Desde a afetação do Tema 466 por parte do Superior Tribunal de Justiça, que teve os Resp 1.197.929/PR1 e 1.199.782/PR2 como base de análise, que o universo das instituições financeiras se depara com o enunciado da Súmula 4793, o qual definiu que ‘As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.’
Os aludidos Recursos Especiais (julgados em 2011) tinham como base fática as alegações autorais de nunca ter tido relação jurídica com as instituições financeiras (eram casos envolvendo a abertura de conta-corrente de forma presencial e emissão de talonário de cheques), mas que, apesar disso, tiveram seus nomes inscritos em cadastros de restrição creditícia em razão de dívidas que jamais teriam contraído. Tudo girava em torno do argumento de que as instituições financeiras não adotavam as devidas políticas antifraude.
De se observar que as causas de pedir se baseavam em situações e documentos físicos. Ou seja, a Súmula 479 fora talhada com base em um outro momento de nossa história. Naquela época sequer existiam as fintechs, que surgiram no país em 2013 (em 2022 alcançaram o quantitativo de 1.2894 no Brasil). Já os bancos digitais só surgiram em 2016. Ou seja, se é verdade que não vivíamos nos tempos analógicos, verdade também é que estávamos bem distantes do momento digital que vivemos (segundo estudos da FGV5 e reportagem do Estadão6 a pandemia de COVID-19 acelerou em 5 ou 10 anos a transformação digital no mundo – e as operações bancárias seguiram esse ritmo).
O fato é que o conteúdo sumular trilha na aplicação da responsabilidade objetiva do Código de Defesa do Consumidor, atraindo o conceito de fortuito interno referente a fraudes e delitos realizados por terceiros em operações bancárias. Admite-se, portanto, a exclusão da responsabilidade do fornecedor apenas quando demonstrada a hipótese do artigo 14, § 3º, II7, da aludida codificação.
A grande questão que necessita reflexão é a aplicação do conceito de fortuito interno, sem qualquer ressalva, no novo ambiente tecnológico das operações bancárias e a consequente responsabilização objetiva dos fornecedores, principalmente quando não se está executando o serviço e/ou quando não se tem ingerência pelo que está acontecendo, já que o que antes acontecia apenas dentro dos ambientes físicos das agências bancárias, hoje ocorre, na maior partes das vezes, nas próprias instalações dos consumidores, por meios de canais virtuais.
É que se por um lado fortuito interno seria o acontecimento ocorrido durante o processo de execução do serviço, do qual o fornecedor não pode se eximir ante o risco da atividade do negócio, de se analisar se quando o fornecedor não poderia sob nenhuma hipótese evitar o acontecimento, mesmo tendo adotado inúmeras cautelas, ainda assim teria que ser totalmente responsabilizado. Ou mais ainda, se em casos em que haja contribuição por ação ou omissão do consumidor, o instituto da culpa concorrente poderia ser aplicado ao acontecimento, abrandando a aplicação de responsabilidade e dividindo os ônus, isso mesmo estando tal instituto ausente na codificação consumerista.
Pois bem, o que se observa é que a inovação tecnológica nas operações bancárias trouxe melhorias para os usuários, os quais, contudo, precisam estar cada vez mais atentos contra as investidas por parte de hackers, como, por exemplo, para evitar os danos advindos da chamada ‘engenharia social’. Não há só vantagens no mundo moderno. Os riscos existem. E a engenharia social - que nada mais é do que a aplicação de determinadas técnicas (por vezes bem simplórias) de manipulação que focam na fragilidade do ser humano para fins de colher dados e informações de cunho privado - precisa ser observada e evitada.
O que acaba acontecendo na grande maioria das vezes é que usuários desatentos acabam fornecendo seus próprios dados (seja por estar envoltos em emoções próprias do cotidiano, por reflexos de curiosidade, por ânsia de ganho fácil, por impulsos atrelados a falsas oportunidades ditas imperdíveis etc), espalhando (mesmo sem sequer saber) armadilhas digitais e, até mesmo, entregando acessos ou facilitando acessos para computadores ou servidores de empresas. E o pior, tudo é feito sem qualquer coação, de forma pacífica. Os usuários na grande maioria das vezes sequer percebem que foram lesados, apenas tomando conhecimento quando já é tarde demais.
