Phishing: quando o banco não indeniza a vítima, segundo a Justiça

Cair em um golpe de phishing — aquele em que o criminoso se passa por banco, empresa ou órgão público para roubar dados e dinheiro — costuma gerar duas perguntas imediatas: o banco vai devolver o valor? E se não devolver, quando isso é legal? A resposta curta é que, na maioria dos casos, a instituição financeira é obrigada a ressarcir o cliente. Mas existem hipóteses, cada vez mais reconhecidas pelos tribunais, em que a Justiça entende que a culpa foi exclusivamente do consumidor — e, nessas situações, o prejuízo fica com a vítima.

Este guia explica, em linguagem simples, quais são os critérios que a Justiça brasileira usa para separar o que é falha do banco do que é descuido do próprio cliente, quando cabe indenização, quando ela é negada e o que a vítima de phishing deve fazer nas primeiras horas após perceber o golpe. O objetivo é claro: quem entende as regras se protege melhor e sabe exatamente como reagir se um dia for alvo desse tipo de fraude.

O que é phishing e por que ele muda a lógica da responsabilidade bancária

Phishing é o nome dado ao golpe em que o criminoso 'pesca' informações da vítima. Isso pode acontecer por SMS falso, e-mail imitando o banco, link enviado por WhatsApp, ligação telefônica em que alguém se apresenta como funcionário da instituição, ou até páginas clonadas de internet banking. O elemento central é sempre o mesmo: o próprio cliente, acreditando estar diante de um canal legítimo, fornece dados sensíveis como senha, token, código de aprovação de transação ou biometria.

Justamente por partir de uma ação da vítima, o phishing coloca em choque duas regras jurídicas importantes. De um lado, o Código de Defesa do Consumidor prevê que o fornecedor de serviços responde independentemente de culpa pelos danos causados por falhas na prestação — e a jurisprudência consolidada equipara fraudes bancárias a fortuito interno, ou seja, risco da atividade do banco. De outro, o mesmo Código prevê que a responsabilidade é afastada quando fica comprovada a culpa exclusiva do consumidor.

É na fronteira entre esses dois pontos que os juízes vêm decidindo os casos de phishing.

Quando o banco é obrigado a indenizar a vítima

A regra geral continua favorável ao cliente. Se a fraude só foi possível porque o sistema do banco falhou em algum ponto — permitiu operações fora do padrão de comportamento, não aplicou dupla checagem em transferências atípicas, autorizou empréstimo em segundos sem confirmação adicional, deixou passar login em dispositivo desconhecido — a Justiça costuma reconhecer a responsabilidade da instituição.

Alguns cenários em que o ressarcimento tende a ser determinado:

Transferências, PIX ou empréstimos consignados contratados a partir de dispositivos que a vítima nunca usou, sem que o banco tenha exigido validação adicional.
Operações realizadas em horário e valor completamente incompatíveis com o histórico do correntista.
Falhas em sistemas de segurança do próprio aplicativo, invasão de conta sem qualquer entrega de dados pelo cliente ou clonagem de chip com falha da operadora e do banco em identificar o desvio.
Golpes em que o criminoso conseguiu passar por todas as camadas de autenticação do banco sem que a vítima tenha informado senha ou token.

Nessas situações, prevalece a lógica de que a segurança das operações é dever da instituição, e o eventual descuido pontual do consumidor não rompe o nexo entre a falha do serviço e o prejuízo.

Quando o banco não indeniza: os critérios da culpa exclusiva do consumidor

O ponto novo — e que tem chamado atenção em decisões recentes — é a delimitação mais rigorosa do que os tribunais vêm chamando de culpa exclusiva do consumidor em casos de phishing. A tese é a seguinte: se a vítima, mesmo diante de sinais evidentes de fraude, entregou voluntariamente informações que só ela deveria conhecer, e se o banco cumpriu todos os protocolos de segurança que lhe cabiam, não há falha do serviço a indenizar.

Entre os elementos que costumam pesar contra o consumidor em juízo estão:

Fornecimento espontâneo de senha, token ou código de aprovação para terceiros por telefone, aplicativo de mensagens ou site suspeito, mesmo após avisos reiterados do banco de que essas informações não são solicitadas por esses canais.
Instalação de aplicativos de acesso remoto (do tipo que permite a outra pessoa controlar o celular) a pedido do golpista, geralmente sob a desculpa de 'suporte técnico' ou 'atualização de segurança'.
Autorização, dentro do próprio aplicativo do banco, de operações que exigem múltiplas confirmações, incluindo biometria e senha, em sequência clara e sem sinais de invasão externa.
Ignorar alertas explícitos exibidos pelo aplicativo antes de concluir a transação, como avisos de nova chave PIX cadastrada, novo dispositivo, valor incomum ou beneficiário desconhecido.
Repetição do padrão de risco após o banco já ter bloqueado tentativas anteriores e comunicado a suspeita de fraude ao cliente.

Nesses casos, os tribunais têm entendido que a instituição fez o que estava ao seu alcance e que a fraude só se consumou porque a vítima, ainda que enganada, executou pessoalmente cada etapa da operação. O resultado é a negativa da indenização — e, quando o valor envolve empréstimo consignado, aposentado ou pensionista pode continuar com a dívida em aberto.

