Segurança digital: despesas de bilhões com gestão de risco tecnológico são os bancos confessando falhas de sistema.

Por que motivos os bancos enterrariam mais de R$ 200 bilhões com gestão de risco tecnológico nos últimos 5 anos se, como eles afirmam em juízo, seus sistemas são infalíveis e a culpa por danos é sempre do cliente?

Sistemas infalíveis não demandam bilhões de gastos com segurança digital

Quando o banco investe bilhões para prevenir fraudes, não pode tratar a fraude como “culpa exclusiva” do cliente

Há uma contradição cada vez mais evidente na defesa apresentada por bancos em processos envolvendo fraudes digitais, golpes por Pix, falsas centrais de atendimento, contratações não reconhecidas, empréstimos indevidos e operações realizadas fora do perfil histórico da conta.

De um lado, o setor bancário divulga, ano após ano, investimentos bilionários em tecnologia, inteligência artificial, análise de dados, segurança cibernética, treinamento de equipes, monitoramento de transações, prevenção a incidentes e gestão de risco tecnológico.

De outro lado, quando uma fraude efetivamente acontece, o argumento defensivo costuma ser simples: “a operação foi feita com senha”, “o cliente autorizou”, “houve culpa exclusiva do consumidor”, “o banco não pode ser responsabilizado por ato de terceiro”.

Ano	Investimento Total em Tecnologia	Crescimento (%)	Principais Áreas
2019	~R$ 30,2 bilhões (estimado)	—	Infraestrutura básica, segurança
2020	~R$ 33,5 bilhões	+11%	Digitalização, mobile banking
2021	~R$ 36,8 bilhões	+10%	Pix, Open Banking inicial
2022	~R$ 39,9 bilhões	+8%	Cloud, analytics
2023	~R$ 42,3 bilhões	+6%	IA, segurança cibernética
2025	R$ 47,8 bilhões	+13%	IA generativa, big data, gestão de risco tecnológico

Pesquisa FEBRABAN / Delloite

Essa defesa, porém, perde força quando se observa a própria estrutura tecnológica que os bancos afirmam manter. Se há departamentos inteiros de segurança, algoritmos antifraude, monitoramento comportamental, análise de perfil transacional, bloqueios preventivos, biometria, geolocalização, controle de dispositivos, validação de IP, inteligência artificial e planos de resposta a incidentes, então a fraude bancária digital não é um evento estranho à atividade bancária. É risco conhecido, previsto, precificado, regulado e administrável.

É nesse sentido que se pode falar, em linguagem argumentativa, em “confissão dos bancos”: as despesas com gestão de risco tecnológico revelam que as instituições financeiras sabem que operam em ambiente de risco e que têm meios técnicos para reduzir, detectar, bloquear ou mitigar transações fraudulentas.

Não se trata de confissão judicial no sentido técnico do Código de Processo Civil. Trata-se de uma confissão econômica, operacional e regulatória: o próprio modelo bancário moderno demonstra que falhas de segurança são riscos internos da atividade financeira digital.

1. O banco não vende apenas crédito: vende segurança transacional e a segurança digital

A relação entre cliente e banco não se resume à guarda de valores, empréstimos, cartão, conta corrente ou Pix. No ambiente digital, o banco vende também confiança, infraestrutura e segurança.

O consumidor ou empresário não acessa diretamente o Sistema Financeiro Nacional. Ele depende da plataforma disponibilizada pela instituição financeira. Depende do aplicativo, do internet banking, da agência, dos limites transacionais, dos canais de autenticação, das mensagens de alerta, dos filtros antifraude, da análise comportamental e da capacidade do banco de identificar uma operação suspeita.

Por isso, quando ocorre uma fraude, a pergunta correta não é apenas: “a senha foi utilizada?”. A pergunta correta é: “o sistema de segurança do banco funcionou como deveria?”.

Uma senha, isoladamente, não prova regularidade da operação. Em ambiente bancário digital, a autenticação é apenas uma camada de segurança.

O serviço seguro exige múltiplas verificações: dispositivo utilizado, localização aproximada, horário, valor, frequência, destinatário, histórico de transações, comportamento anterior da conta, alteração abrupta de limite, contratação simultânea de crédito, esvaziamento de saldo, uso integral de cheque especial, pagamentos sucessivos e tentativa de transferência para contas recém-abertas ou incompatíveis com o perfil do cliente.

Se todos esses sinais existem e o banco não bloqueia a operação, a tese deixa de ser apenas “fraude de terceiro”. Passa a ser falha de segurança.

