Assim decidiu, por unanimidade, a Quarta Turma do STJ, no julgamento do AgInt no REsp 2.221.112-SC, realizado em 18/05/2026. Do respectivo acórdão, relatado pelo Ministro Raul Araújo, destaca-se o seguinte:
“Cinge-se a controvérsia em saber se a fraude bancária decorrente de “engenharia social” (phishing) configura fortuito externo e culpa exclusiva da vítima, aptos a afastar a responsabilidade objetiva da instituição financeira e a incidência da Súmula n. 479/STJ, ou se, diante da comunicação imediata e da ineficiência do sistema de segurança em conter o dano, o evento deve ser enquadrado como fortuito interno.
No caso, a consumidora vítima de fraude por “engenharia social” (phishing) em operação bancária eletrônica, realizou a comunicação da fraude quase imediatamente às instituições rés (transação às 15h30 e aviso às 15h32), tendo ocorrido o acionamento efetivo do bloqueio cautelar e do Mecanismo Especial de Devolução (MED) apenas cinco dias após o evento, ocasionando o prejuízo financeiro.
Com efeito, a inércia injustificada da instituição financeira em adotar, de forma célere, medidas de bloqueio cautelar e acionamento do MED após comunicação imediata da fraude caracteriza defeito na prestação do serviço bancário, pois evidencia ineficiência dos sistemas de segurança em reagir ao alerta, atraindo a incidência da responsabilidade objetiva prevista no art. 14 do CDC.
Nesse sentido, é a jurisprudência consolidada do Superior Tribunal de Justiça, que afirma a responsabilidade das instituições financeiras por fraudes bancárias, bem como pela insuficiência de seus mecanismos de segurança e de pronta contenção do prejuízo. Precedente: AgInt no AREsp n. 2.708.565/MT, relator Ministro Humberto Martins, Terceira Turma, julgado em 9/2/2026, DJEN de 12/2/2026.
Dessa forma, a falha no dever de mitigar o dano e no monitoramento de transações atípicas transmuda o evento para a categoria de fortuito interno, de risco inerente à atividade bancária, hipótese em que a instituição financeira responde objetivamente pelos danos causados por fraudes praticadas por terceiros, nos termos da Súmula n. 479/STJ e da teoria do risco do empreendimento.”
Fonte: STJ (Informativo de Jurisprudência)
(21/07/2026)