Tribunal: TJDFT
Processo: 0776908-66.2025.8.07.0016
Órgão julgador: EVANDRO NEIVA DE AMORIM
Órgão colegiado: PRIMEIRA TURMA RECURSAL
Data de julgamento: 2026-05-13
Data de publicação: 2026-05-21

Ementa:
DIREITO DO CONSUMIDOR. JUIZADOS ESPECIAIS CÍVEIS. RECURSO INOMINADO. RESPONSABILIDADE CIVIL. FRAUDE BANCÁRIA. GOLPE DE ENGENHARIA SOCIAL. ACESSO REMOTO A APLICATIVO BANCÁRIO MEDIANTE ESCANEAMENTO DE QR CODE. TRANSAÇÕES REALIZADAS DENTRO DOS LIMITES CADASTRADOS PELO PRÓPRIO TITULAR. AUSÊNCIA DE PROVA DE QUEBRA DE PERFIL DE CONSUMO. ÔNUS PROBATÓRIO. INVERSÃO. CULPA CONCORRENTE. MANUTENÇÃO. DANO MORAL À PESSOA JURÍDICA. AUSÊNCIA DE PROVA DE ABALO À HONRA OBJETIVA. IMPROCEDÊNCIA MANTIDA. RECURSOS DA INSTITUIÇÃO FINANCEIRA E DA AUTORA CONHECIDOS E NÃO PROVIDOS.

I. CASO EM EXAME

1. Trata-se de ação de indenização por danos materiais e morais ajuizada por ACERTO E CONSERTO COMÉRCIO LTDA. em face de PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A., em que a autora sustenta, em síntese, que: em 16 de julho de 2025, sua representante legal foi contatada por indivíduos que se apresentaram como funcionários do PagBank, alegando procedimento para redução de taxas; induzida pelo contato, a representante escaneou um QR Code fornecido pelos estelionatários, o que viabilizou o acesso remoto ao aplicativo bancário da empresa; a partir desse acesso, foram realizadas, sem qualquer autenticação adicional, operações que incluíram o resgate integral de investimentos, antecipação total de recebíveis e duas transferências (TEDs) para contas de terceiros, resultando em prejuízo material de R$ 19.378,10; o banco não possui mecanismos adequados de autenticação forte nem sistema eficaz de detecção de movimentações atípicas, o que configura defeito na prestação do serviço (ID 80737325). Por esse motivo, a autora requereu: (i) condenação da ré à restituição integral de R$ 19.378,10, com correção monetária e juros; (ii) indenização por danos morais no valor de R$ 10.000,00; e (iii) concessão de tutela de urgência para bloqueio das contas destinatárias (ID 80737325).

2. Sobreveio sentença (ID 80737347), que reconheceu: (i) a relação de consumo entre as partes, aplicando a teoria finalista mitigada para enquadrar a autora como consumidora vulnerável; (ii) a existência de culpa concorrente, porquanto o golpe decorreu da astúcia dos estelionatários e da falta de cautela da representante legal da autora, mas também de falha da ré ao não possuir sistema eficaz de reconhecimento de quebra de perfil; (iii) a improcedência do pedido de danos morais, por ausência de prova de abalo à honra objetiva da pessoa jurídica.

3. A parte recorrente PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. interpôs recurso inominado (ID 80737350), insurgindo-se nos seguintes termos: (i) Renovação da preliminar de ilegitimidade passiva: sustenta que a teoria da asserção não pode conferir legitimidade quando os fatos da inicial revelam que o ato ilícito foi perpetrado exclusivamente por terceiros, sem participação ou falha do banco; (ii) Inexistência de falha na prestação do serviço: afirma que as transações foram aprovadas porque os valores eram compatíveis com o limite diário cadastrado pelo próprio cliente, de modo que não há defeito sistêmico imputável à instituição; (iii) Fortuito externo e responsabilidade exclusiva da vítima e de terceiro: argumenta que o golpe de engenharia social é evento externo à atividade bancária — externalidade, irresistibilidade e imprevisibilidade —, o que afasta a incidência da Súmula 479/STJ e configura excludente de responsabilidade civil nos termos do art. 14, §3o, II, do CDC.

