Uma empresa vítima de fraude por engenharia social obteve sentença que condenou uma instituição de pagamento a restituir R$ 110.252,99. O juízo concluiu que uma sequência de transferências, pagamentos e antecipações, concentrada em poucos dias e muito distante do padrão histórico da conta, deveria ter acionado mecanismos adicionais de verificação e bloqueio.

A decisão é relevante porque mostra como a análise do perfil transacional pode definir o resultado de ações envolvendo falsa central, acesso remoto e uso indevido de contas empresariais. Também evidencia que a responsabilidade bancária não é automática: a prova da atipicidade, do defeito do serviço e do nexo causal continua sendo decisiva.

Nota de transparência e anonimização  Os nomes das partes, das instituições envolvidas, de terceiros, da comarca e o número do processo foram omitidos ou generalizados. Os valores e os fundamentos essenciais foram preservados. Trata-se de sentença de primeiro grau, sujeita a recurso, e o resultado não representa garantia para casos futuros.

Resumo da decisão

Ponto	Resultado registrado na sentença
Modalidade	Fraude por falsa central com indução à instalação de acesso remoto em computador usado para movimentar conta empresarial
Prejuízo	R$ 220.505,99 de prejuízo líquido, após estornos parciais
Condenação	R$ 110.252,99 contra a instituição que mantinha a conta da empresa, acrescidos de atualização e juros nos critérios definidos pela sentença
Fundamento central	Falha em detectar e bloquear operações incompatíveis com o histórico de valores, frequência, objeto e destinatários
Limitação	Reconhecimento de culpa concorrente da empresa em 50 por cento
Outros pedidos	Dano moral rejeitado e ausência de responsabilidade da instituição que mantinha a conta de um destinatário, por falta de prova de nexo causal

 

Como o golpe ocorreu

Segundo os fatos reconhecidos na sentença, o representante da empresa recebeu contato por aplicativo de mensagens de uma pessoa que se apresentou como novo gerente da conta empresarial. A abordagem usou um pretexto comercial verossímil: a oferta de taxas mais vantajosas para os serviços de pagamento já utilizados pelo negócio.

Nos contatos seguintes, o fraudador enviou um link para acesso remoto ao computador. A vítima foi convencida de que o procedimento seria necessário para aplicar as novas condições. Durante a sessão remota, houve antecipação de recebíveis e, na sequência, transferências, pagamentos de boletos e débitos que a empresa afirmou não ter autorizado.

O valor global das operações fraudulentas ultrapassou R$ 240 mil. Depois de estornos parciais, o prejuízo líquido documentado foi de R$ 220.505,99. A empresa comunicou o episódio, registrou boletim de ocorrência e apresentou protocolos, extratos e demais registros ao processo.

O padrão da conta revelou a fraude

A sentença não se limitou a perguntar se houve uso de senha ou autenticação. O ponto decisivo foi comparar as operações contestadas com o comportamento anterior da conta.

O histórico mostrava recebimentos de vendas em valores geralmente inferiores a R$ 2 mil, pagamentos operacionais rotineiros, transferências normalmente abaixo de R$ 1 mil e saldo diário em faixa muito menor do que o volume movimentado durante o golpe. Em apenas três dias, porém, surgiram transferências próximas de R$ 48 mil, outros repasses elevados, boletos de aproximadamente R$ 10 mil e centenas de operações em rápida sucessão.

Para o juízo, volume, frequência, valor e destinatários formaram um conjunto de sinais suficientemente incomum para exigir atuação preventiva da instituição de pagamento. Como as operações foram concluídas sem bloqueio cautelar ou verificação adicional eficaz, a sentença reconheceu falha no dever de segurança.

O dever de segurança das instituições financeiras

O artigo 14 do Código de Defesa do Consumidor prevê responsabilidade objetiva pelo defeito do serviço. Isso significa que, demonstrados o defeito, o dano e o nexo causal, não é necessário provar culpa subjetiva da instituição. A responsabilidade pode ser afastada se o fornecedor demonstrar inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.

