Golpe do Pix: quando o banco responde pelo prejuízo

A frase que a vítima de um golpe do Pix mais ouve é sempre a mesma: “a senha era sua, a transferência foi autorizada, não há o que fazer”. Ela é dita no caixa, no telefone do atendimento e, às vezes, até por quem deveria orientar. E ela ignora aquilo que o Superior Tribunal de Justiça decidiu há mais de uma década.

Este texto explica, em linguagem direta, como a responsabilidade do banco é analisada nesses casos, por que a idade da vítima pesa na conta e o que fazer nas primeiras horas — que são, na prática, as que mais decidem o resultado.

Não é um caso isolado, e isso importa juridicamente

As centrais de denúncia registram dezenas de milhares de comunicações por ano envolvendo violência financeira contra pessoas idosas no Brasil. O padrão se repete com uma constância que já não se explica por azar individual: uma ligação em nome do banco, um aviso de “movimentação suspeita”, um pedido para instalar um aplicativo de suporte, uma orientação para “transferir para uma conta segura”.

Essa repetição é um argumento jurídico, não um desabafo. Quando um tipo de fraude se torna previsível e massivo, ele deixa de ser um acontecimento imprevisível e passa a ser um risco conhecido da atividade bancária — e risco conhecido da atividade é responsabilidade de quem explora a atividade.

A regra que quase ninguém conta à vítima

Existe um enunciado do Superior Tribunal de Justiça, aprovado em 2012 pela Segunda Seção, que diz exatamente isto:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

Súmula 479 do Superior Tribunal de Justiça

Duas expressões dessa frase decidem casos:

“Respondem objetivamente” significa que não é preciso provar que o banco agiu com descuido. Basta demonstrar que houve falha no serviço e que dela resultou o prejuízo. A discussão sobre intenção ou negligência do banco, que costuma consumir o processo, simplesmente não é o ponto.

“Fortuito interno” é o nome técnico para um risco que nasce de dentro da própria atividade. O banco lucra com um sistema de pagamentos instantâneos, disponível 24 horas, de altíssima velocidade. A fraude que se aproveita desse sistema não é um raio caído do céu: é um risco embutido no produto que o banco vende. Quem colhe o proveito do risco responde por ele.

No mesmo sentido, o STJ já firmou que o Código de Defesa do Consumidor se aplica às instituições financeiras (Súmula 297) e, em julgamento de recursos repetitivos, fixou a tese sobre a responsabilidade dos bancos por fraudes praticadas por terceiros (Tema 466, julgado pela Segunda Seção em 2011). São entendimentos consolidados, não teses de vanguarda.

“Mas fui eu que digitei a senha”

Essa é a objeção mais comum, e ela confunde duas coisas diferentes: ter apertado o botão e ter consentido.

Quem transfere dinheiro acreditando estar falando com o gerente do próprio banco não está decidindo livremente: está sendo conduzido por uma encenação construída para produzir exatamente aquele clique. O consentimento obtido por engano não é consentimento válido — é o resultado do golpe, não a causa dele.

E há um segundo ponto, mais concreto. Os bancos mantêm sistemas de monitoramento capazes de identificar comportamento fora do padrão: valores muito acima do histórico, horários atípicos, vários pagamentos em sequência, destinatários nunca usados, acesso de um aparelho desconhecido. Esses sistemas existem, funcionam e são acionados todos os dias para bloquear cartões por muito menos.

A pergunta que o caso realmente coloca, portanto, não é “a vítima errou?”. É: uma operação completamente fora do perfil daquele cliente atravessou o sistema sem nenhum obstáculo — por quê?

Por que a idade da vítima muda a análise

O Código de Defesa do Consumidor já parte da ideia de que o consumidor é a parte vulnerável da relação. O Estatuto da Pessoa Idosa (Lei nº 10.741/2003) acrescenta uma segunda camada de proteção, reconhecendo a condição particular de quem tem 60 anos ou mais.

Quando as duas se somam, a doutrina fala em hipervulnerabilidade. Não é uma figura de retórica: ela tem consequência prática. De quem tem uma vulnerabilidade agravada e reconhecida por lei não se pode exigir o mesmo grau de desconfiança técnica que se exigiria de um usuário habituado ao ambiente digital. E de quem lucra atendendo essa pessoa se exige um cuidado proporcional.