4. A parte autora ACERTO E CONSERTO COMÉRCIO LTDA. também interpôs recurso inominado (ID 80737352), sustentando:(i) Ausência total de culpa da autora: a vítima foi enganada por fraude sofisticada e não assumiu conscientemente risco algum, o que veda a aplicação da culpa concorrente conforme o REsp 2.220.333/DF; (ii) Falha grave do PagBank: ausência de autenticação forte para operações de alto risco (resgate de investimentos, antecipação de recebíveis, TEDs), em violação às Circulares BACEN 3.978/2020 e Resolução 4.893/2021, caracterizando defeito objetivo na prestação do serviço; (iii) Dano moral configurado: o bloqueio da conta, a ruptura do fluxo de caixa empresarial e a omissão pós-fraude do banco configuram ofensa à honra objetiva da pessoa jurídica, devendo ser fixada indenização de R$ 10.000,00.

5. Ambas as partes apresentaram contrarrazões (IDs 80737358 e 80737809), pugnando pelo não provimento do recurso adverso e pela manutenção da sentença nos pontos que lhes favoreceram, sem apresentação de preliminares.

II. QUESTÃO EM DISCUSSÃO

6. As questões em discussão consistem em verificar se: (i) O PagSeguro possui legitimidade passiva para responder pela demanda, à luz da teoria da asserção e da natureza do defeito imputado na causa de pedir; (ii) Há falha demonstrada na prestação do serviço bancário — seja pela ausência de autenticação forte para operações sensíveis, seja pela omissão do sistema de monitoramento quanto a movimentações atípicas —, ou se as transações, realizadas dentro dos limites cadastrados pelo titular, afastam o defeito e reconfiguram o evento como fortuito externo; (iii) A conduta da representante legal da autora ao escanear o QR Code configura contribuição causal suficiente para manutenção da culpa concorrente, afastando a responsabilidade integral do banco; (iv) O dano moral à pessoa jurídica autora está demonstrado mediante prova de abalo à sua honra objetiva perante terceiros.

III. RAZÕES DE DECIDIR

7. Inicialmente, defiro os benefícios da justiça gratuita à autora ACERTO E CONSERTO COMÉRCIO LTDA. O documento de ID 80737354 — folha de pagamento referente à competência novembro/2025 — comprova que a sócia-administradora Andrea Pedrosa Peixoto percebia pró-labore mensal de R$ 3.036,00, com líquido de R$ 2.702,04, renda compatível com a hipossuficiência declarada (ID 80737353). A declaração de hipossuficiência goza de presunção relativa de veracidade (art. 99, §3o, CPC) e não foi impugnada pela parte contrária. Defiro a gratuidade, com suspensão da exigibilidade de eventual condenação em honorários (art. 98, §3o, CPC).

8. A controvérsia deve ser analisada sob a ótica do Código de Defesa do Consumidor. A autora, pessoa jurídica de pequeno porte, utilizava os serviços bancários da ré como destinatária final e em posição de notória vulnerabilidade técnica e econômica, o que autoriza seu enquadramento como consumidora pela teoria finalista mitigada — premissa não impugnada por nenhuma das partes. A responsabilidade da instituição de pagamento, à qual se aplicam, por força do art. 7o da Lei no 12.865/2013, os mesmos deveres impostos às instituições financeiras (REsp 2.222.059/SP, STJ, 3a Turma, 07/10/2025), é objetiva, nos termos do art. 14, caput, do CDC, e somente se afasta nas hipóteses do §3o do mesmo dispositivo: inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.

9. A preliminar de ilegitimidade passiva deve ser rejeitada pelos mesmos fundamentos da sentença, que se mantêm. Pela teoria da asserção, adotada pelo TJDFT (Acórdão 2085352, Primeira Turma Recursal, 05/02/2026; Acórdão 2096637, Primeira Turma Recursal, 25/02/2026), a legitimidade passiva é aferida em abstrato, a partir das afirmações da petição inicial. A causa de pedir da autora imputa ao PagSeguro não apenas a ação dos golpistas, mas a omissão do sistema de segurança da própria instituição ao processar as transações sem autenticação adicional e sem alertas de movimentação suspeita. Essa imputação coloca o banco em posição de parte legítima, pois ele é quem detém o dever de segurança e quem processou as operações questionadas. A análise dos limites desse dever é questão de mérito, não de legitimidade.