2. A base jurídica: CDC, fortuito interno e Súmula 479 do STJ

O Código de Defesa do Consumidor estabelece responsabilidade objetiva do fornecedor de serviços por defeitos relativos à prestação do serviço. No setor bancário, essa responsabilidade foi consolidada pelo Superior Tribunal de Justiça.

A Súmula 479 do STJ é direta:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

Essa súmula é decisiva porque desloca a fraude bancária digital do campo do “azar do cliente” para o campo do risco da atividade. O golpe, a fraude e a atuação de terceiro criminoso não afastam automaticamente a responsabilidade do banco quando o evento se insere no funcionamento normal, previsível e lucrativo do serviço bancário.

A doutrina da responsabilidade civil, especialmente na linha do risco do empreendimento, ensina que quem explora atividade lucrativa deve suportar os riscos internos ligados à sua organização, tecnologia, prepostos, sistemas e modo de prestação do serviço.

Em linguagem simples: se o banco lucra com a digitalização, a automação, o aplicativo, o Pix, o crédito instantâneo e a redução de custos operacionais, também deve responder quando esse mesmo ambiente tecnológico falha.

Sérgio Cavalieri Filho, ao tratar do fortuito interno, sustenta que os riscos ligados à organização da atividade não rompem o nexo causal.

Na mesma direção, a doutrina consumerista de Cláudia Lima Marques, Bruno Miragem e Antonio Herman Benjamin reforça que a confiança, a segurança e a boa-fé objetiva são elementos centrais da relação de consumo.

Aplicado ao sistema bancário, isso significa que o cliente não contrata apenas uma conta: contrata uma estrutura profissional que deve proteger seu patrimônio contra movimentações anormais, incompatíveis ou fraudulentas.

3. O dever de segurança tecnológica não é favor: é obrigação regulatória

A segurança cibernética bancária não é tema facultativo. O Banco Central e o Conselho Monetário Nacional impõem às instituições financeiras políticas de segurança cibernética, planos de resposta a incidentes, documentação, governança, controles, gestão de fornecedores de tecnologia e revisão periódica.

A Resolução CMN nº 4.893/2021 disciplina a política de segurança cibernética e os requisitos para contratação de serviços de processamento, armazenamento de dados e computação em nuvem pelas instituições autorizadas a funcionar pelo Banco Central.

A Resolução BCB nº 85/2021 trata de política de segurança cibernética no âmbito das instituições de pagamento.

A Lei nº 12.865/2013, ao regular arranjos e instituições de pagamento, estabelece princípios como segurança, proteção dos interesses econômicos dos usuários, privacidade, proteção de dados, transparência e confiabilidade dos serviços de pagamento.

A LGPD, por sua vez, exige medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações ilícitas ou inadequadas.

Esse conjunto normativo revela algo essencial: o sistema financeiro digital é regulado justamente porque envolve risco tecnológico sensível.

Portanto, quando um banco afirma que não pode ser responsabilizado por golpe, fraude, Pix indevido ou contratação não reconhecida, a defesa deve ser confrontada com essa realidade: se a segurança cibernética é obrigação regulatória, a falha de segurança não pode ser tratada como evento externo, imprevisível e inevitável.

4. A despesa tecnológica como prova indireta do risco conhecido

A Pesquisa FEBRABAN de Tecnologia Bancária demonstra a dimensão dos investimentos do setor em tecnologia, inteligência artificial, nuvem, dados, Pix, Open Finance, infraestrutura e segurança cibernética.

Esse dado não deve ser lido apenas como propaganda institucional. Em processos judiciais, ele também tem valor argumentativo.

Se os bancos investem bilhões em tecnologia, treinam profissionais em segurança cibernética, ampliam equipes de TI e adotam inteligência artificial para análise de risco, então reconhecem que:

1. fraudes digitais são previsíveis;

2. segurança bancária exige investimento contínuo;

3. há meios técnicos de identificar operações anormais;

4. o risco tecnológico é parte do negócio;

5. a prevenção de fraude depende de gestão profissional, não da intuição do cliente.

Essa é a “confissão” relevante: o banco não pode, no relatório institucional, apresentar-se como organização altamente tecnológica, capaz de monitorar dados, comportamento e riscos; e, no processo judicial, fingir que nada poderia fazer diante de transações gritantes, sucessivas, fora do padrão e incompatíveis com a conta.

O argumento ganha ainda mais força em contas empresariais.

Em uma conta PJ, o banco conhece o fluxo médio de entradas e saídas, fornecedores recorrentes, folha de pagamento, comportamento de crédito, sazonalidade, limites utilizados, histórico de boletos, destinatários habituais, horários de movimentação e perfil operacional da empresa.

Se, de repente, ocorrem operações que consomem todo o saldo, todo o limite, contratam crédito novo, fazem Pix em sequência ou enviam valores a destinatários inéditos, há evidente sinal de anormalidade.

