Tribunal: TJES
Processo: 5021421-84.2023.8.08.0024
Classe: RECURSO INOMINADO CÍVEL
Relator(a): WALMEA ELYZE CARVALHO
Órgão julgador: WALMEA ELYZE CARVALHO
Órgão colegiado: Turma Recursal - 3ª Turma
Assuntos: Indenização por Dano Material
Data de julgamento: 2025-12-04

Ementa:
EMENTA:DIREITO DO CONSUMIDOR. AÇÃO INDENIZATÓRIA. FRAUDE BANCÁRIA. "GOLPE DO ACESSO REMOTO". INSTALAÇÃO DE APLICATIVO DE CONTROLE PELO CORRENTISTA. ENGENHARIA SOCIAL. TRANSAÇÕES REALIZADAS MEDIANTE DISPOSITIVO HABITUAL E SENHA PESSOAL. CULPA EXCLUSIVA DO CONSUMIDOR. EXCLUDENTE DE RESPONSABILIDADE. RECURSO PROVIDO.

I - CASO EM EXAME

1.Recurso Inominado interposto por instituição financeira contra sentença que julgou parcialmente procedentes os pedidos autorais, declarando a inexigibilidade de empréstimo e condenando o banco à restituição de valores transferidos via Pix em contexto de fraude. A parte autora, induzida por terceiros (supostos prepostos do banco), instalou aplicativo de acesso remoto em seu dispositivo, permitindo a realização das operações contestadas.

II - QUESTÃO EM DISCUSSÃO

2. A questão em discussão consiste em verificar se há responsabilidade civil da instituição financeira pelas transações fraudulentas realizadas após a instalação voluntária, pelo consumidor, de aplicativo de acesso remoto (engenharia social), ou se tal conduta configura culpa exclusiva da vítima apta a romper o nexo causal.

III - RAZÕES DE DECIDIR

3. A responsabilidade das instituições financeiras é objetiva (art. 14 do CDC e Súmula 479 do STJ), contudo, pode ser elidida mediante prova de culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º, II, do CDC).

4. No caso concreto, restou comprovado que a parte autora, vítima de engenharia social, instalou voluntariamente aplicativo que permitiu o controle remoto de seu aparelho por fraudadores.

5. As transações foram efetivadas em dispositivo previamente cadastrado (habitual) e validadas com o uso de credenciais pessoais e intransferíveis (senhas e
tokens
), sem indícios de violação interna do sistema de segurança bancário.

6. A falta de cautela do consumidor ao franquear o acesso de seu dispositivo a estranhos caracteriza culpa exclusiva, rompendo o nexo de causalidade e afastando o dever de indenizar da instituição financeira.

IV - DISPOSITIVO E TESE

7. Recurso conhecido e provido para reformar a sentença e julgar improcedentes os pedidos iniciais.

Tese de julgamento:
"Caracteriza culpa exclusiva do consumidor, apta a afastar a responsabilidade da instituição financeira (art. 14, § 3º, II, do CDC), a situação em que o correntista, vítima de engenharia social, instala voluntariamente aplicativo de acesso remoto em seu dispositivo, permitindo que terceiros realizem transações bancárias mediante uso de credenciais pessoais e dispositivo habitual."

Inteiro teor:
ESTADO DO ESPÍRITO SANTO
PODER JUDICIÁRIO

PROCESSO Nº 5021421-84.2023.8.08.0024
RECURSO INOMINADO CÍVEL (460)
RECORRENTE: BANCO DO BRASIL SA
RECORRIDO: WOLFGANG ENRICO RIEGERT
RELATOR(A):
WALMEA ELYZE CARVALHO

______________________________________________________________________________________________________________________________________________
EMENTA
EMENTA:DIREITO DO CONSUMIDOR. AÇÃO INDENIZATÓRIA. FRAUDE BANCÁRIA. "GOLPE DO ACESSO REMOTO". INSTALAÇÃO DE APLICATIVO DE CONTROLE PELO CORRENTISTA. ENGENHARIA SOCIAL. TRANSAÇÕES REALIZADAS MEDIANTE DISPOSITIVO HABITUAL E SENHA PESSOAL. CULPA EXCLUSIVA DO CONSUMIDOR. EXCLUDENTE DE RESPONSABILIDADE. RECURSO PROVIDO.

I - CASO EM EXAME

1.Recurso Inominado interposto por instituição financeira contra sentença que julgou parcialmente procedentes os pedidos autorais, declarando a inexigibilidade de empréstimo e condenando o banco à restituição de valores transferidos via Pix em contexto de fraude. A parte autora, induzida por terceiros (supostos prepostos do banco), instalou aplicativo de acesso remoto em seu dispositivo, permitindo a realização das operações contestadas.

