Tribunal: TJDFT
Processo: 0706142-97.2025.8.07.0012
Órgão julgador: EVANDRO NEIVA DE AMORIM
Órgão colegiado: PRIMEIRA TURMA RECURSAL
Data de julgamento: 2026-05-13
Data de publicação: 2026-05-20

Ementa:
DIREITO DO CONSUMIDOR. JUIZADOS ESPECIAIS CÍVEIS. RECURSO INOMINADO. FRAUDE BANCÁRIA. FURTO DE APARELHO CELULAR. TRANSAÇÕES NÃO RECONHECIDAS VIA CARTEIRA DIGITAL. RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. SÚMULA 479/STJ E TEMA 466/STJ. FORTUITO INTERNO. AUSÊNCIA DE PROVA DO FUNCIONAMENTO DOS MECANISMOS DE SEGURANÇA. ÔNUS DA PROVA DA RÉ NÃO CUMPRIDO (ART. 14, §3o, I, CDC). PADRÃO ATÍPICO DAS TRANSAÇÕES. COMUNICAÇÃO AO BANCO TARDIA — IRRELEVÂNCIA PARA AFASTAR A RESPONSABILIDADE OBJETIVA. DANO MORAL IN RE IPSA. NEGATIVAÇÃO INDEVIDA. TESE SUBSIDIÁRIA DE CULPA CONCORRENTE — AFASTADA. RECURSO CONHECIDO E PROVIDO.

I. CASO EM EXAME
1. Trata-se de ação declaratória de inexistência de débito cumulada com compensação por danos morais, ajuizada por M.J.P.B., em face de Itaú Unibanco Holding S.A. (1a requerida) e Grupo Casas Bahia S.A. (2a requerida), na qual sustenta, em síntese, que em 22.10.2024 teve seu aparelho celular furtado na parada de ônibus da W3 Sul. Após isso, terceiros, de posse do celular, realizaram compras no valor de R$ 4.153,27 por meio do aplicativo de carteira digital vinculado ao cartão de crédito Itaú, sem a ciência ou autorização da autora. Afirma que tentou contatar a Central de Atendimento do banco com o objetivo de cancelar o cartão, mas não obteve assistência eficaz. Alega que registrou boletim de ocorrência policial no 8.782/2024-1 em 29.10.2024 e que o valor da dívida, acrescido de encargos, foi atualizado para R$ 13.801,49 (id 247201065). Informa que as recorridas se recusaram a aceitar pagamento parcial dos débitos que reconhece (R$ 184,90, relativos a transações anteriores ao furto) e, por esse motivo o CPF da autora foi negativado em razão das cobranças oriundas das transações fraudulentas (id 247201065). A autora aponta que as compras destoam completamente de seu padrão de consumo — fatura anterior ao furto totalizada em R$ 184,90 —, foram realizadas com três empresas de nomes similares do mesmo ramo (alimentação), e que o limite do cartão de R$ 5.440,00 foi praticamente esgotado, restando apenas R$ 27,00 (id 247201056, pág. 4). Diante disso, ingressou com a ação postulando: (a) a declaração de inexistência dos débitos posteriores a 22.10.2024, mantendo-se apenas os débitos reconhecidos de R$ 184,90; (b) a exclusão do nome da autora dos cadastros de inadimplentes; (c) a condenação solidária das recorridas ao pagamento de indenização por danos morais no valor de R$ 9.000,00; e (d) inversão do ônus da prova nos termos do art. 6o, VIII, do CDC.

2. Sobreveio sentença (id 259858553) que julgou improcedentes todos os pedidos. A magistrada de origem fundamentou a decisão na excludente de responsabilidade do art. 14, §3o, II, do CDC, por culpa exclusiva da autora e de terceiros, com base nos seguintes elementos: (i) a autora não registrou boletim de ocorrência imediatamente após o furto; (ii) não comunicou tempestivamente o furto às rés; (iii) a senha do celular era de 'fácil resolução', conforme consta no boletim de ocorrência; e (iv) não haveria falha nos protocolos de segurança das rés. Aduziu, ainda, que a procedência criaria 'precedente duvidoso', insinuando concurso da autora com o ilícito.

