Tribunal: TJMT
Processo: 1001215-02.2024.8.11.0024
Órgão julgador: MARCIO APARECIDO GUEDES
Órgão colegiado: Primeira Câmara de Direito Privado
Data de julgamento: 2026-02-03
Data de publicação: 2026-02-11

Ementa:
ementa: direito do consumidor e processual civil. apelação cível. ação de indenização por danos materiais e morais. serviços bancários. conta bancária invadida. fraude via pix. falha na prestação do serviço. responsabilidade objetiva. fortuito interno. danos materiais e morais configurados. sentença mantida. recurso desprovido.
I. caso em exame
1. Apelação cível interposta por instituição financeira contra sentença que a condenou à restituição de valores e ao pagamento de indenização por danos morais em favor de correntista que teve sua conta bancária esvaziada por meio de transferências via PIX fraudulentas, não reconhecidas, realizadas de forma sequencial durante a madrugada.
II. questão em discussão
2. A questão em discussão consiste em definir a responsabilidade da instituição financeira por danos decorrentes de transferências via PIX não reconhecidas pela correntista, efetuadas mediante fraude de terceiro, e analisar se o evento se caracteriza como fortuito interno, a ensejar o dever de indenizar, ou como excludente de responsabilidade por culpa exclusiva da vítima.
III. razões de decidir
3. A relação entre a correntista e a instituição financeira é de consumo, sujeitando-se às normas do Código de Defesa do Consumidor, conforme entendimento consolidado na Súmula 297 do Superior Tribunal de Justiça.
4. A responsabilidade da instituição financeira por falha na prestação de serviços é objetiva, fundada na teoria do risco do empreendimento, respondendo pelos danos independentemente de culpa, nos termos do art. 14 do Código de Defesa do Consumidor.
5. Fraudes e delitos praticados por terceiros no âmbito de operações bancárias configuram fortuito interno, risco inerente à atividade que não afasta a responsabilidade da instituição financeira, conforme entendimento consolidado na Súmula 479 do Superior Tribunal de Justiça.
6. Frisa-se que o art. 14, § 3o, do CDC estabelece hipótese legal de inversão do ônus da prova, determinando que cabe ao fornecedor, no desiderato de se eximir de responsabilidade, comprovar que, tendo prestado o serviço, o defeito inexiste; ou a culpa exclusiva do consumidor ou de terceiro.
7. A efetivação de transferências sequenciais, em horário noturno e em valores que destoam do perfil da consumidora, esgotando seu saldo, evidencia a falha no dever de segurança e o defeito na prestação do serviço, pois os sistemas de monitoramento antifraude deveriam ter detectado e bloqueado as operações atípicas.
8. A subtração inesperada da integralidade dos recursos financeiros da conta da consumidora ultrapassa o mero dissabor, configurando dano moral indenizável, sendo o valor arbitrado na sentença razoável e proporcional.
IV. dispositivo e tese
9. Recurso desprovido.
Tese de julgamento: “1. As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. 2. A falha do sistema de segurança bancário em detectar e impedir transações via PIX que destoam do perfil do correntista, como operações sequenciais de valores elevados em horário noturno, caracteriza defeito na prestação do serviço (art. 14 do CDC).3. A subtração fraudulenta de valores da conta bancária do consumidor, gerando angústia e insegurança, configura dano moral indenizável.”
_________
Dispositivos relevantes citados: Código de Defesa do Consumidor, arts. 6o, VIII, 14 e 88; Código de Processo Civil, arts. 85, § 11, 373, II, e 487, I; Código Civil, arts. 186 e 927.
Jurisprudência relevante citada: STJ, Súmula 297; STJ, Súmula 362; STJ, Súmula 479. STJ, Terceira Turma, Relator Ministro Ricardo Villas Bôas Cueva, REsp n. 2.222.059/SP, j. 7/10/2025. STJ, Terceira Turma, Rel. Min. Nancy Andrighi, REsp 2.179.133/SP, j. 14/4/2025. STJ, Terceira Turma, Rel. Min. Ricardo Villas Bôas, REsp n. 2.229.519/DF, j. 7/10/2025.

Inteiro teor:
ESTADO DE MATO GROSSO

PODER JUDICIÁRIO

PRIMEIRA CÂMARA DE DIREITO PRIVADO

Número Único
:

1001215-02.2024.8.11.0024
Classe:

APELAÇÃO CÍVEL (198)
Assunto:

[Indenização por Dano Material, Indenização por Dano Moral, Bancários]
Relator:
Des(a).
MARCIO APARECIDO GUEDES

Turma Julgadora:

[DES(A). MARCIO APARECIDO GUEDES, DES(A). CLARICE CLAUDINO DA SILVA, DES(A). RICARDO GOMES DE ALMEIDA]

Parte(s):

[PAGSEGURO INTERNET LTDA - CNPJ: 08.561.701/0001-01 (APELANTE), ANA PAULA SIGARINI GARCIA - CPF: 984.409.691-04 (ADVOGADO), EDUARDO CHALFIN - CPF: 689.268.477-72 (ADVOGADO), RONIELLY DA GUIA RODRIGUES VIEIRA - CPF: 007.637.731-82 (APELADO), DIEGO DE OLIVEIRA MARTINS - CPF: 043.561.501-71 (ADVOGADO)]

A C Ó R D Ã O
Vistos, relatados e discutidos os autos em epígrafe, a PRIMEIRA CÂMARA DE DIREITO PRIVADO do Tribunal de Justiça do Estado de Mato Grosso, sob a Presidência Des(a).

Não encontrado, por meio da Turma Julgadora, proferiu a seguinte decisão:
POR UNANIMIDADE, NEGOU PROVIMENTO AO RECURSO.

E M E N T A

ementa: direito do consumidor e processual civil. apelação cível. ação de indenização por danos materiais e morais. serviços bancários. conta bancária invadida. fraude via pix. falha na prestação do serviço. responsabilidade objetiva. fortuito interno. danos materiais e morais configurados. sentença mantida. recurso desprovido.