II - QUESTÃO EM DISCUSSÃO

2. A questão em discussão consiste em verificar se há responsabilidade civil da instituição financeira pelas transações fraudulentas realizadas após a instalação voluntária, pelo consumidor, de aplicativo de acesso remoto (engenharia social), ou se tal conduta configura culpa exclusiva da vítima apta a romper o nexo causal.

III - RAZÕES DE DECIDIR

3. A responsabilidade das instituições financeiras é objetiva (art. 14 do CDC e Súmula 479 do STJ), contudo, pode ser elidida mediante prova de culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º, II, do CDC).

4. No caso concreto, restou comprovado que a parte autora, vítima de engenharia social, instalou voluntariamente aplicativo que permitiu o controle remoto de seu aparelho por fraudadores.

5. As transações foram efetivadas em dispositivo previamente cadastrado (habitual) e validadas com o uso de credenciais pessoais e intransferíveis (senhas e
tokens
), sem indícios de violação interna do sistema de segurança bancário.

6. A falta de cautela do consumidor ao franquear o acesso de seu dispositivo a estranhos caracteriza culpa exclusiva, rompendo o nexo de causalidade e afastando o dever de indenizar da instituição financeira.

IV - DISPOSITIVO E TESE

7. Recurso conhecido e provido para reformar a sentença e julgar improcedentes os pedidos iniciais.

Tese de julgamento:
"Caracteriza culpa exclusiva do consumidor, apta a afastar a responsabilidade da instituição financeira (art. 14, § 3º, II, do CDC), a situação em que o correntista, vítima de engenharia social, instala voluntariamente aplicativo de acesso remoto em seu dispositivo, permitindo que terceiros realizem transações bancárias mediante uso de credenciais pessoais e dispositivo habitual."

______________________________________________________________________________________________________________________________________________
ACÓRDÃO
Decisão
: Por maioria, conhecer e dar provimento ao recurso, nos termos do voto da Relatora ,sendo acompanhado por Dr.Leonardo.
Órgão julgador vencedor
: 3ª Turma Recursal - Gabinete 3
______________________________________________________________________________________________________________________________________________
RELATÓRIO
Dispensado o relatório, na forma do artigo 38 da Lei nº 9.099/95 e Enunciado nº 92 FONAJE.
_______________________________________________________________________________________________________________________________________________
NOTAS TAQUIGRÁFICAS
________________________________________________________________________________________________________________________________________________
VOTO VENCEDOR
RECURSO INOMINADO Nº 5021421-84.2023.8.08.0024

RECORRENTE: BANCO DO BRASIL SA

RECORRIDO: WOLFGANG ENRICO RIEGERT

JUÍZA SENTENCIANTE: FABRÍCIA BERNARDI GONÇALVES

RELATORA: WALMEA ELYZE CARVALHO PEPE DE MORAES

EMENTA:DIREITO DO CONSUMIDOR. AÇÃO INDENIZATÓRIA. FRAUDE BANCÁRIA. "GOLPE DO ACESSO REMOTO". INSTALAÇÃO DE APLICATIVO DE CONTROLE PELO CORRENTISTA. ENGENHARIA SOCIAL. TRANSAÇÕES REALIZADAS MEDIANTE DISPOSITIVO HABITUAL E SENHA PESSOAL. CULPA EXCLUSIVA DO CONSUMIDOR. EXCLUDENTE DE RESPONSABILIDADE. RECURSO PROVIDO.

I - CASO EM EXAME

1.Recurso Inominado interposto por instituição financeira contra sentença que julgou parcialmente procedentes os pedidos autorais, declarando a inexigibilidade de empréstimo e condenando o banco à restituição de valores transferidos via Pix em contexto de fraude. A parte autora, induzida por terceiros (supostos prepostos do banco), instalou aplicativo de acesso remoto em seu dispositivo, permitindo a realização das operações contestadas.

II - QUESTÃO EM DISCUSSÃO

2. A questão em discussão consiste em verificar se há responsabilidade civil da instituição financeira pelas transações fraudulentas realizadas após a instalação voluntária, pelo consumidor, de aplicativo de acesso remoto (engenharia social), ou se tal conduta configura culpa exclusiva da vítima apta a romper o nexo causal.

III - RAZÕES DE DECIDIR

3. A responsabilidade das instituições financeiras é objetiva (art. 14 do CDC e Súmula 479 do STJ), contudo, pode ser elidida mediante prova de culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º, II, do CDC).