3. A recorrente se insurge, em síntese, pelos seguintes fundamentos, com destaque para: (i) A sentença incorreu em error in judicando ao afastar a responsabilidade objetiva das recorridas: as transações via carteira digital (NFC) constituem fortuito interno, inerente ao risco da atividade bancária, nos termos da Súmula 479/STJ e do Tema 466/STJ, independentemente da conduta da consumidora. (ii) O ônus de comprovar a inexistência de defeito no serviço ou a culpa exclusiva da consumidora competia às recorridas (art. 14, §3o, do CDC), do qual não se desincumbiram: não produziram qualquer prova de que os mecanismos de segurança do aplicativo — biometria, reconhecimento facial e senha específica do app — funcionaram adequadamente. (iii) A sentença atribuiu peso probatório excessivo e indevido ao BO tardio, à comunicação posterior e à afirmação policial sobre a senha do celular, desconsiderando que a senha do aparelho não se confunde com os mecanismos de segurança bancária próprios do banco. (iv) A negativação indevida do CPF gera dano moral presumido (in re ipsa), mormente diante da comprovação documental de que o banco tinha ciência do caráter fraudulento das transações antes de promover a inscrição. (v) A conclusão da sentença sobre 'precedente duvidoso' imputou má-fé à recorrente sem qualquer suporte probatório, violando a presunção de boa-fé. (vi) Subsidiariamente, requer que, em caso de reconhecimento de culpa concorrente, seja declarada a inexistência parcial do débito e reduzida proporcionalmente a indenização moral.

4. Foram apresentadas contrarrazões pelo Grupo Casas Bahia S.A. (id 82114577) e pelo Itaú Unibanco Holding S.A. (id 82114581). O Itaú suscitou preliminar de inobservância ao princípio da dialeticidade, sustentando que as razões recursais estariam dissociadas dos fundamentos da sentença. No mérito, ambas as recorridas repetem, em síntese, a tese de culpa exclusiva da vítima ou de terceiros, a regularidade das transações via carteira digital, a ausência de defeito no serviço e a inaplicabilidade da Súmula 479/STJ ao caso.

II. QUESTÃO EM DISCUSSÃO
5. A(s) questão(ões) em discussão consiste(m) em verificar: (i) Se as razões recursais satisfazem o princípio da dialeticidade; (ii) Se as transações realizadas via carteira digital no celular furtado configuram fortuito interno da atividade bancária, atraindo a responsabilidade objetiva das recorridas nos termos do art. 14, caput, do CDC e da Súmula 479/STJ, ou se, ao contrário, a conduta da autora (BO tardio, comunicação posterior, senha de fácil acesso) configura culpa exclusiva capaz de romper o nexo causal (art. 14, §3o, II, do CDC); (iii) Se as recorridas produziram prova suficiente da inexistência de defeito no serviço (art. 14, §3o, I, do CDC), especialmente quanto ao funcionamento dos mecanismos de segurança próprios do aplicativo bancário; e (iv) Se a negativação do CPF da autora, decorrente das cobranças oriundas de transações fraudulentas, gera dano moral indenizável.

III. RAZÕES DE DECIDIR

6. Defiro a justiça gratuita à recorrente. A declaração de hipossuficiência e os extratos de movimentação bancária dos últimos três meses foram juntados ao recurso (id 82114568 e documentos anexos), demonstrando que a recorrente é diarista/autônoma, sem vínculo empregatício formal, e que sua renda mensal é incompatível com o custeio das despesas processuais sem prejuízo do próprio sustento, nos termos do art. 98 do CPC.

7. Rejeito a preliminar suscitada pelo Itaú nas contrarrazões. O princípio da dialeticidade (art. 41 da Lei no 9.099/1995) exige que o recorrente apresente os fundamentos de fato e de direito pelos quais impugna a decisão. No caso, as razões recursais transcreveram expressamente oito excertos da sentença impugnada (itens i a viii) e deduzem, em capítulos específicos (3.1.1 a 3.1.5), as razões jurídicas de discordância em relação a cada fundamento adotado pelo juízo a quo. Há, portanto, correlação direta e suficiente entre os argumentos do recurso e os fundamentos da sentença, atendendo plenamente ao requisito de dialeticidade.

8. A controvérsia deve ser analisada sob a ótica do Código de Defesa do Consumidor (Lei no 8.078/1990). A recorrente é consumidora nos termos do art. 2o do CDC, e as recorridas — instituição financeira e estabelecimento varejista que opera cartão de crédito em parceria com o banco — são fornecedoras nos termos do art. 3o do mesmo diploma. A incidência do CDC às instituições financeiras é pacífica, nos termos da Súmula no 297 do STJ. Nos termos do art. 14, caput, do CDC, o fornecedor de serviços responde objetivamente pelos danos causados por defeitos na prestação do serviço, independentemente de culpa. A responsabilidade somente é afastada quando o fornecedor comprovar: (i) que o defeito inexiste (inciso I); ou (ii) a culpa exclusiva do consumidor ou de terceiro (inciso II). A dicção legal impõe que o ônus dessa prova compete ao fornecedor — não ao consumidor.

