Tribunal: TJMT
Processo: 1087178-87.2025.8.11.0041
Relator(a): HELIO NISHIYAMA
Órgão julgador: HELIO NISHIYAMA
Órgão colegiado: Segunda Câmara de Direito Privado
Data de julgamento: 2026-07-01
Data de publicação: 2026-07-08

Ementa:

Inteiro teor:
ESTADO DE MATO GROSSO

PODER JUDICIÁRIO

SEGUNDA CÂMARA DE DIREITO PRIVADO

Número Único
:

1087178-87.2025.8.11.0041
Classe:

APELAÇÃO CÍVEL (198)
Assunto:

[Indenização por Dano Material, Fraude Bancária]
Relator:
Des(a).
HELIO NISHIYAMA

Turma Julgadora:

[DES(A). HELIO NISHIYAMA, DES(A). MARIA HELENA GARGAGLIONE POVOAS, DES(A). SEBASTIAO DE ARRUDA ALMEIDA]

Parte(s):

[TAVARES BARROS ENTRETENIMENTO LTDA - CNPJ: 49.444.444/0001-05 (APELADO), AMIR SAUL AMIDEN - CPF: 027.566.561-51 (ADVOGADO), JOAO AVELINO TAVARES BARROS - CPF: 008.036.921-96 (APELADO), PAGSEGURO INTERNET LTDA - CNPJ: 08.561.701/0001-01 (APELANTE), JOAO THOMAZ PRAZERES GONDIM - CPF: 778.571.197-68 (ADVOGADO)]

A C Ó R D Ã O
Vistos, relatados e discutidos os autos em epígrafe, a SEGUNDA CÂMARA DE DIREITO PRIVADO do Tribunal de Justiça do Estado de Mato Grosso, sob a Presidência Des(a).

MARIA HELENA GARGAGLIONE POVOAS, por meio da Turma Julgadora, proferiu a seguinte decisão:
RECURSO DESPROVIDO. UNÂNIME.

EMENTA

DIREITO CIVIL E DO CONSUMIDOR. APELAÇÃO CÍVEL. AÇÃO INDENIZATÓRIA. FRAUDE BANCÁRIA. RECURSO DA INSTITUIÇÃO FINANCEIRA. RESPONSABILIDADE OBJETIVA. FORTUITO INTERNO CONFIGURADO. FALHA NOS MECANISMOS DE SEGURANÇA. CULPA EXCLUSIVA DA VÍTIMA NÃO DEMONSTRADA. CULPA CONCORRENTE AFASTADA. RECURSO DESPROVIDO.

I. CASO EM EXAME

1. Apelação cível interposta pela instituição financeira contra sentença que julgou procedente o pedido formulado em ação indenizatória por fraude bancária, condenando-a à restituição do valor subtraído da conta da autora mediante operação fraudulenta realizada por terceiro, com utilização de
QR Code
enviado por aplicativo de mensagens.

2. Requerimentos do recurso:
(i)
reforma da sentença para julgar improcedente o pedido de restituição, ao argumento de inexistência de falha na prestação do serviço, sob o fundamento de que o sistema de autenticação funcionou regularmente e a fraude decorreu de conduta exclusiva da parte autora;
(ii)
reconhecimento de culpa exclusiva da vítima, por ter seguido orientações de terceiro estranho à instituição financeira e lido
QR Code
recebido por aplicativo de mensagens;
(iii)
subsidiariamente, reconhecimento de culpa concorrente;
(iv)
redução dos honorários advocatícios fixados na sentença.

II. QUESTÃO EM DISCUSSÃO

3. As questões em discussão consistem em:
(i)
verificar a existência de falha na prestação do serviço bancário e a configuração de fortuito interno ou externo na fraude praticada mediante
QR Code
;
(ii)
examinar a ocorrência de culpa exclusiva da vítima ou de culpa concorrente.

III. RAZÕES DE DECIDIR

4. As instituições financeiras respondem objetivamente pelos danos causados aos consumidores em razão de defeitos relativos à prestação dos serviços, nos termos do art. 14,
caput
, do Código de Defesa do Consumidor, admitidas as excludentes de inexistência de defeito e de culpa exclusiva do consumidor ou de terceiro.