O sistema bancário moderno não pode ser cego apenas quando a cegueira favorece o banco.

5. O STJ já reconheceu o dever de barrar transações fora do perfil do cliente

O Superior Tribunal de Justiça decidiu, no REsp 2.052.228/DF, que as instituições financeiras têm o dever de identificar e impedir movimentações financeiras incompatíveis com o histórico da conta.

No caso, a Terceira Turma reconheceu a responsabilidade objetiva do banco diante de fraude praticada por terceiro, declarando inexigível empréstimo contratado em nome dos consumidores e determinando a restituição de valores desviados.

A relatora, Ministra Nancy Andrighi, destacou que os bancos, ao facilitarem a contratação de serviços por aplicativos e meios digitais, devem desenvolver mecanismos de segurança capazes de identificar e impedir movimentações destoantes do perfil do consumidor.

Esse precedente é fundamental porque transforma a discussão. Não basta verificar se houve senha. É necessário examinar se a operação era compatível com o perfil da conta.

Também em julgados recentes sobre o golpe da falsa central de atendimento, o STJ reafirmou que bancos e instituições de pagamento podem responder quando falhas de segurança viabilizam operações suspeitas, atípicas e alheias ao perfil do correntista.

A lógica é clara: quando a fraude passa pelo sistema bancário sem bloqueio, sem alerta efetivo, sem validação reforçada e sem resposta adequada, a responsabilidade não pode ser automaticamente transferida ao cliente.

6. TJSP: o risco da atividade bancária não pode ser transferido ao consumidor

O Tribunal de Justiça de São Paulo também tem aplicado a Súmula 479 do STJ para reconhecer a responsabilidade bancária em fraudes decorrentes de falha de segurança.

Na Apelação nº 1011759-85.2021.8.26.0590, a 13ª Câmara de Direito Privado manteve condenação de instituição financeira ao pagamento de danos materiais e morais. O caso envolvia empréstimos e transferência por Pix não reconhecidos. O relator, Desembargador Nelson Jorge Júnior, destacou que o risco da atividade bancária não pode ser transferido ao consumidor e que as transações fugiam do padrão habitual da autora.

Esse ponto é especialmente relevante para a prova judicial: se a operação foge do padrão, cabe ao banco demonstrar por que não houve bloqueio, alerta, retenção, confirmação adicional ou investigação.

A ausência de reação do sistema pode revelar defeito no serviço.

7. A falsa defesa da “culpa exclusiva do cliente”

A culpa exclusiva do consumidor é uma das defesas mais utilizadas pelos bancos. Mas ela não pode ser presumida.

Para afastar sua responsabilidade, o banco deve demonstrar, de forma técnica e documental, que não houve defeito de segurança e que o dano ocorreu exclusivamente por conduta do cliente.

Essa prova não se faz com frases genéricas. Exige documentação objetiva:

• logs de acesso;

• IP de origem;

• dispositivo utilizado;

• geolocalização aproximada;

• histórico de autenticação;

• identificação do favorecido;

• horário das transações;

• comparação com o perfil anterior da conta;

• alertas enviados;

• confirmação biométrica;

• gravações de atendimento;

• regras antifraude acionadas;

• motivo da não retenção preventiva;

• análise da conta destinatária;

• eventual comunicação ao MED/Pix;

• providências adotadas após a contestação.

Sem esses elementos, a defesa bancária fica reduzida a uma afirmação: “o cliente errou”.

Mas, em matéria de falhas de segurança, afirmação não basta.

O banco possui os dados técnicos, domina o sistema, controla as evidências e tem melhores condições de provar a regularidade da operação.

8. A importância da prova pericial e da inversão do ônus da prova

Em ações envolvendo falhas de segurança bancária, a prova pericial pode ser decisiva.

O objetivo da perícia não é apenas verificar se a senha foi usada. A perícia deve examinar o comportamento da conta, a compatibilidade das operações, o histórico de movimentação, os padrões de valor, a sequência dos eventos, o tempo de reação do banco, o uso de dispositivos, a regularidade dos alertas, a atuação do sistema antifraude e a existência de controles capazes de detectar transações anormais.

Também é fundamental requerer a inversão do ônus da prova, com base no CDC, especialmente porque os dados técnicos estão em poder do banco.

O cliente não tem acesso aos registros internos de segurança. Não sabe quais algoritmos foram acionados. Não conhece os parâmetros de risco. Não tem como demonstrar, sozinho, se o banco ignorou alertas internos. Por isso, deve-se exigir que a instituição financeira traga aos autos a prova técnica de que seu sistema funcionou corretamente.

