Tribunal: TJDFT
Processo: 0712661-05.2022.8.07.0009
Órgão julgador: FLÁVIO FERNANDO ALMEIDA DA FONSECA
Órgão colegiado: PRIMEIRA TURMA RECURSAL
Data de julgamento: 2023-05-19
Data de publicação: 2023-06-02

Ementa:
JUIZADO ESPECIAL CÍVEL. DIREITO DO CONSUMIDOR. FRAUDE BANCÁRIA. GOLPE DA FALSA CENTRAL DE ATENDIMENTO. ENGENHARIA SOCIAL E SPOOFING. FALHA DE SEGURANÇA. FORTUITO INTERNO. RESSARCIMENTO DEVIDO. RECURSO CONHECIDO E NÃO PROVIDO.
I. Trata-se de Recurso Inominado interposto pela parte ré contra sentença que julgou parcialmente procedente os pedidos formulados na inicial para “declarar a nulidade dos negócios jurídicos realizados no nome da autora (contrato de empréstimo CRED BRB PARCELADO ESPONTANEO, na importância de R$ 11.000,00; TED de R$ 3.900,00 e débito transferência eletrônica entre c/c de R$ 4.999,99, todos datados de 20/05/2022), e a inexistência de relação de débito/crédito entre as partes relativamente às mesmas avenças, e condenar o Banco réu a cessar os descontos em conta/benefício da autora das parcelas do empréstimo mencionado nessa decisão, sob pena de ter de devolvê-las em dobro, bem como abster-se de realizar cobranças, bem como de negativar o nome da requerente por dívida decorrente do contrato citado.” Em seu recurso, sustenta que a conduta da parte autora contribuiu para o sucesso na fraude praticada por terceiro, não existindo qualquer responsabilidade da instituição financeira face o fortuito externo. Destaca que a situação configura causa excludente da responsabilidade por culpa exclusiva de terceiro. Questiona a conclusão exposta na sentença de que a movimentação era diversa do perfil da parte autora, uma vez que era impossível à instituição financeira produzir prova em sentido contrário face o dever de sigilo das operações dos correntistas.
II. Recurso próprio, tempestivo e com preparo regular. Contrarrazões apresentadas.
III. A relação jurídica estabelecida entre as partes é de natureza consumerista, devendo a controvérsia ser solucionada sob a ótica do sistema jurídico autônomo instituído pelo Código de Defesa do Consumidor (Lei n.8.078/1990).
IV. A responsabilidade do fornecedor de serviços é objetiva, nos termos do art. 14 do Código de Defesa do Consumidor – CDC, bastando ser demonstrada a falha na prestação do serviço, o dano e o nexo causal. O fornecedor somente não será responsabilizado se provar que, tendo prestado o serviço, o defeito inexiste ou se houve culpa exclusiva do consumidor ou de terceiro (art. 14, § 3o, incisos I e II, do CDC). Ainda, a Súmula 479/STJ dispõe que “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros, no âmbito de operações bancárias.”
V. Inicialmente, pontue-se que não prospera a alegação da parte ré de que seria impossível produzir prova contrária à tese de que a movimentação seria diversa do perfil da correntista, uma vez que seria prova sigilosa. A prova impossível é aquela que não detém condições de ser produzida, sendo que a instituição financeira possui todos os dados das movimentações da parte autora. A inércia na juntada de outros documentos para subsidiar a suposta regularidade da sua atuação não pode ser atribuída ao alegado sigilo das informações, visto que cabe à parte ré, quando da sua contestação, apresentar provas de fato impeditivo, modificativo ou extintivo do direito da parte autora (artigo 373, II do CPC), sendo que, no caso concreto, o banco colacionou parte do extrato da parte autora (ID 46201755), o que demonstra que o alegado sigilo não foi óbice para apresentar as provas que desejava produzir. De todo modo, caso existisse dúvida da instituição financeira acerca da juntada de extratos/movimentações da correntista, caberia ao seu patrono nos autos formular pedido específico no momento oportuno (contestação) para a juntada daqueles documentos, o que ausente no caso concreto.