De uma maneira parecida, o phishing (ou pescaria) é usado literalmente para pescar dados. Ataques em massa, com disparo de e-mails ou sms idênticos, geralmente se fazendo passar por instituições, grandes empresas, órgãos governamentais etc, oferecendo vantagens que atraem a uma primeira vista. Em sendo pescada, a vítima tanto pode entregar os dados de forma direta, acessando sites e preenchendo formulários com seus dados ou até mesmo possibilitando que em seu telefone ou computador seja baixado um malware, que fica analisando todas as atividades do usuário, inclusive captando senhas, logins etc.
Ambas as situações acima (mas não somente elas), podem conduzir para o account takeover, ou apenas o ‘roubo de contas’. O hacker, de posse das informações obtidas, pode se apropriar totalmente das contas dos usuários e até mesmo de empresas e proceder como bem entender (realizar transações bancárias, impedir acesso à redes sociais, ameaçar, extorquir etc).
Eis que as instituições financeiras que se encontram prevenidas, com sistemas antifraudes e afins, atuando de forma proativa no ataque à sites fakes criados para ludibriar clientes, que realizam campanhas publicitárias conscientizando os consumidores, que disponibilizam em seus sítios eletrônicos informações sobre riscos e condutas e alertas sobre os mais variados golpes existentes cumprem com o dever de informação8 e se credenciam para, quando de eventuais demandas judiciais de consumidores que buscam transferir a responsabilidade pela entrega de dados à cibercriminosos, tenham elementos para demonstrar a regularidade de suas posturas e, assim, atrair a excludente de ilicitude de culpa exclusiva da vítima.
É o que se observa, por exemplo, na decisão abaixo:
APELAÇÃO CÍVEL. AÇÃO INDENIZATÓRIA. ALEGAÇÃO DE FALHA NA PRESTAÇÃO DO SERVIÇO. INSTITUIÇÃO FINANCEIRA. PAGAMENTOS POR INTERNET BANKING NÃO RECONHECIDOS. ACESSO A SITE FALSO PELA CONSUMIDORA ATRAVÉS DE LINK RECEBIDO POR SMS. FORNECIMENTO DE DADOS EM SUPOSTA "ATUALIZAÇÃO DE CADASTRO". SITE DO RÉU COM DIVERSAS ADVERTÊNCIAS ACERCA DE FRAUDES MEDIANTE LINKS FALSOS E COM DICAS DE SEGURANÇA. AUSÊNCIA DE FALHA NA PRESTAÇÃO DO SERVIÇO. CULPA EXCLUSIVA DA VÍTIMA. IMPROCEDÊNCIA QUE SE IMPÕE. 1. Supondo estar fazendo uma "atualização de cadastro" junto ao banco réu, a autora acessou o link fornecido em seu celular, fez a "atualização" dos seus dados no site falso do banco, e logicamente para isso precisou digitar os dados da agência e conta e fornecer sua senha eletrônica ou token, e tais informações já são suficientes para que fraudadores acessem o aplicativo ou site do banco e façam as mais diversas operações, inclusive pagamentos, como foi o caso. 2. A par disso, além de o réu ter disponibilizado vídeos no YouTube sobre como evitar fraudes como as ocorridas nestes autos e outras semelhantes, consta do seu site, em consulta às dicas de segurança, que o Santander não envia links para atualizações através de SMS ou e-mail. 3. Forçoso é o reconhecimento, no caso, de que o apelante tomou todas as cautelas devidas para alertar os clientes acerca da fraude de que foi vítima a autora, a afastar completamente a falha na prestação do serviço. 4. O consumidor, ao utilizar um serviço como o de internet banking ou mobile banking, deve ficar atento às recomendações da instituição financeira para garantia da segurança em sua utilização. 5. Culpa única e exclusiva da apelada pelo dano sofrido. 6. Provimento do apelo para julgar improcedentes os pedidos. (TJ-RJ - APL: 00663045420168190021, Relator: Des(a). GILBERTO CLÓVIS FARIAS MATOS, Data de Julgamento: 09/09/2021, VIGÉSIMA SEGUNDA CÂMARA CÍVEL, Data de Publicação: 13/09/2021) Grifos não constantes no original
