Sua empresa pode responder por uma fraude que não cometeu?

A transformação digital modificou profundamente a maneira como as empresas negociam, recebem pagamentos, contratam serviços e se relacionam com seus clientes. Operações que anteriormente exigiam atendimento presencial, conferência documental e procedimentos bancários específicos passaram a ser realizadas em poucos segundos, por aplicativos, plataformas eletrônicas e sistemas automatizados. Essa evolução trouxe ganhos expressivos de eficiência, mas também criou novas oportunidades para a atuação de fraudadores. Boletos falsificados, mensagens enviadas por perfis que imitam empresas legítimas, alterações fraudulentas de dados bancários e golpes praticados mediante engenharia social tornaram-se riscos relevantes para organizações de diferentes portes e setores. Nesse cenário, uma questão jurídica merece atenção especial: quando uma fraude é praticada por terceiros, a empresa envolvida na relação comercial pode ser obrigada a reparar os prejuízos sofridos pelo cliente?

A resposta não é uniforme. O ordenamento jurídico brasileiro não estabelece que toda empresa deva responder automaticamente por qualquer fraude relacionada ao seu nome, à sua marca ou aos seus serviços. Entretanto, também não permite que a organização se exonere de responsabilidade simplesmente porque a conduta fraudulenta foi executada por uma pessoa estranha aos seus quadros. A solução depende da natureza da relação jurídica, da existência de falha na prestação do serviço, dos deveres de segurança envolvidos, do comportamento das partes e da comprovação do nexo causal entre a atividade empresarial e o dano. A distinção é essencial para evitar tanto a responsabilização indiscriminada quanto a transferência injustificada dos riscos da atividade econômica para consumidores e parceiros comerciais.

A dimensão do problema justifica a preocupação. Segundo a Federação Brasileira de Bancos (Febraban), pesquisas realizadas nos últimos anos identificaram a expansão de modalidades de fraude baseadas na manipulação do comportamento das vítimas, especialmente por meio de contatos telefônicos, mensagens eletrônicas e falsas solicitações de atualização cadastral. A atuação criminosa não depende necessariamente de sofisticadas invasões tecnológicas. Em muitos casos, basta convencer uma pessoa a fornecer informações, autorizar uma operação ou realizar um pagamento para uma conta controlada por terceiros. O desenvolvimento de ferramentas de inteligência artificial acrescenta complexidade ao cenário, pois permite produzir mensagens, imagens e áudios capazes de reproduzir com maior fidelidade a identidade visual ou a voz de pessoas conhecidas.

A consequência jurídica dessa realidade é significativa. A segurança digital deixou de ser assunto exclusivo dos departamentos de tecnologia e passou a integrar as obrigações de gestão, controle interno e prevenção de riscos. Uma empresa que utiliza canais eletrônicos para receber pagamentos ou transmitir instruções financeiras precisa avaliar não apenas a eficiência desses mecanismos, mas também sua capacidade de evitar falhas previsíveis, identificar operações suspeitas e orientar adequadamente os usuários.

O que determina a responsabilidade da empresa?

O primeiro passo consiste em identificar o regime jurídico aplicável. Nas relações de consumo, o artigo 14 do Código de Defesa do Consumidor estabelece a responsabilidade objetiva do fornecedor de serviços pelos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua utilização e riscos. Isso significa que, presentes os pressupostos legais, não é necessário demonstrar culpa do fornecedor. É indispensável, contudo, verificar a existência de defeito do serviço, dano e nexo causal. O próprio dispositivo prevê hipóteses de exclusão de responsabilidade, entre elas a inexistência do defeito e a culpa exclusiva do consumidor ou de terceiro.

