STJ — DECISÃO REsp 2281091 (inteiro teor) — Biblioteca Jurídica

DECISÃO Cuida-se de recurso especial interposto por SILVIA FRANQUEVE, com fundamento no artigo 105, inciso III, alíneas "a" e "c", da Constituição Federal, contra acórdão proferido pelo TRIBUNAL DE JUSTIÇA DO ESTADO DO RIO GRANDE DO SUL nos termos da seguinte ementa (fls. 270-271): DIREITO CIVIL. AGRAVO INTERNO. AÇÃO DECLARATÓRIA DE INEXISTÊNCIA DE DÉBITO. DANOS MORAIS. FRAUDE BANCÁRIA. TRANSAÇÕES REALIZADAS COM SENHA PESSOAL E TOKEN. CULPA EXCLUSIVA DA VÍTIMA. DESPROVIMENTO DO RECURSO. I. CASO EM EXAME: Agravo interno interposto contra decisão monocrática que desproveu apelação cível, mantendo sentença que julgou improcedente o pedido formulado em ação declaratória de inexistência de débito cumulada com indenização por danos morai. II. QUESTÃO EM DISCUSSÃO: A questão em discussão consiste na responsabilidade da instituição financeira pelas transações financeiras contestadas pela agravante, bem como sobre a existência de danos materiais e morais indenizáveis decorrentes de suposta fraude perpetrada por terceiros. III. RAZÕES DE DECIDIR: A relação jurídica estabelecida entre as partes é de consumo, estando sob a égide do Código de Defesa do Consumidor, conforme Súmula nº 297 do STJ, sendo a responsabilidade civil das instituições financeiras objetiva. A responsabilidade objetiva não é absoluta, pois o art. 14, § 3º, do CDC prevê expressamente as causas excludentes de responsabilidade do fornecedor de serviços, entre elas a comprovação de culpa exclusiva do consumidor ou de terceiro. A inversão do ônus da prova não representa isenção total para que a parte autora produza um substrato probatório mínimo dos fatos constitutivos de seu direito, conforme exige o art. 373, I, do CPC. A instituição financeira demonstrou a regularidade das operações contestadas, apresentando registros de LOG que evidenciam que as transações foram realizadas por meio do aplicativo do banco, a partir do dispositivo usualmente utilizado pela correntista, e validadas mediante senha pessoal e chave de segurança. A realização das operações com o uso correto das credenciais gera forte presunção de legitimidade e de que foram comandadas pela própria titular da conta ou por terceiro a quem ela franqueou o acesso. A dinâmica dos fatos, aliada à comprovação de que as senhas corretas foram utilizadas, aponta para uma quebra de segurança na esfera de custódia da própria consumidora, configurando culpa exclusiva da vítima ou de terceiro (fortuito externo). O argumento de que as transações destoavam do perfil de consumo da agravante não é suficiente para caracterizar falha do serviço, pois a validação por senha e token é o que confere autenticidade à operação. IV. DISPOSITIVO: Recurso desprovido. Sem embargos de declaração. No presente recurso especial, o recorrente aduz que o acórdão estadual contrariou art. 14, caput e §3º, II, do Código de Defesa do Consumidor e o art. 373 do CPC, ao passo que aponta divergência jurisprudencial com arestos desta Corte. Sustenta, em síntese, que a mera utilização de senha e token não é suficiente para caracterizar culpa exclusiva da consumidora e afastar a responsabilidade objetiva da instituição financeira por fraudes eletrônicas, especialmente diante do caráter atípico das operações em relação ao histórico da cliente. Alega que o acórdão recorrido promoveu indevida inversão do ônus da prova ao exigir da consumidora a demonstração de vulnerabilidade do sistema bancário, quando incumbia ao banco provar eventual causa excludente de responsabilidade. Requer, ao final, o provimento do recurso para reformar o acórdão recorrido e reconhecer a responsabilidade objetiva da instituição financeira. Apresentadas as contrarrazões (fls. 278-296), sobreveio o juízo de admissibilidade positivo da instância de origem (fls. 297-301). É, no essencial, o relatório. I - O caso em discussão Recurso especial proveniente de ação de indenização por danos materiais e morais ajuizada em face de instituição financeira, em decorrência da realização de empréstimos e transferências via PIX contestados pela autora, que alega ter sido vítima de fraude eletrônica. Em primeira instância, os pedidos foram julgados improcedentes. Interposta apelação, o Tribunal local negou provimento ao recurso, mantendo a sentença ao fundamento de que as operações foram realizadas mediante utilização de senha pessoal e token, circunstância apta a caracterizar culpa exclusiva da consumidora e afastar a responsabilidade objetiva da instituição financeira. I - O caso em discussão Recurso especial proveniente de ação de indenização por danos materiais e morais ajuizada em face de instituição financeira, em decorrência da realização de empréstimos e transferências via PIX contestados pela autora, que alega ter sido vítima de fraude eletrônica. Em primeira instância, os pedidos