O banco responde, independentemente de culpa, pelos danos causados por fraudes de terceiros que configurem fortuito interno, isto é, risco ligado à própria atividade bancária, segundo a Súmula 479 do Superior Tribunal de Justiça (STJ) e o art. 14 do Código de Defesa do Consumidor (CDC). Nos golpes de engenharia social, em que a própria vítima faz as operações, porém, o STJ tem exigido prova de falha no serviço, como a falta de bloqueio de operações incompatíveis com o perfil do cliente. Em paralelo, o Banco Central do Brasil (BC) mantém o Mecanismo Especial de Devolução (MED), que ganhou autoatendimento em 1º de outubro de 2025 e rastreamento de valores obrigatório desde 2 de fevereiro de 2026.
A regra de partida: responsabilidade objetiva e fortuito interno
O art. 14 do CDC estabelece que o fornecedor de serviços responde, sem necessidade de prova de culpa, pelos danos decorrentes de defeitos na prestação do serviço. O § 1º considera defeituoso o serviço que não entrega a segurança que o consumidor pode esperar, levando em conta, entre outros fatores, o modo de fornecimento e o resultado e os riscos que razoavelmente se esperam dele. O § 3º traz as excludentes: o fornecedor só se exime se provar que o defeito não existe ou que houve culpa exclusiva do consumidor ou de terceiro.
A Súmula 479, aprovada pela Segunda Seção do STJ em 27 de junho de 2012 e publicada em 1º de agosto de 2012, aplica essa lógica aos bancos: as instituições financeiras respondem objetivamente pelo "fortuito interno" ligado a fraudes e delitos de terceiros praticados "no âmbito de operações bancárias". Quando o cliente enganado autoriza ele mesmo a operação, a questão passa a ser se houve defeito do serviço ou culpa exclusiva da vítima e do golpista.
O que o STJ decidiu em 2025 e 2026
Dois julgamentos da Terceira Turma ilustram o critério.
Recurso especial (REsp) 2.222.059, noticiado em 21 de outubro de 2025. Sob relatoria do ministro Ricardo Villas Bôas Cueva, a Turma reconheceu, por unanimidade, a responsabilidade de bancos e instituições de pagamento em casos do chamado golpe da falsa central. Em um deles, o correntista teve prejuízo de R$ 143 mil em pagamentos indevidos, além de um empréstimo de R$ 13 mil e de um boleto de R$ 11 mil; foram 14 operações em um só dia, em desacordo com o histórico da conta, sem bloqueio. Segundo o tribunal, os sistemas antifraude devem considerar valor, horário, local, intervalo entre operações, meio utilizado e empréstimos atípicos contratados pouco antes de pagamentos suspeitos. A conclusão foi estendida às instituições de pagamento com base na Lei nº 12.865/2013, cujo art. 7º inclui a segurança dos serviços de pagamento entre os princípios do setor. A notícia também cita falhas de proteção de dados como fundamento, tema ligado à comunicação de incidentes de segurança.
REsp 2.209.868, noticiado em 15 de julho de 2026. Sob relatoria do ministro Humberto Martins, a Turma manteve, por unanimidade, decisão do Tribunal de Justiça de São Paulo (TJSP) que negou indenização a uma cliente que, após ligação de falsos funcionários, fez duas transferências por Pix, de R$ 2.490,99 e de R$ 1 mil, e, no dia seguinte, transferiu R$ 28 mil presencialmente, em uma agência, para conta indicada pelos golpistas. Para o TJSP, as transferências por Pix não destoavam do histórico da conta, a de maior valor foi feita pessoalmente pela cliente sem que ela buscasse esclarecimentos na agência, e a culpa exclusiva da vítima e de terceiros rompeu o nexo causal. O STJ considerou correta a aplicação do art. 14, § 3º, II, do CDC, afastou a Súmula 479 no caso e registrou que rever essa conclusão exigiria reexame de provas, vedado pela Súmula 7 do tribunal.
Lidas em conjunto, as decisões indicam que a Súmula 479 não gera responsabilização automática: pesa a possibilidade de o banco identificar e barrar a operação, o que favorece o consumidor diante de movimentações atípicas.
Como funciona o Mecanismo Especial de Devolução
O MED foi incluído no regulamento do Pix, aprovado pela Resolução BCB nº 1, de 12 de agosto de 2020, por meio da Resolução BCB nº 103, de 8 de junho de 2021, com efeitos desde 16 de novembro de 2021. O texto em vigor prevê:
- Hipóteses: fundada suspeita de uso do Pix para fraude, falha operacional de um participante e irregularidades no Pix Automático (art. 41-B).
- Exclusões: controvérsias sobre o negócio que motivou o pagamento, valores enviados a terceiro de boa-fé, o Pix Saque e a parcela em dinheiro do Pix Troco (art. 41-B, §§ 1º e 2º).
- Prazo e saldo: a devolução deve ser iniciada em até 90 dias da transação original e pressupõe recursos na conta do recebedor (art. 41-A).