A responsabilidade objetiva não deve ser confundida com responsabilidade ilimitada. Uma instituição ou empresa pode ser obrigada a indenizar quando a fraude decorrer de vulnerabilidade inserida no risco de sua atividade, de falha nos mecanismos de segurança ou de inadequação do serviço oferecido. Por outro lado, quando a fraude ocorre em ambiente completamente estranho à atuação do fornecedor, sem defeito demonstrado e sem relação causal juridicamente relevante com sua atividade, a responsabilização pode não se justificar. O exame deve considerar as circunstâncias concretas e não apenas o fato de o nome da empresa ter sido utilizado pelo criminoso.

Nas relações estritamente empresariais, a análise pode assumir características distintas. O Código Civil, especialmente nos artigos 186, 187 e 927, disciplina a responsabilidade decorrente de atos ilícitos e abuso de direito, enquanto o artigo 422 estabelece a exigência de boa-fé objetiva na formação e execução dos contratos. Os deveres de lealdade, informação, cooperação e proteção podem ser relevantes quando uma das partes deixa de adotar providências razoavelmente esperadas para evitar danos à outra. A incidência do CDC sobre determinada pessoa jurídica, por sua vez, dependerá do enquadramento da relação de consumo e da interpretação jurisprudencial aplicável, inclusive quanto à vulnerabilidade em situações específicas.

Considere o caso de uma distribuidora que recebe uma mensagem aparentemente enviada por seu fornecedor habitual, informando alteração da conta bancária para pagamento de uma fatura. O e-mail utiliza identidade visual semelhante à original, menciona corretamente o número do pedido e apresenta dados comerciais verdadeiros. A distribuidora realiza a transferência e, dias depois, descobre que o fornecedor não recebeu os valores. A definição de responsabilidade exigirá apurar como o fraudador obteve as informações, se houve comprometimento dos sistemas de alguma das empresas, quais procedimentos de confirmação estavam previstos contratualmente e se as partes adotaram medidas compatíveis com o risco da operação. A simples utilização indevida da marca do fornecedor não basta, isoladamente, para demonstrar sua responsabilidade.

O mesmo raciocínio se aplica a boletos fraudulentos. Se o documento falso foi encaminhado por meio de um canal oficial comprometido, a situação jurídica poderá ser diferente daquela em que o consumidor recebeu uma cobrança de remetente desconhecido, sem qualquer relação comprovada com os sistemas do fornecedor. A origem da comunicação, a correspondência entre os dados do pagamento e a operação legítima, a existência de alertas de segurança e a conduta das partes constituem elementos relevantes para a análise.

O entendimento do STJ: a fraude de terceiro nem sempre afasta a indenização

A jurisprudência do Superior Tribunal de Justiça oferece parâmetros importantes para compreender essa distinção. A Súmula 479 estabelece a responsabilidade objetiva das instituições financeiras pelos danos decorrentes de fortuito interno relacionado a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. O fundamento é o risco inerente à atividade desenvolvida. Quando a fraude integra os riscos que a instituição deve administrar e se relaciona a defeito de seus serviços, a atuação de um criminoso não é suficiente, por si só, para afastar o dever de indenizar. É necessário ressaltar, contudo, que o enunciado trata especificamente das instituições financeiras, não podendo ser automaticamente estendido a toda empresa comercial, industrial ou prestadora de serviços sem a análise do regime jurídico correspondente.[1]

SCon

Em outubro de 2025, a Terceira Turma do STJ examinou casos relacionados ao chamado golpe da falsa central de atendimento e reconheceu a responsabilidade de instituições financeiras e de pagamento diante de falhas que permitiram a realização de operações suspeitas. Em um dos processos, o consumidor sofreu prejuízo de aproximadamente R$ 143 mil em pagamentos indevidos, além de operações de crédito relacionadas à fraude. O tribunal destacou a necessidade de mecanismos capazes de identificar movimentações incompatíveis com o perfil habitual do cliente, considerando fatores como valores, horários, frequência das transações e contratação de empréstimos imediatamente antes de pagamentos atípicos. O julgamento dos Recursos Especiais nº 2.222.059/SP e nº 2.229.519 reforçou que a segurança esperada do serviço não se limita à exigência de senha ou à autenticação formal da operação.[2]