9. A recorrente demonstrou documentalmente os elementos essenciais da causa: (a) o furto do celular em 22.10.2024 está comprovado pelo boletim de ocorrência no 8.782/2024-1 (id 247201056), — não havendo qualquer elemento nos autos que infirme a credibilidade desse documento; (b) as transações não reconhecidas estão documentadas na fatura do cartão de crédito, juntada com a inicial (id 247201056, pág. 4), no valor de R$ 4.153,27; (c) a negativação do CPF está comprovada nos documentos do id 247201065; e (d) o padrão atípico das transações é evidenciado pela comparação entre a fatura anterior ao furto (R$ 205,14) e as compras fraudulentas (R$ 4.153,27), com quase exaurimento do limite de R$ 5.440,00 (restaram apenas R$ 27,00), todas concentradas entre 22 e 25.10.2024, em estabelecimentos de nomes similares e do mesmo segmento.

10. Natureza das transações: carteira digital — admissão da própria ré. Ponto central para o deslinde da controvérsia: as transações contestadas foram realizadas via carteira digital (NFC/wallet), e não por meio de cartão físico com chip e PIN. Este fato é reconhecido pela própria ré Itaú em sua contestação (id. 82113706, pág. 12), onde se lê expressamente que "a(s) transação(ões) reclamada(s) foi(ram) realizada(s) entre 22/10/2024 e 25/10/2024, mediante MEIO DE CAPTURA/VALIDAÇÃO DA TRANSAÇÃO através da carteira digital". É relevante registrar que, nas páginas iniciais da mesma contestação (págs. 3-5, id 82113706), a ré sustentou que as operações foram 'realizadas mediante cartão com CHIP e senha pessoal', incorrendo em flagrante contradição interna, corretamente apontada na réplica (id. 82114564, págs. 1-2). A contradição da peça defensiva não pode beneficiar a recorrida. Prevalece a admissão expressa quanto ao meio de captura: carteira digital. Esse dado é decisivo porque: (a) afasta toda a argumentação sobre 'entrega voluntária de cartão e senha a terceiro', construída para hipóteses de fraude com cartão físico — inaplicável ao caso; (b) desloca o debate para os mecanismos de segurança próprios da carteira digital (senha do aplicativo, biometria e reconhecimento facial), cuja responsabilidade é exclusivamente do banco; e (c) enquadra o evento como fortuito interno, nos termos da Súmula 479/STJ.

11. O Superior Tribunal de Justiça, por meio da Súmula no 479 e do Tema 466, consolidou o entendimento de que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Fraudes perpetradas por meio do aplicativo bancário, que exigem a transposição dos mecanismos de segurança da própria instituição — senhas específicas do app, biometria, reconhecimento facial —, constituem risco inerente à atividade bancária digital, qualificando-se como fortuito interno. Nessa hipótese, a responsabilidade objetiva do banco não é afastada pela conduta concorrente do consumidor, pois a culpa exclusiva exigida pelo art. 14, §3o, II, do CDC pressupõe que o dano decorra unicamente de ato da vítima, sem qualquer nexo com a falha do serviço prestado. No caso, o próprio banco admitiu que as transações ocorreram via carteira digital no aparelho da autora. O funcionamento regular da carteira digital depende de mecanismos de segurança do banco — não apenas da senha de desbloqueio do celular. A sentença recorrida, ao fundamentar a exclusão da responsabilidade na 'senha de fácil resolução' do aparelho (menção constante do BO), cometeu equívoco técnico relevante: confundiu a senha de desbloqueio do smartphone (responsabilidade do usuário/fabricante) com os mecanismos de segurança do próprio aplicativo bancário (responsabilidade do banco). Neste ponto, a réplica da autora é precisa: atribuir a responsabilidade pelo acesso ao app bancário à facilidade da senha do celular equivale a admitir que o sistema de segurança do banco é tão frágil que depende de um mecanismo externo, alheio ao banco, para proteger suas transações — o que configura, per se, defeito no serviço.

12. O art. 14, §3o, I, do CDC determina que o fornecedor somente se exime da responsabilidade quando provar que o defeito inexiste. No caso, cabia às recorridas demonstrar que os mecanismos de segurança da carteira digital — solicitação de biometria, reconhecimento facial e senha específica do aplicativo — foram devidamente exigidos e superados de forma legítima. Nenhuma das rés produziu tal prova. O Itaú, em sua contestação, limitou-se a descrever genericamente como a carteira digital funciona, sem apresentar log de transações, relatório de segurança ou qualquer dado que demonstre a forma pela qual os fraudadores transpuseram os mecanismos de autenticação do aplicativo. A recorrente destacou, ainda, que outros aplicativos bancários instalados no mesmo celular — Caixa, Cartão Mais e banQI — não foram acessados pelos fraudadores, o que sugere fragilidade específica nos mecanismos de segurança do Itaú em comparação com os demais. Esse dado, incontroverso nos autos, reforça a presença de defeito no serviço.

