Tribunal: TJMT
Processo: 1012884-04.2024.8.11.0040
Relator(a): RUBENS DE OLIVEIRA SANTOS FILHO
Órgão julgador: RUBENS DE OLIVEIRA SANTOS FILHO
Órgão colegiado: Quarta Câmara de Direito Privado
Data de julgamento: 2026-05-13
Data de publicação: 2026-05-19

Ementa:

Inteiro teor:
ESTADO DE MATO GROSSO

PODER JUDICIÁRIO

QUARTA CÂMARA DE DIREITO PRIVADO

Número Único
:

1012884-04.2024.8.11.0040
Classe:

APELAÇÃO CÍVEL (198)
Assunto:

[Cédula de Crédito Bancário, Indenização por Dano Moral, Indenização por Dano Material, Bancários, Efeitos]
Relator:
Des(a).
RUBENS DE OLIVEIRA SANTOS FILHO

Turma Julgadora:

[DES(A). RUBENS DE OLIVEIRA SANTOS FILHO, DES(A). ANGLIZEY SOLIVAN DE OLIVEIRA, DES(A). SERLY MARCONDES ALVES]

Parte(s):

[ROBERTO GRANDO - CPF: 190.195.720-91 (APELADO), THOMAS GERSON RIBEIRO LEAL - CPF: 040.428.211-38 (ADVOGADO), FABIANO GAVIOLI FACHINI - CPF: 686.925.010-34 (ADVOGADO), MATEUS MENEGON - CPF: 951.138.940-87 (ADVOGADO), ADALBERTO GRANDO - CPF: 539.595.310-87 (APELADO), BANCO CNH INDUSTRIAL CAPITAL S.A. - CNPJ: 02.992.446/0001-75 (APELANTE), PRISCILA KEI SATO - CPF: 260.380.708-00 (ADVOGADO), EVARISTO ARAGAO FERREIRA DOS SANTOS - CPF: 875.456.759-91 (ADVOGADO), FABIANA APARECIDA RAMOS LORUSSO - CPF: 026.319.339-07 (ADVOGADO), CREDISIS PRIMACREDI COOPERATIVA DE CREDITO - CNPJ: 26.563.270/0003-66 (APELANTE), GILMAR ANTONIO SUBTIL GODINHO - CPF: 346.979.500-20 (ADVOGADO), EDERSON SANTOS NEVES - CPF: 019.340.691-83 (ADVOGADO), LEONARDO COSTA NICOLINO - CPF: 011.949.911-81 (ADVOGADO), CREDISIS PRIMACREDI COOPERATIVA DE CREDITO - CNPJ: 26.563.270/0003-66 (TERCEIRO INTERESSADO)]

A C Ó R D Ã O
Vistos, relatados e discutidos os autos em epígrafe, a QUARTA CÂMARA DE DIREITO PRIVADO do Tribunal de Justiça do Estado de Mato Grosso, sob a Presidência Des(a).

RUBENS DE OLIVEIRA SANTOS FILHO, por meio da Turma Julgadora, proferiu a seguinte decisão:
PRELIMINAR REJEITADA. NÃO PROVIDO, UNÂNIME

E M E N T A

APELAÇÃO CÍVEL. RESPONSABILIDADE CIVIL. INSTITUIÇÃO FINANCEIRA. FRAUDE BANCÁRIA. GOLPE DO BOLETO FALSO. VAZAMENTO DE DADOS SIGILOSOS. FORTUITO INTERNO. SÚMULA 479/STJ. DANOS MATERIAIS E MORAIS. RECURSO DESPROVIDO.

I. CASO EM EXAME

1.

Apelação Cível interposta contra sentença que julgou procedentes pedidos de indenização por danos materiais e morais em decorrência de fraude bancária. Os autores efetuaram o pagamento de boletos para quitação de Cédulas de Crédito Bancário, os quais continham informações sigilosas e precisas da operação, mas os títulos eram adulterados e os valores foram desviados para terceiros.

II. QUESTÃO EM DISCUSSÃO

2.

Há três questões em discussão: (i) definir se a inversão do ônus da prova em desfavor da instituição financeira configura imposição de prova negativa impossível; (ii) estabelecer se o vazamento de dados sigilosos que facilita a aplicação do "golpe do boleto" caracteriza defeito na prestação do serviço e fortuito interno; e (iii) verificar a configuração e a razoabilidade do quantum indenizatório por danos morais.