10. A responsabilidade objetiva das instituições financeiras pelos danos causados por fraudes de terceiros está consagrada na Súmula 479/STJ. Contudo, como preceitua o §3o do art. 14 do CDC, essa responsabilidade pode ser mitigada ou excluída quando demonstrada a contribuição causal do consumidor ou a culpa exclusiva de terceiro. O ponto central do caso é a ausência, nos autos, de prova de que as transações destoavam do perfil habitual de consumo da autora.

11. A jurisprudência do STJ consolidou, nos REsp 2.220.333/DF e REsp 2.222.059/SP (ambos de 07/10/2025), que a validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista configura defeito na prestação do serviço. Os parâmetros indicados pelo STJ para aferir a atipicidade incluem: (i) transações que fogem ao padrão de consumo do cliente; (ii) horário e local das operações; (iii) intervalo de tempo entre transações; (iv) sequência das operações; e (v) valores envolvidos. Tais critérios pressupõem, necessariamente, a comparação entre as operações questionadas e o histórico da conta — comparação que, no caso concreto, não foi produzida nos autos.

12. O PagSeguro afirmou que as transações foram realizadas dentro dos limites diários cadastrados pelo próprio cliente — alegação que, por si só, não é suficiente para afastar o defeito, mas impõe à autora o ônus de demonstrar que as operações eram objetivamente discrepantes do seu padrão de uso. A autora não juntou extratos históricos da conta que evidenciassem a atipicidade das movimentações (ausência de TEDs anteriores de grande valor, ausência de resgates de investimento ou antecipações de recebíveis). O documento de ID 80737341, que contém dados da conta e das transferências, comprova a ocorrência das operações questionadas, mas não demonstra o padrão histórico de comportamento da conta.

13. A ausência dessa prova tem consequências distintas segundo o tipo de defeito invocado: (i) Quanto à falta de autenticação adicional para operações sensíveis: a autora sustenta, com razão, que operações de natureza extraordinária — resgate integral de investimentos, antecipação total de recebíveis — deveriam exigir autenticação forte adicional. Esse argumento tem pertinência e encontra respaldo no Acórdão 1988302/TJDFT, Terceira Turma Recursal, 07/04/2025, que reconheceu falha quando empréstimos foram contratados sem validação biométrica ou geolocalização. Contudo, os autos não contêm prova de que o PagBank não demandou nenhuma autenticação para as operações realizadas — apenas a narrativa da autora nesse sentido. O banco, de seu lado, não produziu prova contrária robusta, o que, pela inversão do ônus (art. 6o, VIII, CDC), pesa contra ele neste ponto específico. (ii) Quanto à ausência de sistema de detecção de movimentações atípicas: a tese pressupõe a demonstração da atipicidade, que não foi produzida. O banco alega que os valores estavam dentro dos limites cadastrados; a autora não refutou isso com extratos históricos. O Acórdão 2085352 desta Primeira Turma Recursal (05/02/2026) — precedente mais próximo ao caso, pois também envolveu engenharia social com phishing — exigiu exatamente isso: a análise do histórico de transações da recorrente para concluir pela dissonância com o perfil. Sem esse dado, não é possível afirmar que o banco falhou ao não bloquear movimentações que, sob a perspectiva do sistema automatizado, poderiam ser compatíveis com os parâmetros configurados pelo titular.

14. Diante desse quadro, não há base probatória suficiente para afirmar, com a certeza que a reforma para condenação integral exigiria, que houve falha sistêmica determinante do banco na detecção de movimentações atípicas. O que está demonstrado — e isso basta para manter a responsabilidade parcial do PagSeguro — é que: (a) o golpe ocorreu através do aplicativo bancário da ré, no âmbito de operações que deveriam ser geridas com segurança pela instituição (fortuito interno — Súmula 479/STJ); (b) a autora não produziu prova de que o PagBank tivesse sistemas eficazes de alerta acionados e ignorados, nem de que as operações fossem objetivamente incompatíveis com seu histórico de uso.

