O STJ decidiu que bancos e instituições de pagamento podem ter de indenizar clientes que sofrem prejuízos com golpes de engenharia social quando houver falhas na proteção de dados ou na identificação de transações atípicas. A responsabilidade é objetiva nesses casos (CDC e Súmulas aplicáveis), e só cai se o banco provar que não houve defeito no serviço ou que houve culpa exclusiva do cliente/terceiros.
O impacto prático para o seu negócio
1) Conta PJ e cartões corporativos
- Operações fora do perfil (volume, horário, local, sequência, valores, empréstimo atípico antes de pagamentos suspeitos) devem ser barradas ou, no mínimo, validadas pelo banco.
- Se o sistema não alerta ou não bloqueia, isso pode indicar falha do serviço.
2) Risco operacional e financeiro
- Em incidentes com fraude, se houver validação de transações atípicas sem mecanismos eficazes de prevenção, abre-se espaço para pedido de ressarcimento (materiais e, em certos casos, morais).
- A decisão não autoriza negligência interna: condutas inseguras do usuário podem reduzir/afastar a responsabilidade do banco.
3) Governança e compliance
- Bancos devem manter mecanismos antifraude contínuos e eficazes. O empresário, por sua vez, precisa demonstrar boas práticas internas (políticas, logs, registros) para fortalecer eventual pleito.
O lado positivo
- Mais proteção para empresas com perfil transacional estável (pagamentos previsíveis, pouca variação).
- Incentivo para o sistema financeiro elevar o padrão de segurança e personalizar detecção por perfil do cliente.
Cuidados imediatos (checklist enxuto)
- Mapeie o “perfil de uso” da sua conta PJ (valores médios, horários, origem, tipos de transação) e compartilhe com o gerente.
- Ative tudo de segurança: biometria, MFA, limites por usuário, dupla aprovação, whitelist de favorecidos.
- Políticas internas: proíba compartilhamento de tokens/senhas; treine o time para não seguir instruções recebidas por telefone (falsa central).
- Segregação de funções no financeiro (quem cria não autoriza).
- Monitoramento diário de extratos/notificações e alertas em tempo real.
- Procedimento de incidente: em caso de suspeita, bloqueie imediatamente, registre BO, protocole no banco e guarde evidências (prints, horários, ligações, e-mails).
- Contratos e logs: arquive comunicações com o banco sobre alertas, recusas de bloqueio ou liberações de operações fora do perfil.
Estamos à disposição para sanar dúvidas e orientar sua empresa na revisão de políticas antifraude, fluxos de autorização e respostas a incidentes — sempre com foco em continuidade operacional e segurança jurídica.ção.
Fonte: STJ