Saiba quando existe responsabilidade do banco em golpe da falsa central contra empresas e o que fazer nas primeiras horas após a fraude.

A ligação chega numa sexta-feira à tarde, no ramal do financeiro, com prefixo 0800. O atendente se identifica pelo nome, cita o CNPJ correto, o nome do gerente da conta e o valor de um pagamento feito naquela manhã. Informa que há uma tentativa de fraude em curso e orienta o funcionário a transferir o saldo para uma conta de segurança, ou a autorizar uma operação de crédito para “bloquear” o limite antes que o criminoso o utilize. Em quarenta minutos a empresa perdeu o caixa da semana e ainda assumiu um empréstimo que nunca quis contratar.

A pergunta que chega ao escritório na segunda-feira seguinte é sempre a mesma: o banco devolve. A resposta exige bem mais do que a citação de uma súmula. Este artigo percorre o regime de responsabilidade aplicável quando a vítima é pessoa jurídica, a distinção entre fortuito interno e fortuito externo, o funcionamento do mecanismo de devolução do Pix, o ônus de comprovar a regularidade da operação e o que precisa ser feito nas primeiras horas para que o caso não se perca antes mesmo de ser discutido.

Por que a empresa virou alvo preferencial

O golpe da falsa central é uma fraude de engenharia social. O criminoso não invade sistema algum, ele manipula uma pessoa. E a estrutura de uma empresa oferece condições que o correntista pessoa física não oferece.

Primeiro, os limites transacionais são maiores, o que torna cada tentativa mais lucrativa. Segundo, o pagamento costuma ser executado por um funcionário do setor financeiro, e não pelo titular do capital, o que reduz a resistência natural de quem está movimentando dinheiro alheio sob pressão de um suposto setor de segurança. Terceiro, a empresa mantém rotina previsível de pagamentos, folha, fornecedores e tributos em datas conhecidas, o que permite ao fraudador construir um relato verossímil. Quarto, dados cadastrais empresariais circulam com facilidade, entre notas fiscais, certidões, contratos e cadastros públicos, de modo que o criminoso quase sempre chega à ligação sabendo o suficiente para parecer legítimo. Essa combinação explica por que o prejuízo empresarial médio é bem superior ao da fraude contra pessoa física, e por que a discussão jurídica costuma envolver, além da transferência, a contratação de crédito em nome da sociedade.

O regime de responsabilidade: fortuito interno e fortuito externo

A base do raciocínio está no artigo 14 do Código de Defesa do Consumidor, que impõe ao fornecedor a responsabilidade objetiva pelos defeitos na prestação do serviço, define como defeituoso o serviço que não oferece a segurança que dele razoavelmente se espera e admite a exclusão apenas mediante prova de inexistência do defeito ou de culpa exclusiva do consumidor ou de terceiro.

Sobre essa base, o Superior Tribunal de Justiça construiu a distinção que decide a maior parte dos casos. No julgamento dos recursos repetitivos que originaram o Tema 466, os REsp 1.197.929/PR e 1.199.782/PR, relatados pelo Ministro Luis Felipe Salomão e julgados pela Segunda Seção em 24 de agosto de 2011, fixou-se que as instituições bancárias respondem objetivamente pelos danos causados por fraudes ou delitos praticados por terceiros, porque tal responsabilidade decorre do risco do empreendimento e se caracteriza como fortuito interno. O entendimento foi depois sumulado no enunciado 479, aprovado pela Segunda Seção em 27 de junho de 2012.

Fortuito interno é o evento que, embora provocado por terceiro, pertence ao risco inerente à atividade explorada. Fortuito externo é aquele estranho a esse risco, que rompe o nexo causal. A controvérsia atual não está na existência da distinção, e sim em saber de que lado da linha cai a fraude em que a própria vítima, iludida, comanda a transferência.

A empresa é consumidora? A questão preliminar que muda tudo

Antes de discutir fortuito, é preciso definir o regime. A Súmula 297 do Superior Tribunal de Justiça afirma a aplicabilidade do Código de Defesa do Consumidor às instituições financeiras, o que resolve o problema para o correntista pessoa física, mas não para a sociedade empresária que utiliza a conta como instrumento de sua atividade produtiva. Aqui prevalece a teoria finalista, mitigada quando demonstrada vulnerabilidade no caso concreto, orientação firmada no REsp 1.195.642/RJ, relatado pela Ministra Nancy Andrighi e julgado pela Terceira Turma em 13 de novembro de 2012.

