Maria recebe uma ligação de alguém que se identifica como funcionário da central de segurança do seu banco. O interlocutor conhece seu nome completo, parte do CPF e informa que há uma compra suspeita em andamento. Para “cancelar a operação”, pede que ela confirme um código recebido por mensagem ou instale um aplicativo de “proteção”. Minutos depois, a conta está esvaziada e foram contratados empréstimos em seu nome. Em outro caso, comum no comércio, uma empresa paga um boleto recebido por e-mail que tinha a aparência exata da cobrança do fornecedor, mas cujo código de barras direcionava o valor a uma conta desconhecida.
As duas situações, embora diferentes, têm um ponto em comum: o golpe se apoia em informações verdadeiras e em aparência de legitimidade. Por isso, a discussão jurídica sobre quem responde pelo prejuízo raramente é simples, e vale compreender como a legislação e os tribunais vêm tratando o tema.
Como esses golpes costumam funcionar
No golpe do boleto falso, o criminoso adultera o documento de cobrança, alterando o código de barras ou a linha digitável, de modo que o pagamento seja creditado em conta de terceiro. O arquivo pode ser enviado por e-mail, aplicativo de mensagens ou até inserido em sistemas invadidos, e costuma manter dados corretos como nome do beneficiário, valor e vencimento. A divergência, muitas vezes, está apenas no banco ou na conta de destino.
Na falsa central de atendimento, o fraudador usa dados pessoais obtidos em vazamentos, em cadastros expostos ou em contatos anteriores para ganhar a confiança da vítima. Em geral cria senso de urgência, induz o fornecimento de senhas, tokens ou códigos de autenticação, ou a instalação de programas de acesso remoto. Há ainda variações em que o suposto atendente pede que a vítima faça transferências para uma “conta segura” ou entregue cartões a um falso portador.
A base legal da discussão
O ponto de partida é o Código de Defesa do Consumidor (Lei nº 8.078/1990). O artigo 14 estabelece que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos na prestação do serviço, considerando-se defeituoso aquele que não oferece a segurança que o consumidor dele pode esperar. O mesmo artigo, em seu parágrafo 3º, afasta a responsabilidade quando comprovada a inexistência do defeito ou a culpa exclusiva do consumidor ou de terceiro.
No âmbito bancário, o Superior Tribunal de Justiça consolidou na Súmula 479 o entendimento de que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. A lógica é que o risco de fraudes integra a atividade bancária, devendo a instituição investir em mecanismos de segurança compatíveis com esse risco.
O artigo 6º, inciso VIII, do CDC prevê a possibilidade de inversão do ônus da prova em favor do consumidor, quando verossímil a alegação ou quando ele for hipossuficiente. Na prática, isso costuma significar que cabe ao banco demonstrar que a operação foi regular, que seus sistemas de segurança funcionaram e que o consumidor agiu de forma decisiva para o resultado.
Na esfera penal, a Lei nº 14.155/2021 acrescentou ao Código Penal o parágrafo 2º-A do artigo 171, que trata da fraude eletrônica, com pena de reclusão de quatro a oito anos, além de qualificar o furto praticado mediante fraude por meio de dispositivo eletrônico. Já a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) impõe aos agentes de tratamento o dever de adotar medidas de segurança para proteger os dados pessoais, e prevê responsabilidade pelos danos decorrentes de incidentes.
Análise equilibrada: quando o banco responde e quando não
Não existe resposta única. A jurisprudência examina o caso concreto e costuma ponderar alguns fatores. De um lado, há decisões que reconhecem a responsabilidade da instituição financeira quando a operação fugiu ao perfil habitual do cliente, como transferências de valores elevados em curto intervalo, contratação de empréstimos incomuns ou uso de novos dispositivos sem alertas ou bloqueios preventivos. Também pesa o fato de o golpista dispor de dados que, em tese, somente a instituição teria, o que sugere falha na guarda das informações.
De outro lado, há decisões que afastam o dever de indenizar quando se comprova que o próprio consumidor, de maneira voluntária, forneceu senhas ou realizou as operações, sem que houvesse falha identificável na segurança do banco. Nesses casos, o tribunal pode reconhecer a culpa exclusiva da vítima ou de terceiro, nos termos do artigo 14, parágrafo 3º, do CDC. O grau de diligência esperado do consumidor, a clareza dos avisos de segurança e o histórico de movimentações são elementos frequentemente examinados.
