Responsabilidade objetiva não é responsabilidade por qualquer golpe.
O banco responde quando há falha no serviço que ele deveria prestar com segurança. A pergunta, portanto, não é se houve golpe, e sim se o sistema falhou. O STJ vem respondendo isso por dois eixos.
O ponto de partida: a Súmula 479
Desde 2012, a Súmula 479 do Superior Tribunal de Justiça estabelece que as instituições financeiras respondem de forma objetiva pelos danos gerados por fortuito interno relativo a fraudes e delitos de terceiros no âmbito de operações bancárias. Fortuito interno é o risco próprio da atividade: a fraude, ainda que praticada por terceiro, integra o risco de quem lucra com a operação. Por isso a responsabilidade independe de culpa e só se afasta nas hipóteses do art. 14, § 3º, do Código de Defesa do Consumidor, isto é, inexistência de defeito no serviço ou culpa exclusiva da vítima ou de terceiro.
Os dois eixos que decidem o caso
Ora, dizer que a responsabilidade é objetiva não encerra a discussão; abre-a. O que a Corte passou a examinar, caso a caso, é se a fraude está efetivamente vinculada a uma falha do banco. Esse exame se organiza em dois eixos, e basta que um deles aponte falha para que a responsabilidade se configure.
O critério de dois eixos
A operação era compatível com o seu histórico? Valor, horário, destinatário e frequência dentro do usual, ou fora dele? Validar uma operação atípica, que destoa do perfil de consumo do cliente, é defeito na prestação do serviço.
Houve vazamento ou exposição de dados sigilosos que deu aparência de legitimidade ao golpista? Faltou autenticação reforçada, bloqueio ou verificação de identidade na conta de destino, exigida pela regulação do Banco Central?
O que os julgados recentes mostram
De fato, os dois lados desse critério aparecem em decisões recentes da Terceira Turma do STJ. Em outubro de 2025, no exame do golpe da falsa central de atendimento, a Turma afirmou que validar operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra o defeito do serviço, o que basta para responsabilizar a instituição, afastando inclusive a tese de culpa concorrente do consumidor.
No entanto, o mesmo colegiado, em 2026, no julgamento do REsp 2.209.868, negou a indenização porque as operações não foram consideradas incompatíveis com o perfil da cliente e não se comprovou falha concreta do serviço. A conclusão não enfraquece a Súmula 479; delimita-a. A responsabilidade objetiva não é responsabilidade integral por todo e qualquer golpe, e o que decide é a prova da falha, examinada pelos dois eixos.
Por fim, um terceiro ponto tem ganhado peso: quando o golpe se apoia em dados sigilosos que o cliente jamais forneceu, a falha migra para o dever de proteção de dados, e a instituição responde também sob a ótica da legislação de proteção de dados pessoais. O banco que abriga a conta de destino, por sua vez, responde quando não comprova a verificação de identidade que a regulação lhe impõe.