A Súmula 479 do Superior Tribunal de Justiça estabelece que fraudes inseridas no risco da atividade bancária podem configurar fortuito interno. Em 2023, no REsp 2.052.228, a Terceira Turma afirmou que o banco deve desenvolver mecanismos capazes de identificar e impedir movimentações incompatíveis com o perfil do consumidor, especialmente quanto a valores, frequência e objeto.

Responsabilidade bancária exige prova concreta

Nem todo golpe de falsa central gera, por si só, condenação. Em julho de 2026, o STJ manteve decisão que afastou a responsabilidade bancária porque, naquele processo, as instâncias anteriores concluíram que não havia transações incompatíveis com o histórico do cliente nem outro defeito comprovado no serviço. Esse precedente reforça uma distinção prática: a narrativa do golpe é importante, mas os dados objetivos das operações costumam definir a existência ou não de falha bancária.

A orientação está descrita pelo STJ no REsp 2.209.868. Por isso, extratos completos, histórico de limites, horários, dispositivos, geolocalização disponível, destinatários e sequência temporal devem ser organizados desde o início.

Por que a sentença dividiu o prejuízo

Embora tenha reconhecido a falha da instituição de pagamento, o juízo entendeu que a empresa também contribuiu para o resultado. A sentença destacou que o representante aceitou contato por canal não verificado, acessou link enviado por terceiro, permitiu controle remoto do computador e realizou procedimentos sensíveis durante a abordagem.

Com base no artigo 945 do Código Civil, o prejuízo líquido foi dividido em partes iguais. A condenação correspondeu, assim, a 50 por cento de R$ 220.505,99, resultando em R$ 110.252,99, além de atualização monetária pelo IPCA e juros segundo a taxa legal definida a partir da Selic, deduzido o IPCA, desde as datas fixadas na sentença.

A discussão sobre culpa concorrente em fraudes de acesso remoto exige cuidado. Em novembro de 2025, no REsp 2.220.333, a Terceira Turma do STJ afastou a divisão do prejuízo em um caso no qual a consumidora foi induzida a instalar aplicativo malicioso e as transações eram incompatíveis com seu perfil. O tribunal considerou que a culpa concorrente deve ser aplicada de forma restrita quando a vítima não assume conscientemente o risco do dano.

Esse entendimento pode ser consultado na notícia oficial sobre o REsp 2.220.333. A comparação mostra que a extensão da reparação depende dos fatos provados, do grau de participação atribuído à vítima e da interpretação adotada em cada processo.

A conta empresarial também pode receber proteção do consumidor

A autora do processo era pessoa jurídica. Ainda assim, a sentença aplicou o Código de Defesa do Consumidor à relação mantida com as instituições demandadas. Esse enquadramento não deve ser tratado como automático em todo contrato empresarial. Em geral, é necessário examinar se a empresa utiliza o serviço como destinatária final e se existe vulnerabilidade técnica, jurídica, econômica ou informacional diante do fornecedor.

No caso analisado, o serviço de pagamento era usado pela empresa para receber vendas e administrar o fluxo financeiro de sua atividade. A decisão reconheceu a posição de consumidora e aplicou o regime de responsabilidade do CDC.

Por que o banco da conta destinatária não foi condenado

Parte do dinheiro foi enviada a conta mantida em outra instituição. A sentença, contudo, não encontrou prova de que esse banco tivesse colaborado com a fraude, aberto a conta de modo irregular ou deixado de cumprir dever específico de controle. O simples fato de a conta ter recebido valores ilícitos não foi considerado suficiente para estabelecer o nexo causal.

A análise está alinhada à orientação do STJ no REsp 2.124.423, segundo a qual a responsabilização do banco que mantém a conta usada por fraudadores depende de prova concreta de falta de diligência na abertura, qualificação, manutenção ou monitoramento da conta.