Isso não significa, é importante frisar, que caiu por terra a proteção do consumidor. Significa que os juízes passaram a analisar caso a caso, cobrando do banco a prova de que os sistemas funcionaram e do cliente a demonstração de que não foi o elo mais fraco da corrente.

O papel das normas do Banco Central e o que o banco precisa provar

As instituições financeiras não podem simplesmente alegar culpa do cliente para se eximir. Elas precisam demonstrar, com registros técnicos, que cumpriram as exigências de segurança aplicáveis a operações eletrônicas, incluindo autenticação, monitoramento de comportamento e comunicação de alertas.

As regulamentações do Banco Central determinam padrões mínimos de segurança cibernética, gestão de riscos e prevenção a fraudes que devem ser seguidos por bancos e demais instituições autorizadas a funcionar. Quando o processo chega ao Judiciário, o juiz costuma exigir logs de acesso, relatórios de dispositivo, geolocalização, histórico de transações e comprovação de que os sistemas antifraude foram acionados. Se o banco não apresenta essa documentação — ou se ela mostra que houve brechas —, a tendência volta a ser favorável ao consumidor, ainda que a vítima tenha, em algum momento, clicado em um link falso.

Ou seja: mesmo o cliente que caiu em phishing pode ganhar a ação se ficar demonstrado que o banco falhou em detectar o comportamento atípico ou em oferecer camadas de proteção compatíveis com a operação realizada.

O que fazer se você foi vítima de phishing

A reação nas primeiras horas é decisiva, tanto para tentar recuperar o dinheiro quanto para construir a prova que será usada em uma eventual ação judicial. O passo a passo recomendado é:

Registre boletim de ocorrência imediatamente, preferencialmente pela delegacia eletrônica do seu estado, descrevendo com detalhes o golpe, o valor, o horário e como o contato do criminoso foi feito.
Comunique o banco pelos canais oficiais — aplicativo, telefone impresso no cartão ou agência — e peça número de protocolo de contestação. Solicite bloqueio de conta, cartão e chaves PIX, se for o caso.
Peça formalmente o Mecanismo Especial de Devolução do PIX quando a fraude envolver essa modalidade. O pedido deve ser feito o mais rápido possível para aumentar as chances de bloqueio do valor na conta destino.
Preserve todas as provas: prints da conversa com o golpista, número que ligou, e-mails, links recebidos, extratos e horários. Não apague nada.
Procure o Procon e, se necessário, um advogado ou a Defensoria Pública para avaliar ação de repetição de valores e danos morais, especialmente se o golpe resultou em empréstimo consignado indevido.

No caso específico de aposentados e pensionistas que tiveram consignado contratado por fraude, também é possível registrar contestação diretamente junto ao INSS, além de exigir do banco a prova de que a contratação seguiu todos os protocolos de identificação exigidos.

Como reduzir o risco de cair em phishing

A melhor forma de não depender de uma decisão judicial é evitar a fraude. Algumas atitudes simples funcionam como filtro contra a grande maioria dos golpes:

Desconfie de qualquer contato — SMS, ligação, e-mail, WhatsApp — que peça senha, token, código de aprovação ou instalação de aplicativos. Bancos e o INSS não solicitam essas informações por esses canais.
Não clique em links recebidos. Prefira sempre digitar o endereço oficial no navegador ou abrir o aplicativo direto no celular.
Ative todas as camadas de autenticação disponíveis: biometria, notificações de transação, limites reduzidos para PIX noturno e confirmação por dispositivo.
Confira o remetente real de e-mails e o número que originou uma ligação. Falsificação de identidade visual é trivial; falsificação de operação bancária real, não.
Sempre que houver dúvida, encerre o contato e ligue você mesmo para o telefone impresso no verso do cartão ou informado no site oficial do banco.

Conclusão: proteção do consumidor continua, mas responsabilidade é dividida

A leitura mais precisa do momento é esta: a Justiça brasileira continua tratando fraudes bancárias como risco da atividade e mantendo, em regra, o dever de o banco indenizar. O que mudou é o rigor na análise. Quando fica claro que a vítima entregou voluntariamente todas as chaves da conta — mesmo enganada por um golpista habilidoso — e que o banco cumpriu os protocolos de segurança, a culpa exclusiva do consumidor passou a ser reconhecida, e a indenização, negada.

Para o cidadão, o recado prático é duplo. Primeiro, tratar dados bancários com o mesmo cuidado que se trata da chave de casa: ninguém legítimo vai pedi-los por telefone ou link. Segundo, se algo der errado, agir rápido, documentar tudo e usar todos os canais disponíveis — banco, Banco Central, delegacia, Procon e Judiciário. É a combinação de prevenção e reação bem feita que, hoje, faz a diferença entre recuperar o dinheiro e arcar com o prejuízo.

Referências

Consultor Jurídico (Conjur) — decisões recentes sobre culpa exclusiva do consumidor em casos de phishing.
Resoluções do Banco Central sobre segurança cibernética, autenticação e prevenção a fraudes em operações eletrônicas.