Responsabilidade civil em fraudes PIX: o STJ define quem paga

O Pix movimentou mais de R$ 17 trilhões no último ano. O volume assusta, mas outro número tira o sono dos executivos da Faria Lima: o Banco Central reportou mais de 2,5 milhões de pedidos no Mecanismo Especial de Devolução (MED) em apenas um semestre. O prejuízo na ponta do sistema já ultrapassa a casa dos bilhões de reais anuais. Quando o dinheiro evapora da conta do cliente em questão de segundos, uma pergunta inevitável ecoa nos tribunais de todo o país: quem paga essa conta?

Acompanhamos de perto a evolução dessa disputa. Nos primeiros anos do Pix, vivemos um verdadeiro faroeste jurídico. Juízes de primeira instância atiravam para todos os lados. Alguns condenavam os bancos sumariamente, baseados no Código de Defesa do Consumidor. Outros culpavam exclusivamente a vítima, alegando que a senha é pessoal e intransferível.

O Superior Tribunal de Justiça (STJ) assumiu a rédea da situação. As decisões recentes das turmas de direito privado do tribunal começaram a desenhar uma matriz de responsabilidade muito clara. O mercado financeiro agora tem regras do jogo definidas — e isso muda completamente como bancos e fintechs desenham seus motores de risco.

Se você opera um e-commerce, dirige uma fintech ou simplesmente usa o Pix no dia a dia, preste atenção aqui. A jurisprudência do STJ não afeta apenas advogados. Ela dita o nível de fricção que você vai enfrentar ao tentar fazer uma transferência de alto valor na sexta-feira à noite.

O fim do limbo jurídico e a Súmula 479

Para entender o xadrez do STJ, precisamos voltar à pedra fundamental da responsabilidade bancária no Brasil: a Súmula 479. O texto diz que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos práticados por terceiros no âmbito de suas operações.

Traduzindo do juridiquês: se o sistema do banco falhou, o banco paga. O risco é inerente ao negócio bancário.

O problema? O Pix trouxe vetores de ataque que não existiam quando essa súmula foi redigida. Antes, os criminosos clonavam cartões de tarja magnética ou invadiam servidores. O banco falhava na segurança dura. Hoje, o criminoso clona o WhatsApp do seu filho, ou liga fingindo ser da central de segurança do Nubank, Itaú ou Mercado Pago.

O cliente entra no aplicativo. O cliente digita a senha. O cliente faz o reconhecimento facial. O sistema do banco funcionou exatamente como deveria. A falha ocorreu no elo mais fraco da corrente: o cérebro humano.

Aqui entra a grande divisão que o STJ estabeleceu. Os ministros passaram a separar as fraudes em duas grandes caixas: as falhas sistêmicas e a culpa exclusiva da vítima (engenharia social pura).

Engenharia social vs. Falha de segurança

Quando um cliente cai no 'golpe do motoboy' ou na 'falsa central de atendimento', o instinto inicial dos Procons é culpar a instituição financeira. O STJ adotou uma postura mais pragmática e técnica.

Na nossa análise de dezenas de acórdãos recentes da 3ª e 4ª Turmas do STJ, um padrão cristalino emerge. Se o cliente foi enganado fora do ambiente bancário (via WhatsApp, telefone ou redes sociais) e realizou a transferência voluntariamente usando suas credenciais legítimas, o STJ tem reconhecido a excludente de responsabilidade do banco. É a chamada culpa exclusiva da vítima ou de terceiro.

Mas existe um asterisco gigante nessa regra. E é justamente nesse asterisco que os departamentos jurídicos dos bancões perdem noites de sono.

O banco só se isenta da culpa se a transação não apresentar anomalias gritantes. O STJ entende que as instituições têm o dever contínuo de monitoramento de perfil de risco.

Vamos a um exemplo prático. Um aposentado de 80 anos, que costuma fazer Pix de R$ 50 para a padaria, repentinamente tenta transferir R$ 45.000 para uma conta desconhecida às 2h da manhã. Se o motor antifraude do banco aprova isso automaticamente, o STJ diz: o banco falhou. Houve quebra do dever de segurança. A instituição deveria ter bloqueado cautelarmente a transação, conforme autoriza a Resolução 147/2021 do BACEN.

Nesses casos de perfil atípico ignorado, a Súmula 479 volta a brilhar, e a instituição financeira é condenada a ressarcir o cliente, mesmo que o cliente tenha digitado a senha.

A responsabilidade da instituição recebedora: a caça às contas laranja

Aqui está a verdadeira revolução silenciosa na jurisprudência brasileira. Durante muito tempo, a briga judicial acontecia apenas entre a vítima e o banco de origem da conta dela.

O criminoso, no entanto, precisa de uma conta para receber o dinheiro. As famosas 'contas laranja'. Historicamente, o banco que recebia o dinheiro saía ileso das ações judiciais. O STJ mudou esse jogo.

Os ministros começaram a responsabilizar solidariamente as instituições financeiras que abrigam as contas dos golpistas. A lógica é implacável: se o banco X permitiu que um estelionatário abrisse uma conta usando documentos falsos, ou se manteve ativa uma conta que recebe dezenas de transações suspeitas e faz saques imediatos, esse banco falhou no seu processo de KYC (Know Your Customer) e PLD (Prevenção à Lavagem de Dinheiro).