A distinção não é acadêmica. Reconhecida a vulnerabilidade técnica e informacional da empresa diante do banco, aplicam-se a responsabilidade objetiva do artigo 14 e a possibilidade de inversão do ônus da prova. Afastada essa qualificação, a discussão migra para o direito comum, e o fundamento passa a ser o parágrafo único do artigo 927 do Código Civil, que impõe reparação independentemente de culpa quando a atividade normalmente desenvolvida implicar, por sua natureza, risco para os direitos de outrem.

O resultado prático tende a convergir, mas o caminho probatório é diferente, e a petição inicial que ignora essa bifurcação começa em desvantagem. Vale acrescentar que, mesmo fora do regime consumerista, o dever de segurança tem assento regulatório próprio: a Resolução CMN 4.893, de 26 de fevereiro de 2021, obriga as instituições financeiras a manter política de segurança cibernética, e as instituições de pagamento, expressamente excluídas dessa resolução, submetem-se à disciplina específica do Banco Central, além do dever legal de assegurar a confiabilidade e a segurança das transações previsto no artigo 7º da Lei 12.865/2013.

O critério que hoje decide os casos: a atipicidade da operação

A jurisprudência recente deslocou o eixo do debate. A pergunta deixou de ser apenas quem digitou a senha e passou a ser se a operação era compatível com o histórico da conta e se o sistema antifraude do banco deveria tê-la detectado.

No REsp 2.052.228, relatado pela Ministra Nancy Andrighi na Terceira Turma, com acórdão publicado em 15 de setembro de 2023, o tribunal assentou que as instituições financeiras têm o dever de desenvolver mecanismos de segurança que identifiquem e obstem movimentações que destoem do perfil do cliente, e que a ausência de procedimentos de verificação para transações aparentemente ilegítimas configura defeito na prestação do serviço.

Essa linha foi reafirmada em outubro de 2025, quando a Terceira Turma, sob relatoria do Ministro Ricardo Villas Bôas Cueva, deu provimento a dois recursos de vítimas do golpe da falsa central, nos REsp 2.222.059 e 2.229.519. No julgamento, o colegiado indicou os elementos que o sistema antifraude deve ponderar, entre eles o valor, o horário e o local das transações, o intervalo entre uma e outra, a sequência e o meio utilizado, bem como a contratação de empréstimo atípico imediatamente antes de pagamentos suspeitos. Registrou ainda que a validação de operações alheias ao padrão de consumo evidencia defeito do serviço, e que a mesma exigência recai sobre bancos e instituições de pagamento.

A contrapartida veio pouco depois. Em julgamento cujo acórdão foi publicado em 24 de junho de 2026, no REsp 2.209.868, relatado pelo Ministro Humberto Martins, a Terceira Turma afirmou que a responsabilidade por prejuízos decorrentes do golpe da falsa central não é automática, e manteve acórdão que a afastara porque as transferências não eram incompatíveis com o histórico da conta e porque a operação de maior valor havia sido realizada presencialmente na agência, sem que a vítima buscasse esclarecimento com os funcionários. Nesse cenário, reconheceu-se culpa exclusiva da vítima e de terceiro, com ruptura do nexo causal, e afastou-se a incidência automática da Súmula 479 e do Tema 466.

A leitura conjunta dos dois grupos de precedentes fornece o critério de trabalho. Não existe devolução automática, nem exclusão automática. O que decide é a prova, produzida caso a caso, sobre a existência ou não de falha do serviço, e o elemento mais eloquente dessa prova costuma ser o confronto entre a movimentação questionada e o histórico dos meses anteriores.

O mecanismo especial de devolução e as primeiras horas

Paralelamente à discussão judicial existe um caminho administrativo que precisa ser acionado imediatamente, sob pena de a recuperação se tornar improvável. O mecanismo especial de devolução, conhecido pela sigla MED, está disciplinado no Regulamento do Pix, anexo à Resolução BCB nº 1, de 12 de agosto de 2020, e permite que a instituição debite recursos da conta do suposto fraudador sem autorização dele. O bloqueio cautelar, previsto no artigo 39-B do mesmo regulamento, permite que a instituição do recebedor retenha valores por até 72 horas quando houver suspeita de fraude.

A arquitetura do procedimento foi ampliada com a chamada recuperação de valores, que rastreia o dinheiro não apenas na conta de destino imediato, mas também nas transferências seguintes, elevando a chance de encontrar saldo bloqueável. O ponto operacional mais importante para a empresa é que a instituição do pagador deve abrir a recuperação de valores imediatamente após a reclamação, sem analisar previamente o mérito e sem exigir documentos de comprovação, como boletim de ocorrência. A análise vem depois. Quem aceita a instrução de “trazer o boletim de ocorrência para abrir o processo” perde as horas que decidem o caso.