I. caso em exame

1. Apelação cível interposta por instituição financeira contra sentença que a condenou à restituição de valores e ao pagamento de indenização por danos morais em favor de correntista que teve sua conta bancária esvaziada por meio de transferências via PIX fraudulentas, não reconhecidas, realizadas de forma sequencial durante a madrugada.

II. questão em discussão

2. A questão em discussão consiste em definir a responsabilidade da instituição financeira por danos decorrentes de transferências via PIX não reconhecidas pela correntista, efetuadas mediante fraude de terceiro, e analisar se o evento se caracteriza como fortuito interno, a ensejar o dever de indenizar, ou como excludente de responsabilidade por culpa exclusiva da vítima.

III. razões de decidir

3. A relação entre a correntista e a instituição financeira é de consumo, sujeitando-se às normas do Código de Defesa do Consumidor, conforme entendimento consolidado na Súmula 297 do Superior Tribunal de Justiça.

4. A responsabilidade da instituição financeira por falha na prestação de serviços é objetiva, fundada na teoria do risco do empreendimento, respondendo pelos danos independentemente de culpa, nos termos do art. 14 do Código de Defesa do Consumidor.

5. Fraudes e delitos praticados por terceiros no âmbito de operações bancárias configuram fortuito interno, risco inerente à atividade que não afasta a responsabilidade da instituição financeira, conforme entendimento consolidado na Súmula 479 do Superior Tribunal de Justiça.

6. Frisa-se que o art. 14, § 3o, do CDC estabelece hipótese legal de inversão do ônus da prova, determinando que cabe ao fornecedor, no desiderato de se eximir de responsabilidade, comprovar que, tendo prestado o serviço, o defeito inexiste; ou a culpa exclusiva do consumidor ou de terceiro.

7. A efetivação de transferências sequenciais, em horário noturno e em valores que destoam do perfil da consumidora, esgotando seu saldo, evidencia a falha no dever de segurança e o defeito na prestação do serviço, pois os sistemas de monitoramento antifraude deveriam ter detectado e bloqueado as operações atípicas.

8. A subtração inesperada da integralidade dos recursos financeiros da conta da consumidora ultrapassa o mero dissabor, configurando dano moral indenizável, sendo o valor arbitrado na sentença razoável e proporcional.

IV. dispositivo e tese

9. Recurso desprovido.

Tese de julgamento:
“1. As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. 2. A falha do sistema de segurança bancário em detectar e impedir transações via PIX que destoam do perfil do correntista, como operações sequenciais de valores elevados em horário noturno, caracteriza defeito na prestação do serviço (art. 14 do CDC).3. A subtração fraudulenta de valores da conta bancária do consumidor, gerando angústia e insegurança, configura dano moral indenizável.”

_________

Dispositivos relevantes citados:
Código de Defesa do Consumidor, arts. 6o, VIII, 14 e 88; Código de Processo Civil, arts. 85, § 11, 373, II, e 487, I; Código Civil, arts. 186 e 927.

Jurisprudência relevante citada:
STJ, Súmula 297; STJ, Súmula 362; STJ, Súmula 479. STJ, Terceira Turma, Relator Ministro Ricardo Villas Bôas Cueva, REsp n. 2.222.059/SP, j. 7/10/2025. STJ, Terceira Turma, Rel. Min. Nancy Andrighi, REsp 2.179.133/SP, j. 14/4/2025. STJ, Terceira Turma, Rel. Min. Ricardo Villas Bôas, REsp n. 2.229.519/DF, j. 7/10/2025.

R E L A T Ó R I O

Cuida-se de recurso de APELAÇÃO CÍVEL interposto por PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. contra a r. sentença proferida pelo Juízo da 1a Vara da Comarca de Chapada dos Guimarães/MT, que, nos autos da “Ação de Indenização por Danos Materiais e Morais” (Processo no 1001215-02.2024.8.11.0024), ajuizada por RONIELLY DA GUIA RODRIGUES VIEIRA, ora apelada, contra a apelante, julgou parcialmente procedentes os pedidos inaugurais e condenou a ré a indenizar a autora pelos danos materiais no montante de R$ 8.581,84 (oito mil, quinhentos e oitenta e um reais e oitenta e quatro centavos) e por danos morais, fixados em R$ 5.000,00 (cinco mil reais) (cf. Id. no 326334868).

A r. sentença, ainda, condenou a ré ao pagamento das custas e honorários advocatícios de 15% (quinze por cento) sobre o valor da condenação.

Em suas razões recursais, a apelante reitera a preliminar de ilegitimidade passiva.

No mérito, insiste na tese de ausência de ato ilícito, defendendo que seu sistema de segurança é robusto e que o evento danoso decorreu de fortuito externo, por culpa exclusiva da vítima ou de terceiro, o que afastaria sua responsabilidade.

Impugna a condenação por danos materiais e morais e, subsidiariamente, pugna pela redução do quantum indenizatório.

Pede, sob esses fundamentos, o provimento do recurso, com vistas a reformar a sentença e julgar improcedentes os pedidos iniciais (cf. Id. no 326334869).

Em contrarrazões, a apelada refuta os argumentos recursais e torce pelo desprovimento do apelo (cf. Id. no 326334874).

É o relatório.

Cuiabá, data registrada no sistema.

MARCIO APARECIDO GUEDES

Relator

V O T O R E L A T O R

VOTO - PRELIMINAR DE ILEGITIMIDADE PASSIVA

A apelante insiste na tese de que não possui legitimidade para figurar no polo passivo da demanda, sob o argumento de que o dano foi causado por ato de terceiro, configurando fortuito externo.

Contudo, a preliminar confunde-se com o próprio mérito da causa e, como tal, deve desde já ser rejeitada.