VI. A parte autora foi vítima de engenharia social e spoofing ̧ mediante o golpe da “falsa central de atendimento”. Neste sentido, na tarde de uma sexta-feira, a autora recebeu um contato de telefone falso, que burlou o sistema de identificador de chamadas para que indicasse o número real da instituição financeira no telefone da cliente (spoofing), conforme devidamente comprovado no ID 46201721, pág. 6. Na oportunidade o fraudador, passando-se por funcionário do banco, convenceu a autora da existência de uma transferência indevida a partir da sua conta bancária, de modo que a parte autora precisaria acessar o aplicativo do banco no seu celular e seguir os procedimentos indicados, efetuando a instalação de um outro aplicativo para que “o banco” realizasse uma varredura de segurança no seu dispositivo, além de orientá-la a entregar uma carta de contestação junto à sua agência na Samambaia Sul na segunda-feira seguinte. Ocorre que ao realizar os procedimentos em conformidade com as orientações do suposto funcionário do banco, foi possível ao terceiro fraudador acessar a conta bancária da autora, ocasião em que realizou um empréstimo no valor de R$ 11.000,00, conseguindo realizar duas transferências, nos valores de R$ 4.999,99 e R$ 3.900,00.
VII. Contata-se que a fraude foi decorrente de ligação para a parte autora efetuada por terceiro que simulou ser funcionário do banco. Todavia, é de conhecimento que tais fraudes são frutíferas porque acompanhadas de informações pessoais, o que permite que a vítima acredite estar conversando com um funcionário do banco e adote os procedimentos solicitados. Ainda, relevante pontuar que a ciência acerca da existência de spoofing para alterar o número na chamada telefônica ultrapassa o conhecimento médio, sendo que poucas pessoas sabem da informação acerca de novas fraudes utilizando números que, supostamente, seriam da instituição financeira.
VIII. A utilização de novas formas de relacionamento entre clientes e instituições financeiras, em especial por meio de sistemas eletrônicos e da internet, reforçam a aplicação da responsabilidade objetiva pelos riscos inerentes ao fornecimento de produtos e serviços bancários, sendo dever da instituição financeira, que disponibiliza e lucra com a prestação de serviços por meio de plataforma digital, fornecer mecanismos seguros e adequada proteção ao sigilo das informações, o que ausente na situação em análise.
IX. No caso concreto, relevante pontuar que a instituição financeira, que detém ciência das fraudes diárias praticadas em face dos seus correntistas, poderia adotar procedimentos de segurança que impediriam o sucesso da fraude. Neste sentido, caberia ao banco detectar que o empréstimo, em valor quase 9 vezes acima dos ganhos da parte autora, não estava em consonância com o seu perfil, sendo que caberia à instituição financeira obstar ou, no mínimo, adotar procedimentos mais rígidos de segurança em tais situações como, por exemplo, a prévia exigência de confirmação do responsável pela contratação por meio diverso do aplicativo que estava sendo utilizado no momento da contratação. Ademais, apesar de não se desconhecer que as conexões com a internet costumam apresentar alterações nos seus endereços de “IP” (IP dinâmico), destaca-se que, antes da fraude, às 15h24min, a parte autora efetuou a conexão no aplicativo por um endereço de IP (de espécie IPv4), enquanto que após cerca de 20 minutos, no momento do empréstimo e transferências de valores, a conexão com o aplicativo já era efetuada a partir de um IP diverso (e de natureza IPv6), conforme ID 46201756, pág. 2. Assim, ainda que a mudança de IP do usuário ocorra com frequência, é importante pontuar que o sistema de segurança do banco deveria adotar uma cautela extra diante da modificação do endereço de conexão ao aplicativo, de forma a impedir o empréstimo naquelas condições (ou, reitera-se, ao menos exigir uma camada extra de segurança por dispositivo diverso, como a confirmação do empréstimo por telefone ou pessoalmente). Desse modo, está confirmada a culpa da parte ré.
IX. Destaca-se que a culpa exclusiva de terceiros, capaz de elidir a responsabilidade objetiva do fornecedor de produtos ou serviços restringe-se àquela que se enquadra em evento que não tem relação de causalidade com a atividade do fornecedor. A atuação indevida de terceiro em contexto de fraude bancária não rompe o nexo causal entre a conduta da instituição financeira e os danos causados aos consumidores, porquanto trata-se de fortuito interno, relacionado os riscos inerentes ao exercício da atividade lucrativa desempenhada pelo banco, nos termos do art. 14, §3o, II, CDC e do enunciado de súmula 479 do STJ.