III. RAZÕES DE DECIDIR

3.

A inversão do ônus da prova é legítima diante da hipossuficiência técnica do consumidor, incumbindo à instituição financeira, detentora do domínio sobre sistemas e logs, demonstrar a inexistência de intrusão ou vazamento de dados.

4.

O domínio de informações contratuais restritas por estelionatários evidencia falha grave na custódia e tratamento de dados pessoais, o que configura defeito na prestação do serviço nos termos do art. 14 do CDC e art. 44 da LGPD.

5.

Instituições financeiras respondem objetivamente por danos gerados por fortuito interno relativo a fraudes praticadas por terceiros no âmbito de operações bancárias, conforme a Súmula 479 do STJ.

6.

Todos os participantes da cadeia de fornecimento de serviços respondem solidariamente pela reparação dos danos ao consumidor, nos termos do art. 7º, parágrafo único, e art. 25, § 1º, do CDC.

IV. DISPOSITIVO E TESE

7.

Recurso não provido.

Tese de julgamento
:

1.

O "golpe do boleto" constitui fortuito interno quando os criminosos detêm informações específicas da relação contratual que deveriam estar sob sigilo bancário.

Dispositivos relevantes citados
: CDC, arts. 7º, 14 e 25; Lei nº 13.709/2018 (LGPD), arts. 42, 44 e 46; Lei Complementar nº 105/2001, art. 1º.

Jurisprudência relevante citada
: STJ, Súmula 297; STJ, Súmula 479; STJ, REsp nº 2.077.278/SP, Rel. Min. Nancy Andrighi, j. 03.10.2023.

R E L A T Ó R I O

Apelação Cível interposta por BANCO CNH INDUSTRIAL CAPITAL S.A. contra a sentença proferida pelo Juízo da 2ª Vara Cível da Comarca de Sorriso/MT que, nos autos da Ação de Indenização por Danos Materiais e Morais, julgou procedentes os pedidos iniciais e condenou a instituição financeira apelante à restituição do montante de R$ 254.921,42, a título de danos materiais, bem como ao pagamento solidário, juntamente com a corré CREDISIS PRIMACREDI, da quantia de R$ 8.000,00 por danos morais, em razão de fraude perpetrada mediante boleto bancário adulterado.

Em suas razões recursais, o Banco CNH suscita, preliminarmente, a nulidade da sentença por cerceamento de defesa e aplicação indevida da inversão do ônus da prova.

Argumenta que o juízo lhe impôs a produção de prova negativa, qual seja, a demonstração de que não enviou os boletos fraudulentos, o que configuraria "prova diabólica".

No mérito, sustenta a ocorrência de fortuito externo e culpa exclusiva da vítima e de terceiros. Alega que enviou os boletos corretos e que a fraude ocorreu fora de seu ambiente sistêmico, possivelmente no ato da impressão ou por manipulação física dos documentos pelos autores.

Aduz, ainda, que a cooperativa Primacredi falhou ao processar o pagamento sem conferir o beneficiário final. Subsidiariamente, insurge-se contra o valor dos danos morais e pleiteia a redistribuição da responsabilidade pelo dano material.

Os apelados apresentaram contrarrazões pugnando pela manutenção integral do
decisum
. Sustentam que a fraude foi viabilizada pelo vazamento de dados sigilosos e atualizados sobre os contratos, informações que estavam sob a guarda exclusiva do banco. Refutam a tese de prova diabólica, asseverando que a instituição possui meios técnicos para demonstrar a segurança de seus canais.

É o relatório.

V O T O R E L A T O R

VOTO PRELIMINAR NULIDADE DA SENTENÇA POR APLICAÇÃO INDEVIDA DA INVERSÃO DO ÔNUS DA PROVA E IMPOSIÇÃO DE PROVA NEGATIVA AO APELANTE

EXMO. SR. DES. RUBENS DE OLIVEIRA SANTOS FILHO (RELATOR)

Egrégia Câmara:

No que se refere à preliminar de nulidade por imposição de "prova diabólica", ao contrário do que afirma o apelante, a inversão do ônus da prova não exige a prova de um fato negativo absoluto, mas sim a demonstração da higidez e segurança dos sistemas de tecnologia da informação e dos protocolos de atendimento da instituição.