5. Fraudes e delitos praticados por terceiros no âmbito de operações bancárias constituem fortuito interno, inserido no risco da atividade financeira, de modo que a responsabilidade objetiva da instituição é mantida quando o evento danoso decorre de falha nos mecanismos de segurança por ela administrados.

6. A fraude perpetrada mediante leitura de
QR Code
pelo aplicativo oficial da instituição financeira, que possibilita o acesso remoto à conta do consumidor sem fornecimento de dados sigilosos, não se equipara à hipótese de engenharia social em que o consumidor compartilha voluntariamente senha,
login
ou
token
ao fraudador.

7. Constitui atribuição das instituições financeiras e das entidades integrantes dos arranjos de pagamento a criação e o constante aprimoramento de mecanismos capazes de identificar e coibir a prática de fraudes, em razão do dever de gerir com segurança as movimentações financeiras dos clientes e do elevado grau de risco da atividade.

8. A ausência de bloqueio preventivo ou de verificação adicional diante de transação que destoa do padrão habitual de movimentação da conta evidencia deficiência nos mecanismos de prevenção, monitoramento e bloqueio de operações atípicas, circunstância que configura falha na prestação do serviço.

9. A conduta do consumidor que se limita à leitura de
QR Code
pelo aplicativo oficial da instituição financeira, sem fornecimento de dados sigilosos, não configura culpa exclusiva tampouco contribuição causal relevante para o resultado danoso, de modo a afastar tanto a excludente de responsabilidade quanto a incidência da culpa concorrente prevista no art. 945 do Código Civil.

IV. DISPOSITIVO

10. Recurso desprovido.

___________________

Dispositivos relevantes citados
: CDC, arts. 14,
caput
, e 14, § 3º, I e II; CC, art. 945; CPC, art. 85, § 11.

Jurisprudências relevantes citadas
: STJ, Súmula 297, Súmula 479, Tema 466, REsp 2.222.059/SP, AREsp 3.043.381/MS; TJMT, EDCiv 1010665-90.2025.8.11.0037.

RELATÓRIO

EXMO. SR. DES. HÉLIO NISHIYAMA

Egrégia Câmara de Direito Privado:

Trata-se de recurso de apelação cível interposto por
PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTOS S.A.
contra sentença do Juízo da 3ª Vara Cível da Comarca de Cuiabá, nos autos da Ação Indenizatória por Fraude Bancária n. 1087178-87.2025.8.11.0041, ajuizada por
TAVARES BARROS ENTRETENIMENTO LTDA
, que julgou procedente o pedido inicial e condenou a instituição financeira à restituição de R$ 42.822,08 (quarenta e dois mil, oitocentos e vinte e dois reais e oito centavos), subtraído da conta bancária da autora em decorrência de fraude (id. 368355397).

Na
origem
, a parte autora expôs que mantém conta bancária junto à instituição financeira requerida para as movimentações financeiras de sua atividade empresarial. Narrou que, em 02/julho/2025, o representante legal da empresa recebeu ligação telefônica de indivíduo que se apresentou como funcionário do banco e ofereceu um empréstimo, ocasião em que lhe foi encaminhada, via
WhatsApp
, mensagem com
link
e
QR Code
para leitura pela câmera do aplicativo oficial da instituição (PagBank).

Salientou que a mensagem era idêntica às habitualmente enviadas pela requerida, com o mesmo nome, foto de perfil, selo de verificação e linguagem institucional. Relatou que, ao efetuar a leitura do
QR Code
por meio do aplicativo, constatou a subtração integral do saldo de R$ 42.822,08 (quarenta e dois mil, oitocentos e vinte e dois reais e oito centavos). Acrescentou que registrou Boletim de Ocorrência e comunicou a instituição financeira, que instaurou o Mecanismo Especial de Devolução (MED) previsto pelo Banco Central do Brasil, sem êxito na recuperação dos valores. Postulou a condenação da requerida à restituição integral do montante subtraído, com correção monetária e juros de mora, além da inversão do ônus da prova (id. 368355368).

