Banco condenado por não bloquear 22 Pix atípicos e deve indenizar empresa

O juiz de primeira instância da 10ª Vara Cível de Campinas reconheceu responsabilidade do banco por não identificar e interromper 22 transferências via Pix atípicas realizadas em conta empresarial, condenando a instituição ao pagamento de R$ 317.208,33 a título de danos materiais, com correção pelo IPCA e desconto de valores recuperados.

Contexto

A expansão do Pix e a rapidez das transferências instantâneas alteraram o espectro de riscos para instituições financeiras e correntistas. Embora a transferência eletrônica seja instrumento eficiente, ela também potencializou fraudes por engenharia social — em que o usuário é induzido a fornecer credenciais — e testou os mecanismos de prevenção, detecção e bloqueio dos provedores de serviço de pagamento. No plano normativo, o combate a fraudes mobiliza regras de proteção ao consumidor, deveres contratuais e normas sobre prestação de serviços bancários.

A controvérsia relevante é até que ponto a ocorrência de erro ou entrega voluntária de credenciais pelo usuário exonera a instituição financeira quando havia movimentação atípica do ponto de vista do perfil da conta. Tribunais vêm admitindo a aplicação do Código de Defesa do Consumidor (Lei 8.078/1990) a relações entre pessoa jurídica e instituição financeira quando a empresa se encontre em posição de vulnerabilidade técnica ou informacional perante o banco, o que desloca o foco para a diligência do fornecedor do serviço.

O que foi decidido

A sentença concluiu que, mesmo diante da inserção da chave de segurança em um site fraudulento, a sequência e as características das operações impunham atuação diligente do banco. A conta da empresa tinha perfil predominantemente receptivo, sem histórico de transferências semelhantes. Ainda assim, após o acesso fraudulento foram resgatadas aplicações financeiras, utilizado o limite do cheque especial e efetuadas 22 transferências via Pix, em curto intervalo, para 19 beneficiários distintos, totalizando valor elevado.

O juiz entendeu que essa sucessão de eventos destoava do padrão da conta e deveria ter sido detectada pelos controles de autenticação e prevenção a fraudes. A ausência de bloqueio preventivo, de alerta ao correntista ou de verificação adicional caracterizou falha na prestação do serviço. Com base nessa falha, afastou-se a tese de culpa exclusiva do correntista (ou de terceiros) e também a culpa concorrente, por entender que o defeito nos mecanismos de monitoramento contribuiu de modo direto e determinante para a extensão do prejuízo. Foram descontados os valores parcialmente devolvidos, restando o montante final de R$ 317.208,33, que foi condenado ao pagamento.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — responsabilidade objetiva do fornecedor por defeitos relativos à prestação de serviços, independentemente de culpa, quando demonstrado o nexo causal com o dano.
• Arts. 6 e 22, CDC — implantação de políticas de informação, proteção e facilitação da defesa dos direitos do consumidor; obrigação de fornecedores de serviços públicos e privados.
• Regulação do sistema de pagamentos instantâneos (Pix) — normas do Banco Central determinam requisitos de segurança, monitoramento de fraude e comunicação entre participantes; tais regras orientam as expectativas de diligência das instituições.
• Jurisprudência consolidada do tribunal — aplicação do CDC às relações entre bancos e pessoas jurídicas em situação de vulnerabilidade técnica/informacional e entendimento de que padrões atípicos de movimentação podem gerar dever de atuação do banco.
• Regras de atualização monetária aplicáveis — utilização do IPCA como índice de correção monetária incidente sobre quantias ressarcitórias, conforme prática adotada em decisões recentes.

Impacto prático

• Para advogados de defesa de empresas vítimas de fraudes: a decisão reforça a possibilidade de invocar o CDC mesmo para pessoa jurídica, quando demonstrada vulnerabilidade informacional, e de concentrar a prova na atipicidade do padrão de movimentação e na ausência de controles pelo banco.
• Para instituições financeiras: aumenta a exigência de monitoramento proativo. Sistemas de antifraude precisam incorporar regras que identifiquem operações sucessivas e incompatíveis com o perfil da conta, e registrar esforços de mitigação (alertas, bloqueios temporários, autenticações adicionais).
• Para empresas-clientes: embora deva haver cuidado no manuseio de credenciais, a sentença sinaliza que a mera entrega das chaves não elimina o dever do banco de operar com prudência e de adotar mecanismos que minimizem riscos de perdas em série.
• Para o contencioso em curso: decisões similares podem ensejar demandas agregadas; bancos devem avaliar meios de mediação e revisão de controles para reduzir exposição a condenações e custos reputacionais.

O que observar

• Prova técnica: será decisivo, em grau recursal, demonstrar quais filtros e regras de monitoramento estavam implementados e se foram aplicados no episódio. Logs, regras de risco e registros de alertas serão prova central.
• Recursos: a instituição financeira poderá recorrer ao Tribunal de Justiça do Estado de São Paulo, suscitando discussão sobre aplicação do CDC a pessoa jurídica e sobre o nexo causal entre falha operacional e dano. A turma julgadora de instância superior poderá modular entendimento sobre culpa concorrente e critérios de aferição do dever de bloqueio.
• Modulação de efeitos e repercussão coletiva: se a jurisprudência se consolidar, haverá reflexos operacionais significativos para o setor, exigindo investimentos em prevenção e potencial revisão de contratos e cláusulas de responsabilidade.
• Risco regulatório: decisões reiteradas nesse sentido podem levar o Banco Central a exigir padrões mínimos de detecção e resposta a fraudes no sistema Pix, reduzindo margem de discricionariedade das instituições.

Em suma, a sentença reforça a tendência de responsabilização do fornecedor de serviços financeiros quando restar demonstrado que operações são manifestamente incompatíveis com o perfil do cliente e que não houve medidas efetivas de detecção e mitigação. Para operadores do direito e compliance bancário, o caso reforça a necessidade de documentar políticas de prevenção, bem como de articular defesas técnicas que expliquem respostas operacionais em incidentes de fraude.