Nesse viés:

APELAÇÃO CÍVEL - AÇÃO DECLARATÓRIA DE INEXISTÊNCIA DE DÉBITO C/C INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS - INVERSÃO DO ÔNUS DA PROVA - APLICAÇÃO - CONSUMIDOR HIPOSSUFICIÊNTE - DESCONTO INDEVIDO - RESTITUIÇÃO DO INDÉBITO - DANO MORAL - CONFIGURADO.
O art. 6º, inciso VIII do CDC impõe a inversão do ônus da prova em favor do consumidor em situações em que este se encontre hipossuficiente ou vulnerável para produzir provas que comprovem suas alegações
. Contudo, a inversão do ônus da prova não é automática, devendo o magistrado apreciar a sua oportunidade e conveniência . Não se mostra razoável exigir do autor a comprovação da negativa da contratação de empréstimos consignados, devendo o ônus da prova recair sobre o banco réu. Comprovada a falha na prestação de serviços por parte da instituição financeira, que efetua descontos indevidos no benefício previdenciário do consumidor, deve ser responsabilizar civilmente pelos danos decorridos (materiais e morais). (TJ-MG - AC: 10000212249122001 MG, Relator.: José Augusto Lourenço dos Santos, Data de Julgamento: 03/03/2022, Câmaras Cíveis / 12ª CÂMARA CÍVEL, Data de Publicação: 09/03/2022)

Sendo o banco o detentor do domínio técnico sobre seus canais de comunicação e logs de sistema, incumbe-lhe demonstrar que não houve intrusão ou vazamento de dados, ônus do qual não se desincumbiu minimamente, preferindo quedar-se na retórica da impossibilidade probatória.

Portanto, rejeito a preliminar de nulidade.

V O T O MÉRITO

EXMO. SR. DES. RUBENS DE OLIVEIRA SANTOS FILHO (RELATOR)

Egrégia Câmara:

A controvérsia cinge-se à responsabilidade da instituição financeira pelo pagamento de boleto fraudulento, bem como pelos danos morais.

A relação jurídica estabelecida entre as partes é inequivocamente de consumo, atraindo a incidência do Código de Defesa do Consumidor, conforme pacífica jurisprudência do Superior Tribunal de Justiça, consolidada na Súmula 297:
"O Código de Defesa do Consumidor é aplicável às instituições financeiras."

O artigo 14 do CDC estabelece a responsabilidade objetiva do fornecedor de serviços pelos danos causados aos consumidores por defeitos relativos à prestação dos serviços, independentemente da existência de culpa. Vejamos:

"Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos."

No caso em análise, restou incontroverso que
os boletos fraudados, anexados aos autos, ostentavam informações que não estariam acessíveis a terceiros estranhos à relação contratual sem que houvesse uma falha de segurança na custódia de dados.

Isso porque, constam nos documentos adulterados os números precisos das Cédulas de Crédito Bancário (nº 20150095131 e nº 20150195371), os valores exatos para a quitação integral e os dados pessoais dos devedores. Além disso, o próprio banco figura como beneficiário dos boletos, razão pela qual não procede a alegação de que os pagamentos estavam em nome de terceiro ou de que houve imprudência do consumidor.

Nesta ordem de ideias, é inviável dizer que um fraudador comum, sem acesso ao banco de dados ou ao fluxo de comunicações internas do credor, não teria condições de forjar um título com tamanha precisão de detalhes.

Com efeito, a proteção de dados não é apenas um dever ético, mas uma obrigação legal estrita, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018), que impõe ao controlador a responsabilidade por danos decorrentes da violação da segurança dos dados pessoais.

Ademais, o boleto fraudado continha a logomarca e dados do Banco CNH, sendo praticamente idêntico aos anteriores, o que dificultava sobremaneira a identificação da fraude pelo consumidor.

Conforme a teoria do risco do empreendimento, aquele que se dispõe a exercer alguma atividade no mercado de consumo tem o dever de responder pelos eventuais vícios ou defeitos dos bens e serviços fornecidos, independentemente de culpa.