Quando o banco se recusa a apresentar logs, relatórios, trilhas de auditoria e documentos de segurança, a consequência processual deve ser a presunção de veracidade da alegação do consumidor ou da empresa, especialmente quando as operações são manifestamente atípicas.

9. Aplicação prática para empresas

Empresas vítimas de fraudes bancárias não devem aceitar, sem análise técnica, a resposta administrativa de que “a operação foi regular”.

É comum que uma fraude empresarial envolva:

• esvaziamento de conta;

• uso de limite de cheque especial;

• contratação de empréstimo não reconhecido;

• Pix sucessivos;

• boletos fraudulentos;

• destinatários desconhecidos;

• operações em horários incomuns;

• alteração abrupta de padrão financeiro;

• transações incompatíveis com o histórico da empresa;

• negativa rápida do banco sem investigação real.

Nesses casos, é necessário reunir extratos, prints, protocolos, boletins de ocorrência, comunicações ao banco, gravações, e-mails, notificações, dados do favorecido, horários das operações e histórico anterior da conta.

A tese jurídica deve ser construída sobre três eixos:

1. falha de segurança;

2. transações fora do perfil histórico;

3. dever do banco de provar a regularidade técnica da operação.

A empresa não deve discutir apenas “quem digitou a senha”. Deve discutir o funcionamento integral do sistema de segurança.

10. Conclusão: o banco não pode lucrar com tecnologia e negar responsabilidade pelo risco tecnológico

A digitalização bancária trouxe conveniência, velocidade e redução de custos para o setor financeiro. Mas também ampliou riscos.

O banco que lucra com aplicativos, Pix, crédito instantâneo, Open Finance, automação, inteligência artificial e processamento massivo de dados não pode, diante de uma fraude, voltar ao discurso simplista de que tudo depende apenas do cuidado do cliente.

As despesas com gestão de risco tecnológico revelam que o próprio setor reconhece a centralidade da segurança cibernética. Bancos investem porque sabem que o risco existe.

Treinam equipes porque sabem que a ameaça é permanente. Criam sistemas antifraude porque sabem que transações suspeitas podem ser detectadas. Contratam tecnologia porque sabem que segurança é parte do serviço.

Por isso, em casos de falhas de segurança, a pergunta central deve ser:

Se o banco tinha estrutura, dados, tecnologia, regulação, equipe e dever jurídico para impedir a fraude, por que não impediu?

Quando essa pergunta não é respondida de forma técnica, documental e convincente, a responsabilidade pela fraude não pode ser transferida ao cliente.

Nota de esclarecimento

O presente artigo tem caráter informativo e não afirma que toda fraude bancária gera automaticamente responsabilidade da instituição financeira. Cada caso deve ser analisado conforme suas provas, histórico da conta, comportamento das transações, resposta do banco e documentação técnica disponível. A crítica aqui formulada dirige-se a situações em que a fraude revela operações atípicas, falhas de segurança, ausência de bloqueio preventivo ou deficiência na prestação do serviço bancário.

Autor: Angelo Marcelo Gasperini — Advogado e ex-Perito Contábil.

Todos os direitos reservados.

Referências essenciais

BRASIL. Código de Defesa do Consumidor, Lei nº 8.078/1990, art. 14.

BRASIL. Lei nº 12.865/2013, arts. 6º, 7º e 9º.

BRASIL. Lei Geral de Proteção de Dados, Lei nº 13.709/2018, art. 46.

BANCO CENTRAL DO BRASIL. Resolução CMN nº 4.893/2021.

BANCO CENTRAL DO BRASIL. Resolução BCB nº 85/2021.

STJ. Súmula 479.

STJ. REsp 2.052.228/DF, Rel. Min. Nancy Andrighi, 3ª Turma, j. 12/09/2023, DJe 15/09/2023.

STJ. REsp 2.222.059/SP e REsp 2.229.519, Rel. Min. Ricardo Villas Bôas Cueva, 3ª Turma, julgados em 2025.

TJSP. Apelação nº 1011759-85.2021.8.26.0590, 13ª Câmara de Direito Privado.

CAVALIERI FILHO, Sérgio. Programa de Responsabilidade Civil. São Paulo: Atlas.

MARQUES, Cláudia Lima. Contratos no Código de Defesa do Consumidor. São Paulo: Revista dos Tribunais.

MIRAGEM, Bruno. Curso de Direito do Consumidor. São Paulo: Revista dos Tribunais.

BENJAMIN, Antonio Herman V.; MARQUES, Cláudia Lima; BESSA, Leonardo Roscoe. Manual de Direito do Consumidor. São Paulo: Revista dos Tribunais.