Tribunal: TJES
Processo: 5000842-39.2024.8.08.0038
Classe: RECURSO INOMINADO CÍVEL
Relator(a): PAULO ABIGUENEM ABIB
Órgão julgador: PAULO ABIGUENEM ABIB
Órgão colegiado: Turma Recursal - 1ª Turma
Assuntos: Cartão de Crédito; Indenização por Dano Material
Data de julgamento: 2026-02-09

Ementa:
EMENTA: RECURSO INOMINADO. DIREITO DO CONSUMIDOR. AÇÃO DE REPARAÇÃO POR DANOS MATERIAIS. INSTITUIÇÃO FINANCEIRA. GOLPE DO BOLETO FALSO. VAZAMENTO DE DADOS BANCÁRIOS. FALHA NA PRESTAÇÃO DO SERVIÇO. RESPONSABILIDADE OBJETIVA. FORTUITO INTERNO. SÚMULA 479/STJ. TEORIA DO CREDOR PUTATIVO. ART. 309 DO CC. BOA-FÉ DO CONSUMIDOR. DANO MATERIAL CONFIGURADO. SENTENÇA REFORMADA.

Inteiro teor:
ESTADO DO ESPÍRITO SANTO
PODER JUDICIÁRIO

PROCESSO Nº 5000842-39.2024.8.08.0038
RECURSO INOMINADO CÍVEL (460)
RECORRENTE: EFIGENIA MARIA CEZARIO COIMBRA
RECORRIDO: NU PAGAMENTOS S.A.
RELATOR(A):
PAULO ABIGUENEM ABIB

______________________________________________________________________________________________________________________________________________
EMENTA

EMENTA: RECURSO INOMINADO. DIREITO DO CONSUMIDOR. AÇÃO DE REPARAÇÃO POR DANOS MATERIAIS. INSTITUIÇÃO FINANCEIRA. GOLPE DO BOLETO FALSO. VAZAMENTO DE DADOS BANCÁRIOS. FALHA NA PRESTAÇÃO DO SERVIÇO. RESPONSABILIDADE OBJETIVA. FORTUITO INTERNO. SÚMULA 479/STJ. TEORIA DO CREDOR PUTATIVO. ART. 309 DO CC. BOA-FÉ DO CONSUMIDOR. DANO MATERIAL CONFIGURADO. SENTENÇA REFORMADA.
______________________________________________________________________________________________________________________________________________
ACÓRDÃO
Decisão
: À unanimidade, conhecer e dar provimento ao recurso, nos termos do voto do Relator.
Órgão julgador vencedor
: 1ª Turma Recursal - Gabinete 2
______________________________________________________________________________________________________________________________________________
RELATÓRIO
1. ASSISTÊNCIA JUDICIÁRIA GRATUITA

Há presunção
iuris

tantum
da declaração de hipossuficiência para fins de concessão da assistência judiciária. A ausência de comprovação de elevada capacidade financeira aliada à existência de fortes indícios da baixa renda é suficiente para o deferimento do pedido de justiça gratuita, razão pela qual acolho o pedido formulado pela Recorrente.

2. PRESSUPOSTO DE ADMISSIBILIDADE.

Conheço do Recurso Inominado interposto, eis que preenche seus requisitos de admissibilidade intrínsecos e extrínsecos, motivo pelo qual os recebo em seu efeito devolutivo, na forma do art. 43 da Lei n. 9.099/1995.

3. RELATÓRIO

Trata-se de ação de reparação por danos materiais ajuizada pela recorrente em face de NU PAGAMENTOS S/A, por meio da qual alega, em síntese, que houve falha na segurança dos serviços bancários que possibilitou o vazamento de dados sensíveis de suas operações de cartão de crédito, utilizados por terceiros para a prática do “golpe do boleto”, evidenciado pelo acesso ao valor da fatura e à data de vencimento. Diante do exposto, requer a reparação dos danos materiais no valor de R$ 4.900,79.