4. No caso concreto, restou comprovado que a parte autora, vítima de engenharia social, instalou voluntariamente aplicativo que permitiu o controle remoto de seu aparelho por fraudadores.

5. As transações foram efetivadas em dispositivo previamente cadastrado (habitual) e validadas com o uso de credenciais pessoais e intransferíveis (senhas e
tokens
), sem indícios de violação interna do sistema de segurança bancário.

6. A falta de cautela do consumidor ao franquear o acesso de seu dispositivo a estranhos caracteriza culpa exclusiva, rompendo o nexo de causalidade e afastando o dever de indenizar da instituição financeira.

IV - DISPOSITIVO E TESE

7. Recurso conhecido e provido para reformar a sentença e julgar improcedentes os pedidos iniciais.

Tese de julgamento:
"Caracteriza culpa exclusiva do consumidor, apta a afastar a responsabilidade da instituição financeira (art. 14, § 3º, II, do CDC), a situação em que o correntista, vítima de engenharia social, instala voluntariamente aplicativo de acesso remoto em seu dispositivo, permitindo que terceiros realizem transações bancárias mediante uso de credenciais pessoais e dispositivo habitual."

PROJETO DE VOTO (ART. 98 DA CF DE 1988)

RELATÓRIO

Trata-se de Ação de Indenização ajuizada por
WOLFGANG ENRICO RIEGERT
em face do
BANCO DO BRASIL SA
, na qual a parte autora narra, em síntese, que após receber ligação de suposto preposto do banco réu, foi induzida a realizar procedimentos de segurança em seu dispositivo. Ato contínuo, foram realizados em sua conta um empréstimo (BB Crédito Automático) no valor de R$ 21.835,81 e diversas transferências via Pix totalizando R$ 26.975,19, beneficiando terceiro desconhecido. O Autor informa que, para mitigar prejuízos, quitou o empréstimo fraudulento utilizando recursos próprios, despendendo R$ 22.821,88. Pleiteou a declaração de inexistência do débito e a restituição dos valores (danos materiais).

Encerrada a instrução processual, foi proferida sentença com o seguinte dispositivo (ID 14242362):

Pelo exposto, nos termos do art. 487, inciso I, do CPC, JULGO PARCIALMENTE PROCEDENTE os pedidos contidos na peça inicial e confirmo a tutela antecipada, razão pela qual: a) DECLARO A INEXIGIBILIDADE do empréstimo fraudulento contratado; b) CONDENO o Requerido (BANCO DO BRASIL SA) a pagar ao Requerente (WOLFGANG ENRICO RIEGERT) o valor de R$ 28.541,50 (vinte e oito mil, quinhentos e quarenta e um reais e cinquenta centavos), a título de danos materiais, acrescidos de juros de mora a partir da citação e correção monetária a partir do desembolso.

Irresignado, o banco requerido interpôs Recurso Inominado (ID 14242363), reiterando as teses da contestação acerca da culpa exclusiva da vítima. Alega que o autor forneceu suas credenciais e permitiu acesso remoto/instalação de aplicativo malicioso em seu dispositivo, viabilizando a fraude. Afirma que as transações foram realizadas mediante uso de senha pessoal e intransferível e dispositivo habitual, em ambiente seguro e inviolável externamente. Ao final, requereu a reforma da sentença para julgar improcedentes os pedidos iniciais.

A parte autora apresentou contrarrazões (ID 14242368), pugnando pela manutenção da sentença.

É o relatório.

VOTO

Preparo recolhido, IDs 14242364 e 14242365.

Conheço
do recurso inominado interposto, uma vez que preenche seus requisitos de admissibilidade intrínsecos e extrínsecos.

Recebo-o
em seu efeito devolutivo. A parte recorrente pugna para que seja atribuído efeito suspensivo ao presente, contudo, não vislumbro prejuízo apto à concessão do citado efeito, motivo pelo qual mantenho a regra prevista no artigo 43 da Lei 9.099/95, recebendo o recurso apenas em seu efeito devolutivo.

No mérito, com a devida vênia ao entendimento do juízo monocrático, a sentença merece reforma.

A controvérsia cinge-se à responsabilidade civil da instituição financeira pelas transações contestadas (empréstimo e transferências Pix). Embora a responsabilidade das instituições financeiras seja objetiva (Súmula 479 do STJ e art. 14 do CDC), tal responsabilidade é elidida quando comprovada a culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º, II, do CDC).