Dano moral da pessoa jurídica exige prova própria

A sentença rejeitou a indenização por dano moral. O juízo considerou que o prejuízo financeiro, embora elevado, não demonstrou por si só abalo à imagem, à credibilidade ou à reputação comercial da empresa perante clientes, fornecedores ou o mercado.

A pessoa jurídica pode sofrer dano moral, conforme a Súmula 227 do STJ, mas a lesão costuma atingir sua honra objetiva. Documentos como cancelamento de contratos, perda de crédito, comunicações de fornecedores, protestos, restrições indevidas ou impactos comprováveis na reputação podem ser relevantes, conforme as circunstâncias. O dano material e o dano moral exigem demonstrações próprias.

O que a decisão ensina às empresas

Golpes de falsa central combinam engenharia social com aparência de legitimidade. O criminoso conhece o nome da empresa, o serviço utilizado, a rotina de recebimentos ou o perfil do responsável financeiro. A abordagem costuma oferecer vantagem, alertar sobre suposto risco ou exigir procedimento urgente. Por isso, prevenção interna e resposta documentada precisam caminhar juntas.

• Defina um canal oficial para confirmar qualquer contato atribuído a gerente, banco, adquirente ou instituição de pagamento.
• Proíba a instalação de programas de acesso remoto por solicitação recebida em ligação, mensagem, e-mail ou anúncio.
• Exija dupla conferência para antecipação de recebíveis, aumento de limites, novos favorecidos e transferências de valor elevado.
• Ative alertas em tempo real e revise limites de Pix, TED, boletos, cartões e antecipações conforme a rotina real da empresa.
• Separe perfis de consulta, autorização e execução sempre que a plataforma permitir.
• Treine sócios e colaboradores para encerrar o contato e retornar por número obtido no aplicativo ou site oficial.

Providências imediatas após a fraude

1. Interrompa o acesso remoto, desconecte o equipamento da rede e preserve o dispositivo para avaliação técnica. Não apague programas, mensagens ou registros antes de coletar as evidências.
2. Comunique imediatamente cada instituição envolvida, peça bloqueio preventivo, conteste individualmente as operações e anote todos os protocolos, horários, nomes dos atendentes e respostas.
3. Nas transferências Pix, solicite a abertura do Mecanismo Especial de Devolução quando cabível. A rapidez aumenta a possibilidade de localizar saldo nas contas envolvidas.
4. Registre boletim de ocorrência com cronologia, valores, canais usados, números de telefone, links, contas destinatárias e comprovantes.
5. Altere senhas a partir de equipamento confiável, encerre sessões ativas, revise dispositivos autorizados e ative autenticação adicional.
6. Preserve extratos anteriores ao golpe para demonstrar o padrão histórico da conta, além dos extratos completos do período da fraude.
7. Solicite por escrito a preservação dos registros técnicos da instituição, incluindo autenticação, IP, dispositivo, geolocalização disponível, alertas antifraude, alterações de limite e trilha das operações.
8. Busque análise jurídica rápida para avaliar medidas administrativas, produção antecipada de prova, pedidos de bloqueio e eventual ação judicial.

Documentos que fortalecem a análise jurídica

• Extratos completos de pelo menos seis a doze meses anteriores, além do período da fraude.
• Comprovantes de cada Pix, TED, boleto, compra, saque, antecipação ou contratação contestada.
• Conversas, áudios, números de telefone, e-mails, links e imagens da tela do acesso remoto.
• Protocolos de atendimento, reclamações no SAC, ouvidoria, Banco Central e plataforma de defesa do consumidor.
• Boletim de ocorrência e eventuais complementações.
• Respostas formais das instituições e informação sobre estornos parciais.
• Contratos, políticas de segurança, histórico de limites e registros de dispositivos autorizados.
• Relatório técnico ou ata notarial, quando necessários para preservar conteúdo digital relevante.
• Provas do impacto operacional e reputacional, se houver pedido de dano moral da pessoa jurídica.

