Responsabilidade dos bancos em golpes do Pix: Teses atualizadas

Golpes envolvendo Pix, falsas centrais de atendimento e outras técnicas de engenharia social continuam gerando ações contra bancos e instituições de pagamento. Para o advogado, porém, não basta demonstrar que o cliente foi enganado e sofreu prejuízo.

A responsabilidade da instituição financeira depende das circunstâncias concretas da fraude. É necessário verificar quem realizou as transações, como elas foram autenticadas, se estavam fora do perfil do consumidor e se os mecanismos de segurança do banco funcionaram adequadamente.

Decisões recentes do Superior Tribunal de Justiça mostram que o banco pode ser responsabilizado quando autoriza operações manifestamente atípicas. Por outro lado, o dever de indenizar pode ser afastado quando as transferências são realizadas pelo próprio cliente, com suas credenciais legítimas, sem demonstração de falha bancária.

Neste artigo, você conhecerá as principais teses aplicadas aos golpes do Pix e os fundamentos jurídicos utilizados pelo STJ.

Clique no banner abaixo e conheça como a Jurídico AI pode apoiar sua rotina jurídica.

Os bancos respondem por golpes realizados por meio do Pix?

As instituições financeiras estão sujeitas às regras do Código de Defesa do Consumidor. De acordo com o artigo 14, o fornecedor responde objetivamente pelos danos decorrentes de defeitos na prestação do serviço, independentemente da demonstração de culpa.

A aplicação do CDC às instituições financeiras também está consolidada na Súmula 297 do STJ. Já a Súmula 479 do STJ, originada do julgamento do Tema Repetitivo 466, estabelece que os bancos respondem objetivamente pelos danos causados por fraudes e delitos de terceiros quando esses eventos representam fortuito interno relacionado à atividade bancária.

A responsabilidade objetiva dispensa a prova de culpa subjetiva da instituição. Ainda assim, é necessário demonstrar o dano, o defeito do serviço e o nexo causal.

Isso significa que nem todo golpe do Pix gera automaticamente o dever de indenizar. O artigo 14, § 3º, do CDC permite que a responsabilidade seja afastada quando a instituição comprovar a inexistência de defeito no serviço ou a culpa exclusiva do consumidor ou de terceiro.

A questão central, portanto, é identificar se o prejuízo decorreu exclusivamente da atuação do golpista e do comportamento da vítima ou se houve também uma falha nos mecanismos de segurança da instituição financeira.

O dever de segurança também decorre das normas bancárias

Além do Código de Defesa do Consumidor, as instituições financeiras estão sujeitas a normas específicas sobre segurança, identificação dos clientes e prevenção de fraudes.

A Resolução CMN nº 4.949/2021 estabelece princípios e procedimentos a serem observados no relacionamento com os clientes. Entre eles estão a ética, a responsabilidade, a transparência e a diligência, além da necessidade de assegurar a integridade, a confiabilidade, a segurança e o sigilo das transações.

A Resolução CMN nº 4.753/2019, por sua vez, disciplina a abertura, a manutenção e o encerramento de contas de depósitos. A norma exige a adoção de procedimentos e controles capazes de verificar e validar a identidade e a qualificação dos titulares, o que pode ser relevante nos casos envolvendo contas utilizadas para receber valores provenientes de golpes.

Essas regras ajudam a delimitar tanto os deveres do banco da vítima quanto os da instituição que mantém a conta utilizada pelo golpista.

O descumprimento de uma norma regulatória não gera indenização automaticamente. Entretanto, pode servir como elemento para demonstrar que o serviço não apresentou a segurança legitimamente esperada, nos termos do artigo 14 do CDC.

Quais são as principais teses aplicadas aos golpes do Pix?

As decisões mais recentes permitem organizar a responsabilidade dos bancos em golpes do Pix em cinco teses principais.

1. A fraude relacionada ao risco da atividade bancária pode configurar fortuito interno

A primeira tese decorre do artigo 14 do CDC, do Tema Repetitivo 466 e da Súmula 479 do STJ.

Fraudes relacionadas à abertura de contas, autenticação de usuários, contratação de empréstimos, processamento de pagamentos e movimentação de valores podem estar inseridas nos riscos próprios da atividade financeira.

Quando a fraude revela uma vulnerabilidade do serviço bancário, a atuação do criminoso não necessariamente rompe o nexo causal. O evento pode ser considerado fortuito interno, atraindo a responsabilidade objetiva da instituição.

A tese ganha força quando a fraude envolve:

• vulnerabilidade no acesso à conta;
• falha na autenticação do usuário;
• exposição indevida de dados bancários;
• autorização de movimentações manifestamente atípicas;
• ausência de controles compatíveis com o risco da operação.