E para além da culpa exclusiva da vítima910, tem-se observado a aplicação do instituto da culpa concorrente1112 em várias situações, equalizando responsabilidades ante condutas adotadas e aplicando, na medida do possível, o Princípio da harmonização dos interesses dos participantes das relações de consumo e da boa-fé13. Vale dizer que o instituto da culpa concorrente já estava presente na Súmula 28 do STF (dos idos de 1960) e, muito embora não tenha sido incluído no verbete da Súmula 479 do STJ, o próprio colendo Tribunal admite a sua aplicação, ainda que no caso de responsabilidade objetiva do fornecedor, notadamente quando há responsabilidade subjetiva patente e irrecusável também do consumidor, não se exigindo a exclusividade da culpa14.
O que se pode concluir, então, é que muito embora a Súmula 479 do STJ ainda se encontre atual e aplicável, há por um lado um dever maior do Poder Judiciário, em face das inovações tecnológicas e das posturas adotadas pelas instituições financeiras, de analisar com maior esmero os fatos que envolvem as demandas no âmbito de operações bancárias, notadamente para identificar se a postura do consumidor, de forma isolada, permitiu a entrega dos seus dados à hackers, dando causa à todo o imbróglio por não adoção dos mínimos padrões de cautela, e, por outro, de melhor analisar o próprio conceito de fortuito interno para tais casos, haja vista que o que se tem observado é que a entrega dos dados se faz de forma voluntária, sem qualquer possibilidade de ingerência ou interferência por parte das instituições financeiras e que por mais que o risco da atividade esteja sempre presente, ele não pode ser absoluto.
----------
1 https://processo.stj.jus.br/processo/pesquisa/?tipoPesquisa=tipoPesquisaNumeroRegistro&termo=201001113250
2 https://processo.stj.jus.br/processo/pesquisa/?tipoPesquisa=tipoPesquisaNumeroRegistro&termo=201001193828
3 Muito embora existam enunciados sumulares bem mais antigos, como por exemplo a Súmula 28 do STF, segundo a qual: ‘O estabelecimento bancário é responsável pelo pagamento de cheque falso, ressalvadas as hipóteses de culpa exclusiva ou concorrente do correntista’.
4 https://blog.simply.com.br/fintechs-no-brasil/#:~:text=As%20primeiras%20fintechs%20surgiram%20no,reformular%20a%20experi%C3%AAncia%20do%20cliente.
5 https://portal.fgv.br/noticias/pandemia-acelerou-processo-transformacao-digital-empresas-brasil-revela-pesquisa
6 https://www.estadao.com.br/economia/dez-anos-compactados-em-apenas-um/
7 Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos. § 3° O fornecedor de serviços só não será responsabilizado quando provar: II - a culpa exclusiva do consumidor ou de terceiros.
8 Art. 6º São direitos básicos do consumidor: III - a informação adequada e clara sobre os diferentes produtos e serviços, com especificação correta de quantidade, características, composição, qualidade, tributos incidentes e preço, bem como sobre os riscos que apresentem.
