Imagem: Envato
O golpe de Pix já tirou quase R$ 3 bilhões do bolso do brasileiro em dois anos, segundo a Febraban. E a dúvida que mais chega aos escritórios de advocacia não é mais como evitar cair no golpe. É quem paga a conta depois que ele já aconteceu.
O golpe quase sempre segue o mesmo roteiro. Um telefonema, uma mensagem, alguém se passando pela central do banco, um tom de urgência forçado. E a vítima faz a transferência com as próprias mãos, no próprio celular, com a própria senha. Às vezes, é a poupança inteira que vai embora. Formalmente, quem autorizou a transação foi o cliente. E, por anos, os bancos usaram exatamente esse argumento para não pagar nada: se foi o correntista quem digitou a senha, o problema é dele.
O STJ (Superior Tribunal de Justiça) nunca comprou essa lógica de graça. A Súmula 479 e o Tema 466 dos recursos repetitivos consolidaram um entendimento simples: o banco responde objetivamente por fraude cometida por terceiro dentro da própria operação. É a teoria do fortuito interno. Fraude faz parte do risco do negócio bancário, não é um imprevisto que dá para jogar nas costas do cliente.
Só que as decisões mais recentes vieram afinar esse entendimento. Hoje o STJ separa duas situações bem diferentes. Se a fraude explorou uma falha de segurança do próprio banco, como sistema fraco, nenhum filtro para transação fora do padrão, zero verificação, a responsabilidade continua objetiva e o banco indeniza. Agora, se a transação golpeada era igualzinha ao que o cliente sempre fez, sem nada de estranho que um sistema decente devesse ter percebido, a Corte já decidiu que não dá para responsabilizar o banco automaticamente. Isso não quer dizer que o banco ficou livre de qualquer cobrança. Quer dizer que ele só responde quando deixou de fazer o mínimo que a tecnologia já permite hoje: olhar o padrão da transação em tempo real e desconfiar do que foge da rotina do cliente.
Na prática, isso muda tudo para quem vai brigar na Justiça. Não basta mais dizer que caiu num golpe e perdeu dinheiro. É preciso mostrar que aquela transação destoava do padrão do cliente: valor bem maior que o normal, horário estranho, destinatário nunca usado antes, várias transferências seguidas num intervalo curto. E mostrar que o banco, mesmo vendo esses sinais, não fez nada. O problema é que só o banco tem acesso a esses dados de comportamento — o cliente não tem como provar isso sozinho. Por isso, acho que a inversão do ônus da prova devia valer aqui também: quem prova que o padrão era normal é o banco, não o cliente que teria que provar que não era.
O Banco Central também se mexeu. Desde fevereiro de 2026, vale um pacote novo de regras de segurança do Pix, com destaque para o MED 2.0, a versão reforçada do Mecanismo Especial de Devolução. Na prática, ele permite bloquear o dinheiro do golpe enquanto ainda está em trânsito entre bancos e devolver ao consumidor sem precisar entrar com ação. Funciona como um botão de emergência regulatório: obriga banco e instituição de pagamento a agir rápido diante de indício de fraude, sob pena de ficar com o prejuízo na mão.
Para o mercado, o recado é claro: prevenção contra fraude parou de ser diferencial e virou obrigação. Quem não investir em análise de comportamento de transação, autenticação mais esperta e integração com o MED vai continuar perdendo ação, e agora com critério bem mais definido do que conta como falha. Para o consumidor, vale o alerta oposto: a proteção não é cheque em branco. Ignorar sinal óbvio de golpe, ou passar senha e código para quem liga se dizendo do banco, ainda pode ser considerado culpa exclusiva da vítima e isso, pelo próprio CDC (Código de Defesa do Consumidor), tira a responsabilidade do banco.
No fim das contas, o golpe do Pix não é só um problema de tecnologia. É uma pergunta sobre até onde vai o dever de cuidado de quem ganha dinheiro com a velocidade de um sistema de pagamento instantâneo. O STJ não está dando resposta fácil para nenhum dos dois lados: nem responsabiliza o banco sempre, nem livra ele sempre. E talvez seja mesmo assim que deveria ser. Cada caso depende de prova, não de regra pronta.
Valéria Toriyama é especialista em governança, compliance e direito societário.
*Este texto reproduz a opinião do autor e não reflete necessariamente o posicionamento da Mercado&Consumo.
Fonte: Mercado&Consumo