- Bloqueio cautelar: a instituição do recebedor deve bloquear os valores quando houver suspeita de fraude, por no máximo 72 horas (art. 39-B).
- Responsabilidade entre instituições: a instituição do recebedor responde pelos prejuízos da não devolução se rejeitar, sem justo motivo, a notificação de infração (art. 41-I).
No procedimento de devolução por suspeita de fraude, a instituição do recebedor bloqueia os valores pedidos, ou o saldo disponível, se menor (art. 41-D). Desde a Resolução BCB nº 493, de 28 de agosto de 2025, o bloqueio deve ocorrer logo após a notificação de infração; a Resolução BCB nº 559, de 23 de abril de 2026, determinou que, a partir de 1º de julho de 2026, ele seja complementado sempre que entrarem recursos na conta, até o valor pedido ou o fim do procedimento. A mesma norma revogou o art. 41-G, que permitia ao recebedor pedir o cancelamento da devolução em 30 dias.
Autoatendimento e MED 2.0: as mudanças de 2025 e 2026
Autoatendimento. A Instrução Normativa BCB nº 589, de 4 de fevereiro de 2025, criou o capítulo "Autoatendimento MED" no documento Requisitos Mínimos para a Experiência do Usuário, que integra o regulamento do Pix. A Instrução Normativa BCB nº 605, de 1º de abril de 2025, fixou o início da obrigação em 1º de outubro de 2025. Pela versão 7.3 do documento, em vigor desde 2 de fevereiro de 2026 por força da Instrução Normativa BCB nº 689, de 11 de dezembro de 2025, que revogou as duas anteriores, o aplicativo deve permitir contestar, no ambiente Pix, transações ligadas a golpe, fraude ou crime e consultar as contestações já feitas. As informações ao usuário devem tratar da contestação de transações dos últimos 80 dias e esclarecer as situações que o MED não cobre; os exemplos do BC citam desacordos comerciais, envio para a pessoa errada e arrependimento.
Recuperação de valores. A Resolução BCB nº 493, de 28 de agosto de 2025, criou a funcionalidade de recuperação de valores, definida como procedimento de rastreamento, bloqueio e devolução de recursos em caso de suspeita de fraude. Em apresentação ao Fórum Pix em 4 de dezembro de 2025, o BC chamou a novidade de "MED 2.0" e a descreveu como a possibilidade de bloquear e devolver valores também nas contas que receberam recursos repassados pela conta usada originalmente no golpe. Pela resolução, o procedimento é iniciado pela instituição do pagador, após reclamação do cliente, quando houver fundada suspeita de fraude (art. 78-N); a adoção foi facultativa a partir de 23 de novembro de 2025 e é obrigatória desde 2 de fevereiro de 2026 para provedores de conta e liquidantes especiais (art. 121). A Resolução BCB nº 546, de 22 de janeiro de 2026, dispensou a abertura de processo por descumprimento dessa obrigação no período de 2 de fevereiro a 10 de maio de 2026 (art. 113-A do regulamento).
Marcação de suspeita de fraude. A Resolução BCB nº 587, de 18 de setembro de 2026, disciplinou a marcação de fundada suspeita de fraude vinculada ao Cadastro de Pessoas Físicas (CPF) ou ao Cadastro Nacional da Pessoa Jurídica (CNPJ) do cliente: o registro permanece por cinco anos, o usuário marcado pode pedir o cancelamento e a instituição responsável deve decidir em até sete dias. O dever de informar ao usuário que ele foi marcado só produz efeitos a partir de 1º de fevereiro de 2027. Na esfera penal, ceder conta bancária para a circulação de recursos ligados a atividade criminosa passou a ser figura do art. 171 do Código Penal (§ 2º, VII, incluído pela Lei nº 15.397/2026), tema tratado em invasão de dispositivo e fraude eletrônica.
MED e indenização não se confundem
O MED é um procedimento operacional entre as instituições do Pix e depende de saldo na conta que recebeu os valores. Em nota a instruções normativas sobre o Pix, o próprio BC registra que o regulamento do Pix tem natureza "eminentemente contratual" e não é ato regulatório de força cogente. Já a responsabilidade do banco perante o consumidor decorre do CDC e é examinada caso a caso pelo Judiciário. Assim, a devolução pelo MED pode ser parcial ou nem ocorrer, sem que isso, por si só, defina se houve defeito do serviço.
Pontos de atenção
- A Súmula 479 segue como ponto de partida, mas o STJ tem exigido falha concreta, como a falta de bloqueio de operações atípicas.
- Operações compatíveis com o perfil do cliente favorecem o reconhecimento de culpa exclusiva da vítima e de terceiros (art. 14, § 3º, II, do CDC).
- A devolução pelo MED deve ser iniciada em até 90 dias da transação e depende de saldo; desde 2 de fevereiro de 2026, o rastreamento em contas subsequentes é obrigatório.
- O autoatendimento no aplicativo é exigido desde 1º de outubro de 2025.
- A apuração penal dos golpes costuma depender de prova digital íntegra, tema de prova digital e cadeia de custódia.