Contudo, a simples existência do golpe não basta. É preciso relacionar o prejuízo a uma falha concreta na prestação do serviço.

2. O banco pode responder por não bloquear operações fora do perfil do cliente

O dever de segurança previsto no artigo 14 do CDC não se limita à proteção da senha. Ele também alcança o monitoramento das operações realizadas na conta.

No REsp 2.222.059/SP, a Terceira Turma do STJ reconheceu a responsabilidade das instituições envolvidas diante de transações que destoavam do perfil da vítima.

Segundo o entendimento adotado, os mecanismos de prevenção a fraudes devem considerar fatores como:

• valor das transações;
• horário e localização;
• intervalo entre as operações;
• sequência de transferências;
• inclusão de novos favorecidos;
• dispositivo utilizado;
• compatibilidade com o histórico do consumidor.

Em março de 2026, a Terceira Turma reafirmou esse dever no AgInt no AREsp 2.953.630/RJ. O colegiado entendeu que a instituição deve verificar a regularidade e a idoneidade das transações, pois um sistema que admite operações totalmente atípicas pode apresentar vulnerabilidade incompatível com o dever de segurança.

Valores elevados, transferências sucessivas, contratação de empréstimo seguida de Pix e esvaziamento repentino da conta são alguns elementos que podem sustentar a tese de falha na prestação do serviço.

3. O uso de senha ou dispositivo cadastrado não afasta automaticamente a responsabilidade

Os bancos frequentemente alegam que as transações foram autenticadas com senha, token, biometria ou dispositivo cadastrado. Esses elementos são relevantes, mas não afastam, por si sós, a responsabilidade.

O fundamento continua sendo o artigo 14 do CDC: mesmo uma operação formalmente autenticada pode revelar defeito do serviço quando apresenta características incompatíveis com o perfil do cliente.

A autenticação demonstra que determinada credencial foi utilizada. Ela não comprova, isoladamente, que os mecanismos de prevenção e monitoramento funcionaram adequadamente.

Por isso, a análise deve separar duas questões:

1. se a transferência foi validada com as credenciais do cliente;
2. se o banco deveria ter identificado sinais de fraude antes de autorizar a operação.

No REsp 2.222.059/SP, a atipicidade das movimentações foi determinante para o reconhecimento da responsabilidade, apesar da utilização dos mecanismos necessários à confirmação das transações.

Essa tese é especialmente importante nos golpes de falsa central, nos quais a própria vítima pode ser induzida a fornecer informações ou confirmar operações.

4. A participação da vítima não significa necessariamente culpa exclusiva

O fato de o cliente ter realizado o Pix ou fornecido informações ao golpista não encerra automaticamente a análise da responsabilidade.

Para afastar o dever de indenizar com fundamento no artigo 14, § 3º, II, do CDC, a conduta do consumidor deve ser a causa exclusiva do prejuízo. Se também houver falha relevante nos sistemas de segurança, a participação da vítima pode não ser suficiente para romper o nexo causal.

Nos casos de engenharia social, é necessário verificar se o consumidor assumiu conscientemente o risco ou se realizou a operação porque foi induzido a acreditar que seguia uma orientação legítima da instituição.

Também deve ser observado se o banco, mesmo diante da participação da vítima, autorizou movimentações completamente incompatíveis com o perfil da conta.

Portanto, transferência voluntária, culpa exclusiva e culpa concorrente são conceitos diferentes. A mera confirmação do Pix não permite concluir, isoladamente, que todo o prejuízo deve ser atribuído ao consumidor.

5. A responsabilidade pode ser afastada quando não há prova de falha bancária

O artigo 14, § 3º, do CDC permite o afastamento da responsabilidade quando a instituição comprova a inexistência de defeito no serviço ou a culpa exclusiva do consumidor ou de terceiro.

No REsp 2.238.532/SP, julgado em março de 2026, a Quarta Turma do STJ afastou a responsabilidade bancária em um caso no qual a consumidora forneceu informações, seguiu as orientações dos fraudadores e realizou pessoalmente as transferências via Pix.

O colegiado considerou que não havia demonstração de falha do sistema ou violação dos mecanismos de segurança. Nesse contexto, a engenharia social foi tratada como fortuito externo, com rompimento do nexo causal.

O mesmo raciocínio aparece no AREsp 3.145.766/RJ. A Quarta Turma entendeu que a transferência voluntária, realizada com senha pessoal e sem adoção de cautelas mínimas, poderia caracterizar culpa exclusiva da vítima.

O tribunal também destacou que a condição de pessoa idosa, isoladamente, não torna o banco responsável por operações regularmente autorizadas.