Entendo que a legitimidade ad causam, segundo a teoria da asserção, adotada pelo nosso ordenamento jurídico, é aferida com base na relação jurídica afirmada pela parte autora em sua petição inicial.

No caso em tela, a apelada imputa à instituição financeira uma falha em seu dever de segurança, que teria permitido a fraude em sua conta bancária. Assim, a apelante, como fornecedora do serviço e administradora da conta, é a parte que, em tese, deve responder por eventuais defeitos nessa prestação.

Logo, a análise sobre se a fraude constitui fortuito interno ou externo, ou se houve culpa exclusiva da vítima, é questão atinente ao fundo do direito, ou seja, à existência ou não da responsabilidade civil, e não a uma condição da ação. Assim, verifico que a apelante é, sem dúvida, parte legítima para responder à pretensão deduzida.

Diante do exposto, REJEITO a preliminar de ilegitimidade passiva.

VOTO - MÉRITO

Conforme relatado, cuida-se de recurso de apelação cível em que a parte recorrente, PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A., busca a reforma da sentença que, nos autos da ação de indenização por danos materiais e morais ajuizada por RONIELLY DA GUIA RODRIGUES VIEIRA, ora apelada, julgou parcialmente procedentes os pedidos para condená-la à restituição de R$ 8.581,84 (oito mil, quinhentos e oitenta e um reais e oitenta e quatro centavos) a título de danos materiais e ao pagamento de R$ 5.000,00 (cinco mil reais) por danos morais.

Nesses termos, o MM. Juízo sentenciou da seguinte forma:

“(...) Decido.

Nos termos do art. 355, inciso I, do Código de Processo Civil, a ação comporta julgamento antecipado, eis que inexiste necessidade de produção de outras provas, tratando-se de matéria unicamente de direito e de fato já comprovada por documentos.

Nesse sentido:

(...)

Portanto, conheço diretamente do pedido, com fundamento no art. 355, inciso I, do Código de Processo Civil.

A preliminar de ilegitimidade passiva arguida pela ré não merece prosperar.

A relação jurídica entre as partes é de consumo, sendo a instituição financeira fornecedora de serviços e a parte autora, a destinatária final. A responsabilidade da instituição financeira, na qualidade de fornecedora de serviços, é objetiva, nos termos do artigo 14 do Código de Defesa do Consumidor.

A alegação de que a fraude foi praticada por terceiro não exime o banco de sua responsabilidade, uma vez que a falha na segurança do sistema que permitiu a ação do fraudador caracteriza-se como fortuito interno, inerente ao risco da atividade econômica desenvolvida. Conforme a Súmula 479 do STJ, "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".

Portanto, a instituição financeira é parte legítima para figurar no polo passivo da demanda que visa reparar os danos decorrentes de falha na prestação de seus serviços.

No que tange ao pedido de denunciação da lide do terceiro beneficiário dos valores, o pleito também não comporta acolhimento. A legislação consumerista, visando proteger a parte vulnerável e garantir a celeridade processual, veda expressamente a denunciação da lide nas ações que versam sobre a responsabilidade do fornecedor, conforme dispõe o artigo 88 do Código de Defesa do Consumidor.

Isso não impede, contudo, que a instituição financeira, caso seja condenada, busque o ressarcimento do prejuízo junto ao terceiro causador do dano, restando-lhe, contudo, a faculdade de exercer seu direito de regresso em ação autônoma, e não nos presentes autos.

Afastadas as preliminares, passo ao exame do mérito.

A pretensão inaugural comporta procedência, em parte.

De início, vale destacar que o Superior Tribunal de Justiça – STJ, através da Súmula 479, consolidou entendimento de que a responsabilidade das instituições financeiras em relação aos danos causados aos seus correntistas é objetiva, verbis: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”.

Deste modo, apesar do esforço argumentativo da requerida, não há nos autos prova robusta no sentido de comprovar que houve culpa exclusiva da requerente nas transferências bancárias narradas na inicial, ônus que lhe incumbia, na forma do art. 6°, inciso VIII, do Código de Defesa do Consumidor, e do art. 373, inciso II, do Código de Processo Civil.

Nessa toada, o que de fato restou revelado nos autos foi a falha na segurança do serviço prestado pela requerida, que não foi capaz de impedir o acesso de terceiros à conta da requerente e, assim, obstar a prática das fraudes. A simples alegação de que os acessos foram realizados mediante login e senha, sem a comprovação de mecanismos de segurança eficazes para impedir operações atípicas, não afasta o dever da requerida de garantir a proteção dos dados e valores de seus clientes.

Deste modo, não merece acolhimento a tese de ausência de falha na prestação dos serviços bancários por parte da requerida, cuja responsabilidade na espécie é de natureza objetiva (art. 14 do CDC), ou seja, que independe da existência ou não de culpa no evento que causou os danos à autora, bastando, para tanto, na condição de consumidora, a comprovação da existência do nexo causal entre a conduta do agente lesionador e o dano provocado como consequência, circunstâncias que à luz das provas colacionadas aos autos restaram amplamente comprovadas.

A responsabilidade na espécie é de natureza objetiva (art. 14 do CDC), ou seja, independe da existência de culpa, bastando a comprovação do nexo causal entre a conduta (falha no serviço) e o dano, circunstâncias que restaram amplamente comprovadas nos autos.

Feitos tais apontamentos, quanto aos danos morais comportam parcial acolhimento.

O dano moral é corolário dos direitos da personalidade, tendo amparo no art. 5o, incisos V e X, da Constituição Federal, verbis:

(...)

De outro lado, o Código Civil vigente em seu art. 927 preconiza que:

(...)

Na espécie, a falha na prestação dos serviços da requerida que resultou na fraude praticada por terceiros nas transferências na conta bancária de titularidade da parte autora enseja a condenação da requerida em indenizá-la a título de danos morais.

