TJAM afasta responsabilidade do banco em golpe por phishing

A Primeira Turma Recursal do Tribunal de Justiça do Amazonas confirmou sentença que negou indenização por danos materiais e morais a consumidor vítima de golpe via link falso (phishing), entendendo configurada culpa exclusiva da vítima e suficientes as medidas de segurança adotadas pela instituição financeira.

Contexto

A controvérsia insere-se no debate recorrente sobre a responsabilidade das instituições financeiras por operações eletrônicas fraudulentas. Nos últimos anos, o aumento de fraudes por engenharia social (phishing, smishing, vishing) levou tribunais e reguladores a confrontarem duas linhas de argumentação: uma que exige dever de resultado mais rígido dos bancos quanto à segurança das transações e outra que admite excludentes de responsabilidade quando ficar evidenciada culpa exclusiva do consumidor ou quando o banco demonstra ter cumprido normas técnicas e orientações regulatórias.

No plano normativo, o Banco Central do Brasil regulamentou procedimentos de investigação e devolução de recursos em casos de fraudes, instituindo mecanismos como o Mecanismo Especial de Devolução (MED). Paralelamente, o Código de Defesa do Consumidor (CDC) dispõe sobre responsabilidade objetiva do fornecedor de serviços, mas prevê excludentes quando a culpa exclusiva da vítima for comprovada. A tensão se dá na aferição do nexo causal e na suficiência das medidas adotadas pelo prestador do serviço bancário para impedir o resultado lesivo.

O que foi decidido

Na hipótese, o consumidor recebeu por e-mail um link que simulava atendimento de uma empresa e, acreditando ser verídico, forneceu dados e senhas, o que permitiu transferências via Pix para contas de terceiros. O banco demonstrou que os débitos foram realizados mediante chave e senha pessoais do correntista em site externo e que, no mesmo dia em que foi comunicado da fraude, ativou o procedimento previsto pelo Banco Central e instaurou o MED para tentativa de recuperação dos valores.

O juízo de primeiro grau considerou a conduta do autor como culpa exclusiva da vítima e afastou a responsabilidade civil do banco com fundamento no art. 14, §3º, inciso II, do CDC. Em apelação, a turma recursal manteve essa conclusão. O colegiado entendeu que a insuficiência de saldo na conta receptora dos golpistas — circunstância que impediu a recuperação via MED — não configura, por si só, falha do sistema bancário. Assim, afastou-se o dever de indenizar ao constatar: (i) ausência de nexo de causalidade entre a atuação do banco e as perdas, e (ii) a adoção, pela instituição financeira, das providências regulatórias ex ante e ex post previstas pelo Banco Central.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — estabelece a responsabilidade objetiva do fornecedor por vício/serviço; o §3º, inciso II, prevê a exclusão da responsabilidade na hipótese de culpa exclusiva do consumidor.
• Normas e circulares do Banco Central — dispõem sobre procedimentos de investigação e restituição de valores em fraudes eletrônicas e sobre o funcionamento do Mecanismo Especial de Devolução (MED).
• Jurisprudência consolidada dos tribunais estaduais e superiores — tem firmado entendimento no sentido de que a responsabilidade do banco pode ser afastada quando demonstrada culpa exclusiva do cliente ou cumprimento das medidas de segurança e de reversão previstas pelo regulador.

Impacto prático

• Para advogados de defesa de instituições financeiras: a decisão reforça a importância de documentar o cumprimento das medidas exigidas pelo Banco Central e de instaurar prontamente o MED, pois a prova deste procedimento tem potencial para afastar a responsabilidade civil.
• Para advogados de consumidores: a sentença alerta para a necessidade de robusta prova pericial e documental que demonstre eventual falha sistêmica do banco (por exemplo, logs demonstrando anomalia na autenticação, ausência de mecanismos antifraude ou falha no procedimento de bloqueio), uma vez que a simples ocorrência do golpe não é suficiente.
• Para bancos e instituições de pagamento: enfatiza-se a relevância de instruções claras ao cliente sobre práticas de segurança, rastreio dos canais de entrada de transações e atuação imediata em comunicação de fraude para maximizar as chances de recuperação via MED.
• Para o mercado e reguladores: decisões nessa linha podem reduzir o custo imediato de indenizações por fraudes quando o réu comprova diligência, mas pressionam por regras e tecnologias mais eficientes de prevenção e responsabilização.

O que observar

• Prova da culpa exclusiva do consumidor demanda análise fática acurada; a palavra do banco sobre adoção de medidas precisa ser comprovada por registros operacionais, comunicações e protocolos internos.
• O MED é um instrumento de tentativa de devolução, não uma garantia absoluta de ressarcimento; sua ineficácia por esvaziamento da conta receptora não implica automaticamente falha bancária.
• Recursos cabíveis: decisões das turmas recursais podem ser revistas em sede especial ou extraordinária dependendo da matéria federal/constitucional, bem como suscitar uniformização de jurisprudência em instâncias superiores.
• Risco para a atuação profissional: advogados devem antecipar perícia técnica em segurança da informação e documentação sobre autuação e cumprimento das determinações do Banco Central para formar resistência técnica ou argumentação de nulidade da excludente.

Em suma, o caso reafirma que, no contencioso de fraudes eletrônicas, a configuração da culpa exclusiva da vítima e a prova do atendimento às normas regulatórias são fatores decisivos para afastar a responsabilidade civil do banco, transferindo ao autor o ônus de demonstrar falha direta na prestação do serviço.