No caso dos serviços bancários, a segurança das transações eletrônicas constitui elemento essencial da prestação, sendo dever da instituição financeira adotar medidas eficazes para prevenir fraudes e proteger os dados de seus clientes. A ocorrência de fraude no ambiente virtual do banco, com desvio de valores pagos pelo consumidor, evidencia falha na prestação do serviço e configura fortuito interno, não afastando a responsabilidade da instituição financeira.

Nesse sentido, é o entendimento consolidado do Superior Tribunal de Justiça:

“CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO. TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS. SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO. 1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023 .2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor.3. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos . Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023).4 . Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada.5. Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras . No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art . 44 da LGPD).6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento) .7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor.8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" .9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau”.
(STJ - REsp: 2077278 SP 2023/0190979-8, Relator: Ministra NANCY ANDRIGHI, Data de Julgamento: 03/10/2023, T3 - TERCEIRA TURMA, Data de Publicação: DJe 09/10/2023)

Além disso, com o advento da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), reforçou-se o dever das instituições que tratam dados pessoais de adotar medidas de segurança técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. O artigo 42 da referida lei estabelece expressamente a responsabilidade do controlador ou operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar dano patrimonial, moral, individual ou coletivo.

No caso em tela, a fraude somente foi possível porque os dados pessoais e contratuais do autor foram indevidamente acessados por terceiros, evidenciando falha no dever de segurança da instituição financeira. O fato de o boleto fraudado conter informações precisas sobre o contrato, como valor exato da parcela e dados do financiamento, demonstra que houve vazamento de informações sigilosas do cliente.

Não se pode, portanto, transferir ao consumidor o ônus de identificar fraudes sofisticadas, especialmente quando a instituição financeira, detentora de expertise e recursos tecnológicos, não foi capaz de preveni-las.

Ressalte-se, ainda, que após tomar conhecimento da fraude, o autor prontamente comunicou o ocorrido à instituição financeira e registrou boletim de ocorrência, demonstrando boa-fé e diligência (Id 362698367). Contudo, o banco manteve a cobrança da parcela, agravando os danos experimentados pelo consumidor.

Diante desse contexto, não há como acolher a tese de culpa exclusiva do consumidor. A responsabilidade da instituição financeira pelos danos decorrentes da fraude é objetiva e decorre do risco do empreendimento, caracterizando-se como fortuito interno, conforme pacífica jurisprudência do Superior Tribunal de Justiça.

Quanto à alegação de que a responsabilidade seria exclusiva da cooperativa corré por falha na conferência do beneficiário, imperativo se faz observar o regime de solidariedade imposto pelo sistema consumerista.

De acordo com o parágrafo único do artigo 7º e o § 1º do artigo 25 do Código de Defesa do Consumidor, todos os que participam da cadeia de fornecimento de serviços respondem solidariamente pela reparação dos danos previstos nas normas de consumo.

Embora a cooperativa Primacredi tenha concorrido para o evento ao processar o título sem alertar para a divergência de beneficiário final, tal conduta não rompe o nexo causal em relação ao Banco CNH. O banco deu causa à gênese da fraude ao falhar na custódia dos dados e na segurança de sua comunicação oficial.

Portanto, a solidariedade é inafastável, ressalvado eventual direito de regresso entre as instituições financeiras em ação própria, ponto que não pode ser utilizado para esquivar-se da obrigação perante os consumidores lesados. O dano material, portanto, resta sobejamente demonstrado, sendo a restituição do valor remanescente medida de justiça para o restabelecimento.

No tocante ao dano moral, o valor a ser arbitrado deve atender às funções compensatória, punitiva e preventiva. Nesse contexto, os R$8.000,00 fixados pelo Juízo da causa não comportam alteração.

Nesse sentido, desta Câmara:

“DIREITO DO CONSUMIDOR E CIVIL. APELAÇÃO. AÇÃO DE INEXISTÊNCIA DE DÉBITO E RECONHECIMENTO DE QUITAÇÃO DE CONTRATO. GOLPE DO BOLETO FALSO. INDÍCIOS DE FALHA NA PRESTAÇÃO DO SERVIÇO. RESPONSABILIDADE OBJETIVA DO FORNECEDOR. DANOS MORAIS CONFIGURADOS. VALOR INDENIZATÓRIO MANTIDO. RETIFICAÇÃO DO POLO PASSIVO.
RECURSO PARCIALMENTE PROVIDO
.