X. Destaca-se precedente da Turma no mesmo sentido, sendo salutar transcrever os fundamentos daquele acórdão: “11. Evidencio que as instituições financeiras com plataforma digital, ao veicular produtos por meio de sua infraestrutura tecnológica, assume a posição de fornecedor de serviços, de modo que devem ser responsabilizadas pela segurança do seu uso, a fim de evitar danos aos seus usuários, assim sendo, a quebra de segurança por fraudadores digitais caracteriza falha na prestação de serviços, nos termos do artigo 20 do Código de Defesa do Consumidor. 12. Resta evidente que o vício de qualidade do serviço ofertado pelo recorrente não garante a segurança de seus clientes referente ao sigilo de dados, ao modo de comunicação (telefônica), identificadores dos IP's e aparelhos celulares utilizados nas operações e padrões de consumo dos seus usuários. 13. Entendo que se o recorrente não criar mecanismo que inviabilize a utilização do seu canal de comunicação oficial (telefone) por fraudadores, não haverá como garantir a segurança dos seus clientes, aumentando diariamente os números de demandas judiciais acerca do tema. 14. Não passa despercebido deste relator que os golpistas utilizam mecanismos de falseamento de números telefônicos para a concretização dos delitos, entretanto, cabe ao recorrente se prevenir/bloquear a forma pela qual se operacionaliza o crime, ainda mais quando o próprio Banco informa que aquele é o seu meio de comunicação oficial. (...) 16. Observo que (...) o aparelho utilizado nas operações foi o do recorrido, que involuntariamente permitiu o uso remoto do seu aparelho celular para acesso ao Mobile BRB. Entretanto, tal engenharia criminosa não seria tão eficiente se os golpistas não utilizassem o número oficial do recorrente para contato, bem como não tivessem conhecimento mínimo dos dados bancários do recorrido. 17. Demais disso, não se mostra razoável presumir que os consumidores saibam e/ou percebam a diferença entre o atendimento oficial e o falso gerado a partir de contato em seu telefone celular. (Acórdão 1629400, 07206330520228070016, Relator: ANTONIO FERNANDES DA LUZ, Primeira Turma Recursal, data de julgamento: 14/10/2022, publicado no DJE: 27/10/2022. Pág.: Sem Página Cadastrada.)
XI. RECURSO CONHECIDO E NÃO PROVIDO. Sentença mantida. Condeno a parte recorrente ao pagamento das custas processuais e honorários advocatícios, que fixo em 10% do valor da causa.
XII. A ementa servirá de acórdão, conforme art. 46 da Lei 9.099/95.

Inteiro teor:
JUIZADO ESPECIAL CÍVEL. DIREITO DO CONSUMIDOR. FRAUDE BANCÁRIA. GOLPE DA FALSA CENTRAL DE ATENDIMENTO. ENGENHARIA SOCIAL E SPOOFING. FALHA DE SEGURANÇA. FORTUITO INTERNO. RESSARCIMENTO DEVIDO. RECURSO CONHECIDO E NÃO PROVIDO.
I. Trata-se de Recurso Inominado interposto pela parte ré contra sentença que julgou parcialmente procedente os pedidos formulados na inicial para “declarar a nulidade dos negócios jurídicos realizados no nome da autora (contrato de empréstimo CRED BRB PARCELADO ESPONTANEO, na importância de R$ 11.000,00; TED de R$ 3.900,00 e débito transferência eletrônica entre c/c de R$ 4.999,99, todos datados de 20/05/2022), e a inexistência de relação de débito/crédito entre as partes relativamente às mesmas avenças, e condenar o Banco réu a cessar os descontos em conta/benefício da autora das parcelas do empréstimo mencionado nessa decisão, sob pena de ter de devolvê-las em dobro, bem como abster-se de realizar cobranças, bem como de negativar o nome da requerente por dívida decorrente do contrato citado.” Em seu recurso, sustenta que a conduta da parte autora contribuiu para o sucesso na fraude praticada por terceiro, não existindo qualquer responsabilidade da instituição financeira face o fortuito externo. Destaca que a situação configura causa excludente da responsabilidade por culpa exclusiva de terceiro. Questiona a conclusão exposta na sentença de que a movimentação era diversa do perfil da parte autora, uma vez que era impossível à instituição financeira produzir prova em sentido contrário face o dever de sigilo das operações dos correntistas.
II. Recurso próprio, tempestivo e com preparo regular. Contrarrazões apresentadas.
III. A relação jurídica estabelecida entre as partes é de natureza consumerista, devendo a controvérsia ser solucionada sob a ótica do sistema jurídico autônomo instituído pelo Código de Defesa do Consumidor (Lei n.8.078/1990).
