Tribunal: TJDFT
Processo: 0741169-14.2024.8.07.0001
Órgão julgador: JOSE FIRMO REIS SOUB
Órgão colegiado: 8a TURMA CÍVEL
Data de julgamento: 2025-07-29
Data de publicação: 2025-08-08

Ementa:
DIREITO CIVIL E DO CONSUMIDOR. APELAÇÃO. FRAUDE BANCÁRIA POR ENGENHARIA SOCIAL. PHISHING. CULPA EXCLUSIVA DA VÍTIMA. AFASTAMENTO DA RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. SENTENÇA ALTERADA.
I. CASO EM EXAME
1. Apelação cível interposta pelo BRB Banco de Brasília S.A. contra sentença que julgou parcialmente procedentes os pedidos formulados por Miguel Rodrigues Galvão em ação indenizatória por danos materiais e morais. O juízo de primeiro grau condenou o banco ao pagamento de R$ 75.159,00 (setenta e cinco mil cento e cinquenta e nove reais), a título de danos materiais, e R$ 10.000,00 (dez mil reais), por danos morais, em razão de prejuízos decorrentes de operações fraudulentas realizadas na conta bancária do autor, por meio de golpe de phishing.
II. QUESTÃO EM DISCUSSÃO
2.Há duas questões em discussão: (i) definir se a instituição financeira deve ser responsabilizada pelos prejuízos causados ao consumidor em decorrência de fraude perpetrada por terceiro mediante engenharia social (phishing); e (ii) estabelecer se, diante da inexistência de falha na prestação do serviço, subsiste o dever de indenizar por danos materiais e morais.
III. RAZÕES DE DECIDIR
3. A legislação consumerista incide nas relações entre instituições financeiras e consumidores, conforme os arts. 2o e 3o do CDC e a Súmula no 297 do STJ, impondo responsabilidade objetiva ao fornecedor de serviços pelos danos decorrentes de defeitos na prestação.
4. A responsabilidade objetiva da instituição financeira, fundada na Teoria do Risco do Empreendimento, pode ser afastada nas hipóteses de demonstração da inexistência do defeito ou da culpa exclusiva da vítima ou de terceiros, nos termos do art. 14, §3o, do CDC.
5. A análise dos autos revela que a fraude decorreu exclusivamente da conduta imprudente do consumidor, que, ao clicar em link suspeito e compartilhar dados sensíveis, permitiu o acesso indevido à sua conta bancária por meio do aplicativo “BRB Mobile”, não havendo falha ou vulnerabilidade atribuída à instituição financeira.
6. As operações fraudulentas foram realizadas mediante indução do consumidor a erro por meio de golpe de engenharia social, circunstância que caracteriza fortuito externo, alheio à prestação do serviço bancário, afastando a incidência da responsabilidade objetiva da instituição financeira.
7. A Súmula no 479 do STJ, que impõe responsabilidade objetiva das instituições financeiras por fraudes e delitos praticados por terceiros no âmbito de operações bancárias, não se aplica ao caso concreto, por se tratar de fortuito externo, resultante de fraude perpetrada exclusivamente por terceiro, com participação culposa da própria vítima.
8. Não demonstrado o nexo de causalidade entre eventual falha na prestação do serviço e os danos suportados pelo autor, inexiste o dever de indenizar por parte da instituição financeira, devendo ser reformada a sentença para julgar improcedentes os pedidos indenizatórios.
IV. DISPOSITIVO E TESE
9. Recurso conhecido e provido.
Tese de julgamento:
1. A responsabilidade objetiva da instituição financeira, prevista no art. 14 do CDC, é afastada quando comprovada a culpa exclusiva do consumidor, que, ao compartilhar dados sensíveis, permite a prática de fraude por terceiro.
2. A fraude decorrente de golpe de engenharia social (phishing) caracteriza fortuito externo, excludente do dever de indenizar pela instituição financeira, por ausência de nexo de causalidade.