Demonstrada, portanto, a responsabilidade civil da demandada e o nexo causal entre o ato ilícito e o dano moral sofrido pela parte requerente, compete à requerida o pagamento da respectiva indenização extrapatrimonial, o qual na espécie não requer necessariamente sua comprovação, vez que se trata de dano in re ipsa, cuja gravidade decorre do próprio ato ilícito em si, pois reflexo do sentimento negativo provocado pela requerida à requerente em decorrência da retirada integral do seu saldo bancário, conforme narrado na peça de ingresso.

Os danos morais devem ser reparados para a compensação, ainda que mínima, do sofrimento psíquico decorrente das aflições e do prolongado estresse provocado à parte autora oriundo das indevidas operações bancárias, cujo abalo ultrapassa o mero desgosto cotidiano.

Suplantada a questão acerca da configuração da responsabilidade civil, quanto ao montante indenizatório deve-se observar na sua fixação determinados critérios, consistentes na gravidade e repercussão da ofensa, e na posição social e situação econômica do ofendido e do ofensor, utilizando-se o julgador de moderação para arbitrá-lo.

Impõe-se considerar, ainda, a dupla finalidade do instituto, cujos objetivos são, por um lado, a punição do agente, como forma de coibir a sua reincidência na prática delituosa e, por outro, a compensação da vítima pela dor e sofrimento vivenciados.

Invoco a respeito o magistério de Maria Helena Diniz: "Na reparação do dano moral, o magistrado deverá apelar para o que lhe parecer equitativo ou justo, agindo sempre com um prudente arbítrio, ouvindo as razões das partes, verificando os elementos probatórios, fixando moderadamente uma indenização. O valor do dano moral deve ser estabelecido com base em parâmetros razoáveis, não podendo ensejar uma fonte de enriquecimento nem mesmo ser irrisório ou simbólico. A reparação deve ser justa e digna. Portanto, ao fixar o quantum da indenização, o juiz não procederá a seu bel prazer, mas como um homem de responsabilidade, examinando as circunstâncias de cada caso, decidindo com fundamento e moderação." (Revista Jurídica Consulex, n. 3, de 31.03.97).

A propósito:

(...)

Demonstrada, portanto, a responsabilidade civil da demandada e o nexo causal entre o ato ilícito e o dano moral sofrido pela parte requerente, compete à requerida o pagamento da respectiva indenização extrapatrimonial. Trata-se de dano in re ipsa, cuja gravidade decorre do próprio ato ilícito em si, pois reflete o sentimento negativo provocado na requerente em decorrência da retirada integral de seu saldo bancário.

Considerando as circunstâncias dos autos, a gravidade e repercussão da ofensa, e a situação econômica das partes, concluo que o montante da indenização referente aos danos morais deve ser fixado em R$ 5.000,00 (cinco mil reais), valor suficiente para satisfazer a dupla finalidade da indenização: a reparação da lesão e a reprimenda ao ato lesivo.

Quanto aos danos materiais, compete ao causador do dano arcar com os prejuízos sofridos por sua conduta ilícita ou omissão.

Sobre o dever de indenizar, preleciona o artigo 186 do Código Civil que “aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito”.

E assim continua o artigo 927 do Código Civil:

(...)

No que tange os danos materiais, sabe-se que estes são os prejuízos financeiros que a pessoa tem em razão da ação ou omissão de um terceiro, sendo que para o pagamento da referida indenização, as alegações precisam ser comprovadas através de documentação, no caso dos autos, a autora comprovou que um terceiro, supostamente estelionatário, teria transferido e se apropriado de transferências via PIX que totalizaram o prejuízo de R$ 8.581,84 (oito mil quinhentos e oitenta e um reais e oitenta e quatro centavos) e mesmo tentado administrativamente reaver os valores, o banco requerido não reverteu os pagamentos duvidosos.

Note-se que os sistemas das instituições financeiras podem ser seguros, mas isto não significa serem infalíveis. Nestes termos, a única conclusão possível é a de que houve, de forma fraudulenta, a transferência de valores, por um terceiro fraudador, o que, por si só, denota evidente insegurança e notório defeito dos serviços.

Deveras, a legislação dispõe que o serviço é defeituoso quando não fornece a segurança que o consumidor dele pode esperar, levando-se em consideração as circunstâncias relevantes, entre as quais: o modo de seu fornecimento; o resultado e os riscos que razoavelmente dele se espera e a época em que foi fornecido (artigo 14, § 1o, da Lei 8.078/90).

A legislação permite ao fornecedor comprovar que o serviço não é defeituoso quando, tendo prestado o serviço, o defeito inexiste ou, então, a culpa exclusiva do consumidor ou de terceiro (artigo 14, § 3o, da Lei 8.078/90).

No caso concreto, nenhuma das excludentes de responsabilidade restou caracterizada no curso do devido processo legal.

Isto porque, como é cediço, a atuação de terceiros fraudadores insere-se no âmbito do fortuito interno, posto que ínsito aos riscos da atividade da instituição bancária, não podendo, por conseguinte, ser alegado para eximir a sua responsabilidade (neste sentido: CAVALIERI FILHO, Sérgio. Programa de responsabilidade civil. 4 ed. São Paulo: Malheiros Editores, 2003, pp. 181-182).

De rigor, portanto, a parcial procedência dos pedidos para determinar o pagamento de R$ 8.581,84 (oito mil, quinhentos e oitenta e um reais e oitenta e quatro centavos) a título de danos materiais e R$ 5.000,00 (cinco mil reais) a título de danos morais.

DISPOSITIVO.

Ante o exposto, JULGO PROCEDENTES em parte os pedidos formulados na inicial para declarar a nulidade das operações bancárias discutidas na inicial e para CONDENAR a requerida PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTO S.A. a indenizar a autora a título de danos materiais no montante de R$ 8.581,84 (oito mil, quinhentos e oitenta e um reais e oitenta e quatro centavos), corrigido pelo INPC a partir das operações bancárias (23/05/2024), assim como em danos morais na quantia que fixo em R$ 5.000,00 (cinco mil reais), corrigida pelo INPC desde o arbitramento (Súmula 362/STJ), acrescidos, em ambos os casos, de juros de mora de 1% ao mês a contar da citação válida.