Em contrapartida, o banco recorrido sustentou, em sede de contestação, a preliminar de ilegitimidade passiva. No mérito, pugnou pela exclusão de sua responsabilidade, sob o argumento de culpa exclusiva da vítima e de terceiro, configurando hipótese de fortuito externo.

Em sede de sentença (ID 16335670)
foi julgado improcedente o pedido autoral.

Irresignada, a recorrente apresentou recurso inominado (ID 16335671) almejando que seja reformada a sentença.

Verifica-se que foram apresentadas as contrarrazões pela recorrida.

É o breve relatório. Passo a decidir.

_______________________________________________________________________________________________________________________________________________
NOTAS TAQUIGRÁFICAS
________________________________________________________________________________________________________________________________________________
VOTO VENCEDOR
4. VOTO

A controvérsia deve ser resolvida de acordo com as normas protetivas do consumidor, a quem assiste o direito de inversão do ônus da prova (art. 6º, VIII, do CDC),
em favor do consumidor quando se verificarem a hipossuficiência e a verossimilhança das alegações (artigos 2°, 3° e 6°, VIII do CDC) e, aplicando-se, também, a regra da responsabilidade objetiva (art. 14 do CDC).
Por isso, a obrigação de indenizar,
in casu
, prescinde de culpa, sendo necessária a demonstração apenas da conduta, do dano e do nexo de causalidade.

Conforme jurisprudência consolidada do C. STJ, “
o ônus da prova das excludentes da responsabilidade do fornecedor de serviços, previstas no art. 14, § 3º, do CDC, é do fornecedor, por força do art. 12, § 3º, também do CDC
” (STJ-3ª Turma, REsp 685662/RJ, rel. Min. Nancy Andrighi, v.u., j. 10/11/2005, DJ 05.12.2005 p. 323).

Verifico que a sentença julgou improcedentes os pedidos autorais ao fundamento de que a parte autora teria sido vítima do chamado “golpe do falso boleto”, praticado por terceiros, e de que não restou comprovada qualquer participação ou falha na segurança da instituição financeira ré, entendendo-se, assim, tratar-se de fortuito externo apto a afastar a responsabilidade da recorrida.

Entretanto, entendo que a sentença merece ser reformada.

Examinando os autos, constato que a fraude não ocorreu de maneira aleatória, mas mediante a utilização de dados sensíveis e específicos da consumidora. Chama especial atenção a análise administrativa realizada pelo próprio Nubank (ID 16335647), da qual se extrai que a diferença entre o boleto falso e o verdadeiro limitava-se ao código de barras e ao endereço de e-mail do remetente,
sendo idênticos o beneficiário, o valor exato da fatura e a data de vencimento
.

Tal circunstância evidencia, com força suficiente, o vazamento de informações sigilosas, pois não é plausível que terceiros tenham acesso a dados tão precisos sem que, de alguma forma, tenham alcançado a base de dados ou os sistemas da instituição financeira.

Também não há que se falar em falta de cautela da recorrente. Ainda que o endereço de e-mail pudesse levantar suspeita em uma análise técnica mais aprofundada, não se mostra razoável exigir do consumidor comum esse nível de verificação, sobretudo quando a comunicação reproduzia fielmente o padrão mensal adotado pela recorrida.

Do mesmo modo, não se pode exigir do homem médio conhecimento técnico para conferir a correspondência entre o código de barras e o beneficiário final do boleto, especialmente quando todos os dados relevantes (valor, vencimento e identificação da instituição) estiverem corretos.

O Superior Tribunal de Justiça, no REsp 2.077.278/SP, assentou que o tratamento inadequado de dados bancários, apto a facilitar a atuação de estelionatários, configura defeito na prestação do serviço, senão vejamos:

CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO . TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS . SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO. 1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023 .2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor.3
. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos .
Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023).4 . Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada.5.
Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras . No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art . 44 da LGPD).6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento) .7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor.
8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" .9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau. (STJ - REsp: 2077278 SP 2023/0190979-8, Relator.: Ministra NANCY ANDRIGHI, Data de Julgamento: 03/10/2023, T3 - TERCEIRA TURMA, Data de Publicação: DJe 09/10/2023)

No caso concreto, a coincidência absoluta de valores e datas demonstra que a fraude se valeu de informações que deveriam estar sob o sigilo e a guarda segura da recorrida.