Na
contestação
, a parte requerida arguiu, preliminarmente, a inaplicabilidade do Código de Defesa do Consumidor, a ilegitimidade passiva e a carência de ação. No mérito, sustentou a inexistência de falha na prestação do serviço, sob o argumento de que o acesso ao aplicativo exige múltiplos fatores de autenticação (senha pessoal,
token
e dispositivo exclusivo). Alegou a culpa exclusiva da vítima, por ter seguido instruções de terceiros e permitido o acesso ao dispositivo, o que romperia o nexo causal nos termos do art. 14, § 3.º, I e II, do CDC. Subsidiariamente, requereu o reconhecimento de culpa concorrente, nos termos do art. 945 do Código Civil (id. 368355386).

A autora apresentou
impugnação à contestação
, na qual refutou as preliminares e reiterou os fundamentos da inicial (id. 368355396).

A
sentença
julgou procedente o pedido inicial e condenou a requerida à restituição de R$ 42.822,08 (quarenta e dois mil, oitocentos e vinte e dois reais e oito centavos), com correção monetária pelo INPC e juros moratórios de 1% (um por cento) ao mês até a vigência da Lei n. 14.905/2024 e, a partir desta, pelo IPCA com juros pela taxa SELIC deduzida a correção monetária.

O Juízo singular rejeitou as preliminares e, no mérito, reconheceu a responsabilidade objetiva da instituição financeira, sob o fundamento de que as transações destoavam do padrão de movimentação da conta e de que a requerida não comprovou a adoção de mecanismos eficazes de contenção de operações fraudulentas, o que caracterizou fortuito interno. Condenou a requerida ao pagamento das custas processuais e dos honorários advocatícios de 10% (dez por cento) sobre o valor atualizado da condenação (id. 368355397).

Nas
razões recursais
, a apelante sustenta a inexistência de falha na prestação do serviço, sob o fundamento de que o golpe se consumou em razão de ações voluntárias da parte apelada, que seguiu orientações de terceiros e acessou
link
suspeito recebido por aplicativo de mensagens. Argumenta que o procedimento de leitura do
QR Code
exige verificação dos dados e confirmação da transação pelo usuário, de modo que a ausência de cautela não pode recair sobre a instituição financeira. Aduz a culpa exclusiva da vítima ou, subsidiariamente, a culpa concorrente. Impugna a verba honorária sucumbencial e requer sua minoração. Pleiteia o provimento do recurso para julgar improcedente o pedido de restituição (id. 368355399).

Em sede de
contrarrazões
, a apelada pugna pela manutenção integral da sentença e requer a majoração dos honorários advocatícios em grau recursal (id. 368355852).

É a síntese do necessário.

VOTO

EXMO. SR. DES. HÉLIO NISHIYAMA (RELATOR)

Egrégia Câmara de Direito Privado:

A controvérsia recursal circunscreve-se à verificação da existência de falha na prestação do serviço bancário que deu causa à subtração de R$ 42.822,08 (quarenta e dois mil, oitocentos e vinte e dois reais e oito centavos) da conta da apelada, mediante fraude eletrônica perpetrada por terceiros. A apelante sustenta a inexistência de defeito no serviço e a configuração de culpa exclusiva da vítima ou, subsidiariamente, culpa concorrente, além de impugnar o percentual de honorários advocatícios fixados na sentença.

O recurso não merece provimento.

A apelante sustenta que os serviços por ela prestados não apresentam defeito, porquanto o sistema de autenticação empregado (senha,
token
e dispositivo exclusivo) teria funcionado regularmente, e que a consumação da fraude decorreu de conduta exclusiva da apelada, que seguiu orientações de terceiros estranhos à instituição financeira, leu “QR Code” recebido por aplicativo de mensagens e confirmou a transação.

Inicialmente, cumpre registrar que a Súmula n. 297 do Superior Tribunal de Justiça reconhece a aplicabilidade do Código de Defesa do Consumidor às operações realizadas por instituições financeiras, o que confirma a natureza consumerista da relação jurídica estabelecida entre o cliente e essas entidades do sistema financeiro.

A partir desse enquadramento, a responsabilidade dos fornecedores assume natureza objetiva (CDC, art. 14,
caput
), o que torna prescindível a demonstração de culpa pelas condutas que lhes são imputadas.

A responsabilização, contudo, não é irrestrita, pois admite as excludentes previstas no art. 14, § 3º, da legislação consumerista, notadamente quando demonstrada a inexistência de defeito na prestação do serviço ou a ocorrência de culpa exclusiva do consumidor ou de terceiros (CDC, art. 14, § 3º, I e II).