15. A representante legal da autora, A. P. P., escaneou um QR Code fornecido por terceiro durante ligação não solicitada, viabilizando o acesso remoto ao aplicativo bancário. Trata-se de comportamento que, avaliado segundo as regras de experiência comum (art. 375, CPC), representa conduta de risco evitável: é de conhecimento público — e objeto de campanhas ostensivas dos bancos — que instituições financeiras não solicitam escaneamento de QR Codes por telefone nem orientam clientes a conceder acesso remoto a seus dispositivos para "redução de taxas". O Acórdão 2085352 desta Primeira Turma Recursal (05/02/2026) fixou a tese de que "há culpa concorrente se restar demonstrada a falha no sistema de proteção contra fraudes desenvolvido pela instituição financeira e a contribuição direta da vítima na configuração do ilícito absoluto." O Acórdão 2038251 (Primeira Turma Recursal, 29/08/2025) manteve a culpa concorrente em caso análogo de acesso remoto via AnyDesk — técnica equivalente ao QR Code fraudulento dos presentes autos.

16. O recurso da autora invoca o REsp 2.220.333/DF para sustentar que a vítima de engenharia social não pode ser considerada concausal. Contudo, aquele julgado, interpretado em seu contexto fático, refere-se à hipótese em que há defeito claramente configurado no serviço — operações inequivocamente fora do perfil, validadas sem qualquer alerta. No caso dos autos, ausente a prova de atipicidade flagrante, o fundamento para afastar a culpa concorrente não se sustenta da mesma forma. A Primeira Turma Recursal, em acórdão posterior ao REsp 2.220.333 (Acórdão 2085352, 05/02/2026), manteve a culpa concorrente mesmo diante da invocação desse precedente, o que demonstra que o STJ não eliminou a categoria, mas apenas restringiu seu âmbito às hipóteses de risco consciente da vítima — critério que, nos presentes autos, está presente, pois o escaneamento de QR Code em ligação não solicitada configura conduta objetivamente imprudente.

17. Por essas razões, a sentença está correta ao reconhecer a culpa concorrente e repartir igualmente o prejuízo. A condenação do PagSeguro ao pagamento de R$ 9.689,05 (metade de R$ 19.378,10), com correção pelo IPCA a partir do evento danoso e juros pela Taxa SELIC a partir da citação, nos termos da Lei 14.905/2024, deve ser mantida.

18. A pessoa jurídica pode ser vítima de dano moral, mas apenas quando há demonstração de abalo à sua honra objetiva — isto é, lesão à sua reputação perante terceiros, capaz de afetar o bom nome no mercado. O dano moral à pessoa jurídica não se configura in re ipsa, exigindo prova concreta do impacto externo (TJDFT, Acórdão 1014542).

19. No caso concreto, a autora não produziu prova de que o evento danoso repercutiu externamente em sua reputação comercial: não há notícia de protesto, de negativação, de publicidade negativa sobre a empresa ou de perda de contratos em razão da fraude. O bloqueio temporário da conta e a ruptura do fluxo de caixa são consequências econômicas do golpe — indenizáveis na esfera material, na medida já reconhecida — mas não configuram, por si sós, dano à honra objetiva da pessoa jurídica perante terceiros. A sentença, portanto, deve ser mantida também neste ponto.

IV. DISPOSITIVO

20. Ante o exposto, CONHEÇO de ambos os recursos interpostos — o do PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. (ID 80737350) e o da ACERTO E CONSERTO COMÉRCIO LTDA. (ID 80737352) — e NEGO PROVIMENTO a ambos, mantendo a sentença (ID 80737347) em sua integralidade, pelos fundamentos acima expostos.

21. Condeno o recorrente PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A., integralmente vencido em seu recurso, ao pagamento de honorários advocatícios fixados em 10% (dez por cento) sobre o valor da condenação mantida (R$ 9.689,05), nos termos do art. 55 da Lei no 9.099/1995. Quanto ao recurso da autora, deixo de condenar a recorrente em honorários, em face da concessão da gratuidade de justiça, com suspensão da exigibilidade (art. 98, §3o, CPC).