Compulsando os autos, verifica-se no documento apresentado pelo Recorrente em sede de contestação – o Registro de Ocorrência de Ilícito (ROI - ID 14242344) – que a parte autora, ao contestar administrativamente a fraude, relatou expressamente:
"o suposto gerente do setor solicitou que baixasse um aplicativo para que ele acessasse a conta"
.

O fato é corroborado pela narrativa da inicial, onde o autor confirma que realizou
"atualizações para verificar a conta no celular e no computador"
sob comando dos golpistas.

A instalação voluntária de aplicativo de acesso remoto (como
AnyDesk
ou similar), ainda que mediante engenharia social, concede ao fraudador o controle total do dispositivo do correntista. Nesse cenário, as transações são realizadas a partir de dispositivo confiável (habitual) e validadas mediante uso de senhas pessoais e intransferíveis, o que torna impossível para o sistema de segurança do banco distinguir a operação fraudulenta de uma operação legítima realizada pelo próprio cliente.

O próprio sistema de segurança do banco registrou que as transações foram realizadas em equipamento previamente cadastrado e com uso de credenciais e
BB Code
.

Não houve, portanto, falha no sistema de segurança do banco (fortuito interno), invasão de conta ou vazamento de dados pela instituição. O evento danoso ocorreu unicamente porque o consumidor, agindo com falta de cautela, entregou o acesso de seu dispositivo pessoal a terceiros estranhos à relação contratual.

Se a parte autora acabou sendo enganada por terceiros, não pode transferir ao banco recorrente o prejuízo sofrido. Da mesma forma, não há um mínimo de prova de que o Banco, através de seus prepostos, tenha fornecido a terceiros as informações necessárias para a realização da fraude. Também não verifico falha no sistema de segurança do banco, eis que a instituição não possui responsabilidade contratual ou regulamentar (normativos do BACEN) de bloquear transações efetuadas pelos consumidores, mesmo que apresentem valores fora dos padrões rotineiros, quando atendidos todos os parâmetros de segurança (no caso, realizadas por dispositivo habilitado e com a utilização de senha pessoal).

Ademais, o recorrido não demonstrou nos autos que efetivamente acionou os canais oficiais do agente financeiro, tampouco apresentou os registros telefônicos das chamadas recebidas, de forma a comprovar a semelhança entre o número chamador e o da central de serviços do banco (o que poderia sugerir a técnica de
spoofing
), não sendo possível verificar a alegada falha na prestação de serviço pela ré sob este prisma.

Dessa forma, inexistindo conduta ativa ou omissiva do recorrente, não há responsabilidade civil deste em indenizar pelos danos causados. A responsabilidade objetiva exige, no mínimo, o nexo de causalidade entre a atividade do fornecedor e o dano, o que foi rompido no caso em tela.

Pensar de forma diversa seria reconhecer a responsabilidade
integral
do agente financeiro por todo e qualquer dano, teoria esta não adotada pelo nosso ordenamento jurídico (que adota a teoria do risco do empreendimento). Dito isso, sem a menor sombra de dúvida, estou diante de caso onde houve culpa exclusiva do consumidor, que, enganado por terceiros, permitiu que estes tomassem o controle de seu aparelho e dados pessoais, viabilizando as transferências bancárias discutidas, sem qualquer participação do agente financeiro.

Portanto, caracterizada a excludente de responsabilidade prevista no art. 14, § 3º, II, do CDC, a demanda deve ser julgada totalmente improcedente.

DISPOSITIVO

Ante o exposto, voto no sentido de
CONHECER
e
DAR PROVIMENTO
ao recurso interposto para
REFORMAR A SENTENÇA
, julgando
IMPROCEDENTES
os pedidos formulados na inicial.

Sem custas e honorários advocatícios, ante o provimento do recurso (art. 55,
caput
, da Lei 9.099/95).

É como voto.

Apresentado conforme artigo 13, §5º da Resolução 028/2015 do Tribunal de Justiça do Estado do Espírito Santo, submeto esta decisão à Exma. Srª. Juíza de Direito, conforme art. 40 da Lei 9.099/95.

ANDRÉ MENDONÇA NOGUEIRA DA GAMA

Juiz Leigo

DECISÃO

Homologo por decisão o projeto apresentado pelo Sr. Juiz Leigo, para que surta seus jurídicos e legais efeitos.

P.R.I.

Após trânsito em julgado e feitas as anotações, devolvam-se os autos ao juízo de piso para regular processamento.