3. A Súmula no 479 do STJ não se aplica quando a fraude é perpetrada fora do âmbito de operações bancárias regulares mediante manipulação direta da vítima.

Inteiro teor:
DIREITO CIVIL E DO CONSUMIDOR. APELAÇÃO. FRAUDE BANCÁRIA POR ENGENHARIA SOCIAL. PHISHING. CULPA EXCLUSIVA DA VÍTIMA. AFASTAMENTO DA RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. SENTENÇA ALTERADA.
I. CASO EM EXAME
1. Apelação cível interposta pelo BRB Banco de Brasília S.A. contra sentença que julgou parcialmente procedentes os pedidos formulados por Miguel Rodrigues Galvão em ação indenizatória por danos materiais e morais. O juízo de primeiro grau condenou o banco ao pagamento de R$ 75.159,00 (setenta e cinco mil cento e cinquenta e nove reais), a título de danos materiais, e R$ 10.000,00 (dez mil reais), por danos morais, em razão de prejuízos decorrentes de operações fraudulentas realizadas na conta bancária do autor, por meio de golpe de phishing.
II. QUESTÃO EM DISCUSSÃO
2.Há duas questões em discussão: (i) definir se a instituição financeira deve ser responsabilizada pelos prejuízos causados ao consumidor em decorrência de fraude perpetrada por terceiro mediante engenharia social (phishing); e (ii) estabelecer se, diante da inexistência de falha na prestação do serviço, subsiste o dever de indenizar por danos materiais e morais.
III. RAZÕES DE DECIDIR
3. A legislação consumerista incide nas relações entre instituições financeiras e consumidores, conforme os arts. 2o e 3o do CDC e a Súmula no 297 do STJ, impondo responsabilidade objetiva ao fornecedor de serviços pelos danos decorrentes de defeitos na prestação.
4. A responsabilidade objetiva da instituição financeira, fundada na Teoria do Risco do Empreendimento, pode ser afastada nas hipóteses de demonstração da inexistência do defeito ou da culpa exclusiva da vítima ou de terceiros, nos termos do art. 14, §3o, do CDC.
5. A análise dos autos revela que a fraude decorreu exclusivamente da conduta imprudente do consumidor, que, ao clicar em link suspeito e compartilhar dados sensíveis, permitiu o acesso indevido à sua conta bancária por meio do aplicativo “BRB Mobile”, não havendo falha ou vulnerabilidade atribuída à instituição financeira.
6. As operações fraudulentas foram realizadas mediante indução do consumidor a erro por meio de golpe de engenharia social, circunstância que caracteriza fortuito externo, alheio à prestação do serviço bancário, afastando a incidência da responsabilidade objetiva da instituição financeira.
7. A Súmula no 479 do STJ, que impõe responsabilidade objetiva das instituições financeiras por fraudes e delitos praticados por terceiros no âmbito de operações bancárias, não se aplica ao caso concreto, por se tratar de fortuito externo, resultante de fraude perpetrada exclusivamente por terceiro, com participação culposa da própria vítima.
8. Não demonstrado o nexo de causalidade entre eventual falha na prestação do serviço e os danos suportados pelo autor, inexiste o dever de indenizar por parte da instituição financeira, devendo ser reformada a sentença para julgar improcedentes os pedidos indenizatórios.
IV. DISPOSITIVO E TESE
9. Recurso conhecido e provido.
Tese de julgamento:
1. A responsabilidade objetiva da instituição financeira, prevista no art. 14 do CDC, é afastada quando comprovada a culpa exclusiva do consumidor, que, ao compartilhar dados sensíveis, permite a prática de fraude por terceiro.
2. A fraude decorrente de golpe de engenharia social (phishing) caracteriza fortuito externo, excludente do dever de indenizar pela instituição financeira, por ausência de nexo de causalidade.
3. A Súmula no 479 do STJ não se aplica quando a fraude é perpetrada fora do âmbito de operações bancárias regulares mediante manipulação direta da vítima.