9 RECURSO INOMINADO. DIREITO DO CONSUMIDOR. CONTRATO BANCÁRIO. TRANSAÇÃO MEDIANTE FRAUDE. TRANSFERÊNCIA POR PIX. CULPA EXCLUSIVA DO CONSUMIDOR. AUSÊNCIA DE RESPONSABILIDADE. 1 - Na forma do art. 46 da Lei 9.099/1995, a ementa serve de acórdão. Recurso próprio, regular e tempestivo. Pretensão condenatória em indenização por danos materiais e por danos morais, em virtude de fraude praticada no âmbito de operações bancárias. Recurso do réu visa à reforma da sentença que julgou parcialmente procedentes os pedidos. 2 - Transferência bancária. PIX. Fraude. O fornecedor de serviços responde pela reparação dos danos causados aos consumidores por defeitos relativos à prestação de serviços, salvo quando comprovar culpa exclusiva do consumidor ou de terceiros (art. 14 do CDC). De acordo com o enunciado da Súmula 479 do STJ, ?as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.? É necessário, entretanto demonstrar que o dano não decorreu de culpa do consumidor, como afirma a ré. 3 - Nexo de causalidade. Culpa do consumidor. O autor afirma que a fraude se deu mediante utilização do terminal telefônico cujo número foi disponibilizado pelo Banco. No dia 19/04/2021, o autor recebeu uma ligação de suposto funcionário do banco réu informando-lhe que seu cartão havia sido bloqueado. O autor, então, foi orientado a telefonar no número que constava no verso de seu cartão. Após telefonar para o número oficial do banco réu, o autor foi induzido pelo suposto funcionário do banco a transferir, via PIX, as quantias de R$ 9.999,99 e R$ 7.000,00, sob o fundamento de que seria necessário realizar simulações de transações para desbloquear o cartão. Não obstante a alegação do autor de que foi induzido maliciosamente pelo fraudador, não é razoável atribuir à instituição financeira a responsabilidade pelos danos decorrentes da operação. A operação com PIX exige a confirmação do número de conta e nome do beneficiário. Ademais, a transferência de valores altos, como os indicados, R$9.999,99 e R$ 7.000,00, não podem ser considerados razoáveis como objeto de teste de segurança por um consumidor que se comporte como o homem de padrão médio de cautela (bonus pater familiaes). Reconhece-se, pois, a culpa exclusiva do consumidor a afastar o nexo de causalidade e a responsabilidade da ré. Recurso a que se dá provimento para julgar o pedido improcedente. 4 - Recurso conhecido e provido. Sem custas processuais e sem honorários advocatícios, ante o que dispõe o art. 55 da Lei n. 9.099/1995. (TJ-DF 07325193520218070016 DF 0732519-35.2021.8.07.0016, Relator: AISTON HENRIQUE DE SOUSA, Data de Julgamento: 03/12/2021, Primeira Turma Recursal, Data de Publicação: Publicado no PJe : 30/12/2021 . Pág.: Sem Página Cadastrada.)
10 EMENTA: APELAÇÃO CÍVEL - RESPONSABILIDADE CIVIL - AÇÃO INDENIZATÓRIA - DANOS MATERIAL E MORAL - TRANSAÇÕES BANCÁRIAS - MOVIMENTAÇÕES FINANCEIRAS NA CONTA CORRENTE DA PARTE AUTORA - ALEGAÇÃO DE FRAUDE PRATICADA POR GOLPISTA - AUSÊNCIA DE FALHA NA SEGURANÇA - CULPA EXCLUSIVA DA CORRENTISTA - CARACTERIZAÇÃO - IMPROCEDÊNCIA DOS PEDIDOS - SENTENÇA CONFIRMADA. 1- As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias (Súmula 479 do STJ). 2- Exclui-se a responsabilidade do fornecedor do serviço caso demonstrada a culpa exclusiva do consumidor ou de terceiros (art. 14, § 3º, II, do CDC). 