IV. A responsabilidade do fornecedor de serviços é objetiva, nos termos do art. 14 do Código de Defesa do Consumidor – CDC, bastando ser demonstrada a falha na prestação do serviço, o dano e o nexo causal. O fornecedor somente não será responsabilizado se provar que, tendo prestado o serviço, o defeito inexiste ou se houve culpa exclusiva do consumidor ou de terceiro (art. 14, § 3o, incisos I e II, do CDC). Ainda, a Súmula 479/STJ dispõe que “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros, no âmbito de operações bancárias.”
V. Inicialmente, pontue-se que não prospera a alegação da parte ré de que seria impossível produzir prova contrária à tese de que a movimentação seria diversa do perfil da correntista, uma vez que seria prova sigilosa. A prova impossível é aquela que não detém condições de ser produzida, sendo que a instituição financeira possui todos os dados das movimentações da parte autora. A inércia na juntada de outros documentos para subsidiar a suposta regularidade da sua atuação não pode ser atribuída ao alegado sigilo das informações, visto que cabe à parte ré, quando da sua contestação, apresentar provas de fato impeditivo, modificativo ou extintivo do direito da parte autora (artigo 373, II do CPC), sendo que, no caso concreto, o banco colacionou parte do extrato da parte autora (ID 46201755), o que demonstra que o alegado sigilo não foi óbice para apresentar as provas que desejava produzir. De todo modo, caso existisse dúvida da instituição financeira acerca da juntada de extratos/movimentações da correntista, caberia ao seu patrono nos autos formular pedido específico no momento oportuno (contestação) para a juntada daqueles documentos, o que ausente no caso concreto.
VI. A parte autora foi vítima de engenharia social e spoofing ̧ mediante o golpe da “falsa central de atendimento”. Neste sentido, na tarde de uma sexta-feira, a autora recebeu um contato de telefone falso, que burlou o sistema de identificador de chamadas para que indicasse o número real da instituição financeira no telefone da cliente (spoofing), conforme devidamente comprovado no ID 46201721, pág. 6. Na oportunidade o fraudador, passando-se por funcionário do banco, convenceu a autora da existência de uma transferência indevida a partir da sua conta bancária, de modo que a parte autora precisaria acessar o aplicativo do banco no seu celular e seguir os procedimentos indicados, efetuando a instalação de um outro aplicativo para que “o banco” realizasse uma varredura de segurança no seu dispositivo, além de orientá-la a entregar uma carta de contestação junto à sua agência na Samambaia Sul na segunda-feira seguinte. Ocorre que ao realizar os procedimentos em conformidade com as orientações do suposto funcionário do banco, foi possível ao terceiro fraudador acessar a conta bancária da autora, ocasião em que realizou um empréstimo no valor de R$ 11.000,00, conseguindo realizar duas transferências, nos valores de R$ 4.999,99 e R$ 3.900,00.
VII. Contata-se que a fraude foi decorrente de ligação para a parte autora efetuada por terceiro que simulou ser funcionário do banco. Todavia, é de conhecimento que tais fraudes são frutíferas porque acompanhadas de informações pessoais, o que permite que a vítima acredite estar conversando com um funcionário do banco e adote os procedimentos solicitados. Ainda, relevante pontuar que a ciência acerca da existência de spoofing para alterar o número na chamada telefônica ultrapassa o conhecimento médio, sendo que poucas pessoas sabem da informação acerca de novas fraudes utilizando números que, supostamente, seriam da instituição financeira.
VIII. A utilização de novas formas de relacionamento entre clientes e instituições financeiras, em especial por meio de sistemas eletrônicos e da internet, reforçam a aplicação da responsabilidade objetiva pelos riscos inerentes ao fornecimento de produtos e serviços bancários, sendo dever da instituição financeira, que disponibiliza e lucra com a prestação de serviços por meio de plataforma digital, fornecer mecanismos seguros e adequada proteção ao sigilo das informações, o que ausente na situação em análise.