Nesse contexto, a Corte da Cidadania firmou compreensão no sentido de que as instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relacionado a fraudes e delitos praticados por terceiros no âmbito de operações bancárias (STJ,
Súmula n. 479
).

A responsabilidade objetiva, portanto, se fundamenta no reconhecimento de que fraudes praticadas por terceiros, como abertura de conta corrente, contratação de empréstimos mediante fraude ou utilização de documentos falsos, integram o risco da atividade econômica e mantêm a responsabilidade objetiva do prestador de serviços financeiros (STJ,
Tema 466
).

De outro lado, o Superior Tribunal de Justiça consolidou entendimento segundo o qual a fraude praticada mediante engenharia social, com indução do consumidor à realização voluntária das transações financeiras, configura fortuito externo, excludente de responsabilidade do fornecedor, uma vez que não há falha sistêmica ou comprometimento da segurança bancária (STJ,
AREsp n. 3.043.381/MS
, relator Ministro Raul Araújo, Quarta Turma, julgado em 16/12/2025, DJEN de 19/12/2025).

Não é, portanto, qualquer evento danoso que autoriza, de forma automática, a imputação ou o afastamento da responsabilidade civil da instituição financeira, porquanto a compreensão do Superior Tribunal de Justiça limita a incidência da responsabilidade objetiva às hipóteses de fortuito interno, isto é, àquelas inseridas no âmbito do risco da própria atividade desenvolvida.

Fixadas essas premissas, a hipótese dos autos não se identifica com as situações em que o Superior Tribunal de Justiça reconhece a incidência pura do fortuito externo e afasta a responsabilidade da instituição financeira.

O caso em exame, contudo, detém especificidades que demonstram a responsabilidade objetiva da instituição financeira, porquanto, embora a indução da apelada tenha sido feita por terceiro fraudador que enviou um “QR Code”, circunstância que, isoladamente, não autorizaria falar-se em responsabilidade civil da instituição bancária, o acesso ao referido código permitiu que o fraudador, um terceiro que não era detentor da biometria,
login
e senha da apelada, conseguisse acessar a sua conta bancária e realizar a transferência noticiada nos autos (id. 368355373), o que revela falha em mecanismo de proteção administrado pela própria instituição financeira.

A situação dos autos, nesse ponto, distingue-se das hipóteses em que o consumidor fornece voluntariamente dados sensíveis (senha,
login
,
token
) ao fraudador, porquanto, no caso do “QR Code”, o consumidor não sabe que está a instalar um mecanismo de acesso remoto, limitando-se a ler um código, conduta banal no cotidiano digital, e é ludibriado, de modo que essa conduta não se equipara ao fornecimento voluntário de senha.

Ao mesmo tempo, o banco dispõe (ou deveria dispor) de tecnologia para detectar que o aplicativo bancário está a operar via acesso remoto por um dispositivo ou
software
de espelhamento, e para bloquear automaticamente transações anômalas.

A esse respeito, o Superior Tribunal de Justiça, no julgamento do REsp n. 2.222.059/SP, assentou que constitui atribuição das instituições financeiras e de todas aquelas que participam dos arranjos de pagamento criar mecanismos capazes de identificar e coibir a prática de fraudes, com o dever de mantê-los em constante aprimoramento, em virtude da obrigação de gerir com segurança as movimentações de dinheiro dos seus clientes e do elevado grau de risco da atividade por elas desempenhada:

“(...)
Constitui atribuição das instituições financeiras, e de todas aquelas que participam dos denominados arranjos de pagamento, criar mecanismos capazes de identificar e coibir a prática de fraudes e de mantê-los em constante aprimoramento, em virtude do dever de gerir com segurança as movimentações de dinheiro dos seus clientes e do elevado grau de risco da atividade por elas desempenhada
(...)” (STJ,
REsp n. 2.222.059/SP
, relator Ministro
Ricardo Villas Bôas Cueva
, Terceira Turma, julgado em 7/10/2025, DJEN de 13/10/2025).

