Artigos | Postado no dia: 30 outubro, 2026

Banco é responsável por falha na detecção de operações atípicas

A expansão dos serviços bancários digitais trouxe inegáveis facilidades ao cotidiano. Transferências instantâneas, contratação remota de crédito e movimentações pelo celular reduziram custos e ampliaram o acesso ao sistema financeiro. Ao mesmo tempo, porém, esse ambiente tornou mais frequentes as fraudes praticadas por engenharia social, invasão de contas, falsos atendimentos bancários e indução do consumidor a realizar operações em benefício de criminosos.

Nesse contexto, cresce a discussão sobre a responsabilidade do banco quando transações claramente fora do padrão do cliente são autorizadas sem bloqueio, alerta eficaz ou confirmação adicional.

A resposta judicial predominante é objetiva: a instituição financeira pode ser responsabilizada quando deixa de identificar e impedir movimentações atípicas que, pelas circunstâncias concretas, revelavam risco de fraude. O fundamento não é que o banco deva impedir toda e qualquer fraude, resultado praticamente impossível. O dever é outro: oferecer um serviço seguro, capaz de detectar anomalias e reagir adequadamente diante de sinais relevantes de irregularidade.

Operação atípica é aquela que destoa do histórico habitual do correntista. Pode envolver, por exemplo, transferência de valor elevado em conta que normalmente recebe e movimenta pequenas quantias; contratação de empréstimo seguida de imediatas transferências via Pix; cadastro de novo aparelho pouco antes de operações sucessivas; saques, pagamentos ou remessas realizados em horário, local ou frequência incompatíveis com o padrão anterior de uso.

A análise não deve ser automática nem abstrata. Nem toda transação de alto valor é suspeita, pois o cliente pode efetivamente precisar comprar um imóvel, pagar fornecedor, investir ou transferir recursos próprios. A atipicidade resulta da combinação de fatores: valor, repetição, velocidade, horário, dispositivo utilizado, localização, destinatários, histórico da conta e eventual contratação de crédito fora do padrão.

O Superior Tribunal de Justiça tem afirmado que as instituições financeiras possuem o dever de verificar a regularidade e a idoneidade das transações, inclusive mediante mecanismos de identificação de anomalias que escapem ao comportamento usual do consumidor. A validação de operações manifestamente incompatíveis com o perfil do cliente pode caracterizar defeito na prestação do serviço.

Em precedente sobre o chamado “golpe do motoboy”, o STJ reconheceu que o compartilhamento de dados e a entrega do cartão pela consumidora ao fraudador não afastaram, por si sós, a falha bancária, pois as movimentações posteriores destoavam do padrão de consumo da correntista. A Corte destacou que o evento pode decorrer da concorrência entre a conduta do criminoso, a atuação da vítima induzida em erro e a deficiência dos mecanismos de segurança do banco.

A lógica é simples. O banco desenvolve atividade econômica baseada em confiança, tecnologia e processamento de dados. Por isso, espera-se que possua meios técnicos mais sofisticados do que aqueles disponíveis ao consumidor comum para reconhecer comportamentos anormais e interromper, ao menos temporariamente, operações de risco.

Essa obrigação é ainda mais importante em casos de fraudes digitais. É comum que criminosos convençam a vítima de que existe uma suposta invasão na conta, uma compra indevida ou a necessidade de “proteger” o dinheiro mediante transferência para conta indicada pelos próprios fraudadores. Em outros casos, induzem o consumidor a instalar aplicativos de acesso remoto, fornecer códigos de autenticação ou contratar empréstimos.

A conduta imprudente da vítima pode ser juridicamente relevante, mas não resolve a controvérsia por si só. O ponto central é verificar se, apesar da participação do consumidor na dinâmica fraudulenta, a instituição financeira autorizou operações que apresentavam sinais objetivos de anormalidade e que poderiam ter sido submetidas a confirmação reforçada, bloqueio cautelar ou contato efetivo com o titular.

O STJ tem entendido que a utilização de senha, token, cartão original ou autenticação formal não exclui automaticamente a responsabilidade bancária. Esses elementos demonstram que a operação passou pelos protocolos ordinários, mas não provam, isoladamente, que o sistema de segurança foi suficiente diante de uma transação fora do padrão.