Etapa	Quem age	Prazo
Abertura da recuperação de valores	Instituição do pagador, logo após a reclamação	A transação original deve ter no máximo 80 dias, e a abertura deve ser imediata
Bloqueio dos recursos	Instituições dos recebedores	Imediatamente após o recebimento da notificação de infração
Análise das notificações de infração	Instituições dos recebedores	Até 7 dias corridos
Início da etapa de devolução	Instituição do pagador	Até 72 horas após o encerramento da análise
Efetivação da devolução	Cada instituição recebedora	Até 6 horas por solicitação recebida
Bloqueio cautelar, via autônoma	Instituição do recebedor, por iniciativa própria	Até 72 horas de bloqueio para análise do caso

Três esclarecimentos evitam expectativas equivocadas. O mecanismo alcança golpes de engenharia social ainda que a transação tenha sido autorizada por senha ou biometria do próprio pagador, o que é exatamente a hipótese da falsa central. Ele não alcança, contudo, desacordo comercial nem valores que tenham ido parar na conta de terceiro de boa-fé, pois não se trata de estorno equivalente ao dos arranjos de cartão. E o esgotamento do procedimento não obriga a instituição a devolver com recursos próprios, motivo pelo qual a via administrativa e a judicial não são excludentes, e sim sucessivas.

Há ainda um detalhe relevante para a pessoa jurídica. A regulamentação impõe às instituições a disponibilização de funcionalidade de autoatendimento para contestação diretamente no aplicativo aos usuários pessoa física. A empresa, na prática, depende do canal de atendimento humano, o que torna indispensável o registro do número de protocolo, do horário e do nome do atendente já na primeira ligação. Esse protocolo será, mais tarde, a prova de que a comunicação foi tempestiva.

Quem tem o ônus de provar a regularidade da operação

Alegada a fraude, não cabe à empresa demonstrar um fato negativo, isto é, que não autorizou a operação. Cabe à instituição financeira comprovar a regularidade daquilo que executou, tanto porque detém com exclusividade os registros técnicos quanto porque, reconhecida a relação de consumo, incide a inversão do ônus da prova, e, fora dela, aplica-se a distribuição dinâmica prevista no artigo 373, parágrafo 1º, do Código de Processo Civil.

Na prática, a instrução do caso gira em torno de um acervo específico:

• Registros de acesso, endereço IP, identificação do dispositivo e geolocalização das operações contestadas.
• Extrato dos doze meses anteriores, para demonstrar o padrão habitual da conta.
• Comprovação de que o sistema antifraude foi acionado e qual foi o resultado da avaliação.
• Registro do protocolo de contestação e das providências adotadas no âmbito do mecanismo de devolução.
• Documentação da eventual operação de crédito contratada, com evidência do canal e do horário.
• Gravações do atendimento, quando a empresa contatou o banco no mesmo dia.

Se o banco não apresenta esses elementos, a alegação de culpa exclusiva da vítima permanece sem lastro probatório. Havendo recusa injustificada ao fornecimento, cabe a exibição de documentos prevista nos artigos 396 e seguintes do Código de Processo Civil, providência que costuma ser decisiva e que, em muitos casos, antecede o próprio ajuizamento da ação principal.

O empréstimo contratado pelo fraudador em nome da empresa

A modalidade mais gravosa do golpe não é a transferência, e sim a operação de crédito contratada durante o atendimento fraudulento. A empresa perde o saldo e ainda passa a figurar como devedora de um contrato que não celebrou, com parcelas em débito automático e risco de inscrição em cadastros restritivos.

O pedido, nesse cenário, é de declaração de inexigibilidade do contrato, com restituição dos valores debitados e cancelamento de eventuais apontamentos. Quanto ao dano extrapatrimonial, a Súmula 227 do Superior Tribunal de Justiça reconhece que a pessoa jurídica pode sofrer dano moral, o que pressupõe abalo à honra objetiva, ou seja, à imagem e à credibilidade da empresa perante o mercado. A inscrição indevida em cadastro de inadimplentes e o protesto indevido são as hipóteses em que esse abalo costuma ser reconhecido com maior facilidade. A alegação genérica de perda de credibilidade, desacompanhada de prova, tende a ser rejeitada.