IX. No caso concreto, relevante pontuar que a instituição financeira, que detém ciência das fraudes diárias praticadas em face dos seus correntistas, poderia adotar procedimentos de segurança que impediriam o sucesso da fraude. Neste sentido, caberia ao banco detectar que o empréstimo, em valor quase 9 vezes acima dos ganhos da parte autora, não estava em consonância com o seu perfil, sendo que caberia à instituição financeira obstar ou, no mínimo, adotar procedimentos mais rígidos de segurança em tais situações como, por exemplo, a prévia exigência de confirmação do responsável pela contratação por meio diverso do aplicativo que estava sendo utilizado no momento da contratação. Ademais, apesar de não se desconhecer que as conexões com a internet costumam apresentar alterações nos seus endereços de “IP” (IP dinâmico), destaca-se que, antes da fraude, às 15h24min, a parte autora efetuou a conexão no aplicativo por um endereço de IP (de espécie IPv4), enquanto que após cerca de 20 minutos, no momento do empréstimo e transferências de valores, a conexão com o aplicativo já era efetuada a partir de um IP diverso (e de natureza IPv6), conforme ID 46201756, pág. 2. Assim, ainda que a mudança de IP do usuário ocorra com frequência, é importante pontuar que o sistema de segurança do banco deveria adotar uma cautela extra diante da modificação do endereço de conexão ao aplicativo, de forma a impedir o empréstimo naquelas condições (ou, reitera-se, ao menos exigir uma camada extra de segurança por dispositivo diverso, como a confirmação do empréstimo por telefone ou pessoalmente). Desse modo, está confirmada a culpa da parte ré.
IX. Destaca-se que a culpa exclusiva de terceiros, capaz de elidir a responsabilidade objetiva do fornecedor de produtos ou serviços restringe-se àquela que se enquadra em evento que não tem relação de causalidade com a atividade do fornecedor. A atuação indevida de terceiro em contexto de fraude bancária não rompe o nexo causal entre a conduta da instituição financeira e os danos causados aos consumidores, porquanto trata-se de fortuito interno, relacionado os riscos inerentes ao exercício da atividade lucrativa desempenhada pelo banco, nos termos do art. 14, §3o, II, CDC e do enunciado de súmula 479 do STJ.
X. Destaca-se precedente da Turma no mesmo sentido, sendo salutar transcrever os fundamentos daquele acórdão: “11. Evidencio que as instituições financeiras com plataforma digital, ao veicular produtos por meio de sua infraestrutura tecnológica, assume a posição de fornecedor de serviços, de modo que devem ser responsabilizadas pela segurança do seu uso, a fim de evitar danos aos seus usuários, assim sendo, a quebra de segurança por fraudadores digitais caracteriza falha na prestação de serviços, nos termos do artigo 20 do Código de Defesa do Consumidor. 12. Resta evidente que o vício de qualidade do serviço ofertado pelo recorrente não garante a segurança de seus clientes referente ao sigilo de dados, ao modo de comunicação (telefônica), identificadores dos IP's e aparelhos celulares utilizados nas operações e padrões de consumo dos seus usuários. 13. Entendo que se o recorrente não criar mecanismo que inviabilize a utilização do seu canal de comunicação oficial (telefone) por fraudadores, não haverá como garantir a segurança dos seus clientes, aumentando diariamente os números de demandas judiciais acerca do tema. 14. Não passa despercebido deste relator que os golpistas utilizam mecanismos de falseamento de números telefônicos para a concretização dos delitos, entretanto, cabe ao recorrente se prevenir/bloquear a forma pela qual se operacionaliza o crime, ainda mais quando o próprio Banco informa que aquele é o seu meio de comunicação oficial. (...) 16. Observo que (...) o aparelho utilizado nas operações foi o do recorrido, que involuntariamente permitiu o uso remoto do seu aparelho celular para acesso ao Mobile BRB. Entretanto, tal engenharia criminosa não seria tão eficiente se os golpistas não utilizassem o número oficial do recorrente para contato, bem como não tivessem conhecimento mínimo dos dados bancários do recorrido. 17. Demais disso, não se mostra razoável presumir que os consumidores saibam e/ou percebam a diferença entre o atendimento oficial e o falso gerado a partir de contato em seu telefone celular. (Acórdão 1629400, 07206330520228070016, Relator: ANTONIO FERNANDES DA LUZ, Primeira Turma Recursal, data de julgamento: 14/10/2022, publicado no DJE: 27/10/2022. Pág.: Sem Página Cadastrada.)
XI. RECURSO CONHECIDO E NÃO PROVIDO. Sentença mantida. Condeno a parte recorrente ao pagamento das custas processuais e honorários advocatícios, que fixo em 10% do valor da causa.
XII. A ementa servirá de acórdão, conforme art. 46 da Lei 9.099/95.