TJ-BA: banco deve detectar golpe da falsa central e ressarcir

Decisão e efeito prático imediato: O Tribunal de Justiça da Bahia, em turma recursal, atribuiu ao banco a responsabilidade pelas perdas decorrentes do chamado golpe da falsa central de atendimento, determinando a restituição integral dos valores subtraídos e pagamento de indenização por danos morais. Na prática, foi aplicada a teoria do risco da atividade ao serviço bancário, eximindo o consumidor da obrigação de identificar fraudes sofisticadas por telefone.

Contexto

Golpes via contato telefônico que simulam canais oficiais de atendimento bancário têm se multiplicado com o incremento das formas remotas de relacionamento financeiro. A controvérsia processual que aqui se analisa envolve a delimitação de responsabilidades entre consumidor e instituição financeira quando terceiros obtêm dados pessoais e simulam protocolos internos dos bancos para obter autorizações ou liberar operações. Historicamente, o Judiciário tem oscilado entre reconhecer a culpa exclusiva do cliente em casos de engenharia social e responsabilizar a instituição financeira quando há falha no controle das operações. O debate toca diretamente no alcance do art. 14 do Código de Defesa do Consumidor (CDC, Lei 8.078/1990) — responsabilidade objetiva por serviços — e na aplicação da teoria do risco da atividade em atividades empresariais de elevado grau de periculosidade ou tecnologia. Além disso, a jurisprudência do Superior Tribunal de Justiça, especialmente a Súmula 479, é frequentemente invocada para qualificar situações de fortuito interno versus fortuito externo.

O que foi decidido

A relatora da 1ª Turma Recursal concluiu pela existência de falha na prestação de serviços bancários diante de evidências de movimentações incompatíveis com o histórico do cliente e de procedimentos internos insuficientes para detectionar e impedir operações atípicas. A turma entendeu que não se pode exigir do consumidor a capacidade de detectar fraudes sofisticadas que reproduzem protocolos bancários e fornecem dados pessoais. Aplicou-se, portanto, a teoria do risco da atividade: o risco inerente à atividade bancária não pode ser repassado ao usuário. Assim, o banco foi condenado a restituir a soma dos valores subtraídos via Pix e empréstimo não autorizado, além de indenizar por danos morais. A decisão classificou o evento como fortuito interno, alinhando-se ao entendimento de que riscos derivados da atividade empresarial — quando decorrentes de lacunas na segurança operacional — permanecem sob a responsabilidade do prestador do serviço.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — responsabilidade objetiva do fornecedor de serviços por defeitos relativos à prestação; possível exoneração apenas mediante prova de culpa exclusiva do consumidor ou de caso fortuito externo.
• Súmula 479, STJ — responsabilidade do fornecedor por falha no serviço quando o fortuito é interno à atividade.
• Código Civil (Lei 10.406/2002) — dispositivos relativos à responsabilidade civil e dever de indenizar (arts. 186 e 927) para compatibilizar com a teoria do risco.
• LGPD (Lei 13.709/2018) — normas gerais sobre tratamento e proteção de dados pessoais, relevantes para avaliar deveres de segurança que recaem sobre instituições que manipulam dados sensíveis.
• Jurisprudência consolidada do tribunal — decisões recentes que têm reforçado a obrigação dos bancos em monitorar operações atípicas e implementar controles robustos contra fraude eletrônica.

Impacto prático

• Para advogados consumidores: a decisão reforça linha de argumentação baseada no art. 14 do CDC e na teoria do risco da atividade, especialmente quando existir comprovada operação destoante do padrão do cliente e ausência de controles capazes de impedir a operação.
• Para instituições financeiras: alerta para revisar políticas de prevenção a fraudes, camadas de autenticação, monitoramento de limites e sinais de anomalia; falhas podem gerar restituição integral e danos morais.
• Para titulares de contas: reduz a carga probatória sobre o consumidor em ações de ressarcimento por fraudes telefônicas quando comprovada a incompatibilidade das operações com o histórico.
• Para litígios em curso: decisões similares podem autorizar pedidos de inversão do ônus da prova e fundamentar pedidos de tutela antecipada para bloqueio de valores e reconstituição de saldos.

O que observar

• Prova técnica: será decisivo nos casos futuros demonstrar, com registros e perícias, que a operação decorreu de fraude externa versus consentimento do consumidor; bancos deverão apresentar logs, gravações e políticas de segurança.
• Modulação e recursos: instituições podem recorrer invocando a necessidade de avaliar culpa exclusiva do usuário, mas a aplicação da teoria do risco e a súmula do STJ formam obstáculo relevante; observar eventuais pedidos de modulação de efeitos ou repercussão geral em tribunais superiores.
• LGPD e responsabilização: a proteção de dados pessoais entra como elemento de segurança; possíveis implicações administrativas perante a autoridade de proteção de dados devem ser consideradas, além da esfera cível.
• Risco de precedentes divergentes: tribunais de outras regiões podem adotar critérios distintos sobre o que configura operação “incompatível” com o padrão do cliente; é imprescindível analisar o conjunto probatório caso a caso.

Conclusão sucinta: a decisão do TJ-BA consolida tendência a atribuir aos bancos a responsabilidade por fraudes sofisticadas quando houver lacunas na segurança operacional e indícios de transações atípicas, reforçando a aplicação do CDC e da teoria do risco da atividade como instrumentos de proteção do consumidor frente às novas modalidades de fraude eletrônica. Processo citado: 0000489-52.2026.8.05.0150.