Uma ligação aparentemente legítima. Um número 0800. Pessoas que se apresentam como funcionários do banco e demonstram conhecer informações do cliente. Em seguida, surge o alerta: existe uma movimentação suspeita e é necessário agir rapidamente para proteger o dinheiro.
Foi esse o cenário enfrentado por uma cliente que perdeu mais de R$ 31 mil após seguir as orientações de criminosos no chamado golpe da falsa central de atendimento.
Em agosto de 2026, o Terra repercutiu uma decisão da Terceira Turma do Superior Tribunal de Justiça (STJ) que afastou a responsabilidade do banco nesse caso específico. O julgamento chamou atenção porque reforçou que a instituição financeira não responde automaticamente por todo prejuízo decorrente de fraude digital.
A conclusão, porém, não significa que os bancos deixaram de ter responsabilidade sobre fraudes praticadas por terceiros.
O ponto central é outro.
Para definir a responsabilidade, será necessário analisar se existia uma falha concreta na prestação do serviço e se a instituição possuía condições de identificar, impedir ou reduzir o impacto daquela operação.
Essa diferença é relevante não apenas para o departamento jurídico. Ela atinge diretamente as áreas de risco, antifraude, segurança, compliance e atendimento.
O que aconteceu no caso analisado pelo STJ
Segundo o STJ, a cliente recebeu uma ligação de criminosos que se apresentaram como funcionários da área de segurança do banco.
Convencida de que estava protegendo sua conta, realizou duas transferências via Pix, nos valores de R$ 2.490,99 e R$ 1 mil. No dia seguinte, compareceu a uma agência e realizou outra transferência, dessa vez de R$ 28 mil, para uma conta indicada pelos fraudadores.
O Tribunal de Justiça de São Paulo havia concluído que as primeiras transferências não eram incompatíveis com o histórico de movimentação da cliente. A operação de maior valor, por sua vez, foi feita presencialmente, sem que a correntista informasse aos funcionários da agência que estava seguindo orientações recebidas em uma ligação suspeita.
A Terceira Turma do STJ manteve essa conclusão.
Para o tribunal, naquele contexto específico, não ficou caracterizada falha na prestação do serviço nem vínculo suficiente entre a atuação da instituição financeira e o prejuízo sofrido pela cliente.
A responsabilidade do banco, portanto, não poderia ser presumida apenas porque houve uma fraude.
A decisão não eliminou a responsabilidade dos bancos por fraudes
Esse ponto precisa ser compreendido com cuidado.
A Súmula 479 do STJ continua estabelecendo que instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relacionado a fraudes e delitos praticados por terceiros no âmbito das operações bancárias.
A própria jurisprudência recente do tribunal reconhece a responsabilidade de bancos e instituições de pagamento quando existe falha de segurança, proteção inadequada de dados ou ausência de mecanismos capazes de identificar transações incompatíveis com o comportamento habitual do cliente.
Em decisões anteriores envolvendo também o golpe da falsa central, o STJ responsabilizou instituições diante de movimentações claramente destoantes do perfil do correntista.
Em um dos casos, um cliente que normalmente realizava poucas movimentações teve 14 transações efetuadas em um único dia, além de outras operações financeiras. Para o tribunal, a ausência de mecanismos eficazes para identificar e impedir aquele comportamento atípico caracterizou falha do serviço.
A diferença entre os casos ajuda a entender o novo cenário.
Não basta perguntar:
“Houve fraude?”
É preciso perguntar:
“Existiam sinais que poderiam razoavelmente ter sido identificados pela instituição?”
O comportamento da operação passa a ser decisivo
Fraudes digitais modernas dificilmente podem ser analisadas apenas pela existência de senha correta, dispositivo autorizado ou autenticação concluída.
Um criminoso pode convencer a própria vítima a executar uma operação.
Pode utilizar credenciais legítimas.
Pode obter acesso a um dispositivo autorizado.
Pode manipular uma pessoa para confirmar uma transação.
Tecnicamente, diversos controles podem ter sido cumpridos. Ainda assim, o comportamento financeiro pode revelar algo incompatível com a rotina daquele cliente.
É por isso que sistemas antifraude precisam analisar contexto.
- Valor da operação.
- Horário.
- Localização.
- Dispositivo utilizado.
- Conta destinatária.
- Intervalo entre transações.
- Alterações recentes de cadastro.
- Contratação de crédito imediatamente antes de transferências.
- Mudança abrupta no comportamento financeiro.
- Sequência incomum de operações.
O próprio STJ já destacou que os mecanismos de segurança devem ser capazes de considerar fatores como valor, horário, local, intervalo entre transações, sequência de operações e meio utilizado para realizá-las.
Nenhum desses elementos, isoladamente, necessariamente caracteriza uma fraude.
A inteligência está justamente em correlacioná-los.
O antifraude não precisa impedir toda operação diferente
Existe também um risco no caminho oposto.
Bloquear qualquer transação que fuja minimamente do padrão do cliente tornaria o sistema financeiro pouco funcional e poderia gerar grande quantidade de falsos positivos.
Uma pessoa pode legitimamente comprar um imóvel, transferir suas economias, adquirir um veículo, movimentar recursos em outra cidade ou realizar uma operação muito superior à sua média histórica.
