Ataque hacker ao banco: quem paga o prejuízo do cliente

Por Danilo Pardi e Afonso Morais, da Pardi e Morais

Se o dinheiro saiu da sua conta porque o sistema do banco, da fintech ou de um fornecedor deles foi invadido, quem paga é a instituição. Aqui não cabe o debate sobre “a vítima clicou no link”. A falha nasce dentro de casa, e o direito brasileiro trata isso como risco do negócio desde muito antes do Pix.

O tema voltou com força ontem. O Banco Central divulgou o Relatório de Estabilidade Financeira de outubro e, como noticiou o Metrópoles, as instituições comunicaram 99 incidentes cibernéticos de janeiro a setembro de 2026. Em todo o ano de 2025 foram 76. Das 99 ocorrências, 68 foram fraudes, alta de cerca de 74% sobre as 39 do ano passado.

O que o Banco Central descreveu, e por que isso importa no processo

O relatório não fala de golpe por telefone. Fala de grupos criminosos com alto grau de conhecimento sobre a operação do sistema financeiro. Senhas de funcionários, desenvolvedores e prestadores obtidas por phishing. Falhas em APIs entre instituições que permitiram ordens de transferência sem as aprovações de costume. Erros de programação que geraram estornos indevidos e créditos artificiais.

Num dos casos, segundo o BC, os criminosos usaram chaves de certificado digital de uma instituição cliente que continuaram ativas depois de uma mudança de conexão. Com elas, mandaram mensagens fraudulentas com aparência de legítimas.

O dado que mais me chamou a atenção vem do levantamento feito com 1.365 instituições no primeiro semestre: só 42% avaliam periodicamente o risco cibernético de cada fornecedor, e 65% usam autenticação multifator nas contas com acesso amplo aos sistemas. Mais de um terço, portanto, não exige o segundo fator justamente onde o estrago pode ser maior.

Para quem atua em fraude bancária, isso não é estatística de mercado. É o próprio setor admitindo, perante o regulador, onde a segurança fica abaixo do que deveria.

Fraude que nasce no sistema é fortuito interno no estado mais puro

O art. 14 do Código de Defesa do Consumidor diz que o fornecedor responde, independentemente de culpa, pelos danos causados por defeito do serviço. O § 1º define serviço defeituoso como aquele que não oferece a segurança que o consumidor pode esperar.

O STJ fixou no Tema 466 dos recursos repetitivos (REsp 1.199.782, Segunda Seção) que o banco responde objetivamente por fraudes praticadas por terceiros, porque esse risco decorre do próprio empreendimento e caracteriza fortuito interno. Daí veio a Súmula 479.

Repare no exemplo daquele julgamento: conta aberta com documento falso, empréstimo contratado por fraudador. O cliente não fez nada. A invasão do sistema da instituição é o caso mais puro desse cenário, porque não existe conduta da vítima para colocar na balança.

E o banco não se livra apontando o dedo para o fornecedor. A Resolução CMN 4.893/2021, que trata da política de segurança cibernética, diz no art. 14 que a instituição contratante é responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços contratados. A Resolução CMN 5.274/2025 apertou esses controles, inclusive sobre sistemas de terceiros, com prazo de adequação em 1º de março de 2026. Se o elo fraco foi a empresa de software, o problema é do banco perante o cliente. Depois ele cobra de quem contratou.

Onde o cliente comum é atingido

Sendo franco: boa parte desses ataques mira o dinheiro das próprias instituições, como as contas usadas na liquidação entre bancos. O BC falou em perdas relevantes em casos específicos, sem comprometer o funcionamento do sistema. Mas o cliente aparece em três situações que vejo com frequência.

• Débitos ou transferências que o cliente não reconhece e que não têm relação com nenhum contato, link ou ligação recebida. É o sinal de que a origem pode estar dentro da instituição.
• Saldo bloqueado, estornado ou “ajustado” pelo banco depois de um incidente, sem explicação por escrito.
• Vazamento de dados cadastrais e bancários que alimenta golpes depois. O golpista liga sabendo seu saldo, o nome do seu gerente e suas últimas compras.

No terceiro caso entra também a Lei Geral de Proteção de Dados. O art. 46 obriga o controlador a adotar medidas de segurança aptas a proteger os dados, e o art. 48 manda comunicar ao titular e à ANPD o incidente que possa causar risco ou dano relevante. Tratei disso no caso do vazamento de dados no Einstein.