No golpe do boleto, a análise tem uma camada adicional. É preciso verificar em que ponto da cadeia o documento foi adulterado. Se a fraude decorreu da invasão do sistema do próprio emitente, a responsabilidade pode recair sobre ele. Se o pagador deixou de conferir dados facilmente verificáveis, como a divergência entre o nome do beneficiário exibido no aplicativo e o da cobrança, a discussão pode se voltar para a conduta de quem pagou. Há, ainda, a atuação do banco recebedor, que mantém a conta de destino e tem deveres de verificação na abertura e movimentação de contas.
Para empresas, o tema tem relevância própria. Departamentos financeiros que pagam fornecedores por boleto devem manter rotinas de conferência, pois a ausência de procedimentos mínimos de validação tende a ser considerada na análise da responsabilidade e, sobretudo, aumenta a chance de prejuízo sem recuperação.
Orientações práticas
Prevenção continua sendo a melhor proteção. Algumas medidas simples reduzem o risco de forma significativa:
- Desconfie de contatos que pedem senhas, tokens, códigos recebidos por mensagem ou a instalação de aplicativos. Instituições financeiras sérias não solicitam esses dados por telefone.
- Em caso de ligação suspeita, encerre a chamada e entre em contato pelo número impresso no cartão ou no aplicativo oficial do banco.
- Antes de pagar um boleto, confira o beneficiário e o valor exibidos no aplicativo do banco e compare com a cobrança original, confirmando dados por um canal já conhecido.
- Mantenha ativos os alertas de movimentação, defina limites de transferência compatíveis com seu perfil e utilize a autenticação em dois fatores.
- Nas empresas, estabeleça dupla conferência para pagamentos de valor relevante e para mudanças de dados bancários de fornecedores.
Se o golpe já ocorreu, a rapidez é decisiva. Recomenda-se, nesta ordem de prioridade: contatar imediatamente o banco, por canal oficial, para comunicar a fraude e solicitar o bloqueio de cartões, acessos e valores, bem como a contestação das operações; registrar boletim de ocorrência, preferencialmente na delegacia eletrônica do estado, descrevendo a dinâmica com o máximo de detalhes; e guardar todas as provas, como prints de telas, mensagens, e-mails, número de telefone que realizou a ligação, comprovantes e protocolos de atendimento.
Persistindo a negativa administrativa, podem ser acionados a ouvidoria da instituição, a plataforma consumidor.gov.br, o Procon e o Banco Central, por meio de reclamação. Em último caso, a via judicial é possível; nos Juizados Especiais Cíveis, causas de até vinte salários mínimos podem ser propostas sem advogado, embora a orientação profissional seja recomendável quando a prova é complexa ou o valor é elevado. Também é prudente verificar se há empréstimos ou outros contratos criados em seu nome, solicitando seu cancelamento formal e a retirada de eventuais restrições em cadastros de inadimplentes.
Vale lembrar que prazos importam. A pretensão de reparação por danos causados por fato do serviço, no CDC, prescreve em cinco anos, contados do conhecimento do dano e de sua autoria, mas a demora dificulta a preservação de provas e o rastreamento dos valores.
Conclusão
A responsabilidade pelo prejuízo em golpes de boleto falso e de falsa central depende das circunstâncias de cada caso. A Súmula 479 do STJ e o CDC protegem o consumidor diante de falhas de segurança inerentes à atividade bancária, mas a atuação diligente do próprio usuário e a existência de falha demonstrável do fornecedor serão sempre examinadas. Para consumidores e para empresas, o caminho mais seguro combina prevenção, reação rápida e documentação organizada. Este texto tem caráter informativo e não substitui a análise de um caso concreto por profissional habilitado.
Roberto Victalino é Mestre em Direito Político e Econômico pela Universidade Mackenzie; Pós-graduado em Direito Constitucional e do Trabalho; Especialista em Direito Eleitoral e Imobiliário; Professor Universitário; Advogado e Consultor Jurídico.