Em menos de oito meses, a Terceira Turma do STJ julgou dois casos de golpe da falsa central de atendimento com resultados opostos. No primeiro, restabeleceu a sentença que condenava o banco. No segundo, nem chegou a examinar a tese do consumidor. A jurisprudência sobre a responsabilidade do banco não mudou de um para o outro. O que mudou foi o que o tribunal de origem tinha escrito sobre os fatos.
A tese, como o STJ a enuncia hoje
O ponto de partida é a Súmula 479 do STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias". Ao lado dela, o art. 14 do CDC, cujo § 1º considera defeituoso o serviço que "não fornece a segurança que o consumidor dele pode esperar", e cujo § 3º só exime o fornecedor se ele provar que o defeito inexiste ou que a culpa foi exclusiva do consumidor ou de terceiro.
No golpe da falsa central, o banco costuma alegar justamente a culpa exclusiva: foi o próprio cliente quem fez as operações, com a própria senha. O STJ separou esse caso do antigo precedente do cartão com senha. No REsp 2.229.519 (Terceira Turma, rel. Min. Ricardo Villas Bôas Cueva, DJEN de 13 de outubro de 2025), o voto registra que, naquele precedente, ficou provada a inexistência de defeito no serviço, e que "diversa é a hipótese em que o prejuízo suportado pelo correntista resulta da aplicação dos chamados golpes de engenharia social".
O mesmo acórdão listou o que os sistemas antifraude devem considerar:
i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e local em que as operações foram realizadas; iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; e vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos.
E concluiu que "a validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço".
Por que o primeiro caso subiu
O caso vinha do TJDFT, que havia reformado a sentença e julgado improcedente o pedido por culpa exclusiva da vítima. O STJ restabeleceu a sentença sem reexaminar prova, porque os fatos já estavam fixados nos autos. A sentença tinha registrado transações de alto valor feitas em pouco mais de dez minutos, empréstimos contratados e imediatamente usados em pagamentos, e a falta de qualquer atuação preventiva do banco. O voto diz que "essas circunstâncias fáticas, previamente delineadas na sentença, já seriam suficientes para demonstrar a existência de defeito na prestação do serviço", e acrescenta fatos incontroversos: pagamentos de IPVA de veículos de outro estado e uso da função crédito, que o cliente nunca tinha usado.
Por que o segundo não subiu
No AgInt no REsp 2.255.977 (Terceira Turma, rel. Min. Humberto Martins, sessão virtual de 26 de maio a 1º de junho de 2026, DJEN de 8 de junho de 2026), o caso vinha do TJSP, que também reformara a sentença por culpa exclusiva. Só que, desta vez, o acórdão de origem tinha afirmado, como fato, que não se comprovou que a ligação partiu do banco, que as transferências foram para conta do próprio consumidor em outra instituição e que não houve prova de operações destoantes do perfil do correntista.
O consumidor sustentou que pedia apenas a revaloração jurídica de fatos incontroversos. A Turma respondeu que ele pretendia afastar a própria moldura fática do acórdão, o que é reexame de prova (Súmula 7). E disse como a jurisprudência favorável ao consumidor funciona no recurso especial: ela "somente é aplicável quando as instâncias ordinárias assentam, de forma inequívoca, premissas fáticas compatíveis com tal enquadramento".
O que isso muda para quem conduz o processo
A tese do dever de segurança está firme. O que decide o caso é a prova da atipicidade e o registro dela nas decisões. Na prática:
- Provar o perfil. Extratos de vários meses antes do golpe, para mostrar o padrão de uso: valores médios, uso de crédito, de Pix, de empréstimo. Sem a comparação, "fora do perfil" é só adjetivo.
- Montar a cronologia com hora e minuto. Os seis critérios do REsp 2.229.519 são quase todos de tempo e sequência: intervalo entre operações, ordem, empréstimo seguido de pagamento.
- Pedir os registros do banco. Dispositivo usado, localização, alertas emitidos, regras antifraude acionadas ou não. A exibição de documento (art. 396 do CPC) e a inversão do ônus da prova (art. 6º, VIII, do CDC) servem a isso.
- Fazer a decisão registrar os fatos. Se o acórdão omite a atipicidade que a prova mostrou, os embargos de declaração vêm antes do recurso especial. É o registro desses fatos que permite ao STJ fazer a qualificação jurídica sem esbarrar na Súmula 7.
Para quem defende o banco, o espelho é o mesmo. O segundo caso foi decidido na origem com três fatos: a ligação sem origem comprovada no banco, o destino das transferências e a ausência de prova de atipicidade. Quem conduz a ação na origem, de um lado ou de outro, precisa pensar no recurso especial desde a inicial.