Operação atípica não significa automaticamente operação fraudulenta.
O desafio das instituições é criar mecanismos capazes de distinguir diferença de comportamento de risco relevante.
Dependendo do contexto, a resposta não precisa ser necessariamente bloquear.
Pode envolver autenticação adicional.
- Contato por canal independente.
- Confirmação da finalidade da operação.
- Aplicação temporária de limite.
- Revisão humana.
- Análise do destinatário.
- Verificação do dispositivo.
- Escalonamento para uma área especializada.
É justamente essa combinação entre tecnologia, processo e capacidade decisória que torna o controle efetivo.
Existe outro ponto cada vez mais importante: provar que o controle funcionou
Uma instituição pode possuir dezenas de ferramentas antifraude e, mesmo assim, encontrar dificuldades após um incidente.
Isso acontece quando ela não consegue reconstruir o processo decisório.
- Qual era o perfil transacional daquele cliente?
- A operação gerou algum alerta?
- Qual regra foi aplicada?
- O alerta foi analisado?
- Quem tomou a decisão?
- Quais informações estavam disponíveis naquele momento?
- Houve autenticação adicional?
- O dispositivo era conhecido?
- A conta destinatária apresentava algum indicador de risco?
- Quando a fraude foi comunicada?
- Qual providência foi adotada depois da comunicação?
- Quanto tempo transcorreu entre o alerta e a reação?
Essas informações transformam prevenção em evidência.
E essa evidência pode ser determinante para demonstrar se a instituição atuou ou não com a diligência esperada.
A reação depois da fraude também faz parte da segurança
O trabalho antifraude não termina quando a transação é concluída.
Em outro julgamento recente envolvendo engenharia social, o STJ analisou um caso no qual a vítima comunicou a fraude apenas dois minutos depois da operação, mas o bloqueio cautelar e o Mecanismo Especial de Devolução foram efetivamente acionados somente dias depois. O tribunal considerou relevante a incapacidade do sistema de responder rapidamente para evitar ou mitigar o prejuízo.
Esse entendimento reforça outro aspecto da gestão de risco: tempo de reação também é controle.
Quando uma fraude é comunicada, a instituição precisa ter processos claros para registrar o incidente, bloquear acessos quando necessário, preservar evidências, analisar transações relacionadas, acionar mecanismos de recuperação e identificar possíveis conexões com outras ocorrências.
Uma resposta desorganizada pode ampliar um prejuízo que inicialmente ainda poderia ser contido.
O que as instituições deveriam conseguir responder
A jurisprudência recente transforma algumas perguntas em pontos relevantes para qualquer estrutura antifraude:
- O sistema conhece o comportamento normal de cada cliente?
- Quais situações são classificadas como atípicas?
- Quais combinações de fatores geram alertas?
- Existe diferenciação entre simples atipicidade e risco elevado?
- Quem analisa os alertas?
- Existe prazo definido para resposta?
- Há autenticação adicional para determinadas situações?
- Contas destinatárias também são avaliadas?
- Alterações de dispositivo, localização e comportamento são correlacionadas?
- A instituição consegue reconstruir posteriormente todo o processo decisório?
- Existe protocolo específico para fraude comunicada pelo cliente?
- Os registros necessários são preservados para investigação e eventual discussão judicial?
Se essas respostas não estiverem documentadas, existe uma fragilidade.
Porque possuir controles é importante.
Conseguir demonstrar como esses controles funcionaram em uma operação concreta é igualmente importante.
Prevenção, detecção e reação precisam funcionar juntas
A decisão analisada pelo STJ não representa autorização para reduzir investimentos em segurança.
Na prática, ocorre o contrário.
Ao afastar uma responsabilização automática e exigir a análise das circunstâncias concretas da fraude, aumenta a importância da qualidade dos controles, do monitoramento comportamental e da documentação das decisões.
Instituições financeiras, fintechs, cooperativas de crédito e empresas que processam operações sensíveis precisam ser capazes de demonstrar o que conheciam, quais sinais estavam disponíveis e como reagiram diante deles.
A ABCR atua de forma integrada nas três etapas da gestão de fraudes: prevenção, identificando vulnerabilidades e fortalecendo controles; detecção, por meio da análise de comportamentos, operações e padrões suspeitos; e reação, com investigação de fraudes, análise forense, preservação de evidências e suporte técnico para reconstrução dos fatos.
Fraudes digitais continuarão explorando tecnologia, comportamento humano e falhas de processo.
Não existe controle capaz de impedir absolutamente todos os golpes.
A diferença está na capacidade de identificar os sinais relevantes, responder no momento adequado e demonstrar, posteriormente, tudo o que foi feito.
Em um ambiente de fraude cada vez mais sofisticado, segurança não é apenas impedir o incidente. É também conseguir provar que a organização estava preparada para identificá-lo e reagir a ele.
Sua instituição consegue reconstruir, com evidências, o que aconteceu depois de uma fraude?
Fale com a ABCR para avaliar vulnerabilidades, revisar controles antifraude e fortalecer os processos de prevenção, detecção e resposta a incidentes.