STJ

A orientação, entretanto, não significa que toda vítima de golpe bancário tenha direito automático à restituição. Em julho de 2026, o próprio STJ divulgou julgamento da Terceira Turma no Recurso Especial nº 2.209.868, no qual foi afastada a responsabilidade de uma instituição financeira por fraude praticada mediante falsa central de atendimento. No caso, as instâncias ordinárias não identificaram operações incompatíveis com o perfil da cliente nem falha demonstrada no serviço. Parte das transferências foi realizada pela própria consumidora, inclusive uma operação presencial em agência bancária. A decisão evidencia que o reconhecimento da responsabilidade objetiva não dispensa a análise do defeito do serviço e do nexo causal.[3]

STJ

Outro precedente relevante é o Recurso Especial nº 2.215.907/SP, julgado em setembro de 2025. Nesse caso, o STJ considerou que a utilização de páginas falsas ou imitadas, pelas quais consumidores fornecem voluntariamente dados posteriormente utilizados em fraude, pode caracterizar fortuito externo quando não se demonstra falha atribuível à instituição financeira e a fraude não é comunicada a tempo de permitir sua prevenção. A conclusão dependeu das circunstâncias examinadas no processo, não constituindo autorização genérica para afastar a responsabilidade bancária em qualquer situação de engenharia social.[4]

Jurisprudência do STJ

Mais recentemente, em setembro de 2026, o STJ voltou a examinar a questão no Recurso Especial nº 2.269.747/DF, reafirmando que a validação de operações atípicas pode configurar defeito na prestação do serviço. A análise desses precedentes demonstra que o elemento decisivo não é simplesmente identificar quem executou materialmente a fraude, mas verificar se a atividade do fornecedor contribuiu juridicamente para a produção do dano, mediante falha de segurança ou descumprimento de deveres de proteção.[5]

Jurisprudência do STJ

A proteção de dados também integra o dever de segurança

A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018, acrescenta outra dimensão ao problema. Seu artigo 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Os artigos 42 a 45 disciplinam aspectos da responsabilidade e do ressarcimento de danos decorrentes de atividades de tratamento de dados pessoais, observados os pressupostos e as hipóteses legais aplicáveis. A LGPD não estabelece responsabilidade automática por toda fraude que envolva informações pessoais, mas impõe deveres cuja inobservância pode ser relevante para a apuração de responsabilidade civil e administrativa.

Imagine uma empresa de comércio eletrônico que mantenha informações cadastrais, histórico de pedidos, endereços e dados de contato de seus consumidores. Se criminosos obtiverem acesso indevido a essas informações e passarem a enviar cobranças fraudulentas contendo detalhes verdadeiros das compras, será necessário investigar a origem do vazamento e a adequação das medidas de segurança adotadas. A utilização de dados autênticos pelos fraudadores não comprova, isoladamente, que houve falha daquela empresa, pois as informações podem ter sido obtidas por outras fontes. Contudo, se ficar demonstrado que a exposição decorreu de vulnerabilidade atribuível à organização ou a agente por ela contratado, a análise jurídica poderá envolver tanto a LGPD quanto as normas de responsabilidade civil e consumerista.

Também merece atenção o papel dos fornecedores de tecnologia. A contratação de serviços de armazenamento em nuvem, plataformas de atendimento, ferramentas de automação ou sistemas de cobrança não elimina os deveres jurídicos da empresa contratante. A distribuição de responsabilidades dependerá da posição de cada agente no tratamento de dados, das obrigações assumidas e da legislação aplicável. Contratos devem estabelecer requisitos mínimos de segurança, procedimentos de comunicação de incidentes, regras de acesso às informações, responsabilidades operacionais e mecanismos de cooperação diante de suspeitas de fraude.

