Decisões

Banco responde por golpe do Pix? O que a jurisprudência realmente diz

A Súmula 479 é o ponto de partida, não a resposta. Quatro decisões do STJ, duas em cada sentido, e a pergunta de fato que separa uma da outra.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 20 de outubro de 2026

Se você pesquisou esse assunto, já encontrou página garantindo que o banco é obrigado a devolver. Não é assim. Também já encontrou quem diga que, se a vítima autorizou, não há o que fazer. Também não é assim.

A resposta curta é que a discussão parou de ser sobre o golpe e passou a ser sobre uma pergunta de fato: as operações destoavam do padrão daquele cliente? Quem responde essa pergunta com prova ganha. Quem responde com indignação, perde.

A Súmula 479 é o ponto de partida, não a resposta

O enunciado, aprovado pela Segunda Seção do STJ em 27 de junho de 2012 e publicado em 1º de agosto do mesmo ano, diz o seguinte:

As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Duas expressões aí fazem todo o trabalho, e é onde a leitura apressada erra.

Fortuito interno é o risco que pertence à própria atividade. Fraude praticada por terceiro usando a estrutura bancária é considerada risco do negócio, não caso fortuito externo que exclua responsabilidade.

No âmbito de operações bancárias delimita o campo. Não é qualquer prejuízo sofrido por um correntista, é o dano que se materializa dentro da operação prestada pela instituição.

A súmula continua válida e continua sendo aplicada. O que mudou foi o que se discute embaixo dela.

Quatro decisões, duas em cada sentido

Repare: mesma turma, mesmo tipo de golpe em dois dos casos, resultados opostos. Não é contradição, é prova diferente.

A pergunta que decide

Lendo as quatro juntas, o critério aparece com clareza incômoda. O que separa a condenação da absolvição não é o golpe, é a resposta a isto:

A operação destoava do padrão daquele cliente, e a instituição deixou de identificar?

Quando a resposta é sim, a validação da operação suspeita é tratada como defeito na prestação do serviço, e a responsabilidade objetiva se aplica. Quando é não, entende-se que não houve falha, e a culpa exclusiva da vítima e de terceiros rompe o nexo causal.

É por isso que a decisão de julho de 2026 não revoga a de outubro de 2025. Em uma, as transferências destoavam. Na outra, o tribunal de origem concluiu que não destoavam do histórico da conta. O padrão de movimentação daquele correntista específico decidiu os dois casos.

E há um desdobramento que quase ninguém percebe: isso transformou a discussão em matéria de fato, e matéria de fato não se rediscute em recurso especial. Ou seja, o que o tribunal de segunda instância concluir sobre compatibilidade tende a prevalecer. A briga real acontece antes, na primeira e na segunda instância, e depende de prova produzida lá.

Culpa concorrente, e quando ela nem entra na conta

Esse ponto costuma ser usado como negociação: o banco propõe dividir o prejuízo, sob o argumento de que a vítima contribuiu ao instalar o aplicativo ou ao passar o código.

O STJ tratou disso no REsp 2.220.333/DF. A conclusão foi que, havendo falha no sistema de segurança bancária, não cabe reconhecer culpa concorrente para repartir proporcionalmente o prejuízo, ainda que a vítima tenha sido induzida a instalar programa fraudulento no celular.

A lógica é coerente com o resto: se a instituição validou operação que não correspondia ao perfil, o defeito é dela, e o fato de a vítima ter caído na conversa não divide a conta.

Ou seja, a mesma prova serve para duas coisas. Demonstrar incompatibilidade com o perfil sustenta a responsabilidade e, ao mesmo tempo, derruba a tese de culpa concorrente.

Quando a vítima autoriza a transação

Aqui está a parte mais desconfortável, e ela precisa ser dita sem maquiagem.

Em golpe de engenharia social, a vítima autoriza. Digita a senha, confirma a biometria, aprova a operação. Do ponto de vista do sistema, tudo funcionou. Não houve invasão, não houve falha de autenticação.

Isso não afasta automaticamente a responsabilidade, porque a discussão não é sobre autenticação, é sobre detecção. A pergunta continua sendo se a operação destoava. Alguém que nunca transferiu mais de R$ 500 e faz três Pix de R$ 8 mil em vinte minutos, de madrugada, para contas novas, autenticou corretamente e mesmo assim produziu um padrão que qualquer sistema de monitoramento deveria acender.

Mas também não garante nada, e o caso de julho de 2026 mostra por quê. Lá, parte do prejuízo veio de uma transferência de R$ 28 mil feita pessoalmente na agência, no dia seguinte. Difícil sustentar falha de detecção em operação assistida por funcionário, no balcão, com a cliente presente.

Há ainda o caso em que a vítima não autorizou coisa nenhuma e a credencial usada era mesmo dela, porque o computador estava infectado. A defesa da instituição ali é a mesma, autenticação válida. A resposta também é a mesma: credencial legítima não diz nada sobre a operação ser compatível com o cliente. Tratamos disso em infostealer.

Como a Resolução 501 mexe nisso

A Resolução BCB 501/2025 não trata de responsabilidade civil, mas muda o pano de fundo da discussão.

Ela criou o dever de rejeitar transação destinada a conta com fundada suspeita de envolvimento em fraude, e o Banco Central esclareceu que não fixou requisitos mínimos para essa avaliação, deixando cada instituição definir seus critérios, com registro do que embasou cada decisão.

Junte as duas coisas. De um lado, jurisprudência que cobra identificação de operação atípica. De outro, regulação que impõe dever de avaliar e de registrar. O resultado é que a instituição passa a ter mais obrigações documentadas para cumprir, e, com elas, mais material que pode ser confrontado quando a decisão for questionada.

O que isso exige de prova, dos dois lados

Se a discussão é compatibilidade com o perfil, então o caso se ganha ou se perde em documento e registro técnico, não em argumento.

Do lado de quem alega falha: histórico de movimentação dos meses anteriores, para estabelecer o padrão; detalhe das operações questionadas, com horário, valor, destino e canal; evidência de acesso remoto ou de dispositivo estranho, quando houver; registro do que a instituição fez ou deixou de fazer diante dos alertas.

Do lado da instituição: demonstração dos controles existentes, das regras de monitoramento aplicadas àquela conta, dos alertas gerados e tratados, e do cumprimento dos deveres de verificação na abertura, que é exatamente o que afastou a responsabilidade no caso de 2024.

Nos dois casos, o material só existe se tiver sido preservado. É por isso que o que a vítima faz nas primeiras horas determina o que será possível discutir dois anos depois.

O que não está decidido

Sendo honesto sobre os limites:

• Não há tema repetitivo pacificando a matéria até a data desta publicação. São julgados de turma, com peso persuasivo, não vinculante.
• O critério de compatibilidade não tem métrica. Ninguém definiu quanto uma operação precisa destoar para ser atípica, e isso muda de caso para caso.
• A própria coerência das decisões é criticada. Publicações jurídicas apontaram incoerências na linha adotada pela Terceira Turma em matéria de falsa central, e o debate segue.
• Instituição de pagamento e banco tradicional nem sempre são tratados igual, e a extensão desses deveres a arranjos diferentes ainda está sendo construída.

Quem prometer certeza sobre esse assunto está vendendo alguma coisa. O que dá para afirmar com segurança é mais modesto e mais útil: a chance de êxito depende de conseguir demonstrar, tecnicamente, que a operação destoava do padrão e que a instituição tinha como ver isso.