Por consequência, JULGO EXTINTO O PROCESSO COM RESOLUÇÃO DO MÉRITO, na forma do art. 487, inciso I, do Código de Processo Civil.

Condeno a requerida ao pagamento das custas processuais e honorários advocatícios em favor da parte autora, que fixo em 15% sobre o valor da condenação, com fulcro no art. 85, § 2o do Código de Processo Civil. (...)”

Irresignada com o desfecho da demanda, PAGSEGURO INTERNET LTDA interpõe o presente apelo (cf. Id. no 326334869).

Alega a parte apelante, em suma, sua ilegitimidade passiva, a ausência de ato ilícito por se tratar de fraude perpetrada por terceiro com culpa exclusiva da vítima (fortuito externo), a regularidade das transações por terem sido autenticadas com as credenciais da cliente e, subsidiariamente, a inexistência de danos morais ou a necessidade de redução do valor arbitrado.

Já a parte apelada, em contrarrazões, defende a manutenção integral da sentença, sustentando a responsabilidade objetiva da instituição financeira, a caracterização de fortuito interno conforme a Súmula 479 do Superior Tribunal de Justiça, a evidente falha no dever de segurança e a adequação dos valores fixados a título de indenização (cf. Id. no 326334874).

Pois bem.

A controvérsia central reside em definir a responsabilidade da instituição financeira por transações via PIX não reconhecidas pela correntista, realizadas de forma sequencial e em horário atípico.

De início, destaco que a relação jurídica entre as partes é inequivocamente de consumo, atraindo a incidência do Código de Defesa do Consumidor, nos termos da Súmula 297 do Superior Tribunal de Justiça:

“O Código de Defesa do Consumidor é aplicável às instituições financeiras.”

Primeiramente, antes de adentrarmos aos pormenores do caso em apreço, importante estabelecer uma distinção entre fortuito externo e interno, no âmbito das relações entre correntistas/consumidores e instituições bancárias.

Quando tratamos de fortuito interno e fortuito externo em situações envolvendo consumidores que tiveram suas contas bancárias invadidas, a distinção revela-se essencial para definir a responsabilidade da instituição financeira. Nas hipóteses de fraude eletrônica, invasão de conta, transações não reconhecidas ou operações manifestamente atípicas ao perfil da consumidora, o evento danoso é classificado como fortuito interno, pois decorre diretamente do risco inerente à própria atividade bancária.

Fraudes praticadas por terceiros, inclusive por meio de phishing, engenharia social ou falhas nos mecanismos de segurança, constituem risco previsível e próprio do empreendimento, razão pela qual não afastam a responsabilidade objetiva do banco.

É justamente essa compreensão que fundamenta a Súmula 479 do Superior Tribunal de Justiça, ao estabelecer que as instituições financeiras respondem pelos danos decorrentes de fraudes e delitos praticados no âmbito de operações bancárias, por se tratar de fortuito interno:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

Ademais, importa destacar que o posicionamento colacionado acima é o mesmo entendimento desenvolvido no âmbito do Tema Repetitivo 466, também da Corte Superior.

Adiante, por outro lado, o fortuito externo é aquele absolutamente alheio à atividade desenvolvida pelo fornecedor, imprevisível e inevitável, e que não possui relação com os riscos inerentes ao serviço prestado. Nessa categoria se enquadrariam, em tese, eventos extraordinários como desastres naturais ou atos totalmente dissociados da dinâmica bancária.

É a jurisprudência do STJ:

“EMENTA: RECURSO ESPECIAL. DIREITO DO CONSUMIDOR. DISPOSITIVOS CONSTITUCIONAIS. VIOLAÇÃO. ANÁLISE. IMPOSSIBILIDADE. INSTITUIÇÃO DE PAGAMENTOS. GOLPE DE ENGENHARIA SOCIAL. FALSA CENTRAL DE ATENDIMENTO. OPERAÇÕES REALIZADAS. CIRCUNSTÂNCIAS. ANÁLISE. NECESSIDADE. PRESTAÇÃO DE SERVIÇO. DEFEITO CONFIGURADO.

1. A controvérsia dos autos resume-se a saber se as instituições de pagamento, à semelhança das instituições bancárias, estão obrigadas a desenvolver mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos atípicos e agir rapidamente para evitar prejuízos.

2. Nos termos do art. 105, III, da Constituição Federal, não compete a esta Corte o exame de suposta violação de dispositivos constitucionais, ainda que para fins de prequestionamento, sob pena de invasão da competência atribuída ao Supremo Tribunal Federal.

3. De acordo com a orientação emanada da Súmula no 479/STJ, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

4. Toda a compreensão que esta Corte Superior já firmou no tocante às obrigações impostas às instituições bancárias, inclusive no que se refere à incidência do Código de Defesa do Consumidor (Súmula no 297/STJ), é inteiramente aplicável às instituições de pagamento, às quais também é atribuído o dever de processar com segurança as transações dos usuários finais, por expressa disposição do art. 7o da Lei no 12.865/2013.

5. A responsabilidade das instituições de pagamento, e de todos aqueles que integram os denominados arranjos de pagamento, somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3o do art. 14 do Código de Defesa do Consumidor.

6. Constitui atribuição das instituições financeiras, e de todas aquelas que participam dos denominados arranjos de pagamento, criar mecanismos capazes de identificar e coibir a prática de fraudes e de mantê-los em constante aprimoramento, em virtude do dever de gerir com segurança as movimentações de dinheiro dos seus clientes e do elevado grau de risco da atividade por elas desempenhada.

7. Se o serviço não fornece a segurança que dele se pode esperar, levando em consideração o modo do seu fornecimento e o resultado e os riscos que razoavelmente dele se esperam, é ele defeituoso, nos termos do § 1o do art. 14 do Código de Defesa do Consumidor.

8. Uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira ou instituição de pagamento, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Hipótese descartada no caso concretamente examinado.

9. Para a identificação de possíveis fraudes, os sistemas de proteção contra fraudes desenvolvidos pelas instituições bancárias/de pagamento devem considerar i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e o local em que as operações foram realizadas; iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos;enfim, diversas circunstâncias que, conjugadas, tornam possível ao fornecedor do serviço identificar se determinada transação deve ou não ser validada.

10. A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras e das instituições de pagamento.

11. Hipótese em que a) todas as operações bancárias, em um total de 14 (quatorze), foram realizadas no mesmo dia; b) a conta era utilizada como uma espécie de poupança, com pouquíssimas movimentações, e c) as transações realizadas fogem do perfil de consumo do correntista.

12. Recurso especial provido.”

(STJ - Terceira Turma - Relator Ministro Ricardo Villas Bôas Cueva - REsp n. 2.222.059/SP, julgado em 7/10/2025, DJEN de 13/10/2025.)

“EMENTA: PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO. CONSUMIDOR. GOLPE DO MOTOBOY. RESPONSABILIDADE CIVIL. USO DE CARTÃO E SENHA. DEVER DE SEGURANÇA. FALHA NA PRESTAÇÃO DE SERVIÇO. 1. Ação declaratória de inexigibilidade de débito. 2. É entendimento da Terceira Turma do STJ que a ausência de procedimentos de verificação e aprovação para transações atípicas e que aparentam ilegalidade corresponde a defeito na prestação de serviço, capaz de gerar a responsabilidade objetiva por parte da instituição financeira. 3. Recurso especial conhecido e provido.”

(STJ - Terceira Turma - Relatora Min. Nancy Andrighi - REsp 2.179.133/SP, julgado em 14/4/2025, DJEN de 23/4/2025)

“EMENTA: RECURSO ESPECIAL. DIREITO DO CONSUMIDOR. NEGATIVA DE PRESTAÇÃO JURISDICIONAL. NÃO OCORRÊNCIA. INSTITUIÇÃO FINANCEIRA. GOLPE DE ENGENHARIA SOCIAL. FALSA CENTRAL DE ATENDIMENTO. OPERAÇÕES REALIZADAS. CIRCUNSTÂNCIAS. ANÁLISE. NECESSIDADE. PRESTAÇÃO DE SERVIÇO. DEFEITO CONFIGURADO.

1. A controvérsia principal dos autos resume-se a saber se as instituições bancárias estão obrigadas a desenvolver mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos atípicos e agir rapidamente para evitar prejuízos.

2. Não há falar em negativa de prestação jurisdicional se o tribunal de origem motiva adequadamente sua decisão, ainda que de forma sucinta, solucionando a controvérsia com a aplicação do direito que entende cabível à hipótese, apenas não no sentido pretendido pela parte.

3. De acordo com a orientação emanada da Súmula no 479/STJ, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

4. A responsabilidade das instituições bancárias somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3o do art. 14 do Código de Defesa do Consumidor.

5. Constitui atribuição das instituições financeiras criar mecanismos capazes de identificar e coibir a prática de fraudes e de mantê-los em constante aprimoramento, em virtude do dever de gerir com segurança as movimentações de dinheiro dos seus clientes e do elevado grau de risco da atividade por elas desempenhada.

6. Se o serviço não fornece a segurança que dele se pode esperar, levando em consideração o modo do seu fornecimento e o resultado e os riscos que razoavelmente dele se esperam, é ele defeituoso, nos termos do § 1o do art. 14 do Código de Defesa do Consumidor.

7. Uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Hipótese descartada no caso concretamente examinado.

8. Para a identificação de possíveis fraudes, os sistemas de proteção contra fraudes desenvolvidos pelas instituições bancárias/de pagamento devem considerar: i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e local em que as operações foram realizadas;

iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; e vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos. Enfim, diversas circunstâncias que, conjugadas, tornam possível ao fornecedor do serviço identificar se determinada transação deve ou não ser validada.

9. A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras.

10. Sentença de parcial procedência do pedido fundada: a) na divergência entre o padrão de consumo do autor e as sucessivas transações de alto vulto em pouco mais de 10 (dez) minutos; b) na falta de atuação preventiva ou inibitória do banco réu; c) na temerária opção negocial do banco ao autorizar, de imediato, empréstimos e pagamentos de alto valor; d) na necessidade de atuação preventiva da instituição financeira ao detectar operações suspeitas e incomuns; e e) na ausência de meios para coibir operações vultuosas na conta do autor, fora de seu padrão de consumo ordinário e sem o uso de um sistema antifraudes eficiente.

11. Recurso especial provido.

(STJ - Terceira Turma - Relator Min. Ricardo Villas Bôas - REsp n. 2.229.519/DF, julgado em 7/10/2025, DJEN de 13/10/2025.)

É fato que os golpes digitais já constituem uma realidade não apenas no país, mas em todo o mundo. É justamente em virtude dessa realidade que a jurisprudência do Superior Tribunal de Justiça tem evoluído, no tocante à responsabilidade das instituições financeiras e de todas aquelas que participam dos denominados arranjos de pagamento, para atribuir a elas a incumbência não apenas de criar mecanismos capazes de identificar e coibir a prática de fraudes, mas também de mantê-los em constante aprimoramento, em virtude do dever de gerir com segurança as movimentações de dinheiro dos seus clientes (STJ - Terceira Turma - Relatora Ministra Nancy Andrighi - REsp no 1.995.458/SP, julgado em 9/8/2022, DJe de 18/8/2022).

A exigência de aprimoramento contínuo dos sistemas de segurança decorre justamente da evolução permanente dos serviços digitais, das interações em redes sociais e da ampliação do comércio eletrônico. Esse ambiente, embora proporcione maior comodidade aos usuários, também amplia as oportunidades para a prática de fraudes e condutas ilícitas por terceiros.

