O que a Justiça decidiu
Em outubro de 2025, a 3ª Turma do Superior Tribunal de Justiça (STJ) decidiu, por unanimidade, que bancos e instituições de pagamento (as fintechs) precisam indenizar o cliente que cai em golpe de engenharia social — como o golpe da falsa central de atendimento — quando houver falha na identificação de transações suspeitas.
O caso que virou exemplo é forte. Um correntista que quase não movimentava a conta teve, em um único dia, 14 transações. O prejuízo: R$ 143 mil em pagamentos indevidos, mais um empréstimo de R$ 13 mil contratado pelo golpista e um boleto de R$ 11 mil. Para o STJ, aquilo destoava completamente do perfil do cliente — e o sistema de segurança do banco tinha o dever de perceber e travar.
O relator, ministro Ricardo Villas Bôas Cueva, lembrou a Súmula 479 do STJ: instituições financeiras respondem objetivamente pelos danos causados por fraudes praticadas por terceiros dentro das operações bancárias. Em bom português: o banco responde pelo que acontece dentro do serviço dele, mesmo sem ter tido a intenção de errar.
Mas existe um caso em que o banco NÃO paga
Aqui está a parte que quase ninguém explica.
Em março de 2026, a 4ª Turma do STJ, sob relatoria da ministra Maria Isabel Gallotti, decidiu o contrário em outro tipo de caso: golpe que começa em rede social.
Naquela situação, a pessoa conversou com o golpista pela rede social, foi convencida, e ela mesma fez as transferências por Pix, usando a própria senha. Não houve falha nenhuma no sistema de segurança do banco. O STJ entendeu que houve culpa exclusiva do consumidor e de terceiro — e o banco não teve que devolver nada.