13. A sentença a quo atribuiu peso decisivo à circunstância de que o boletim de ocorrência foi registrado sete dias após o furto e que a comunicação ao banco só ocorreu em 05.11.2024 (quatorze dias depois), conforme reconhecido na contestação do Itaú (id 82113706, pág. 17). Tais fatos, porém, não têm o condão de romper o nexo causal nem de configurar culpa exclusiva da consumidora, por duas razões objetivas: (a) a jurisprudência desta Turma Recursal e do STJ é assente no sentido de que o intervalo entre o furto e a comunicação ao banco não afasta a responsabilidade da instituição financeira (v. Acórdão 1900883, 2a Turma Recursal, 05.08.2024; REsp 1.995.458/SP, Ministra Nancy Andrighi, 09.08.2022); e (b) parte das transações fraudulentas ocorreu no próprio dia do furto (22.10.2024), o que torna materialmente impossível que qualquer comunicação imediata ao banco tivesse impedido o dano, pois as operações já estavam consumadas antes de qualquer reação viável da autora.

14. A conclusão da sentença de que a procedência da ação criaria 'precedente duvidoso' — sugerindo concerto prévio da autora com os fraudadores — é desprovida de qualquer suporte probatório nos autos. A má-fé não se presume; deve ser comprovada (art. 80 do CPC). A própria conduta da recorrente é incompatível com a presunção de má-fé: registrou boletim de ocorrência, buscou solução extrajudicial, tentou pagar os débitos que reconhecia e ajuizou ação judicial, fornecendo todos os seus dados pessoais, CPF e endereço. O argumento da sentença, além de carecer de base probatória, representa violação à presunção de boa-fé que deve nortear a análise das relações de consumo (art. 4o, III, do CDC).

15. As recorridas não se desincumbiram do ônus probatório que lhes compete. O Itaú Unibanco não juntou relatório de autenticação das transações, log de acesso ao aplicativo, prova de solicitação de biometria ou reconhecimento facial, nem qualquer documento que demonstre a regularidade dos mecanismos de segurança no momento das fraudes. Limitou-se a afirmar, genericamente, a regularidade do serviço e a culpa da autora — o que é insuficiente para satisfazer o ônus do art. 14, §3o, do CDC.

16. A negativação do CPF da autora está documentalmente comprovada (id 247201065). O evento é incontroverso. O dano moral decorrente de inscrição indevida em cadastro de inadimplentes é presumido (in re ipsa), dispensando comprovação específica de abalo psicológico ou restrição concreta de crédito, conforme entendimento consolidado na Súmula no 385 do STJ e na jurisprudência desta Turma Recursal. Verificou-se, ainda, que o banco tinha ciência do caráter fraudulento das transações antes de promover a negativação (id 254682929), o que torna a inscrição ainda mais censurável. Configurado o dano, é devida a indenização. Tendo em vista as circunstâncias do caso — porte econômico das recorridas, extensão do dano (negativação que inviabilizou o regular crédito da autora), ausência de conduta dolosa da consumidora e caráter pedagógico-dissuasório da sanção —, fixo a indenização por danos morais no valor de R$ 3.000,00 (três mil reais), montante compatível com os parâmetros desta Turma Recursal para casos análogos e com a capacidade econômica demonstrada pela autora.

IV. DISPOSITIVO
17. Ante o exposto, CONHEÇO DO RECURSO E DOU-LHE PROVIMENTO para reformar a sentença e julgar PARCIALMENTE PROCEDENTES os pedidos formulados na inicial, nos seguintes termos: (i) Declaro a inexistência e inexigibilidade dos débitos oriundos das transações não reconhecidas realizadas entre 22.10.2024 e 25.10.2024 por meio da carteira digital vinculada ao cartão de crédito da autora, mantendo-se apenas os débitos reconhecidos pela recorrente no valor de R$ 184,90 (06.02.2024 — FINANCIAL, R$ 125,00 e 01.07.2024 — PFR 73 BRASÍLIA, R$ 59,90); (ii) Condeno as recorridas, solidariamente, a promover a exclusão do nome da autora de todos os cadastros de inadimplentes decorrentes dos débitos ora declarados inexistentes, no prazo de 10 (dez) dias a contar da publicação desta decisão, sob pena de multa diária de R$ 200,00, limitada a R$ 5.000,00; (iii) Condeno as recorridas, solidariamente, ao pagamento de indenização por danos morais no valor de R$ 3.000,00 (três mil reais), a ser corrigido monetariamente pelo INPC a partir desta data e acrescido de juros legais de 1% ao mês a contar da citação.

