, protocolos, boletim de ocorrência, comprovantes de transações, conversas, prints, e-mails, registros de ligações, notificações ao banco e resposta administrativa. Em fraudes por Pix, também é importante acionar rapidamente a instituição financeira e solicitar a abertura do Mecanismo Especial de Devolução, observando que o Banco Central informa prazo de até 80 dias, contados da data do Pix, para registrar o pedido quando houver fraude, golpe ou crime.

Também merece atenção a possível violação à Lei Geral de Proteção de Dados. Quando o golpe envolve uso indevido de dados pessoais, acesso a informações bancárias, vazamento de dados, falha de autenticação ou tratamento inadequado de informações do cliente, pode haver discussão adicional sobre dever de segurança, prevenção e proteção de dados. A LGPD disciplina o tratamento de dados pessoais, inclusive em meios digitais, por pessoas físicas e jurídicas, públicas ou privadas.

Quanto aos danos indenizáveis, a vítima pode pleitear a restituição dos valores subtraídos, a declaração de inexistência de débitos eventualmente contratados por fraude, a retirada de negativações indevidas, a reparação por danos materiais e, conforme a gravidade do caso, indenização por danos morais. O dano moral não deve ser tratado como consequência automática em toda fraude, mas pode ser reconhecido quando houver abalo relevante, perda expressiva de recursos, empréstimos fraudulentos, bloqueio de valores, negativação, comprometimento da subsistência ou omissão injustificada da instituição na solução do problema.

Para empresas, profissionais liberais e consumidores, a lição é clara: segurança digital não é apenas uma cautela individual, mas também dever jurídico das instituições que lucram com a atividade financeira. Quem oferece serviço bancário digital deve assumir os riscos inerentes ao modelo de negócio e manter sistemas eficazes de prevenção, autenticação, bloqueio e detecção de fraudes.

Em casos de fraude, agir rapidamente é decisivo. A demora pode dificultar o bloqueio dos valores, prejudicar a produção de prova e enfraquecer a discussão judicial. A vítima deve comunicar imediatamente o banco, registrar boletim de ocorrência, formalizar reclamação administrativa, solicitar o MED em caso de Pix, preservar todas as provas e buscar orientação jurídica para avaliar a viabilidade de ação indenizatória.

A responsabilidade civil por fraudes digitais exige equilíbrio: não se pode transformar o banco em segurador universal de qualquer golpe, mas também não se pode transferir ao consumidor todo o risco de uma atividade altamente lucrativa, tecnológica e complexa. Quando a fraude revela falha no serviço, ausência de bloqueio de operações atípicas, deficiência de segurança ou omissão na resposta ao consumidor, a reparação civil é medida juridicamente possível e, muitas vezes, necessária.

Conclusão

Fraudes digitais não devem ser analisadas apenas sob o ângulo da ingenuidade da vítima. O ponto central é verificar se houve defeito na prestação do serviço, falha de segurança, transação incompatível com o perfil do cliente, omissão no bloqueio de operação suspeita ou descumprimento dos deveres de prevenção.

Cada caso deve ser examinado individualmente, com base nas provas, no histórico bancário, na conduta da instituição financeira e no comportamento da vítima. A atuação jurídica rápida e tecnicamente orientada pode ser decisiva para recuperar valores, impedir novos prejuízos e buscar a reparação cabível.

Procure sempre orientação jurídica adequada e professional para salvaguardar os seus interesses.

© 2026 Elson Silva Advocacia e Consultoria-Conformidade ética com as diretrizes do Provimento 94/2000 da OAB.

ADVOCACIA E CONSULTORIA JURÍDICA