STJ vê culpa de bancos quando falham na 'pesca' de transações atípicas

Os ministros da Terceira Turma do Superior Tribunal de Justiça decidiram que bancos e instituições de pagamento devem indenizar clientes que sofrerem prejuízos decorrentes de golpes de engenharia social, quando comprovadas falhas na proteção de dados ou na identificação de transações suspeitas.

O caso teve origem em uma ação movida por um cliente do Nubank, vítima do chamado 'golpe da falsa central de atendimento'. O Nubank foi condenado em primeira instância a ressarcir os danos materiais e pagar uma indenização de R$ 2 mil, além de cancelar a cobrança das parcelas do empréstimo e do boleto.

Em nota, o Nubank informou que aprimora continuamente seus sistemas de monitoramento e de alerta a seus clientes sobre os cuidados que devem ser tomados ao realizar transações financeiras.

O golpe de engenharia social é, na prática, um ataque cibernético usado pelo crime para ludibriar e convencer a vítima, dominada emocionalmente e, muitas vezes, confusa, a revelar seus dados confidenciais.

No caso julgado pelo STJ, um estelionatário entrou em contato com o correntista, obteve seus dados e esvaziou sua conta por meio de 12 pagamentos, totalizando R$ 143.210 - além da contratação de um empréstimo de R$ 13.822,14 e do pagamento de um boleto na função crédito no valor de R$ 11.182,60.

A defesa do cliente argumentou que o banco não bloqueou as movimentações, mesmo sendo incompatíveis com seu perfil, já que ele usava a conta como poupança.

Para o juiz de primeira instância, isso ficou comprovado: o banco não demonstrou ter utilizado todos os mecanismos de segurança para evitar transações fora do padrão, e a fraude só foi possível em razão dessa falha.

O Tribunal de Justiça de São Paulo, porém, reformou a sentença e afastou a condenação, entendendo que não houve falha na prestação do serviço. O autor da ação recorreu ao STJ.

Relator do caso, o ministro Ricardo Villas Bôas Cueva considerou que houve falha na prestação do serviço e restabeleceu a condenação.

Ele enfatizou que a orientação consolidada na Súmula 479 do STJ afirma que as instituições financeiras têm responsabilidade objetiva pelos danos decorrentes de fortuito interno, relacionados a fraudes e delitos praticados por terceiros no âmbito das operações bancárias.

"A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras", destacou o ministro em seu voto.

Villas Bôas Cueva explicou que para ser afastada a responsabilidade da instituição, seria necessário que o banco comprovasse que o cliente agiu com culpa exclusiva - o que não ocorreu - ou que provasse a inexistência de defeito na prestação do serviço.

O ministro ressaltou que o risco de fraude é inerente à atividade bancária e que cabe às instituições investir no desenvolvimento de mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos suspeitos e agir rapidamente para evitar prejuízos.

Crescimento assustador

O aumento dos golpes digitais foi um dos pontos abordados pelo ministro em seu voto, ao destacar que a tecnologia, embora traga facilidades, também ampliou as oportunidades para fraudes.

Como exemplo, Villas Bôas Cueva citou pesquisa do Senado (DataSenado) indicando que 24% dos brasileiros com mais de 16 anos já foram vítimas de algum golpe digital e que mais de 40 milhões perderam dinheiro em crimes cibernéticos.

Especialista em cibersegurança, Rodrigo Fragola ressaltou que a partir de 2020 ocorreram vários vazamentos de dados privados - tanto em empresas públicas quanto privadas.

Ele explica que esses dados estão consolidados na deep web, espaço da internet que reúne sites não indexados em buscadores e onde frequentemente ocorrem transações ilegais.

Os golpistas compram esses dados e os usam para alimentar softwares automáticos que fazem ligações se passando por instituições bancárias, como no caso do 'golpe da falsa central de atendimento'.

Esses dados, afirma o especialista, são utilizados para manipular e ganhar a confiança das vítimas. "Eles sabem seu nome, CPF e nome da sua mãe. Às vezes o número da conta. Em casos mais sofisticados, até o saldo da sua conta. A pessoa vai ganhando confiança. Afinal, são informações que passou para o banco. Só que, em algum momento, o golpe é aplicado", relata Rodrigo Fragola.

Geralmente, o criminoso pede que o cliente instale um aplicativo no celular ou no computador. "Em uma ligação de 15 minutos, eles conseguem limpar a conta, contratar empréstimos e entrar no limite do cheque especial", alerta.

O especialista lembra que bancos não costumam fazer ligações, solicitar senhas ou pedir a instalação de aplicativos adicionais. "O banco raramente liga. As comunicações ocorrem apenas por meio do aplicativo oficial", explica.

COM A PALAVRA, O NUBANK

Em nota, o Nubank informou que aprimora continuamente seus sistemas de monitoramento e de alerta a seus clientes sobre os cuidados que devem ser tomados ao realizar transações financeiras.

O banco destacou que as decisões do STJ demonstram a necessidade de se analisar cada caso individualmente para que se possa apurar corretamente as responsabilidades da instituição e do cliente.