3- A instituição financeira demandada não responde pelas transações bancárias contestadas na inicial, que somente puderam ser realizadas, via internet banking, em virtude de culpa exclusiva da própria correntista, que, ao receber uma ligação telefônica de um suposto funcionário do banco, solicitando-lhe atualização de dados, seguiu todos os procedimentos "orientados" por esse terceiro fraudador, fragilizando os seus dados e possibilitando a realização das transações bancárias. (TJ-MG - AC: 10000220734552001 MG, Relator: Claret de Moraes, Data de Julgamento: 17/05/2022, Câmaras Cíveis / 10ª CÂMARA CÍVEL, Data de Publicação: 19/05/2022)
11 EMENTA: RECURSO INOMINADO. BANCÁRIO. INDENIZAÇÃO. DANOS MATERIAIS E MORAIS. FRAUDE NA CONTRATAÇÃO DE EMPRÉSTIMO E TRANSFERÊNCIA DE VALORES PARA CONTA DE TERCEIROS ESTELIONATÁRIOS. SENTENÇA QUE RECONHECEU A CULPA CONCORRENTE E CONDENOU O RÉU À RESTITUIÇÃO DE 50% DO PREJUÍZO MATERIAL SOFRIDO PELA AUTORA. LEGITIMIDADE DA INSTITUIÇÃO FINANCEIRA PARA O PROCESSO. SUCESSIVAS TRANSFERÊNCIAS VIA PIX REALIZADAS EM CURTO INTERVALO DE TEMPO, EM VALORES EXPRESSIVOS E DESTINADO A BENEFICIÁRIOS DIFERENTES. TRANSAÇÕES NÃO CONDIZENTES COM O PERFIL DA CORRENTISTA. INÉRCIA DA RÉ EM SOLICITAR O "BLOQUEIO CAUTELAR" DOS VALORES À INSTITUIÇÃO FINANCEIRA RECEBEDORA DOS RECURSOS, NOS TERMOS DAS RESOLUÇÕES BCB 08/2021 E 147/2021. FALHA NO DEVER DE SEGURANÇA. CULPA EXCLUSIVA DA VÍTIMA OU DE TERCEIRO NÃO CARACTERIZADA. RESPONSABILIDADE OBJETIVA DA PRESTADORA DO SERVIÇO BANCÁRIO. RESTITUIÇÃO DE VALORES DEVIDA, CONFORME ESTABELECIDO NA SENTENÇA. RECURSO DESPROVIDO. (TJ-PR 00019091920228160153 Santo Antônio da Platina, Relator: Helder Luis Henrique Taguchi, Data de Julgamento: 12/05/2023, 2ª Turma Recursal, Data de Publicação: 15/05/2023)
12 AÇÃO INDENIZATÓRIA POR DANOS MATERIAIS E MORAIS – Fraude em transação via Pix para aquisição de veículo – Falha na prestação de serviço por instituição financeira – Abertura de conta sem a adequada identificação do correntista – Valores transferidos não bloqueados – Sentença de improcedência – Insurgência do autor – Cabimento – Procedimentos da instituição financeira em desacordo com Resoluções do BACEN – Falha na prestação de serviço reconhecida – Aplicabilidade da Súmula 479 do STJ – Dever de indenizar configurado – Culpa concorrente do autor – Inteligência do art. 945 do CC – Danos que devem ser suportados igualmente – Danos morais – Inocorrência – Autor que contribuiu para causar o evento danoso – RECURSO PARCIALMENTE PROVIDO. (TJ-SP - AC: 10049568020218260010 SP 1004956-80.2021.8.26.0010, Relator: Renato Rangel Desinano, Data de Julgamento: 15/09/2022, 11ª Câmara de Direito Privado, Data de Publicação: 15/09/2022)
13 Art. 4º A Política Nacional das Relações de Consumo tem por objetivo o atendimento das necessidades dos consumidores, o respeito à sua dignidade, saúde e segurança, a proteção de seus interesses econômicos, a melhoria da sua qualidade de vida, bem como a transparência e harmonia das relações de consumo, atendidos os seguintes princípios: III - harmonização dos interesses dos participantes das relações de consumo e compatibilização da proteção do consumidor com a necessidade de desenvolvimento econômico e tecnológico, de modo a viabilizar os princípios nos quais se funda a ordem econômica (art. 170, da Constituição Federal), sempre com base na boa-fé e equilíbrio nas relações entre consumidores e fornecedores.