Essas decisões mostram que alegações genéricas de responsabilidade objetiva, vulnerabilidade ou engenharia social podem não ser suficientes. É necessário indicar qual foi o defeito atribuído à instituição financeira.

O banco que recebeu o dinheiro também pode responder?

A discussão não precisa ficar restrita ao banco da vítima. A instituição que mantém a conta utilizada para receber os valores também pode responder quando houver falha na abertura, verificação ou monitoramento dessa conta.

O fundamento jurídico está no artigo 14 do CDC e nas normas que disciplinam a identificação e a qualificação dos titulares de contas bancárias.

O advogado deve verificar, por exemplo:

• se a conta foi aberta mediante documentos falsos;
• se houve verificação adequada da identidade do titular;
• se a conta possuía movimentação incompatível com seu cadastro;
• se recebeu diversas transferências suspeitas;
• se os valores foram rapidamente pulverizados ou retirados;
• se a instituição agiu depois de comunicada sobre a fraude.

A simples circunstância de o dinheiro ter passado pela conta não gera responsabilidade automática. É necessário demonstrar uma falha atribuível à instituição recebedora e o nexo entre essa deficiência e o prejuízo.

Há divergência no STJ sobre a responsabilidade por engenharia social?

As decisões recentes apresentam resultados diferentes, mas isso não significa necessariamente uma oposição absoluta entre as Turmas do STJ.

A Terceira Turma tem reconhecido a responsabilidade quando as operações fogem claramente do perfil do consumidor e revelam deficiência dos sistemas de monitoramento.

A Quarta Turma, por sua vez, possui decisões afastando o dever de indenizar quando o próprio cliente realiza as transferências com suas credenciais e não há prova concreta de falha bancária.

A diferença está, principalmente, nas circunstâncias reconhecidas em cada processo:

Situação analisada	Consequência possível
Operações incompatíveis com o perfil do cliente	Responsabilidade do banco
Falha no monitoramento ou na autenticação	Responsabilidade do banco
Contratação de crédito seguida de transferência atípica	Indício de falha do serviço
Transferência voluntária sem sinal de anormalidade	Possível culpa exclusiva da vítima
Uso regular das credenciais sem prova de falha bancária	Possível afastamento da responsabilidade
Deficiência no controle da conta recebedora	Possível responsabilidade da instituição destinatária

A solução não depende apenas do nome atribuído ao golpe. O ponto decisivo é identificar se existiam sinais objetivos que deveriam ter sido percebidos e tratados pela instituição financeira.

Como aplicar essas teses ao caso concreto?

A argumentação não deve se limitar à citação da Súmula 479 do STJ. É necessário relacionar o fundamento jurídico às características das operações contestadas.

A tese de falha na prestação do serviço pode ser construída quando o banco:

1. autoriza operações incompatíveis com o histórico do cliente;
2. não exige confirmação adicional diante de uma movimentação anormal;
3. permite a contratação e a transferência imediata de crédito;
4. falha na autenticação de novo dispositivo ou favorecido;
5. não monitora adequadamente a conta utilizada pelo fraudador;
6. deixa de agir após a comunicação da fraude.

Por outro lado, a tese pode ser enfraquecida quando as operações são compatíveis com o perfil do cliente, realizadas com dispositivo habitual e sem qualquer indício objetivo de falha dos sistemas bancários.

O ponto central não é apenas saber quem digitou a senha, mas verificar se o serviço ofereceu a segurança que o consumidor poderia legitimamente esperar.

Conclusão

A responsabilidade dos bancos em golpes do Pix não é automática, mas também não pode ser afastada apenas porque a vítima utilizou sua senha ou confirmou uma transferência.

As decisões recentes do STJ apontam dois caminhos principais. O banco pode responder quando permite movimentações incompatíveis com o perfil do cliente ou quando seus mecanismos de segurança não identificam sinais objetivos de fraude. Por outro lado, a responsabilidade pode ser afastada quando as operações são realizadas voluntariamente e não existe prova de defeito no serviço.

Para o advogado, a questão central é demonstrar onde ocorreu a falha bancária. Mais do que citar o CDC e a Súmula 479, é necessário relacionar os fundamentos jurídicos às características das transações contestadas.

Nesse trabalho, a Jurídico AI pode auxiliar na pesquisa de jurisprudência, na comparação entre decisões favoráveis e desfavoráveis e na organização dos argumentos aplicáveis ao caso. A ferramenta também pode apoiar a análise inicial dos documentos e a elaboração da peça, enquanto a definição da estratégia e a validação dos fundamentos permanecem sob responsabilidade do advogado.

Clique no banner abaixo e veja como a Jurídico AI pode ajudar você a analisar casos e criar peças mais estratégicas.