Tal responsabilidade se justifica pelo elevado grau de risco inerente às atividades desenvolvidas pelas instituições financeiras e de pagamento, que assumem, de forma constante, a custódia e administração dos recursos de seus clientes. Dentro do conjunto de riscos que permeiam a operação bancária, destaca-se o risco operacional, previsto tanto em normas regulatórias nacionais quanto em instrumentos internacionais, a exemplo dos Acordos de Basileia, dos quais o Brasil é signatário, como bem observa Bruno Miragem:

“(...) A definição de risco operacional abrange um grande número de situações associadas à operação bancária propriamente dita, presentes nas atividades normais da organização, ou seja, aos riscos inerentes à estrutura de funcionamento da instituição bancária, aí incluídos, como observa Glantz, um sistema de informação inadequado, problemas operacionais, brechas nos controles internos, fraudes ou catástrofes imprevistas. No Acordo de Basileia II, o risco operacional ficou definido como 'o risco da perda resultante de processos internos, pessoal e sistemas falhos e inadequados, ou de eventos externos. Esta definição inclui riscos legais, mas exclui riscos de estratégia e de reputação'.

A Res. CMN 4.557/2017 define risco operacional como 'a possibilidade da ocorrência de perdas resultantes de eventos externos ou de falha, deficiência ou inadequação de processos internos, pessoas ou sistemas' (art. 32, caput), e relacionou como eventos que o caracterizam: fraudes internas; fraudes externas; demandas trabalhistas e segurança deficiente do local de trabalho; práticas inadequadas relativas a clientes, produtos e serviços; danos a ativos físicos próprios ou em uso pela instituição; aqueles que acarretem a interrupção das atividades da instituição; falhas em sistemas de tecnologia da informação; falhas na execução, cumprimento de prazos e gerenciamento das atividades na instituição (art. 32, § 2o).

Da mesma forma, é incluído como risco operacional o 'risco legal associado à inadequação ou deficiência em contratos firmados pela instituição, às sanções em razão de descumprimento de dispositivos legais e às indenizações por danos a terceiros decorrentes das atividades desenvolvidas pela instituição' (art. 32, § 1o).

Insere-se no âmbito do risco operacional da instituição financeira, portanto, a possibilidade de descumprimento de deveres legais que dê causa a dano a clientes ou a terceiros, e em razão do que seja responsabilizada pelo pagamento da respectiva indenização. Nesse caso, o regime de responsabilidade das instituições financeiras, sob a égide do Código de Defesa do Consumidor, nos regimes de responsabilidade pelo fato do serviço (art. 14) e pelo vício do serviço (art. 20), assim como a possibilidade de equiparação a consumidores de terceiros, vítimas do evento danoso (art. 17) ou, ainda, pelas normas do art. 927, caput e parágrafo único, do CC, insere-se no âmbito do denominado risco operacional. Da mesma forma, eventual responsabilização da instituição financeira por danos não relacionados à atividade bancária, porém decorrentes da série de contratos e relações jurídicas estabelecidas para efeito de assegurar o desenvolvimento de sua atividade negocial, também se insere no âmbito do denominado risco operacional. Por essa razão, possivelmente a eficácia de uma estrutura de controle dos riscos operacionais seja um dos desafios mais complexos a ser implementado pelas instituições financeiras e – por outro lado – submetido à supervisão do Banco Central. A diversidade de eventos relacionados à definição de risco operacional e sua extensão exigem que os sistemas de controle contem com conhecimentos e capacidades igualmente variados. Abrangem desde os sistemas de informação até atividades de suporte, segurança e infraestrutura da instituição financeira, bem como todo evento que, tendo dado causa à interrupção, retardamento ou mau funcionamento da atividade bancária, importe em perda de receita e outros prejuízos.

Da mesma forma, no tocante ao controle de fraudes, envolve este tanto o aperfeiçoamento das relações entre a instituição financeira e seus empregados, a definição e clareza quanto aos níveis decisórios da organização, como seus sistemas de segurança física e sistemas de informática utilizados. Nesse particular, é de notar que o grande desenvolvimento dos sistemas de informação e sua aplicação intensiva à atividade bancária resultam em crescente nível de automação do sistema financeiro no Brasil. Ao mesmo tempo que isso resulta em consequências positivas, como maior eficiência, redução de custos e agilidade das operações bancárias em geral, por outro lado implica em novos riscos, tanto riscos tecnológicos propriamente ditos, como a incompatibilidade, defasagem tecnológica ou obsolescência de sistemas e equipamentos, como novos riscos de segurança, em relação à integridade física dos equipamentos que dão suporte às operações, ou mesmo aos sistemas do banco e seus próprios ativos, mediante aumento do volume e extensão das fraudes cometidas por intermédio especialmente da internet”
(Direito bancário [livro eletrônico], 5. ed., São Paulo: Thomson ReutersBrasil, 2025, RB-4.31 - grifou-se).

Assim, quando o serviço deixa de oferecer o nível de segurança legitimamente esperado pelo consumidor, consideradas a forma de sua prestação, os resultados que se pretende alcançar e os riscos normalmente associados à sua utilização, caracteriza-se a existência de defeito, conforme dispõe o § 1o do art. 14 do Código de Defesa do Consumidor.

Portanto, no caso da consumidora que teve sua conta bancária invadida, a tese aplicável é a de que o fato configura fortuito interno, de modo que a instituição financeira não pode se eximir da responsabilidade. A invasão da conta, a realização de operações atípicas, o esvaziamento do saldo e a ausência de mecanismos de segurança aptos a detectar a anormalidade evidenciam falha na prestação do serviço, atraindo a responsabilidade objetiva prevista no Código de Defesa do Consumidor.