I. CASO EM EXAME

Apelação interposta contra sentença que julgou parcialmente procedente a Ação Declaratória de Inexistência de Débito e Reconhecimento de Quitação do Contrato, cumulada com pedido de indenização por danos morais, condenando a instituição financeira ao pagamento de R$ 5.000,00 a título de danos morais, à declaração de quitação do contrato e à baixa do gravame do veículo.

II. QUESTÃO EM DISCUSSÃO

Há quatro questões em discussão: (i) a necessidade de retificação do polo passivo em razão da incorporação da BV Financeira pelo Banco Votorantim; (ii) a configuração da responsabilidade civil da instituição financeira pelo golpe do boleto falso; (iii) a ocorrência e a quantificação do dano moral; e (iv) a adequação dos critérios de correção monetária e juros de mora.

III. RAZÕES DE DECIDIR

A retificação do polo passivo deve ser acolhida, pois comprovada a cisão da BV Financeira S.A. e sua incorporação pelo Banco Votorantim S.A., nos termos do Protocolo e Justificação de Cisão aprovado pelo Banco Central do Brasil.

O fornecedor de serviços responde objetivamente pelos danos decorrentes de falha na prestação do serviço, conforme o art. 14 do CDC, sendo necessária a prova de culpa exclusiva da vítima ou de terceiro para excluir sua responsabilidade. No caso, os elementos dos autos indicam que a fraude foi facilitada por falha na segurança das informações fornecidas pela instituição financeira, evidenciando o vazamento de dados internos.

O golpe do boleto falso configura falha na prestação do serviço, pois o boleto utilizado continha informações específicas do contrato, acessíveis apenas às partes envolvidas. A alegação de culpa exclusiva da vítima não encontra amparo nos autos, uma vez que a apelada seguiu os procedimentos indicados pela empresa para quitação do contrato.

O dano moral está configurado em razão da cobrança indevida, da ameaça de busca e apreensão do veículo e do abalo psicológico decorrente da situação. O valor de R$ 5.000,00 fixado na sentença respeita os critérios de proporcionalidade e razoabilidade, considerando o caráter compensatório, punitivo e preventivo da indenização.

Quanto à correção monetária e aos juros de mora, a adoção do INPC como índice de atualização reflete a prática usual em decisões judiciais e está de acordo com a realidade inflacionária.

IV. DISPOSITIVO E TESE

Recurso Parcialmente Provido.

Tese de julgamento:

O fornecedor de serviços responde objetivamente por falha na prestação do serviço, salvo prova de culpa exclusiva do consumidor ou de terceiro, conforme o art. 14 do CDC.

O golpe do boleto falso caracteriza falha na prestação do serviço quando o boleto emitido contém informações restritas ao contrato e acessíveis apenas às partes envolvidas.

O dano moral decorrente de cobrança indevida e ameaça de apreensão do veículo deve ser fixado de acordo com os princípios da proporcionalidade e da razoabilidade, considerando suas funções compensatória, punitiva e preventiva.

A correção monetária deve ser atualizada pelo INPC, e os juros de mora devem ser fixados em 1% ao mês a partir da citação, conforme definido na sentença.

Dispositivos relevantes citados: CDC, arts. 14 e 25; CC, arts. 186 e 927; CPC, art. 85, §2º.

Jurisprudência relevante citada: STJ, AgInt no REsp 1917237/TO, Rel. Min. Luis Felipe Salomão, Quarta Turma, j. 13/12/2021; TJMT, AP 1005817-61.2019.8.11.0040, Quarta Câmara de Direito Privado, j. 1º/3/2024”.
(N.U 1043434-81.2021.8.11.0041, Quarta Câmara de Direito Privado, Julgado em 11/02/2025, Publicado no DJE 11/02/2025)

Pelo exposto,
nego provimento

ao Recurso
e em razão do resultado, majoro os honorários advocatícios de 10% para 15% sobre o valor da condenação.

Des. Rubens de Oliveira Santos Filho

Relator

Data da sessão:
Cuiabá-MT, 13/05/2026