Inteiro teor:
DIREITO DO CONSUMIDOR. JUIZADOS ESPECIAIS CÍVEIS. RECURSO INOMINADO. RESPONSABILIDADE CIVIL. FRAUDE BANCÁRIA. GOLPE DE ENGENHARIA SOCIAL. ACESSO REMOTO A APLICATIVO BANCÁRIO MEDIANTE ESCANEAMENTO DE QR CODE. TRANSAÇÕES REALIZADAS DENTRO DOS LIMITES CADASTRADOS PELO PRÓPRIO TITULAR. AUSÊNCIA DE PROVA DE QUEBRA DE PERFIL DE CONSUMO. ÔNUS PROBATÓRIO. INVERSÃO. CULPA CONCORRENTE. MANUTENÇÃO. DANO MORAL À PESSOA JURÍDICA. AUSÊNCIA DE PROVA DE ABALO À HONRA OBJETIVA. IMPROCEDÊNCIA MANTIDA. RECURSOS DA INSTITUIÇÃO FINANCEIRA E DA AUTORA CONHECIDOS E NÃO PROVIDOS.

I. CASO EM EXAME

1. Trata-se de ação de indenização por danos materiais e morais ajuizada por ACERTO E CONSERTO COMÉRCIO LTDA. em face de PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A., em que a autora sustenta, em síntese, que: em 16 de julho de 2025, sua representante legal foi contatada por indivíduos que se apresentaram como funcionários do PagBank, alegando procedimento para redução de taxas; induzida pelo contato, a representante escaneou um QR Code fornecido pelos estelionatários, o que viabilizou o acesso remoto ao aplicativo bancário da empresa; a partir desse acesso, foram realizadas, sem qualquer autenticação adicional, operações que incluíram o resgate integral de investimentos, antecipação total de recebíveis e duas transferências (TEDs) para contas de terceiros, resultando em prejuízo material de R$ 19.378,10; o banco não possui mecanismos adequados de autenticação forte nem sistema eficaz de detecção de movimentações atípicas, o que configura defeito na prestação do serviço (ID 80737325). Por esse motivo, a autora requereu: (i) condenação da ré à restituição integral de R$ 19.378,10, com correção monetária e juros; (ii) indenização por danos morais no valor de R$ 10.000,00; e (iii) concessão de tutela de urgência para bloqueio das contas destinatárias (ID 80737325).

2. Sobreveio sentença (ID 80737347), que reconheceu: (i) a relação de consumo entre as partes, aplicando a teoria finalista mitigada para enquadrar a autora como consumidora vulnerável; (ii) a existência de culpa concorrente, porquanto o golpe decorreu da astúcia dos estelionatários e da falta de cautela da representante legal da autora, mas também de falha da ré ao não possuir sistema eficaz de reconhecimento de quebra de perfil; (iii) a improcedência do pedido de danos morais, por ausência de prova de abalo à honra objetiva da pessoa jurídica.

3. A parte recorrente PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. interpôs recurso inominado (ID 80737350), insurgindo-se nos seguintes termos: (i) Renovação da preliminar de ilegitimidade passiva: sustenta que a teoria da asserção não pode conferir legitimidade quando os fatos da inicial revelam que o ato ilícito foi perpetrado exclusivamente por terceiros, sem participação ou falha do banco; (ii) Inexistência de falha na prestação do serviço: afirma que as transações foram aprovadas porque os valores eram compatíveis com o limite diário cadastrado pelo próprio cliente, de modo que não há defeito sistêmico imputável à instituição; (iii) Fortuito externo e responsabilidade exclusiva da vítima e de terceiro: argumenta que o golpe de engenharia social é evento externo à atividade bancária — externalidade, irresistibilidade e imprevisibilidade —, o que afasta a incidência da Súmula 479/STJ e configura excludente de responsabilidade civil nos termos do art. 14, §3o, II, do CDC.