A Resolução CD/ANPD nº 15/2024 regulamenta a comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares de dados pessoais. Nas hipóteses abrangidas pela norma, o controlador deve observar os procedimentos e prazos regulamentares para comunicação à autoridade e aos titulares. Nem todo golpe cometido contra um cliente constitui, automaticamente, incidente de segurança comunicável pela empresa. A obrigação depende da ocorrência de incidente envolvendo dados pessoais sob sua responsabilidade e do enquadramento nos critérios normativos. Essa distinção evita tanto a omissão diante de situações relevantes quanto a interpretação equivocada de que qualquer fraude externa representa, necessariamente, violação da LGPD.[6]

Como as empresas podem reduzir os riscos jurídicos

A prevenção de fraudes digitais exige medidas proporcionais à natureza e ao volume das operações realizadas. Empresas que recebem pagamentos eletrônicos devem estabelecer canais oficiais de comunicação, procedimentos para confirmação de alterações bancárias e mecanismos de identificação de solicitações incomuns. Mudanças de conta para recebimento de valores, especialmente quando comunicadas por e-mail ou aplicativo de mensagens, devem ser confirmadas por canal independente, previamente conhecido pelas partes. A simples resposta à mensagem suspeita não constitui confirmação segura, pois o próprio canal pode estar comprometido.

É recomendável que contratos empresariais estabeleçam procedimentos para alteração de dados de pagamento, identificação dos representantes autorizados e comunicação de incidentes. Também é importante definir responsabilidades operacionais entre os setores financeiro, comercial e de tecnologia. A ausência de regras internas pode permitir que uma única mensagem fraudulenta seja suficiente para modificar o destino de um pagamento expressivo.

Os mecanismos de autenticação, a limitação de acessos, o monitoramento de atividades incomuns e o treinamento periódico de colaboradores integram essa estrutura preventiva. Entretanto, não basta possuir políticas formalmente aprovadas. É necessário demonstrar sua aplicação efetiva, atualizar os procedimentos diante de novos riscos e conservar registros que permitam compreender o funcionamento dos controles. Em eventual discussão judicial, a documentação das medidas adotadas poderá contribuir para esclarecer se houve falha de segurança, qual era o risco previsível e como a organização reagiu ao incidente.

Quando a fraude já ocorreu, a resposta deve ser imediata e coordenada. A empresa precisa preservar mensagens, comprovantes, registros de acesso e demais elementos relacionados ao fato, comunicar as instituições financeiras envolvidas e avaliar as providências administrativas, policiais e judiciais cabíveis. Nas operações realizadas por Pix, o Banco Central prevê o Mecanismo Especial de Devolução (MED), destinado a situações específicas de fraude e falha operacional. Seu acionamento deve ocorrer pelos canais da instituição financeira, observadas as regras aplicáveis, e não representa garantia de recuperação integral dos valores.

A apuração interna também deve considerar os efeitos sobre terceiros. Se houver indícios de comprometimento de dados pessoais, será necessário avaliar as obrigações decorrentes da LGPD e da regulamentação da ANPD. Se a fraude envolver documentos contratuais ou instruções de pagamento, será indispensável verificar a autenticidade das comunicações e a participação de cada envolvido. O objetivo não deve ser apenas identificar o criminoso, mas compreender se existiu vulnerabilidade organizacional capaz de permitir a repetição do problema.

A segurança digital tornou-se parte da responsabilidade empresarial

A evolução das fraudes demonstra que a responsabilidade jurídica não pode ser examinada exclusivamente a partir da autoria material do golpe. Em determinadas situações, o criminoso atua explorando fragilidades de sistemas, processos e mecanismos de autenticação que integram o serviço oferecido pela empresa. Em outras, utiliza recursos externos sem que exista defeito comprovado na atividade do fornecedor. A distinção exige análise técnica, jurídica e probatória, especialmente diante de operações digitais que envolvem diferentes instituições e prestadores de serviços.