O que fazer se o dinheiro sumiu e você não fez nada

• No mesmo dia: registre a contestação no banco, por escrito, e guarde o protocolo. Diga expressamente que não fez, não autorizou e não recebeu contato sobre a operação.
• Peça os registros técnicos: data, hora, IP, dispositivo, canal e resultado da análise de risco da transação. A regulação exige rastreabilidade, então esses dados existem.
• Formalize fora do banco: boletim de ocorrência e, sem solução em poucos dias, reclamação no Banco Central e no consumidor.gov.br.
• Guarde o contexto: se a instituição comunicou um incidente ou houve notícia de ataque a ela, salve o comunicado e a notícia. Isso muda o eixo da prova.
• Empresas: revise o contrato com o banco ou a plataforma de pagamentos, notifique formalmente e preserve os logs do seu lado. Na fraude via Pix contra empresas, a janela de recuperação é curta.

Uma observação da prática: a resposta padrão costuma dizer que a operação foi feita “com senha e dispositivo cadastrados”. Em ataque interno, isso não prova nada. Credencial roubada de funcionário também é credencial válida.

Ponto de atenção: o argumento que o banco vai usar

A defesa vai dizer que foi crime de organização sofisticada, fato de terceiro imprevisível, portanto fortuito externo. Não convence. O próprio BC descreve esses grupos como conhecedores da operação do sistema e registra recorde de incidentes. Risco previsível e crescente é o oposto de fortuito externo.

O argumento mais sério é outro. No REsp 2.209.868, de 2026, a Terceira Turma afirmou que a Súmula 479 não se aplica de forma automática ao golpe da falsa central: é preciso demonstrar falha do serviço. Expliquei esse julgado em culpa da vítima no golpe: o que o STJ aceita.

Só que aquele caso partiu de transferências feitas pela própria vítima, enganada por terceiros, e o tribunal local viu culpa exclusiva dela. No ataque ao sistema não há transferência feita pelo cliente. A falha é o próprio incidente.

O desafio real passa a ser de prova: mostrar que a operação não partiu do cliente. Aqui pesa a inversão do ônus do art. 6º, VIII, do CDC, porque só a instituição tem os logs. E ajuda o raciocínio sobre transações fora do perfil: se o sistema deixou passar movimentação atípica, há falha mesmo que a ordem pareça legítima.

O que segue em aberto é a situação da empresa cliente de fintech ou de banco como serviço. Nem sempre o CDC se aplica, e o contrato pode trazer limitação de responsabilidade. Mesmo assim, o art. 14 da Resolução 4.893 e a LGPD dão base para discutir essa cláusula. É caso que pede leitura do contrato antes de qualquer passo, e é o tipo de trabalho que fazemos na área de atendimento a empresas.

A conta é de quem controla o sistema

O recorde do Banco Central mostra que a fraude também migrou para dentro do sistema financeiro. Quando ela nasce ali, o prejuízo é da instituição. O cliente não precisa provar que foi cuidadoso. Precisa mostrar que não foi ele.

Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.

Se o seu dinheiro saiu sem explicação, ou se a sua empresa foi atingida por um incidente no banco ou na plataforma de pagamentos, veja nossa atuação em fraude bancária ou me chame no WhatsApp. A análise começa pelos documentos, e quanto antes, melhor.

Referências

• Relatório de Estabilidade Financeira, v. 25, outubro de 2026. Banco Central do Brasil, 27/10/2026.
• Ataques cibernéticos a bancos batem recorde em 2026, aponta BC. Metrópoles, 27/10/2026.
• Lei 8.078/1990 (Código de Defesa do Consumidor), arts. 6º, VIII, e 14. Planalto.
• Tema Repetitivo 466 (REsp 1.199.782/PR), Segunda Seção. Superior Tribunal de Justiça.
• Súmula 479. Superior Tribunal de Justiça.
• REsp 2.209.868, Terceira Turma, rel. Min. Humberto Martins. STJ, notícia de 15/07/2026.
• Resolução CMN 4.893, de 26/02/2021, art. 14. Banco Central do Brasil.
• Resolução CMN 5.274, de 18/12/2025. Banco Central do Brasil.
• Lei 13.709/2018 (LGPD), arts. 46 e 48. Planalto.

Sobre os autores

Danilo Pardi é advogado (OAB/SP 384.895), sócio fundador da Pardi e Morais Advogados, pós-graduado em Direito Digital e Compliance (IBMEC) e em Direito Digital e Proteção de Dados (EBRADI), membro da ANPPD e criador do podcast Falando de Fraudes. Afonso Morais é advogado (OAB/SP 77.133), sócio da Pardi e Morais, com mais de 40 anos de atuação, pós-graduado em Contratos e Direito Bancário e colunista do quadro Alerta de Fraudes.

Foto: Kevin Ache / Unsplash