Fintechs de pagamento, que focaram em crescimento agressivo de base de usuários nos últimos anos, estão sentindo o peso dessa decisão. Empresas como PagSeguro, Mercado Pago, PicPay e até bancos digitais consolidados como Nubank, C6 e Inter viram uma explosão de litígios onde figuram como co-réus.

Se o seu banco deixou um golpista operar sob seu teto, você financiou o ecossistema da fraude. O STJ tem condenado as instituições recebedoras a devolverem os valores quando fica comprovada a negligência na abertura ou manutenção da conta fraudulenta.

Como os bancões e fintechs estão reagindo

A jurisprudência do STJ forçou uma mudança drástica na engenharia de produto das empresas financeiras. O custo do litígio e das indenizações ultrapassou o custo do atrito com o cliente.

Até dois anos atrás, a métrica de ouro das fintechs era a conversão. Uma transação Pix precisava ser concluída em menos de 3 segundos, sem fricção. Hoje, a métrica de ouro é a prevenção de perdas.

Observamos os bancões tradicionais, como Itaú e Bradesco, calibrarem seus algoritmos para serem extremamente conservadores. Transferências fora do padrão sofrem retenção automática de 30 minutos a 1 hora para análise humana, amparadas pela regulação do BACEN.

As fintechs seguiram o mesmo caminho. A validação biométrica transacional — pedir uma selfie do cliente antes de aprovar um Pix de alto valor — deixou de ser exceção e virou regra. O mercado entendeu que é muito mais barato lidar com a reclamação de um cliente irritado com a demora do que pagar uma condenação de R$ 100.000 no STJ por falha no dever de segurança.

O Mecanismo Especial de Devolução (MED) no centro do palco

O MED, criado pelo Banco Central, tornou-se a primeira linha de defesa — e a principal prova nos processos judiciais. O funcionamento é direto: a vítima avisa seu banco da fraude, o banco aciona o MED, e o banco recebedor tem a obrigação de bloquear os fundos na conta de destino.

O problema prático? Os criminosos usam scripts automatizados. O dinheiro baté na conta laranja e, em milissegundos, é pulverizado para outras cinco contas ou sacado em caixas eletrônicos. Quando o MED é acionado, a conta de destino já está zerada.

O STJ tem avaliado como os bancos lidam com o MED. Se o banco recebedor demorou para bloquear a conta após a notificação, a responsabilidade civil dele é quase certa. A agilidade dos sistemas internos de comúnicação via infraestrutura do BACEN virou uma questão de sobrevivência financeira para as instituições.

O sequestro relâmpago e a coação física

Outro cenário que exigiu um bisturi fino do STJ foi o sequestro relâmpago. O cliente é abordado na rua, com uma arma na cabeça, e forçado a desbloquear o celular e transferir todo o saldo e limites de crédito.

Nesses casos, os bancos tentavam alegar força maior ou culpa de terceiro (segurança pública). O STJ tem uma visão mista, mas predominantemente favorável ao consumidor quando envolve limites de crédito pré-aprovados excessivos.

Se o criminoso leva R$ 5.000 que estavam na conta corrente, os tribunais frequentemente entendem que o banco não tem culpa pela violência urbana. Mas, se o criminoso consegue, no meio da madrugada, contratar um empréstimo pessoal de R$ 150.000 no aplicativo em dois cliques e transferir tudo via Pix, a história muda.

O STJ entende que a concessão de crédito instantâneo de alto valor, fora do perfil do cliente e seguido de transferência imediata, configura falha grave de segurança. A instituição financeira acaba condenada a cancelar o contrato de empréstimo e perdoar a dívida gerada sob coação.

O que isso muda para você, consumidor e operador

A clareza que o STJ trouxe para o mercado estabelece um novo contrato social entre bancos e clientes. A responsabilidade é compartilhada.

Para o consumidor comum, a regra de ouro permanece: a atenção. O banco não será sua babá se você voluntariamente enviar dinheiro para o 'primo' que pediu ajuda no WhatsApp com um número estranho. Se o seu perfil de gastos for compatível com a transferência, você assumirá o prejuízo. A dica prática é configurar limites baixos para o Pix noturno e limites diários condizentes com sua realidade.

Para quem opera no mercado financeiro, a régua de compliance subiu exponencialmente. O custo de manter contas inativas, contas com dados cadastrais desatualizados ou contas de laranjas tornou-se proibitivo. As áreas de PLD deixaram de ser centros de custo regulatório para se tornarem a principal barreira contra passivos judiciais milionários.

A responsabilidade civil no Brasil amadureceu. O Pix democratizou as transferências, os criminosos democratizaram as fraudes, e agora o STJ democratizou a responsabilidade. Quem lucra com a operação financeira deve garantir a segurança mínima da infraestrutura. Mas quem aperta o botão 'Confirmar' no aplicativo também precisa assumir as consequências de seus atos quando o sistema não falha.

O mercado hoje opera em um equilíbrio tenso entre inovação e segurança. O Banco Central continuará lançando travas sistêmicas, mas a palavra final sobre quem paga a fatura do crime continuará nas mãos dos ministros em Brasília. Preparem seus motores de risco, ajustem seus limites e revisem seus processos de KYC. A era da irresponsabilidade digital acabou.