STJ vê culpa de bancos quando falham na ‘pesca’ de transações atípicas
Os ministros da Terceira Turma do Superior Tribunal de Justiça decidiram que bancos e instituições de pagamento devem indenizar clientes que sofrerem prejuízos decorrentes de golpes de engenharia social, quando comprovadas falhas na proteção de dados ou na identificação de transações suspeitas.
O caso teve origem em uma ação movida por um cliente do Nubank, vítima do chamado ‘golpe da falsa central de atendimento’. O Nubank foi condenado em primeira instância a ressarcir os danos materiais e pagar uma indenização de R$ 2 mil, além de cancelar a cobrança das parcelas do empréstimo e do boleto.
Em nota, o Nubank informou que aprimora continuamente seus sistemas de monitoramento e de alerta a seus clientes sobre os cuidados que devem ser tomados ao realizar transações financeiras. (Leia a íntegra da manifestação ao pé do texto)
O golpe de engenharia social é, na prática, um ataque cibernético usado pelo crime para ludibriar e convencer a vítima, dominada emocionalmente e, muitas vezes, confusa, a revelar seus dados confidenciais.
No caso julgado pelo STJ, um estelionatário entrou em contato com o correntista, obteve seus dados e esvaziou sua conta por meio de 12 pagamentos, totalizando R$ 143.210 – além da contratação de um empréstimo de R$ 13.822,14 e do pagamento de um boleto na função crédito no valor de R$ 11.182,60.
A defesa do cliente argumentou que o banco não bloqueou as movimentações, mesmo sendo incompatíveis com seu perfil, já que ele usava a conta como poupança.
Para o juiz de primeira instância, isso ficou comprovado: o banco não demonstrou ter utilizado todos os mecanismos de segurança para evitar transações fora do padrão, e a fraude só foi possível em razão dessa falha.
O Tribunal de Justiça de São Paulo, porém, reformou a sentença e afastou a condenação, entendendo que não houve falha na prestação do serviço. O autor da ação recorreu ao STJ.
Relator do caso, o ministro Ricardo Villas Bôas Cueva considerou que houve falha na prestação do serviço e restabeleceu a condenação.
Ele enfatizou que a orientação consolidada na Súmula 479 do STJ afirma que as instituições financeiras têm responsabilidade objetiva pelos danos decorrentes de fortuito interno, relacionados a fraudes e delitos praticados por terceiros no âmbito das operações bancárias.
“A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras”, destacou o ministro em seu voto.
Villas Bôas Cueva explicou que para ser afastada a responsabilidade da instituição, seria necessário que o banco comprovasse que o cliente agiu com culpa exclusiva – o que não ocorreu – ou que provasse a inexistência de defeito na prestação do serviço.
O ministro ressaltou que o risco de fraude é inerente à atividade bancária e que cabe às instituições investir no desenvolvimento de mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos suspeitos e agir rapidamente para evitar prejuízos.
Crescimento assustador
O aumento dos golpes digitais foi um dos pontos abordados pelo ministro em seu voto, ao destacar que a tecnologia, embora traga facilidades, também ampliou as oportunidades para fraudes.
Como exemplo, Villas Bôas Cueva citou pesquisa do Senado (DataSenado) indicando que 24% dos brasileiros com mais de 16 anos já foram vítimas de algum golpe digital e que mais de 40 milhões perderam dinheiro em crimes cibernéticos.
Especialista em cibersegurança, Rodrigo Fragola ressaltou que a partir de 2020 ocorreram vários vazamentos de dados privados – tanto em empresas públicas quanto privadas.
Ele explica que esses dados estão consolidados na deep web, espaço da internet que reúne sites não indexados em buscadores e onde frequentemente ocorrem transações ilegais.
Os golpistas compram esses dados e os usam para alimentar softwares automáticos que fazem ligações se passando por instituições bancárias, como no caso do ‘golpe da falsa central de atendimento’.
Esses dados, afirma o especialista, são utilizados para manipular e ganhar a confiança das vítimas. “Eles sabem seu nome, CPF e nome da sua mãe. Às vezes o número da conta. Em casos mais sofisticados, até o saldo da sua conta. A pessoa vai ganhando confiança. Afinal, são informações que passou para o banco. Só que, em algum momento, o golpe é aplicado”, relata Rodrigo Fragola.
Geralmente, o criminoso pede que o cliente instale um aplicativo no celular ou no computador. “Em uma ligação de 15 minutos, eles conseguem limpar a conta, contratar empréstimos e entrar no limite do cheque especial”, alerta.
O especialista lembra que bancos não costumam fazer ligações, solicitar senhas ou pedir a instalação de aplicativos adicionais. “O banco raramente liga. As comunicações ocorrem apenas por meio do aplicativo oficial”, explica.
COM A PALAVRA, O NUBANK
Em nota, o Nubank informou que aprimora continuamente seus sistemas de monitoramento e de alerta a seus clientes sobre os cuidados que devem ser tomados ao realizar transações financeiras.
O banco destacou que as decisões do STJ demonstram a necessidade de se analisar cada caso individualmente para que se possa apurar corretamente as responsabilidades da instituição e do cliente.