18. Ausente condenação em honorários em desfavor da recorrente, ante o provimento do recurso (art. 55 da Lei no 9.099/1995).

Inteiro teor:
DIREITO DO CONSUMIDOR. JUIZADOS ESPECIAIS CÍVEIS. RECURSO INOMINADO. FRAUDE BANCÁRIA. FURTO DE APARELHO CELULAR. TRANSAÇÕES NÃO RECONHECIDAS VIA CARTEIRA DIGITAL. RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. SÚMULA 479/STJ E TEMA 466/STJ. FORTUITO INTERNO. AUSÊNCIA DE PROVA DO FUNCIONAMENTO DOS MECANISMOS DE SEGURANÇA. ÔNUS DA PROVA DA RÉ NÃO CUMPRIDO (ART. 14, §3o, I, CDC). PADRÃO ATÍPICO DAS TRANSAÇÕES. COMUNICAÇÃO AO BANCO TARDIA — IRRELEVÂNCIA PARA AFASTAR A RESPONSABILIDADE OBJETIVA. DANO MORAL IN RE IPSA. NEGATIVAÇÃO INDEVIDA. TESE SUBSIDIÁRIA DE CULPA CONCORRENTE — AFASTADA. RECURSO CONHECIDO E PROVIDO.

I. CASO EM EXAME
1. Trata-se de ação declaratória de inexistência de débito cumulada com compensação por danos morais, ajuizada por M.J.P.B., em face de Itaú Unibanco Holding S.A. (1a requerida) e Grupo Casas Bahia S.A. (2a requerida), na qual sustenta, em síntese, que em 22.10.2024 teve seu aparelho celular furtado na parada de ônibus da W3 Sul. Após isso, terceiros, de posse do celular, realizaram compras no valor de R$ 4.153,27 por meio do aplicativo de carteira digital vinculado ao cartão de crédito Itaú, sem a ciência ou autorização da autora. Afirma que tentou contatar a Central de Atendimento do banco com o objetivo de cancelar o cartão, mas não obteve assistência eficaz. Alega que registrou boletim de ocorrência policial no 8.782/2024-1 em 29.10.2024 e que o valor da dívida, acrescido de encargos, foi atualizado para R$ 13.801,49 (id 247201065). Informa que as recorridas se recusaram a aceitar pagamento parcial dos débitos que reconhece (R$ 184,90, relativos a transações anteriores ao furto) e, por esse motivo o CPF da autora foi negativado em razão das cobranças oriundas das transações fraudulentas (id 247201065). A autora aponta que as compras destoam completamente de seu padrão de consumo — fatura anterior ao furto totalizada em R$ 184,90 —, foram realizadas com três empresas de nomes similares do mesmo ramo (alimentação), e que o limite do cartão de R$ 5.440,00 foi praticamente esgotado, restando apenas R$ 27,00 (id 247201056, pág. 4). Diante disso, ingressou com a ação postulando: (a) a declaração de inexistência dos débitos posteriores a 22.10.2024, mantendo-se apenas os débitos reconhecidos de R$ 184,90; (b) a exclusão do nome da autora dos cadastros de inadimplentes; (c) a condenação solidária das recorridas ao pagamento de indenização por danos morais no valor de R$ 9.000,00; e (d) inversão do ônus da prova nos termos do art. 6o, VIII, do CDC.

2. Sobreveio sentença (id 259858553) que julgou improcedentes todos os pedidos. A magistrada de origem fundamentou a decisão na excludente de responsabilidade do art. 14, §3o, II, do CDC, por culpa exclusiva da autora e de terceiros, com base nos seguintes elementos: (i) a autora não registrou boletim de ocorrência imediatamente após o furto; (ii) não comunicou tempestivamente o furto às rés; (iii) a senha do celular era de 'fácil resolução', conforme consta no boletim de ocorrência; e (iv) não haveria falha nos protocolos de segurança das rés. Aduziu, ainda, que a procedência criaria 'precedente duvidoso', insinuando concurso da autora com o ilícito.