Uma advertência prática merece destaque. É comum que a empresa, para preservar certidões, comece a pagar as parcelas do empréstimo fraudulento enquanto discute o caso. A conduta é compreensível, mas precisa ser documentada como pagamento sob reserva e acompanhada de contestação formal por escrito, sob pena de o comportamento ser lido como reconhecimento da dívida.

O que fazer nas primeiras horas

A qualidade do caso é definida em grande medida antes de qualquer advogado ser procurado. A sequência abaixo condensa as providências que preservam tanto a chance de recuperação quanto a prova.

• Contatar imediatamente a instituição pelo canal oficial e exigir a abertura da contestação, anotando protocolo, horário e nome do atendente.
• Não aguardar documentos para registrar a reclamação, pois a abertura do procedimento não depende deles.
• Solicitar por escrito o bloqueio dos valores e a suspensão de qualquer contrato de crédito celebrado durante o atendimento fraudulento.
• Preservar as evidências: registro da ligação recebida, capturas de tela, mensagens, comprovantes e a identificação do terminal utilizado.
• Registrar boletim de ocorrência, ainda que posteriormente, e reunir declaração escrita do funcionário que atendeu a ligação.
• Formalizar reclamação no canal do Banco Central caso a instituição não resolva a ocorrência.
• Requerer administrativamente a documentação técnica das operações, criando o registro da recusa caso ela ocorra.

Perguntas frequentes

O banco é obrigado a devolver o dinheiro no golpe da falsa central?

Não existe devolução automática. A responsabilidade do banco em golpe da falsa central depende da demonstração de falha na prestação do serviço, como a não identificação de operações incompatíveis com o perfil da conta ou a insuficiência dos mecanismos de segurança. O Superior Tribunal de Justiça já reconheceu o dever de indenizar em casos de movimentações claramente atípicas e já afastou a responsabilidade quando as transações se mostraram compatíveis com o histórico do cliente. Por isso o desfecho depende de prova, não de tese pronta.

A empresa vítima de fraude bancária é protegida pelo Código de Defesa do Consumidor?

Nem sempre. Como a empresa costuma utilizar os serviços bancários como insumo da própria atividade, aplica-se a teoria finalista, que só é mitigada quando demonstrada vulnerabilidade técnica, informacional ou econômica diante da instituição. Afastada a qualificação de consumidora, a empresa ainda pode fundamentar o pedido na responsabilidade por atividade de risco prevista no parágrafo único do artigo 927 do Código Civil e nos deveres de segurança impostos pela regulamentação do sistema financeiro.

Qual o prazo para pedir a devolução de um Pix feito sob golpe?

A abertura do procedimento de recuperação de valores exige que a transação original tenha ocorrido há no máximo 80 dias, e a instituição deve iniciá-lo imediatamente após a reclamação. Na prática, porém, o prazo relevante é muito menor, porque a chance de bloqueio depende de ainda existir saldo na conta do destinatário. Contatar o banco nos primeiros minutos aumenta substancialmente a probabilidade de recuperação, e a regulamentação não condiciona a abertura à apresentação de boletim de ocorrência.

E se o fraudador contratou um empréstimo em nome da empresa?

A empresa pode pleitear a declaração de inexigibilidade do contrato, a restituição das parcelas debitadas e o cancelamento de apontamentos em cadastros restritivos. Se houver negativação indevida, é possível discutir dano moral, já que a Súmula 227 do Superior Tribunal de Justiça admite que a pessoa jurídica sofra dano dessa natureza, desde que demonstrado o abalo à sua honra objetiva. Enquanto a discussão tramita, eventuais pagamentos devem ser feitos sob reserva expressa e acompanhados de contestação formal.

Ter fornecido a senha afasta o direito da empresa?

Não necessariamente. A regulamentação do Pix admite expressamente o pedido de devolução em golpes de engenharia social, ainda que a transação tenha sido autorizada por senha ou biometria do próprio pagador. No plano judicial, o fornecimento de credenciais é ponderado junto com os demais elementos, e não decide isoladamente o caso. O que pesa é o conjunto: atipicidade das operações, atuação do sistema antifraude, tempo de reação da empresa e prova produzida pela instituição sobre a regularidade do que executou.

Como o escritório pode contribuir

Casos de fraude bancária contra empresas se ganham ou se perdem na documentação, e a janela para produzi-la é curta. Se a sua empresa passou por uma situação como as descritas acima, entenda como nossa equipe pode auxiliar na análise da ocorrência, na obtenção dos registros técnicos junto à instituição e na definição da estratégia adequada ao caso. Entre em contato para uma conversa inicial.