Em uma hipótese de fraude por falsa central de atendimento, a Terceira Turma do STJ considerou relevante o fato de terem ocorrido contratação de crédito e transferências via Pix de valores elevados, concentradas em apenas dois dias. Para a Corte, a validação dessas operações, incompatíveis com o padrão ordinário de uso da conta, evidenciou deficiência nos mecanismos de prevenção da instituição financeira.

Em outra decisão, também envolvendo empréstimo e sucessivas transferências via Pix, o Tribunal Superior afastou a tese de culpa concorrente da consumidora. O acórdão destacou que a indução da vítima por engenharia social não elimina o defeito do serviço quando o banco deixa de impedir transações manifestamente incompatíveis com o histórico da conta.

A responsabilidade objetiva significa que o consumidor não precisa demonstrar culpa subjetiva do banco, isto é, não precisa provar qual empregado errou ou qual setor interno agiu com negligência. Deve demonstrar, contudo, a fraude, o prejuízo e elementos que indiquem a falha de segurança, especialmente a anormalidade das operações.

Da mesma forma, a responsabilidade não deve ser presumida em qualquer prejuízo bancário. Se a instituição comprovar que não houve defeito em seus serviços ou que o dano decorreu exclusivamente de conduta do consumidor ou de terceiro, a indenização poderá ser afastada. A discussão, portanto, é essencialmente probatória e depende das peculiaridades de cada caso.

Por isso, extratos bancários são documentos decisivos. Eles podem revelar a sequência dos fatos: empréstimo contratado sem histórico anterior, elevação incomum do volume de transferências, Pix enviados em série, esvaziamento da conta em poucos minutos ou operações realizadas logo após alteração de senha e cadastramento de dispositivo.

Também são relevantes as provas de contato com o banco, protocolos de atendimento, reclamações administrativas, boletim de ocorrência, registros de conversas com criminosos, comprovantes de contestação das operações e evidências de que o consumidor não costumava utilizar determinado canal digital ou modalidade de pagamento.

Não basta ao banco afirmar genericamente que a transação foi feita com senha pessoal. Quando a controvérsia envolve operações excepcionais, a instituição deve demonstrar a adequação de seus mecanismos de prevenção ao risco identificado no caso concreto. A simples autenticação regular não neutraliza, necessariamente, a suspeita decorrente do comportamento atípico das movimentações.

O STJ também tem estendido essa lógica às instituições de pagamento. Ao julgar caso envolvendo operações suspeitas e alheias ao perfil do consumidor, a Corte reconheceu que a validação dessas transações pode caracterizar defeito do serviço e que o dever de segurança alcança instituições que processam pagamentos e mantêm contas de usuários.

A prevenção eficiente não exige que o banco impeça indiscriminadamente todas as operações incomuns. Medidas proporcionais podem ser suficientes: alerta claro no aplicativo, confirmação por canal independente, exigência de autenticação reforçada, bloqueio temporário, análise de risco ou contato humano antes da efetivação da transferência.

Em contrapartida, essas cautelas devem ser equilibradas. Bloqueios automáticos e excessivos podem prejudicar clientes legítimos, especialmente empresas e pessoas que realizam operações de alto valor de forma habitual. O desafio jurídico e tecnológico está em calibrar a segurança sem inviabilizar a livre movimentação de recursos.

A jurisprudência recente indica que o dever de segurança não se reduz à proteção de senhas e dados cadastrais. Ele compreende o monitoramento das transações e a capacidade de resposta diante de eventos que fujam do perfil financeiro do cliente.

Assim, quando há contratação inesperada de crédito, uso repentino de aparelho desconhecido, remessas em cadeia, transferências vultosas e esvaziamento da conta em curto espaço de tempo, a ausência de providência preventiva pode revelar falha relevante do serviço bancário.

Em conclusão, o banco não é segurador universal contra qualquer golpe. Contudo, assume os riscos próprios de uma atividade que processa dados, pagamentos e crédito em larga escala. Quando autoriza operações flagrantemente atípicas sem mecanismos eficazes de verificação ou contenção, pode responder pelos danos suportados pelo consumidor. A segurança bancária, nesse cenário, não é mera conveniência tecnológica: é parte essencial do serviço oferecido ao público.