Nesse contexto, a responsabilidade do fornecedor de serviços é objetiva, fundada na teoria do risco do empreendimento, o que significa que ele responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, conforme dispõe o art. 14 do CDC, in verbis:

“Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.

§ 1° O serviço é defeituoso quando não fornece a segurança que o consumidor dele pode esperar, levando-se em consideração as circunstâncias relevantes, entre as quais:

I - o modo de seu fornecimento;

II - o resultado e os riscos que razoavelmente dele se esperam;

III - a época em que foi fornecido.

§ 2o O serviço não é considerado defeituoso pela adoção de novas técnicas.

§ 3° O fornecedor de serviços só não será responsabilizado quando provar:

I - que, tendo prestado o serviço, o defeito inexiste;

II - a culpa exclusiva do consumidor ou de terceiro.

§ 4° A responsabilidade pessoal dos profissionais liberais será apurada mediante a verificação de culpa.”

Pelo exposto, extrai-se que o serviço é, portanto, considerado defeituoso quando não oferece a segurança que o consumidor dele pode esperar.

Sob essa ótica, a responsabilidade das instituições bancárias somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3o do art. 14 do Código de Defesa do Consumidor.

Tem-se, portanto, que a ocorrência de fraudes e delitos praticados por terceiros no ambiente de operações bancárias digitais é um risco inerente ao negócio, um evento que, embora indesejado, está diretamente ligado à atividade desenvolvida pela instituição financeira. Cabe a ela, portanto, investir em mecanismos de segurança capazes de identificar e coibir tais práticas.

Diante desse panorama normativo e jurisprudencial, evidencia-se que a análise do caso concreto deve partir da verificação acerca da existência, ou não, de falha na prestação do serviço bancário, especialmente no tocante aos mecanismos de segurança adotados pela instituição financeira para detecção de operações atípicas.

Transações sucessivas, em curto intervalo de tempo, realizadas em horários incomuns e destoantes do padrão de uso da correntista constituem sinais claros de risco que, ordinariamente, deveriam acionar protocolos internos de bloqueio ou verificação adicional de autenticidade.

A não identificação desses indícios, aliada à subsequente efetivação das movimentações contestadas, revela, em princípio, insuficiência das barreiras de proteção implementadas pelo banco, reforçando a caracterização do defeito do serviço e, por consequência, a responsabilidade objetiva da instituição financeira pelos danos sofridos pela consumidora.

No caso dos autos, a apelada foi vítima da subtração de R$ 8.581,84 (oito mil, quinhentos e oitenta e um reais e oitenta e quatro centavos) de sua conta, por meio de três transferências via PIX realizadas em plena madrugada (00h18, 06h05 e 06h10), que esgotaram quase a totalidade de seu saldo.

A apelante se defende sob o argumento de que as transações foram validadas com as credenciais da cliente e a partir de seu dispositivo habitual, o que caracterizaria culpa exclusiva da vítima ou de terceiro, afastando sua responsabilidade.

Todavia, conforme amplamente comentado, entendo que tal argumento não se sustenta.

A simples alegação de que a autenticação tenha ocorrido “por senha e dispositivo cadastrado” não é suficiente para, por si só, caracterizar a culpa exclusiva do consumidor, especialmente diante de um cenário com evidentes indícios de fraude.

Por consequência, a falha na prestação do serviço reside, precisamente, na incapacidade do sistema de segurança da apelante em detectar a atipicidade manifesta das transações. Operações sequenciais, de valores elevados para o perfil da consumidora, realizadas de madrugada e que zeram o saldo da conta, são “bandeiras vermelhas” que deveriam, obrigatoriamente, acionar os motores antifraude da instituição, resultando no bloqueio cautelar das transações para análise, conforme determinam as próprias normativas do Banco Central do Brasil que regulamentam o sistema PIX.

Ao não impedir tais movimentações suspeitas, a apelante assumiu o risco e demonstrou a vulnerabilidade de seu sistema, configurando o defeito na prestação do serviço.

Novamente, o ônus de provar a excludente de responsabilidade, qual seja, a culpa exclusiva da consumidora ou de terceiro (art. 14, § 3o, II, do CDC), era da instituição financeira, e ela não se desincumbiu de tal mister, limitando-se a alegações genéricas sobre a segurança de sua plataforma.

Comprovada a falha no serviço e o nexo de causalidade com o prejuízo sofrido, o dever de restituir o dano material é medida que se impõe, tal como decidido na sentença.

No que tange aos danos morais, estes também restaram configurados.

A situação vivenciada pela apelada ultrapassa, em muito, o mero dissabor do cotidiano. Logo, a subtração abrupta e inesperada da quase totalidade de seus recursos financeiros, essenciais ao seu sustento, gera um sentimento de angústia, impotência e profunda insegurança, abalando a tranquilidade e a paz de espírito do indivíduo. Trata-se de dano moral indenizável, que decorre da própria gravidade do fato.

Ademais, a via-crúcis percorrida pela consumidora na tentativa de solucionar o problema administrativamente, sem obter uma resposta efetiva do banco, agrava o sofrimento e caracteriza o desvio produtivo do consumidor.

O valor de R$ 5.000,00 (cinco mil reais), fixado pelo juízo de primeiro grau, mostra-se razoável e proporcional às circunstâncias do caso, atendendo à dupla finalidade do instituto, quais sejam de compensar a vítima pelo abalo sofrido e impor um caráter punitivo-pedagógico ao ofensor, sem, contudo, gerar enriquecimento ilícito.

Portanto, a sentença não merece qualquer reparo.

Ante todo o exposto, NEGO PROVIMENTO ao recurso de apelação, para manter inalterada a sentença proferida.

Em atenção ao disposto no art. 85, § 11, do Código de Processo Civil, e considerando o trabalho adicional realizado em grau recursal, majoro os honorários advocatícios de sucumbência devidos pela apelante para 17% (dezessete por cento) sobre o valor da condenação.

É como voto.

Data da sessão:
Cuiabá-MT, 03/02/2026