14 RECURSOS ESPECIAIS. CONSUMIDOR. RESPONSABILIDADE CONCORRENTE. 1) AÇÃO DE INDENIZAÇÃO MOVIDA POR CORRENTISTA CONTRA O BANCO. PAGAMENTODE CHEQUES EMITIDOS MEDIANTE ASSINATURA APENAS DE GERENTE, QUANDOEXIGIDA A ASSINATURA DESTE E DE MAIS UM DIRETOR. RESPONSABILIDADEOBJETIVA DO BANCO. 2) RESPONSABILIDADE CONCORRENTE RECONHECIDA.INDENIZAÇÃO À METADE. 3) CORREÇÃO MONETÁRIA A PARTIR DA DATA DE CADACHEQUE INDEVIDAMENTE PAGO. 4) JUROS DE MORA CONTADOS A PARTIR DACITAÇÃO E NÃO DE CADA PAGAMENTO DE CHEQUE. INADIMPLEMENTO CONTRATUALE NÃO INDENIZAÇÃO POR ATO ILÍCITO. 5) LUCROS CESSANTES DEVIDOS.ATIVIDADE EMPRESARIAL PRESSUPÕE USO PRODUTIVO DO DINHEIRO E NÃOPERMANÊNCIA CONTEMPLATIVA EM CONTA BANCÁRIA. 6) LIQUIDAÇÃO DE LUCROSCESSANTES POR ARBITRAMENTO. 7) APLICAÇÃO DO DIREITO À ESPÉCIEIMPOSSÍVEL, POIS PLEITEADA SOMENTE NA PEÇA EXTRA- PROCESSUALINFORMAL DO MEMORIAL, QUANDO IMPOSSÍVEL OBSERVAR O CONTRADITÓRIO. 8) NULIDADE INEXISTENTE NA DISPENSA DE PROVA ORAL, POIS TESTEMUNHOSJAMAIS INFLUIRIAM NA CONCLUSÃO DO JULGAMENTO. 9) RECURSOS ESPECIAISIMPROVIDOS.1.- Há responsabilidade objetiva do banco, que paga cheques assinados apenas por gerente, quando exigível dupla assinatura,também assinatura de um Diretor. Aplicação do art. 24 do CDC.2.- A Responsabilidade concorrente é admissível, ainda que no caso de responsabilidade objetiva do fornecedor ou prestador, quando há responsabilidade subjetiva patente e irrecusável também do consumidor, não se exigindo, no caso, a exclusividade da culpa.3.- Correção monetária do valor de cada cheque a partir da data deseu pagamento, visto que outra data, decorrente de tratamento em bloco do valor, "comeria" período de correção de valor delecomponente.4.- Contam-se os juros de mora a partir da citação, no caso de descumprimento contratual na liberação de cheques com defeito de assinatura, não se cogitando de obrigação originada de ato ilícito propriamente dita, mas, sim, de ilícito contratual, constituído peloinadimplemento.5.- Lucros cessantes são devidos ao correntista que teve dinheiro retirado de sua conta mediante o pagamento de cheques emitidos defectivamente, com uma assinatura apenas, quando os atos constitutivos da empresa exigiam duas.6.- O arbitramento é a forma de liquidação dos lucros cessantes,relativos a aplicações financeiras frustradas pelo pagamento indevido de cheques, quando tais dados não venham no processo.7.- Impossível a aplicação do Direito à espécie, no julgamento desta Corte, se não há no processo dados seguros e se tal pleito vem apenas em memorial, impossibilitando estabelecimento de contraditório constitucional necessário com a parte contrária.8.- Nulidade, por dispensa de ouvida de testemunhas, inexistente,quando não haveria nada que a prova testemunhal pudesse acrescentarao conhecimento dos fatos trazidos a julgamento, já considerados no decorrer do julgado em sentido harmônico com o julgamento.9.- Recursos Especiais improvidos. (STJ - REsp: 1349894 SP 2012/0169439-3, Relator: Ministro SIDNEI BENETI, Data de Julgamento: 04/04/2013, T3 - TERCEIRA TURMA, Data de Publicação: DJe 11/04/2013)