WALMÉA ELYZE CARVALHO PEPE DE MORAES

Relatora

_________________________________________________________________________________________________________________________________
VOTOS ESCRITOS

(EXCETO VOTO VENCEDOR)

Com a devida vênia, divirjo do voto da eminente Relatora, no mérito, para
NEGAR PROVIMENTO
ao Recurso Inominado interposto, e, consequentemente,
MANTER INTEGRALMENTE A R. SENTENÇA
de primeiro grau.

A questão central reside na responsabilidade da instituição financeira pelas transações fraudulentas (empréstimo e transferências Pix) decorrentes do chamado "Golpe do Acesso Remoto" ou "Golpe da Falsa Central de Atendimento", onde o consumidor foi induzido a erro por terceiros que detinham seus dados bancários e pessoais.

O voto do Relator baseia-se na tese de culpa exclusiva do consumidor (art. 14, § 3º, II, do CDC) por ter instalado voluntariamente o aplicativo de acesso remoto e utilizado suas credenciais e dispositivo habitual.

Contudo, a análise deve ser feita à luz da responsabilidade objetiva do fornecedor de serviços (art. 14,
caput
, do CDC), especialmente as instituições financeiras, conforme a Súmula 297 do STJ ("
O Código de Defesa do Consumidor é aplicável às instituições financeiras
").

O Superior Tribunal de Justiça, através da Súmula 479, consolidou o entendimento de que "
As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias
."

O golpe da falsa central ou do acesso remoto, embora envolva a participação do consumidor (engenharia social), é considerado pela jurisprudência como um risco inerente à atividade bancária – um fortuito interno.

A fraude só foi possível porque os golpistas possuíam dados pessoais e bancários sigilosos do Recorrido, conseguiram simular uma ligação de um suposto preposto do banco e detinham a posse dessas informações por terceiros (seja por falha na segurança do sistema, vazamento de dados ou falha no dever de vigilância e cautela do banco) coloca a fraude no âmbito do risco da atividade desenvolvida pela instituição, que lucra com a prestação de serviços virtuais.

Mesmo que o consumidor tenha instalado o aplicativo, ele o fez sob a falsa crença de que estava seguindo as orientações do setor de segurança do próprio banco, evidenciando o sucesso da engenharia social facilitada pelo conhecimento prévio de seus dados pelos fraudadores.

O banco, por sua vez, tem o dever de oferecer mecanismos seguros e adequados para proteger o sigilo das informações e evitar fraudes.

No caso das transferências via PIX e da contratação de empréstimo, as 7 (sete) transferências Pix ocorreram na mesma data, para a mesma conta de destino e em horários seguidos e próximos (18h16min, 18h18min, 18h22min, 18h25min, 18h27min, 18h29min e 18h34min), conforme bem destacado na sentença proferida pelo Juízo a quo. O valor total das transferências e o valor do empréstimo contratado (R$21.255,57) são atípicos e dissonantes do perfil da cliente.

A instituição financeira falhou em seu dever de segurança ao não acionar mecanismos de alerta e bloqueio preventivo (mesmo que as transações tenham sido feitas em dispositivo habilitado), para verificar a legitimidade dessas operações incomuns. A alegação de que o banco não pode interferir em transações feitas por dispositivos habilitados não é razoável diante de um padrão de movimentação atípica, que sugere claramente uma fraude.

A excludente de responsabilidade por culpa exclusiva do consumidor (art. 14, § 3º, II, do CDC) só se configura quando a conduta do cliente é a causa única e determinante do dano, o que não ocorre quando a fraude é facilitada pela atuação de terceiros com acesso a dados sigilosos e pela falha do banco em mitigar riscos de transações atípicas.

Portanto, a conduta negligente do banco (Fortuito Interno e Falha na Segurança) se soma à conduta do consumidor, afastando a exclusividade da culpa e mantendo a responsabilidade objetiva do fornecedor.

Assim sendo, a sentença de primeiro grau (ID 14242362) deve ser mantida integralmente.

Pelo exposto, voto no sentido de
CONHECER
do recurso inominado interposto pelo BANCO DO BRASIL S/A e, no mérito,
NEGAR-LHE PROVIMENTO
, para
MANTER A SENTENÇA
de primeiro grau (ID 14242362) por seus próprios e jurídicos fundamentos.

Com o não provimento do recurso, condeno o Recorrente ao pagamento de honorários advocatícios sucumbenciais, a serem fixados no percentual de 20% sobre o valor da condenação, nos termos do art. 55,
caput
, da Lei nº 9.099/95.

É como voto.

THAITA CAMPOS TREVIZAN

VOGAL