Assim, caracterizado o fortuito interno, impõe-se o reconhecimento da responsabilidade da instituição financeira e a procedência do pedido de indenização por danos materiais.

Pelo exposto, depreende-se dos autos que restou devidamente demonstrada a falha na prestação de serviços por parte recorrida, pois o liame de responsabilidade que se impõe à esta é objetivo, independe de culpa da empresa no fornecimento do produto/serviço, e decorre tanto do disposto nos artigos 14 e 17 da Lei n. 8.078/1990 quanto do preceituado no artigo 927, parágrafo único, in fine, do Código Civil. Não há, pois, que se discutir culpabilidade. Constatada objetivamente uma falha na prestação do serviço (in casu, uma falha de segurança), responderá pelos danos que dela advierem aos consumidores.

Em casos tais, apesar de o fato de terceiro (golpe) e a contribuição da vítima serem elementos importantes na cadeia causal, a responsabilidade objetiva do fornecedor de serviços decorre da falha de segurança, o que caracteriza falha na prestação do serviço (art. 4º, II, d c/c 6º, I e 12, §1º, CDC) e impõe o dever de indenizar pelos danos decorrentes do fortuito interno (Súmula 479/STJ):

APELAÇÃO - AÇÃO INDENIZATÓRIA - GOLPE DO BOLETO FALSO –
Boleto falso que continha idênticas informações e lançamentos quando comparado ao boleto verdadeiro – Fatura que era recebida pelo autor, em substrato físico, em seu domicílio - Evidenciada, no caso, a violação dos dados pessoais do autor, pelo terceiro fraudador, na emissão do boleto falso - Ato de terceiro que não elide a responsabilidade da instituição financeira que, igualmente, contribuiu para que o golpe fosse perpetrado - Falha na prestação do serviço da instituição bancária - Risco atrelado ao negócio - Responsabilidade objetiva.
Inteligência da Súmula nº 479 do STJ – Precedentes – Devida a restituição do valor pago e dos encargos cobrados pela instituição financeira - Recurso provido – Inversão dos ônus sucumbenciais. (TJ-SP - Apelação Cível: 10447705220238260100 São Paulo, Relator.: Paulo Toledo, Data de Julgamento: 30/08/2024, Núcleo de Justiça 4.0 em Segundo Grau – Turma III (Direito Privado 2), Data de Publicação: 30/08/2024)