No mesmo sentido, esta Câmara de Direito Privado, em precedente recente, firmou entendimento de que a fraude bancária praticada mediante engenharia social insere-se no âmbito do fortuito interno da atividade financeira quando evidenciada deficiência nos mecanismos de prevenção, monitoramento e bloqueio de operações atípicas:

“(...)
A fraude bancária praticada mediante engenharia social insere-se no âmbito do fortuito interno da atividade financeira quando evidenciada deficiência nos mecanismos de prevenção, monitoramento e bloqueio de operações atípicas
(...)” (TJMT,
EDCiv. 1010665-90.2025.8.11.0037
, Relatora Desa.
Maria Helena Gargaglione Povoas
, Segunda Câmara de Direito Privado, julgado em 27/05/2026).

A análise do conjunto probatório revela a falha nos mecanismos de segurança da apelante, uma vez que a transação fraudulenta resultou na transferência integral do saldo da conta da apelada, no montante de R$ 42.822,08, em favor de terceiro desconhecido, operação que destoa por completo do padrão de movimentação habitual de uma conta empresarial de pequeno porte.

O extrato bancário acostado aos autos (id. 368355373) demonstra que a conta da apelada, que registrava saldo positivo, foi repentinamente zerada, circunstância que, por si só, deveria acionar mecanismos de segurança mais rigorosos por parte da instituição financeira, como bloqueio preventivo, verificação adicional ou confirmação junto ao cliente, medidas que não foram adotadas.

Registre-se que a apelada comunicou a fraude de imediato à instituição financeira e registrou boletim de ocorrência na Delegacia Especializada de Repressão a Crimes Informáticos (id. 368355368). A própria apelante acionou o Mecanismo Especial de Devolução (MED), previsto pelo Banco Central do Brasil, porém sem êxito na recuperação dos valores, conforme documentação acostada pela instituição financeira em sua contestação (id. 368355386).

Essa circunstância reforça a verossimilhança das alegações iniciais e evidencia que o evento danoso não decorreu de desídia da vítima, mas da insuficiência dos mecanismos de segurança e resposta da instituição financeira.

Não socorre a apelante a invocação do REsp n. 2.155.065/MG, uma vez que o precedente trata de situação fática distinta, em que a consumidora compartilhou voluntariamente seus dados bancários sigilosos ao fraudador, o que permitiu a realização da compra contestada.

No caso dos autos, a apelada não forneceu senha,
login
ou qualquer dado sensível a terceiros, e limitou-se a ler um “QR Code” por meio do aplicativo oficial do banco, conduta corriqueira e esperada de um usuário de serviços bancários digitais. A vulnerabilidade, portanto, reside no próprio sistema da instituição financeira, que permitiu o acesso remoto à conta sem que seus mecanismos de detecção e bloqueio impedissem a operação fraudulenta.

No que concerne à tese subsidiária de culpa concorrente, tampouco prospera, pois a adoção de mecanismos adequados de proteção pela instituição financeira, em especial a detecção de acesso remoto e o bloqueio automático de transações anômalas, poderia ter impedido a consumação da fraude.

A conduta da apelada, consistente na leitura de “QR Code” pelo aplicativo oficial do banco, não configura contribuição causal relevante para o resultado danoso, uma vez que não envolveu o fornecimento de dados sigilosos ou a prática de ato que, por si só, fosse apto a comprometer a segurança da conta.

Dessa forma, não se verifica o nexo de causalidade necessário à configuração da culpa concorrente prevista no art. 945 do Código Civil.

Configurados o dano material, a falha na prestação do serviço e o nexo causal entre a deficiência dos mecanismos de segurança da apelante e a subtração dos valores, a sentença deve ser mantida em sua integralidade, inclusive no que se refere aos critérios de correção monetária e juros de mora fixados em conformidade com a Lei n. 14.905/2024.

Pelo exposto,
NEGO PROVIMENTO
ao recurso de apelação interposto por
PAGSEGURO INTERNET INSTITUIÇÃO DE PAGAMENTOS S.A
.

Majoro para 15% (quinze por cento) os honorários advocatícios anteriormente fixados na sentença, com fundamento no § 11 do artigo 85 do Código de Processo Civil e no Tema n. 1.059 do Superior Tribunal de Justiça.

É como voto.

Data da sessão:
Cuiabá-MT, 01/07/2026