3. A recorrente se insurge, em síntese, pelos seguintes fundamentos, com destaque para: (i) A sentença incorreu em error in judicando ao afastar a responsabilidade objetiva das recorridas: as transações via carteira digital (NFC) constituem fortuito interno, inerente ao risco da atividade bancária, nos termos da Súmula 479/STJ e do Tema 466/STJ, independentemente da conduta da consumidora. (ii) O ônus de comprovar a inexistência de defeito no serviço ou a culpa exclusiva da consumidora competia às recorridas (art. 14, §3o, do CDC), do qual não se desincumbiram: não produziram qualquer prova de que os mecanismos de segurança do aplicativo — biometria, reconhecimento facial e senha específica do app — funcionaram adequadamente. (iii) A sentença atribuiu peso probatório excessivo e indevido ao BO tardio, à comunicação posterior e à afirmação policial sobre a senha do celular, desconsiderando que a senha do aparelho não se confunde com os mecanismos de segurança bancária próprios do banco. (iv) A negativação indevida do CPF gera dano moral presumido (in re ipsa), mormente diante da comprovação documental de que o banco tinha ciência do caráter fraudulento das transações antes de promover a inscrição. (v) A conclusão da sentença sobre 'precedente duvidoso' imputou má-fé à recorrente sem qualquer suporte probatório, violando a presunção de boa-fé. (vi) Subsidiariamente, requer que, em caso de reconhecimento de culpa concorrente, seja declarada a inexistência parcial do débito e reduzida proporcionalmente a indenização moral.

4. Foram apresentadas contrarrazões pelo Grupo Casas Bahia S.A. (id 82114577) e pelo Itaú Unibanco Holding S.A. (id 82114581). O Itaú suscitou preliminar de inobservância ao princípio da dialeticidade, sustentando que as razões recursais estariam dissociadas dos fundamentos da sentença. No mérito, ambas as recorridas repetem, em síntese, a tese de culpa exclusiva da vítima ou de terceiros, a regularidade das transações via carteira digital, a ausência de defeito no serviço e a inaplicabilidade da Súmula 479/STJ ao caso.

II. QUESTÃO EM DISCUSSÃO
5. A(s) questão(ões) em discussão consiste(m) em verificar: (i) Se as razões recursais satisfazem o princípio da dialeticidade; (ii) Se as transações realizadas via carteira digital no celular furtado configuram fortuito interno da atividade bancária, atraindo a responsabilidade objetiva das recorridas nos termos do art. 14, caput, do CDC e da Súmula 479/STJ, ou se, ao contrário, a conduta da autora (BO tardio, comunicação posterior, senha de fácil acesso) configura culpa exclusiva capaz de romper o nexo causal (art. 14, §3o, II, do CDC); (iii) Se as recorridas produziram prova suficiente da inexistência de defeito no serviço (art. 14, §3o, I, do CDC), especialmente quanto ao funcionamento dos mecanismos de segurança próprios do aplicativo bancário; e (iv) Se a negativação do CPF da autora, decorrente das cobranças oriundas de transações fraudulentas, gera dano moral indenizável.

III. RAZÕES DE DECIDIR

6. Defiro a justiça gratuita à recorrente. A declaração de hipossuficiência e os extratos de movimentação bancária dos últimos três meses foram juntados ao recurso (id 82114568 e documentos anexos), demonstrando que a recorrente é diarista/autônoma, sem vínculo empregatício formal, e que sua renda mensal é incompatível com o custeio das despesas processuais sem prejuízo do próprio sustento, nos termos do art. 98 do CPC.

7. Rejeito a preliminar suscitada pelo Itaú nas contrarrazões. O princípio da dialeticidade (art. 41 da Lei no 9.099/1995) exige que o recorrente apresente os fundamentos de fato e de direito pelos quais impugna a decisão. No caso, as razões recursais transcreveram expressamente oito excertos da sentença impugnada (itens i a viii) e deduzem, em capítulos específicos (3.1.1 a 3.1.5), as razões jurídicas de discordância em relação a cada fundamento adotado pelo juízo a quo. Há, portanto, correlação direta e suficiente entre os argumentos do recurso e os fundamentos da sentença, atendendo plenamente ao requisito de dialeticidade.

8. A controvérsia deve ser analisada sob a ótica do Código de Defesa do Consumidor (Lei no 8.078/1990). A recorrente é consumidora nos termos do art. 2o do CDC, e as recorridas — instituição financeira e estabelecimento varejista que opera cartão de crédito em parceria com o banco — são fornecedoras nos termos do art. 3o do mesmo diploma. A incidência do CDC às instituições financeiras é pacífica, nos termos da Súmula no 297 do STJ. Nos termos do art. 14, caput, do CDC, o fornecedor de serviços responde objetivamente pelos danos causados por defeitos na prestação do serviço, independentemente de culpa. A responsabilidade somente é afastada quando o fornecedor comprovar: (i) que o defeito inexiste (inciso I); ou (ii) a culpa exclusiva do consumidor ou de terceiro (inciso II). A dicção legal impõe que o ônus dessa prova compete ao fornecedor — não ao consumidor.