4. A parte autora ACERTO E CONSERTO COMÉRCIO LTDA. também interpôs recurso inominado (ID 80737352), sustentando:(i) Ausência total de culpa da autora: a vítima foi enganada por fraude sofisticada e não assumiu conscientemente risco algum, o que veda a aplicação da culpa concorrente conforme o REsp 2.220.333/DF; (ii) Falha grave do PagBank: ausência de autenticação forte para operações de alto risco (resgate de investimentos, antecipação de recebíveis, TEDs), em violação às Circulares BACEN 3.978/2020 e Resolução 4.893/2021, caracterizando defeito objetivo na prestação do serviço; (iii) Dano moral configurado: o bloqueio da conta, a ruptura do fluxo de caixa empresarial e a omissão pós-fraude do banco configuram ofensa à honra objetiva da pessoa jurídica, devendo ser fixada indenização de R$ 10.000,00.

5. Ambas as partes apresentaram contrarrazões (IDs 80737358 e 80737809), pugnando pelo não provimento do recurso adverso e pela manutenção da sentença nos pontos que lhes favoreceram, sem apresentação de preliminares.

II. QUESTÃO EM DISCUSSÃO

6. As questões em discussão consistem em verificar se: (i) O PagSeguro possui legitimidade passiva para responder pela demanda, à luz da teoria da asserção e da natureza do defeito imputado na causa de pedir; (ii) Há falha demonstrada na prestação do serviço bancário — seja pela ausência de autenticação forte para operações sensíveis, seja pela omissão do sistema de monitoramento quanto a movimentações atípicas —, ou se as transações, realizadas dentro dos limites cadastrados pelo titular, afastam o defeito e reconfiguram o evento como fortuito externo; (iii) A conduta da representante legal da autora ao escanear o QR Code configura contribuição causal suficiente para manutenção da culpa concorrente, afastando a responsabilidade integral do banco; (iv) O dano moral à pessoa jurídica autora está demonstrado mediante prova de abalo à sua honra objetiva perante terceiros.

III. RAZÕES DE DECIDIR

7. Inicialmente, defiro os benefícios da justiça gratuita à autora ACERTO E CONSERTO COMÉRCIO LTDA. O documento de ID 80737354 — folha de pagamento referente à competência novembro/2025 — comprova que a sócia-administradora Andrea Pedrosa Peixoto percebia pró-labore mensal de R$ 3.036,00, com líquido de R$ 2.702,04, renda compatível com a hipossuficiência declarada (ID 80737353). A declaração de hipossuficiência goza de presunção relativa de veracidade (art. 99, §3o, CPC) e não foi impugnada pela parte contrária. Defiro a gratuidade, com suspensão da exigibilidade de eventual condenação em honorários (art. 98, §3o, CPC).

8. A controvérsia deve ser analisada sob a ótica do Código de Defesa do Consumidor. A autora, pessoa jurídica de pequeno porte, utilizava os serviços bancários da ré como destinatária final e em posição de notória vulnerabilidade técnica e econômica, o que autoriza seu enquadramento como consumidora pela teoria finalista mitigada — premissa não impugnada por nenhuma das partes. A responsabilidade da instituição de pagamento, à qual se aplicam, por força do art. 7o da Lei no 12.865/2013, os mesmos deveres impostos às instituições financeiras (REsp 2.222.059/SP, STJ, 3a Turma, 07/10/2025), é objetiva, nos termos do art. 14, caput, do CDC, e somente se afasta nas hipóteses do §3o do mesmo dispositivo: inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.

9. A preliminar de ilegitimidade passiva deve ser rejeitada pelos mesmos fundamentos da sentença, que se mantêm. Pela teoria da asserção, adotada pelo TJDFT (Acórdão 2085352, Primeira Turma Recursal, 05/02/2026; Acórdão 2096637, Primeira Turma Recursal, 25/02/2026), a legitimidade passiva é aferida em abstrato, a partir das afirmações da petição inicial. A causa de pedir da autora imputa ao PagSeguro não apenas a ação dos golpistas, mas a omissão do sistema de segurança da própria instituição ao processar as transações sem autenticação adicional e sem alertas de movimentação suspeita. Essa imputação coloca o banco em posição de parte legítima, pois ele é quem detém o dever de segurança e quem processou as operações questionadas. A análise dos limites desse dever é questão de mérito, não de legitimidade.