foram julgados improcedentes. Interposta apelação, o Tribunal local negou provimento ao recurso, mantendo a sentença ao fundamento de que as operações foram realizadas mediante utilização de senha pessoal e token, circunstância apta a caracterizar culpa exclusiva da consumidora e afastar a responsabilidade objetiva da instituição financeira. II - Questão em discussão no recurso especial A discussão dos autos orbita em torno da existência de falha na prestação do serviço bancário na hipótese de ser o correntista vítima de golpe da falsa central, resultando em movimentações atípicas, que destoam do padrão de uso dos serviços bancários pelo consumidor. A matéria objeto do recurso foi devidamente prequestionada perante o Tribunal de origem, examinando este expressamente as questões relacionadas à responsabilidade civil da instituição financeira, ao ônus probatório e à configuração ou não de culpa exclusiva da vítima. O recorrente não pretende o revolvimento do conjunto fático-probatório dos autos, mas tão somente a correta aplicação do direito à hipótese delineada pelo acórdão recorrido, não incidindo, portanto, as Súmulas 5 e 7 desta Corte. No mérito, com razão a recorrente. A responsabilidade da instituição financeira em casos de fraudes praticadas por terceiros é, em regra, objetiva, nos termos do art. 14 do CDC e da Súmula n. 479/STJ, a qual dispõe que "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias". O defeito na prestação do serviço, nessas hipóteses, pode se manifestar em diversas etapas, como a falha na guarda de dados sigilosos do consumidor ou na ausência de um sistema de segurança robusto e eficiente, capaz de identificar e barrar operações que fogem ao padrão de consumo do cliente. Sabe-se que é obrigação das instituições financeiras, decorrente do dever de segurança inerente à sua atividade, verificar a regularidade e a idoneidade das transações realizadas em suas plataformas, independentemente de qualquer ato do consumidor. Um sistema bancário que permite a realização de operações financeiras totalmente atípicas em relação ao histórico e perfil do correntista demonstra vulnerabilidade e viola o dever de segurança que dele se espera, configurando nítida falha na prestação do serviço. A sofisticação das fraudes perpetradas por meios eletrônicos exige que as instituições financeiras aprimorem constantemente seus mecanismos de autenticação e de verificação de anomalias, sob pena de arcarem com os riscos de sua atividade empresarial. No caso, a permissão para que tais operações fossem concluídas sem qualquer tipo de bloqueio preventivo ou verificação adicional por parte da instituição financeira evidencia o defeito no serviço prestado. A conduta da vítima não possui o condão de elidir a responsabilidade do fornecedor, quando este concorre para o dano ao não prover a segurança legitimamente esperada pelo consumidor. O acórdão recorrido, porém, entendeu pela culpa exclusiva do consumidor, afastando a responsabilidade da instituição financeira. Assim o fazendo, o Tribunal estadual divergiu do entendimento desta Corte Superior e negou vigência à legislação federal aplicável. Nesse sentido, cito: RECURSO ESPECIAL. DIREITO DO CONSUMIDOR. DISPOSITIVOS CONSTITUCIONAIS. VIOLAÇÃO. ANÁLISE. IMPOSSIBILIDADE. INSTITUIÇÃO DE PAGAMENTOS. GOLPE DE ENGENHARIA SOCIAL. FALSA CENTRAL DE ATENDIMENTO. OPERAÇÕES REALIZADAS. CIRCUNSTÂNCIAS. ANÁLISE. NECESSIDADE. PRESTAÇÃO DE SERVIÇO. DEFEITO CONFIGURADO. 1. A controvérsia dos autos resume-se a saber se as instituições de pagamento, à semelhança das instituições bancárias, estão obrigadas a desenvolver mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos atípicos e agir rapidamente para evitar prejuízos. 2. Nos termos do art. 105, III, da Constituição Federal, não compete a esta Corte o exame de suposta violação de dispositivos constitucionais, ainda que para fins de prequestionamento, sob pena de invasão da competência atribuída ao Supremo Tribunal Federal. Súmula nº 479/STJ, 3. De acordo com a orientação emanada da as instituições financeiras respondem relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. 4. A controvérsia dos autos resume-se a saber se as instituições de pagamento, à semelhança das instituições bancárias, estão obrigadas a desenvolver mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos atípicos e agir rapidamente para evitar prejuízos. 2. Nos termos do art. 105, III, da Constituição Federal, não compete a esta Corte o exame de suposta violação de dispositivos constitucionais, ainda que para fins de prequestionamento, sob pena de invasão da competência atribuída ao Supremo Tribunal Federal. Súmula nº 479/STJ, 3. De acordo com a orientação emanada da as instituições financeiras respondem relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. 