A jurisprudência do Superior Tribunal de Justiça confirma a importância dessa avaliação individualizada. O reconhecimento da responsabilidade objetiva em determinadas relações não transforma o fornecedor em segurador universal contra qualquer conduta criminosa. Da mesma forma, a participação de terceiros na fraude não elimina automaticamente a obrigação de reparar quando o dano estiver relacionado a falha de segurança ou a risco inerente à atividade desenvolvida.

Para o empresário, a principal consequência é a necessidade de incorporar a prevenção de fraudes à governança corporativa. A proteção de informações, a validação de pagamentos, a revisão de contratos tecnológicos e a preparação para incidentes devem integrar a administração cotidiana. A atuação jurídica preventiva permite identificar responsabilidades, estabelecer procedimentos e reduzir a exposição a prejuízos que podem comprometer não apenas o patrimônio da organização, mas também sua reputação e a confiança de clientes e parceiros.

O crescimento das operações digitais tornou inevitável a convivência com riscos tecnológicos. O que não pode ser considerado inevitável é a ausência de planejamento para enfrentá-los. A empresa que conhece seus processos, identifica vulnerabilidades e adota mecanismos proporcionais de segurança encontra melhores condições para prevenir danos e demonstrar o cumprimento de seus deveres legais.

A pergunta, portanto, não deve ser apenas se a empresa praticou a fraude, mas se cumpriu os deveres de segurança que a legislação e a natureza de sua atividade lhe impõem. É nessa análise que se encontra a diferença entre um prejuízo causado exclusivamente por terceiros e uma responsabilidade que também pode alcançar a organização.

Notas e fontes

1. BRASIL. Lei nº 8.078, de 11 de setembro de 1990 — Código de Defesa do Consumidor, art. 14 e § 3º. SUPERIOR TRIBUNAL DE JUSTIÇA. Súmula nº 479, Segunda Seção, julgada em 27 de junho de 2012. Consulta oficial à Súmula 479 do STJ.

2. SUPERIOR TRIBUNAL DE JUSTIÇA. REsp nº 2.222.059/SP e REsp nº 2.229.519. Terceira Turma. Julgamentos sobre falhas de segurança em golpes da falsa central de atendimento. Notícia oficial do STJ, 21 de outubro de 2025.

3. SUPERIOR TRIBUNAL DE JUSTIÇA. REsp nº 2.209.868. Terceira Turma. Julgamento sobre ausência de responsabilidade automática da instituição financeira em golpe da falsa central. Notícia oficial do STJ, 15 de julho de 2026.

4. SUPERIOR TRIBUNAL DE JUSTIÇA. REsp nº 2.215.907/SP. Terceira Turma. Julgado em 1º de setembro de 2025. Discussão sobre fortuito externo e rompimento do nexo causal em fraude por página falsa. Jurisprudência oficial do STJ.

5. SUPERIOR TRIBUNAL DE JUSTIÇA. REsp nº 2.269.747/DF. Terceira Turma. Julgado em 14 de setembro de 2026. Dever de segurança e operações bancárias atípicas. Consulta à jurisprudência do STJ.

6. BRASIL. Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais, especialmente arts. 42 a 46. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD nº 15, de 24 de abril de 2024, sobre comunicação de incidentes de segurança.

7. BRASIL. Lei nº 10.406, de 10 de janeiro de 2002 — Código Civil, especialmente arts. 186, 187, 422 e 927.

8. BRASIL. Lei nº 12.865, de 9 de outubro de 2013, art. 7º. Regras aplicáveis aos arranjos e instituições de pagamento, incluindo princípios relacionados à segurança e à proteção dos interesses dos usuários.

9. BANCO CENTRAL DO BRASIL. Regulamentação do Pix e do Mecanismo Especial de Devolução (MED), com procedimentos para contestação de operações em hipóteses de fraude e falha operacional.

10. SUPERIOR TRIBUNAL DE JUSTIÇA. Golpes virtuais, danos reais: o STJ diante das fraudes envolvendo instituições financeiras. Panorama jurisprudencial publicado em novembro de 2026.