Perguntas frequentes

O banco responde sempre pelo golpe de falsa central

Não. A responsabilidade depende da demonstração de defeito do serviço e nexo causal. Operações muito diferentes do histórico, sucessivas, elevadas, dirigidas a novos favorecidos ou realizadas após alterações incomuns de limite podem indicar falha de segurança. Se não houver sinal objetivo de anormalidade nem outra falha comprovada, o pedido pode ser rejeitado.

O uso de senha elimina a responsabilidade da instituição

Não necessariamente. A autenticação é um elemento importante, mas não encerra a análise. O sistema também deve avaliar contexto, valor, frequência, objeto, sequência, dispositivo e perfil do cliente. Em sentido oposto, a forma como a vítima agiu pode influenciar o nexo causal e a extensão da indenização.

Uma empresa pode usar o Código de Defesa do Consumidor

Pode, conforme a finalidade do serviço e a vulnerabilidade demonstrada no caso concreto. A pessoa jurídica não recebe automaticamente a proteção do CDC em todo contrato empresarial, mas pode ser reconhecida como consumidora quando utiliza o serviço como destinatária final ou se encontra em posição de vulnerabilidade relevante.

A culpa concorrente sempre reduz a indenização pela metade

Não. A proporção depende da contribuição causal atribuída a cada parte e da interpretação judicial. Há casos de reparação integral, parcial ou de improcedência. A sentença aqui analisada fixou 50 por cento, mas esse percentual não funciona como regra geral.

O banco que recebeu o dinheiro sempre responde

Não. É necessário demonstrar falha própria, como abertura irregular da conta, deficiência na identificação do titular, descumprimento de controles ou omissão relevante após o alerta. O simples recebimento do valor por conta de terceiro pode não bastar.

O que mais pesa na prova de transação atípica

A comparação entre o histórico e o episódio contestado. Valores, quantidade, intervalo entre operações, novos destinatários, horário, dispositivo, localização disponível, alterações de limite, contratação de crédito e respostas do sistema antifraude devem ser reunidos em uma linha do tempo clara.

Análise jurídica de fraudes em contas empresariais

Casos de fraude bancária empresarial exigem resposta rápida e organização técnica. Além de buscar bloqueios e estornos, é necessário reconstruir a sequência do golpe, comparar o perfil histórico da conta, preservar provas digitais e separar a conduta de cada instituição envolvida.

Nosso escritório atua na análise de golpes e fraudes bancárias envolvendo pessoas físicas e empresas. Cada caso é examinado a partir dos documentos, dos registros técnicos disponíveis e da jurisprudência aplicável, sem promessa de resultado.

Sua empresa sofreu movimentações não reconhecidas ou um golpe com acesso remoto  Fale com a equipe pelo WhatsApp para receber orientação sobre os documentos e as providências adequadas.

Fontes consultadas

Fonte primária do caso  Sentença judicial de primeiro grau disponibilizada ao escritório, proferida em maio de 2026, com partes, processo e demais identificadores anonimizados para publicação.

• Código de Defesa do Consumidor Lei 8.078 de 1990, especialmente os artigos 6, 8, 14 e 101.
• Superior Tribunal de Justiça REsp 2.052.228  Dever de identificar e impedir transações incompatíveis com o perfil do cliente.
• Superior Tribunal de Justiça REsp 2.220.333  Falha de segurança e aplicação restrita da culpa concorrente em golpe de acesso remoto.
• Superior Tribunal de Justiça REsp 2.209.868  Responsabilidade não automática quando não comprovada falha do serviço.
• Superior Tribunal de Justiça REsp 2.124.423  Necessidade de demonstrar falta de diligência da instituição que mantém a conta usada no golpe.
• Lei 14.905 de 2024 Atualização monetária e taxa legal nos artigos 389 e 406 do Código Civil.
• Banco Central Segurança no Pix  Informações oficiais sobre segurança e mecanismos de proteção do Pix.
• TJSP – 4000892-70.2025.8.26.0483/SP