Em estudo publicado na Revista Eletrônica da OAB-RJ, sustentamos que três elementos, quando aparecem juntos no mesmo caso, agravam a responsabilidade da instituição:

• Uma operação atípica que passou sem ser barrada — valor, horário, destinatário ou dispositivo claramente fora do padrão daquele cliente, sem nenhum bloqueio ou confirmação adicional.
• O fraudador já chegou sabendo — quando o criminoso conhece nome completo, agência, saldo, últimas movimentações ou o nome do gerente, a informação saiu de algum lugar. E ela não saiu do consumidor.
• A vítima é hipervulnerável — a proteção redobrada que a lei assegura não foi acompanhada de nenhum cuidado redobrado no atendimento.

Cada um desses elementos, isoladamente, já é discutível. Os três reunidos desenham outra coisa: não um cliente descuidado, mas um serviço que falhou em três pontos ao mesmo tempo.

As primeiras 24 horas: o que fazer, na ordem

Esta é a parte prática, e a mais urgente. O tempo aqui não é detalhe — ele define o que ainda pode ser recuperado.

O que costuma ser discutido no processo

Alguns pontos aparecem com frequência e vale conhecê-los antes:

Quem tem que provar o quê. O CDC permite que o juiz inverta o ônus da prova em favor do consumidor quando a alegação é verossímil ou quando ele é hipossuficiente para produzir aquela prova. Faz diferença: os registros de sistema, os logs de acesso e os relatórios de monitoramento estão todos com o banco, e só ele pode apresentá-los.

Falha na prestação do serviço. O art. 14 do CDC estabelece que o fornecedor responde pelos defeitos do serviço, inclusive pelas informações insuficientes sobre os riscos. Um sistema que deixa passar uma operação claramente anômala entrega um serviço que não oferece a segurança que dele se espera.

Dano moral. Nem todo aborrecimento vira dano moral — mas ver a reserva de uma vida desaparecer, seguida de meses de atendimento sem resposta, raramente é mero aborrecimento. Há ainda o que a doutrina chama de desvio produtivo do consumidor: o tempo de vida que a vítima é obrigada a gastar tentando resolver um problema que não criou.

E quando o banco não responde

Este texto não serviria de nada se omitisse a outra metade.

Há casos em que os tribunais reconhecem culpa exclusiva da vítima ou de terceiro, e nessas hipóteses a responsabilidade do banco é afastada. Isso costuma acontecer quando não há nenhum sinal de falha no sistema: a operação estava dentro do padrão do cliente, não houve indício de vazamento de dados, o alerta foi dado e ignorado, ou a transferência foi feita de forma consciente para um negócio que se revelou fraudulento.

Em outubro de 2025, a Terceira Turma do STJ analisou um caso de acesso remoto — o chamado golpe da mão fantasma — e afastou a alegação de que a vítima teria concorrido para o prejuízo por ter instalado o aplicativo indicado pelo criminoso, reconhecendo o defeito na prestação do serviço. É uma decisão de turma: ela orienta, mas não vincula os demais tribunais, e existem julgados em sentido contrário.

Dito de forma honesta: não há resposta automática. O que decide cada caso é o conjunto concreto — como a fraude foi executada, o que o banco tinha condições de detectar, o que registrou, o que respondeu e em quanto tempo. Por isso o roteiro das primeiras horas é tão importante: é ele que preserva os elementos que depois farão falta.

Antes de terminar

Este artigo tem finalidade informativa. Ele descreve o entendimento dos tribunais sobre um tipo de situação — não substitui a análise do seu caso, que depende de documentos, datas e detalhes que nenhum texto geral alcança.

Se você chegou aqui depois de um golpe, a parte mais útil deste texto é a lista das primeiras 24 horas. Comece por ela.

Fontes e leitura complementar

• Súmula 479 do STJ — Segunda Seção, aprovada em 27 de junho de 2012.
• Súmula 297 do STJ — aplicação do Código de Defesa do Consumidor às instituições financeiras.
• Tema Repetitivo 466 do STJ — Segunda Seção, Rel. Min. Luis Felipe Salomão, julgado em 24 de agosto de 2011.
• REsp 2.220.333 — Terceira Turma do STJ, Rel. Min. Ricardo Villas Bôas Cueva, julgado em 7 de outubro de 2025. Decisão de turma, de caráter orientativo.
• Lei nº 8.078/1990 (Código de Defesa do Consumidor), arts. 6º, VIII, e 14.
• Lei nº 10.741/2003 (Estatuto da Pessoa Idosa).
• NASCIMENTO JUNIOR, Alberto A. Golpes do Pix contra idosos: engenharia social, falha de segurança bancária e responsabilidade objetiva. Revista Eletrônica da OAB-RJ. Versão acadêmica, com o desenvolvimento completo da tese e o quadro normativo do Banco Central.