9. A recorrente demonstrou documentalmente os elementos essenciais da causa: (a) o furto do celular em 22.10.2024 está comprovado pelo boletim de ocorrência no 8.782/2024-1 (id 247201056), — não havendo qualquer elemento nos autos que infirme a credibilidade desse documento; (b) as transações não reconhecidas estão documentadas na fatura do cartão de crédito, juntada com a inicial (id 247201056, pág. 4), no valor de R$ 4.153,27; (c) a negativação do CPF está comprovada nos documentos do id 247201065; e (d) o padrão atípico das transações é evidenciado pela comparação entre a fatura anterior ao furto (R$ 205,14) e as compras fraudulentas (R$ 4.153,27), com quase exaurimento do limite de R$ 5.440,00 (restaram apenas R$ 27,00), todas concentradas entre 22 e 25.10.2024, em estabelecimentos de nomes similares e do mesmo segmento.

10. Natureza das transações: carteira digital — admissão da própria ré. Ponto central para o deslinde da controvérsia: as transações contestadas foram realizadas via carteira digital (NFC/wallet), e não por meio de cartão físico com chip e PIN. Este fato é reconhecido pela própria ré Itaú em sua contestação (id. 82113706, pág. 12), onde se lê expressamente que "a(s) transação(ões) reclamada(s) foi(ram) realizada(s) entre 22/10/2024 e 25/10/2024, mediante MEIO DE CAPTURA/VALIDAÇÃO DA TRANSAÇÃO através da carteira digital". É relevante registrar que, nas páginas iniciais da mesma contestação (págs. 3-5, id 82113706), a ré sustentou que as operações foram 'realizadas mediante cartão com CHIP e senha pessoal', incorrendo em flagrante contradição interna, corretamente apontada na réplica (id. 82114564, págs. 1-2). A contradição da peça defensiva não pode beneficiar a recorrida. Prevalece a admissão expressa quanto ao meio de captura: carteira digital. Esse dado é decisivo porque: (a) afasta toda a argumentação sobre 'entrega voluntária de cartão e senha a terceiro', construída para hipóteses de fraude com cartão físico — inaplicável ao caso; (b) desloca o debate para os mecanismos de segurança próprios da carteira digital (senha do aplicativo, biometria e reconhecimento facial), cuja responsabilidade é exclusivamente do banco; e (c) enquadra o evento como fortuito interno, nos termos da Súmula 479/STJ.

11. O Superior Tribunal de Justiça, por meio da Súmula no 479 e do Tema 466, consolidou o entendimento de que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Fraudes perpetradas por meio do aplicativo bancário, que exigem a transposição dos mecanismos de segurança da própria instituição — senhas específicas do app, biometria, reconhecimento facial —, constituem risco inerente à atividade bancária digital, qualificando-se como fortuito interno. Nessa hipótese, a responsabilidade objetiva do banco não é afastada pela conduta concorrente do consumidor, pois a culpa exclusiva exigida pelo art. 14, §3o, II, do CDC pressupõe que o dano decorra unicamente de ato da vítima, sem qualquer nexo com a falha do serviço prestado. No caso, o próprio banco admitiu que as transações ocorreram via carteira digital no aparelho da autora. O funcionamento regular da carteira digital depende de mecanismos de segurança do banco — não apenas da senha de desbloqueio do celular. A sentença recorrida, ao fundamentar a exclusão da responsabilidade na 'senha de fácil resolução' do aparelho (menção constante do BO), cometeu equívoco técnico relevante: confundiu a senha de desbloqueio do smartphone (responsabilidade do usuário/fabricante) com os mecanismos de segurança do próprio aplicativo bancário (responsabilidade do banco). Neste ponto, a réplica da autora é precisa: atribuir a responsabilidade pelo acesso ao app bancário à facilidade da senha do celular equivale a admitir que o sistema de segurança do banco é tão frágil que depende de um mecanismo externo, alheio ao banco, para proteger suas transações — o que configura, per se, defeito no serviço.

12. O art. 14, §3o, I, do CDC determina que o fornecedor somente se exime da responsabilidade quando provar que o defeito inexiste. No caso, cabia às recorridas demonstrar que os mecanismos de segurança da carteira digital — solicitação de biometria, reconhecimento facial e senha específica do aplicativo — foram devidamente exigidos e superados de forma legítima. Nenhuma das rés produziu tal prova. O Itaú, em sua contestação, limitou-se a descrever genericamente como a carteira digital funciona, sem apresentar log de transações, relatório de segurança ou qualquer dado que demonstre a forma pela qual os fraudadores transpuseram os mecanismos de autenticação do aplicativo. A recorrente destacou, ainda, que outros aplicativos bancários instalados no mesmo celular — Caixa, Cartão Mais e banQI — não foram acessados pelos fraudadores, o que sugere fragilidade específica nos mecanismos de segurança do Itaú em comparação com os demais. Esse dado, incontroverso nos autos, reforça a presença de defeito no serviço.