10. A responsabilidade objetiva das instituições financeiras pelos danos causados por fraudes de terceiros está consagrada na Súmula 479/STJ. Contudo, como preceitua o §3o do art. 14 do CDC, essa responsabilidade pode ser mitigada ou excluída quando demonstrada a contribuição causal do consumidor ou a culpa exclusiva de terceiro. O ponto central do caso é a ausência, nos autos, de prova de que as transações destoavam do perfil habitual de consumo da autora.

11. A jurisprudência do STJ consolidou, nos REsp 2.220.333/DF e REsp 2.222.059/SP (ambos de 07/10/2025), que a validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista configura defeito na prestação do serviço. Os parâmetros indicados pelo STJ para aferir a atipicidade incluem: (i) transações que fogem ao padrão de consumo do cliente; (ii) horário e local das operações; (iii) intervalo de tempo entre transações; (iv) sequência das operações; e (v) valores envolvidos. Tais critérios pressupõem, necessariamente, a comparação entre as operações questionadas e o histórico da conta — comparação que, no caso concreto, não foi produzida nos autos.

12. O PagSeguro afirmou que as transações foram realizadas dentro dos limites diários cadastrados pelo próprio cliente — alegação que, por si só, não é suficiente para afastar o defeito, mas impõe à autora o ônus de demonstrar que as operações eram objetivamente discrepantes do seu padrão de uso. A autora não juntou extratos históricos da conta que evidenciassem a atipicidade das movimentações (ausência de TEDs anteriores de grande valor, ausência de resgates de investimento ou antecipações de recebíveis). O documento de ID 80737341, que contém dados da conta e das transferências, comprova a ocorrência das operações questionadas, mas não demonstra o padrão histórico de comportamento da conta.

13. A ausência dessa prova tem consequências distintas segundo o tipo de defeito invocado: (i) Quanto à falta de autenticação adicional para operações sensíveis: a autora sustenta, com razão, que operações de natureza extraordinária — resgate integral de investimentos, antecipação total de recebíveis — deveriam exigir autenticação forte adicional. Esse argumento tem pertinência e encontra respaldo no Acórdão 1988302/TJDFT, Terceira Turma Recursal, 07/04/2025, que reconheceu falha quando empréstimos foram contratados sem validação biométrica ou geolocalização. Contudo, os autos não contêm prova de que o PagBank não demandou nenhuma autenticação para as operações realizadas — apenas a narrativa da autora nesse sentido. O banco, de seu lado, não produziu prova contrária robusta, o que, pela inversão do ônus (art. 6o, VIII, CDC), pesa contra ele neste ponto específico. (ii) Quanto à ausência de sistema de detecção de movimentações atípicas: a tese pressupõe a demonstração da atipicidade, que não foi produzida. O banco alega que os valores estavam dentro dos limites cadastrados; a autora não refutou isso com extratos históricos. O Acórdão 2085352 desta Primeira Turma Recursal (05/02/2026) — precedente mais próximo ao caso, pois também envolveu engenharia social com phishing — exigiu exatamente isso: a análise do histórico de transações da recorrente para concluir pela dissonância com o perfil. Sem esse dado, não é possível afirmar que o banco falhou ao não bloquear movimentações que, sob a perspectiva do sistema automatizado, poderiam ser compatíveis com os parâmetros configurados pelo titular.

14. Diante desse quadro, não há base probatória suficiente para afirmar, com a certeza que a reforma para condenação integral exigiria, que houve falha sistêmica determinante do banco na detecção de movimentações atípicas. O que está demonstrado — e isso basta para manter a responsabilidade parcial do PagSeguro — é que: (a) o golpe ocorreu através do aplicativo bancário da ré, no âmbito de operações que deveriam ser geridas com segurança pela instituição (fortuito interno — Súmula 479/STJ); (b) a autora não produziu prova de que o PagBank tivesse sistemas eficazes de alerta acionados e ignorados, nem de que as operações fossem objetivamente incompatíveis com seu histórico de uso.