4. Toda a compreensão que esta Corte Superior já firmou no tocante às obrigações impostas às instituições bancárias, inclusive no que se refere à incidência do Código de Defesa do Consumidor (Súmula nº 297/STJ), aplicável às instituições de pagamento, às quais também é atribuído o dever de processar com segurança as transações dos usuários finais, por expressa disposição do é inteiramente art. 7º da Lei nº 12.865/2013. 5. A responsabilidade das instituições de pagamento, e de todos aqueles que integram os denominados arranjos de pagamento, somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3º do art. 14 do Código de Defesa do Consumidor. 6. Constitui atribuição das instituições financeiras, e de todas aquelas que participam dos denominados arranjos de pagamento, criar mecanismos capazes de identificar e coibir a prática de fraudes e de mantê-los em constante aprimoramento, em virtude do dever de gerir com segurança as movimentações de dinheiro dos seus clientes e do elevado grau de risco da atividade por elas desempenhada. art. 14 7. Se o serviço não fornece a segurança que dele se pode esperar, levando em consideração o modo do seu fornecimento e o resultado e os riscos que razoavelmente dele se esperam, é ele defeituoso, nos termos do § 1º do do Código de Defesa do Consumidor. 8. Uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira ou instituição de pagamento, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Hipótese descartada no caso concretamente examinado. caso concretamente examinado. 9. Para a identificação de possíveis fraudes, os sistemas de proteção contra fraudes desenvolvidos pelas instituições bancárias/de pagamento devem considerar i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e o local em que as operações foram realizadas; iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos; enfim, diversas circunstâncias que, conjugadas, tornam possível ao fornecedor do serviço identificar se determinada transação deve ou não ser validada. 10. A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras e das instituições de pagamento. 11. Hipótese em que a) todas as operações bancárias, em um total de 14 (quatorze), foram realizadas no mesmo dia; b) a conta era utilizada como uma espécie de poupança, com pouquíssimas movimentações, e c) as transações realizadas fogem do perfil de consumo do correntista. 12. Recurso especial provido. (REsp n. 2.222.059/SP, relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 13/10/2025.) PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO. CONSUMIDOR. GOLPE DO MOTOBOY. RESPONSABILIDADE CIVIL. USO DE CARTÃO E SENHA. DEVER DE SEGURANÇA. FALHA NA PRESTAÇÃO DE SERVIÇO. 1. Ação declaratória de inexigibilidade de débito. ausência de procedimentos de verificação e aprovação para transações atípicas e que aparentam ilegalidade corresponde a defeito na prestação de serviço, capaz de gerar a responsabilidade objetiva por parte da instituição financeira. 3. Recurso especial conhecido e provido. (REsp n. 2.179.133/SP, Terceira Turma, julgado em relatora Ministra Nancy Andrighi, 14/4/2025, DJEN de 23/4/2025.) PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIBILIDADE DE DÉBITO. CONSUMIDOR. GOLPE DO MOTOBOY. RESPONSABILIDADE CIVIL. USO DE CARTÃO E SENHA. DEVER DE SEGURANÇA. FALHA NA PRESTAÇÃO DE SERVIÇO. 1. Ação declaratória de inexigibilidade de débito. 2. Recurso especial interposto em 16/08/2021. ausência de procedimentos de verificação e aprovação para transações atípicas e que aparentam ilegalidade corresponde a defeito na prestação de serviço, capaz de gerar a responsabilidade objetiva por parte da instituição financeira. 3. Recurso especial conhecido e provido. (REsp n. 2.179.133/SP, Terceira Turma, julgado em relatora Ministra Nancy Andrighi, 14/4/2025, DJEN de 23/4/2025.) PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIBILIDADE DE DÉBITO. CONSUMIDOR. GOLPE DO MOTOBOY. RESPONSABILIDADE CIVIL. USO DE CARTÃO E SENHA. DEVER DE SEGURANÇA. FALHA NA PRESTAÇÃO DE SERVIÇO. 1. Ação declaratória de inexigibilidade de débito. 2. Recurso especial interposto em 16/08/2021. Concluso ao gabinete em 25/04/2022. 3. O propósito recursal consiste em perquirir se existe falha na prestação do serviço bancário quando o correntista é vítima do golpe do motoboy. 4. Ainda que produtos e serviços possam oferecer riscos, estes não podem ser excessivos ou potencializados por falhas na atividade econômica desenvolvida pelo fornecedor. 5. Se as transações contestadas forem feitas com o cartão original e mediante uso de senha pessoal do correntista, passa a ser do consumidor a incumbência de comprovar que a instituição financeira agiu com negligência, imprudência ou imperícia ao efetivar a entrega de numerário a terceiros. Precedentes. 6. A jurisprudência deste STJ consigna que o fato de as compras terem sido realizadas no lapso existente entre o furto e a comunicação ao banco não afasta a provido responsabilidade da instituição financeira. Precedentes. 