13. A sentença a quo atribuiu peso decisivo à circunstância de que o boletim de ocorrência foi registrado sete dias após o furto e que a comunicação ao banco só ocorreu em 05.11.2024 (quatorze dias depois), conforme reconhecido na contestação do Itaú (id 82113706, pág. 17). Tais fatos, porém, não têm o condão de romper o nexo causal nem de configurar culpa exclusiva da consumidora, por duas razões objetivas: (a) a jurisprudência desta Turma Recursal e do STJ é assente no sentido de que o intervalo entre o furto e a comunicação ao banco não afasta a responsabilidade da instituição financeira (v. Acórdão 1900883, 2a Turma Recursal, 05.08.2024; REsp 1.995.458/SP, Ministra Nancy Andrighi, 09.08.2022); e (b) parte das transações fraudulentas ocorreu no próprio dia do furto (22.10.2024), o que torna materialmente impossível que qualquer comunicação imediata ao banco tivesse impedido o dano, pois as operações já estavam consumadas antes de qualquer reação viável da autora.

14. A conclusão da sentença de que a procedência da ação criaria 'precedente duvidoso' — sugerindo concerto prévio da autora com os fraudadores — é desprovida de qualquer suporte probatório nos autos. A má-fé não se presume; deve ser comprovada (art. 80 do CPC). A própria conduta da recorrente é incompatível com a presunção de má-fé: registrou boletim de ocorrência, buscou solução extrajudicial, tentou pagar os débitos que reconhecia e ajuizou ação judicial, fornecendo todos os seus dados pessoais, CPF e endereço. O argumento da sentença, além de carecer de base probatória, representa violação à presunção de boa-fé que deve nortear a análise das relações de consumo (art. 4o, III, do CDC).

15. As recorridas não se desincumbiram do ônus probatório que lhes compete. O Itaú Unibanco não juntou relatório de autenticação das transações, log de acesso ao aplicativo, prova de solicitação de biometria ou reconhecimento facial, nem qualquer documento que demonstre a regularidade dos mecanismos de segurança no momento das fraudes. Limitou-se a afirmar, genericamente, a regularidade do serviço e a culpa da autora — o que é insuficiente para satisfazer o ônus do art. 14, §3o, do CDC.

16. A negativação do CPF da autora está documentalmente comprovada (id 247201065). O evento é incontroverso. O dano moral decorrente de inscrição indevida em cadastro de inadimplentes é presumido (in re ipsa), dispensando comprovação específica de abalo psicológico ou restrição concreta de crédito, conforme entendimento consolidado na Súmula no 385 do STJ e na jurisprudência desta Turma Recursal. Verificou-se, ainda, que o banco tinha ciência do caráter fraudulento das transações antes de promover a negativação (id 254682929), o que torna a inscrição ainda mais censurável. Configurado o dano, é devida a indenização. Tendo em vista as circunstâncias do caso — porte econômico das recorridas, extensão do dano (negativação que inviabilizou o regular crédito da autora), ausência de conduta dolosa da consumidora e caráter pedagógico-dissuasório da sanção —, fixo a indenização por danos morais no valor de R$ 3.000,00 (três mil reais), montante compatível com os parâmetros desta Turma Recursal para casos análogos e com a capacidade econômica demonstrada pela autora.

IV. DISPOSITIVO
17. Ante o exposto, CONHEÇO DO RECURSO E DOU-LHE PROVIMENTO para reformar a sentença e julgar PARCIALMENTE PROCEDENTES os pedidos formulados na inicial, nos seguintes termos: (i) Declaro a inexistência e inexigibilidade dos débitos oriundos das transações não reconhecidas realizadas entre 22.10.2024 e 25.10.2024 por meio da carteira digital vinculada ao cartão de crédito da autora, mantendo-se apenas os débitos reconhecidos pela recorrente no valor de R$ 184,90 (06.02.2024 — FINANCIAL, R$ 125,00 e 01.07.2024 — PFR 73 BRASÍLIA, R$ 59,90); (ii) Condeno as recorridas, solidariamente, a promover a exclusão do nome da autora de todos os cadastros de inadimplentes decorrentes dos débitos ora declarados inexistentes, no prazo de 10 (dez) dias a contar da publicação desta decisão, sob pena de multa diária de R$ 200,00, limitada a R$ 5.000,00; (iii) Condeno as recorridas, solidariamente, ao pagamento de indenização por danos morais no valor de R$ 3.000,00 (três mil reais), a ser corrigido monetariamente pelo INPC a partir desta data e acrescido de juros legais de 1% ao mês a contar da citação.

18. Ausente condenação em honorários em desfavor da recorrente, ante o provimento do recurso (art. 55 da Lei no 9.099/1995).