DIREITO DO CONSUMIDOR E CIVIL. APELAÇÃO CÍVEL. GOLPE DO BOLETO. VAZAMENTO DE DADOS PESSOAIS . RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. FORTUITO INTERNO. DANO MORAL CONFIGURADO. RECURSO DESPROVIDO . I. CASO EM EXAME 1. Apelação cível interposta por BANCO VOTORANTIM S/A contra sentença proferida nos autos da ação declaratória de nulidade de débito c/c repetição de indébito e indenização por danos morais ajuizada por MARCELLE DE MELO SOARES, que reconheceu (i) a quitação das parcelas de junho a setembro de 2023 do contrato de financiamento entabulado entre as partes e (ii) condenou a instituição financeira ao pagamento de R$ 6.000,00 a título de danos morais, em razão de pagamento indevido decorrente de fraude com uso de boleto bancário falso, enviado por estelionatário por aplicativo de mensagens . II. QUESTÃO EM DISCUSSÃO 2. Há duas questões em discussão: (i) definir se a instituição financeira é responsável pela fraude decorrente de boleto falso contendo dados pessoais da consumidora e do vínculo com a instituição; (ii) determinar se é devida a indenização por danos morais em razão da falha na prestação do serviço. III . RAZÕES DE DECIDIR 3. A responsabilidade civil das instituições financeiras, nos termos do art. 14 do CDC, é objetiva e abrange os danos decorrentes de fortuito interno, como fraudes praticadas por terceiros com uso de dados sigilosos do consumidor obtidos em razão de falhas de segurança do próprio banco. 4 .
A presença de logomarca da instituição, informações específicas do contrato (como número do contrato, valor inadimplido e quantidade de parcelas vencidas), e semelhança visual entre os boletos verdadeiro e fraudulento, demonstram que os dados vazados eram de acesso restrito ao fornecedor, caracterizando falha na prestação do serviço
. 5. Está configurado o dano moral diante do abalo sofrido pela autora, que, além de perder quantia relevante em razão da fraude, foi compelida a acionar o Judiciário para buscar solução, sendo razoável o montante fixado de R$ 6.000,00, conforme jurisprudência reiterada deste Tribunal IV . DISPOSITIVO E TESE 6. Recurso desprovido. Tese de julgamento:
1. A instituição financeira responde objetivamente por danos decorrentes de falhas de segurança que possibilitem o vazamento de dados pessoais e a aplicação de golpes, como o do boleto bancário falso, configurando fortuito interno .
2. O dano moral resta configurado quando o consumidor, vítima de fraude associada à falha de segurança da instituição, sofre prejuízo financeiro significativo e precisa acionar o Judiciário para buscar reparação. Dispositivos relevantes citados: CF/1988, arts. 5º, XII e LXXIX; CDC, arts . 4º, I e II, d; 6º, I; 12, §1º; 14, caput e §3º, II; CPC, art. 85, § 11; LGPD, arts. 2º, I; 7º; 8º; 17. Jurisprudência relevante citada: STJ, Súmula 479; REsp 1 .197.929/PR, DJe 12/09/2011; REsp 2.015.732/SP, DJe 26/06/2023; TJES, Apelação Cível nº 0001917-61 .2019.8.08.0011, j . 15/07/2024; TJES, Apelação Cível nº 5001275-81.2022.8.08 .0048, j. 20/03/2025. (TJ-ES - APELAÇÃO CÍVEL: 50001406620248080047, Relator.: HELOISA CARIELLO, 2ª Câmara Cível)

Nesse contexto, impõe-se a responsabilização da instituição financeira recorrida pelos danos advindos do evento fraudulento. Sob a ótica do Direito Civil, o pagamento do boleto objeto da lide deve ser considerado válido, aplicando-se a teoria do credor putativo, insculpida no artigo 309 do Código Civil. Isso porque a recorrente, agindo de inequívoca boa-fé, quitou obrigação diante de uma aparência de direito tão verossímil que ludibriaria o homem médio, o que exonera a devedora e transfere ao banco, que falhou na guarda dos dados,o risco da operação.

Por conseguinte, restando comprovado que a recorrente efetuou o pagamento em duplicidade ao quitar o boleto legítimo (ID 16335648) após o desembolso do título fraudulento (ID 16335641), impõe-se a restituição imediata da quantia despendida em favor do fraudador, sob pena de enriquecimento sem causa da instituição financeira que deu causa ao evento.

Ante o exposto,
CONHEÇO DO RECURSO
interposto e, no mérito,
DOU-LHE PROVIMENTO
, a fim de reformar a sentença e
CONDENAR
a recorrida ao ressarcimento de R$ 4.900,79 a título de danos materiais, corrigidos monetariamente pelo IPCA a partir do efetivo prejuízo (Súmula 43 do STJ) e acrescidos de juros de mora desde o vencimento (art. 397 do CC), nos termos da Lei nº 14.905/2024 (Taxa Selic deduzida da atualização monetária). Deixo de condenar a Recorrente ao pagamento de custas e honorários face ao resultado do julgamento.

JOHANNA R. DE NAZARETH

Juíza Leiga

O Sr. Juiz de Direito Relator Dr. PAULO ABIGUENEM ABIB
– Nos termos da Resolução TJES nº 12/2020,
HOMOLOGO a minuta
de voto elaborada pela Ilma. Juíza Leiga e a adoto como razões da minha manifestação, para que produza seus jurídicos e legais efeitos.

É como voto.

PAULO ABIGUENEM ABIB

Relator

_________________________________________________________________________________________________________________________________
VOTOS ESCRITOS

(EXCETO VOTO VENCEDOR)