7. Cabe às administradoras, em parceria com o restante da cadeia de fornecedores do serviço (proprietárias das bandeiras, adquirentes e estabelecimentos comerciais), a verificação da idoneidade das compras realizadas com cartões magnéticos, utilizando-se de meios que dificultem ou impossibilitem fraudes e transações realizadas por estranhos em nome de seus clientes, independentemente de qualquer ato do consumidor, tenha ou não ocorrido roubo ou furto. Precedentes. 8. A vulnerabilidade do sistema bancário, que admite operações totalmente atípicas em relação ao padrão de consumo dos consumidores, viola o dever de segurança que cabe às instituições financeiras e, por conseguinte, incorre em falha da prestação de serviço. 9. Para a ocorrência do evento danoso, isto é, o êxito do estelionato, necessária concorrência de causas: (i) por parte do consumidor, ao fornecer o cartão magnético e a senha pessoal ao estelionatário, bem como (ii) por parte do banco, ao violar o seu dever de segurança por não criar mecanismos que obstem transações bancárias com aparência de ilegalidade por destoarem do perfil de compra do consumidor. 10. Na hipótese, contudo, verifica-se que o consumidor é pessoa idosa, razão pela qual a imputação de responsabilidade há de ser feita sob as luzes do Estatuto do Idoso e da Convenção Interamericana sobre a Proteção dos Direitos Humanos dos Idosos, sempre considerando a sua peculiar situação de consumidor hipervulnerável. 11. Recurso especial provido. (REsp n. 1.995.458/SP, relatora Ministra Nancy Andrighi, Terceira Turma, julgado em 9/8/2022, DJe de 18/8/2022.) O art. 14 do CDC qualifica como defeituoso o serviço que não fornece a segurança que dele legitimamente se espera. Em tempos de inteligência artificial e ferramentas sofisticadas de análise de comportamento, o que se espera de uma instituição financeira ou de pagamento é que possua sistemas capazes de identificar e coibir operações flagrantemente incompatíveis com o perfil habitual do cliente, levando em consideração múltiplos fatores, tais como: valor das transações, horário, local, intervalo entre operações, sequência de movimentações, meio utilizado, contratação de empréstimos atípicos imediatamente antes de transferências suspeitas, entre outros. Desta forma, conclui-se que o acórdão recorrido inverteu equivocadamente a lógica probatória ao concluir pela culpa exclusiva do consumidor sem que a instituição financeira tivesse demonstrado a inexistência de defeito na prestação do serviço. A ausência de prova de vazamento de dados ou de falha sistêmica não equivale à prova positiva de que todos os protocolos de segurança foram observados. Relembre-se que o CDC consagra a facilitação da defesa do consumidor em juízo, inclusive com a possibilidade de inversão do ônus da prova. Em se tratando de responsabilidade objetiva por defeito na prestação de serviço, compete ao fornecedor demonstrar que implementou e executou adequadamente os mecanismos de segurança esperados, não bastando a mera alegação genérica de que não houve falha. Para além disso, ser a parte recorrente pessoa idosa se consubstancia em circunstância que agrava sua vulnerabilidade perante golpes de engenharia social. A ausência de prova de vazamento de dados ou de falha sistêmica não equivale à prova positiva de que todos os protocolos de segurança foram observados. Relembre-se que o CDC consagra a facilitação da defesa do consumidor em juízo, inclusive com a possibilidade de inversão do ônus da prova. Em se tratando de responsabilidade objetiva por defeito na prestação de serviço, compete ao fornecedor demonstrar que implementou e executou adequadamente os mecanismos de segurança esperados, não bastando a mera alegação genérica de que não houve falha. Para além disso, ser a parte recorrente pessoa idosa se consubstancia em circunstância que agrava sua vulnerabilidade perante golpes de engenharia social. Não por menos, o Estatuto da Pessoa Idosa estabelece proteção especial a este grupo, reconhecendo sua maior suscetibilidade a fraudes, de modo que não é razoável imputar culpa exclusiva à vítima de golpe de engenharia social quando esta é induzida ao erro mediante manipulação sofisticada. III - Dispositivo Ante o exposto, dou provimento ao recurso especial, a fim de anular o acórdão recorrido e, por conseguinte, determinar a devolução dos autos à Corte local para que proceda a novo julgamento da causa, observando a premissa de que a ausência de procedimentos de verificação e aprovação para transações atípicas e que aparentam ilegalidade corresponde a defeito na prestação de serviço, capaz de gerar a responsabilidade objetiva por parte da instituição financeira. Publique-se. Intimem-se. EMENTA

STJ — DECISÃO REsp 2281091 (inteiro teor)

Conexões deste documento

Faça mais com este documento