15. A representante legal da autora, A. P. P., escaneou um QR Code fornecido por terceiro durante ligação não solicitada, viabilizando o acesso remoto ao aplicativo bancário. Trata-se de comportamento que, avaliado segundo as regras de experiência comum (art. 375, CPC), representa conduta de risco evitável: é de conhecimento público — e objeto de campanhas ostensivas dos bancos — que instituições financeiras não solicitam escaneamento de QR Codes por telefone nem orientam clientes a conceder acesso remoto a seus dispositivos para "redução de taxas". O Acórdão 2085352 desta Primeira Turma Recursal (05/02/2026) fixou a tese de que "há culpa concorrente se restar demonstrada a falha no sistema de proteção contra fraudes desenvolvido pela instituição financeira e a contribuição direta da vítima na configuração do ilícito absoluto." O Acórdão 2038251 (Primeira Turma Recursal, 29/08/2025) manteve a culpa concorrente em caso análogo de acesso remoto via AnyDesk — técnica equivalente ao QR Code fraudulento dos presentes autos.

16. O recurso da autora invoca o REsp 2.220.333/DF para sustentar que a vítima de engenharia social não pode ser considerada concausal. Contudo, aquele julgado, interpretado em seu contexto fático, refere-se à hipótese em que há defeito claramente configurado no serviço — operações inequivocamente fora do perfil, validadas sem qualquer alerta. No caso dos autos, ausente a prova de atipicidade flagrante, o fundamento para afastar a culpa concorrente não se sustenta da mesma forma. A Primeira Turma Recursal, em acórdão posterior ao REsp 2.220.333 (Acórdão 2085352, 05/02/2026), manteve a culpa concorrente mesmo diante da invocação desse precedente, o que demonstra que o STJ não eliminou a categoria, mas apenas restringiu seu âmbito às hipóteses de risco consciente da vítima — critério que, nos presentes autos, está presente, pois o escaneamento de QR Code em ligação não solicitada configura conduta objetivamente imprudente.

17. Por essas razões, a sentença está correta ao reconhecer a culpa concorrente e repartir igualmente o prejuízo. A condenação do PagSeguro ao pagamento de R$ 9.689,05 (metade de R$ 19.378,10), com correção pelo IPCA a partir do evento danoso e juros pela Taxa SELIC a partir da citação, nos termos da Lei 14.905/2024, deve ser mantida.

18. A pessoa jurídica pode ser vítima de dano moral, mas apenas quando há demonstração de abalo à sua honra objetiva — isto é, lesão à sua reputação perante terceiros, capaz de afetar o bom nome no mercado. O dano moral à pessoa jurídica não se configura in re ipsa, exigindo prova concreta do impacto externo (TJDFT, Acórdão 1014542).

19. No caso concreto, a autora não produziu prova de que o evento danoso repercutiu externamente em sua reputação comercial: não há notícia de protesto, de negativação, de publicidade negativa sobre a empresa ou de perda de contratos em razão da fraude. O bloqueio temporário da conta e a ruptura do fluxo de caixa são consequências econômicas do golpe — indenizáveis na esfera material, na medida já reconhecida — mas não configuram, por si sós, dano à honra objetiva da pessoa jurídica perante terceiros. A sentença, portanto, deve ser mantida também neste ponto.

IV. DISPOSITIVO

20. Ante o exposto, CONHEÇO de ambos os recursos interpostos — o do PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. (ID 80737350) e o da ACERTO E CONSERTO COMÉRCIO LTDA. (ID 80737352) — e NEGO PROVIMENTO a ambos, mantendo a sentença (ID 80737347) em sua integralidade, pelos fundamentos acima expostos.

21. Condeno o recorrente PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A., integralmente vencido em seu recurso, ao pagamento de honorários advocatícios fixados em 10% (dez por cento) sobre o valor da condenação mantida (R$ 9.689,05), nos termos do art. 55 da Lei no 9.099/1995. Quanto ao recurso da autora, deixo de condenar a recorrente em honorários, em face da concessão da gratuidade de justiça, com suspensão da exigibilidade (art. 98, §3o, CPC).