Artigos | Postado no dia: 21 setembro, 2026

Fraude bancária: prevenir e provar passaram a fazer parte da mesma estratégia

No contencioso bancário atual, a discussão sobre fraude deixou de se limitar à pergunta “quem praticou o golpe?”. Cada vez mais, o debate passa por outra questão: diante dos sinais disponíveis, o serviço bancário funcionou com o nível de segurança que dele se podia razoavelmente esperar?

Para quem defende instituições financeiras, essa mudança é decisiva. Ela desloca parte da estratégia jurídica do momento da contestação para etapas anteriores: desenho dos controles, monitoramento das transações, resposta a eventos suspeitos, preservação da evidência e capacidade de reconstruir, depois, o que efetivamente ocorreu.

Em outras palavras, prevenção de fraude e defesa judicial deixaram de ser agendas separadas. Hoje, uma interfere diretamente na qualidade da outra.

Responsabilidade objetiva não significa responsabilidade automática

A Súmula 479 do Superior Tribunal de Justiça consolidou o entendimento de que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. Isso significa que, caracterizado o fortuito interno e o defeito do serviço, não se exige a demonstração de culpa do banco.

Mas responsabilidade objetiva não é sinônimo de responsabilidade automática por qualquer golpe sofrido pelo cliente. Permanecem relevantes a existência de defeito na prestação do serviço, o nexo causal e as excludentes previstas no art. 14, §3º, do Código de Defesa do Consumidor, inclusive a inexistência de defeito e a culpa exclusiva do consumidor ou de terceiro.

Essa distinção é essencial.

Em golpes de engenharia social, a discussão jurídica não pode ser reduzida nem à afirmação de que “o cliente autorizou a operação”, nem à ideia oposta de que todo prejuízo decorrente de fraude deve ser imputado à instituição.

O caso concreto importa: perfil transacional, sequência de eventos, nível de atipicidade, mecanismos de autenticação, alertas gerados, resposta da instituição e comportamento das partes.

A jurisprudência recente do STJ reforça exatamente esse ponto. Em casos envolvendo falsa central de atendimento e phishing, o Tribunal tem dado especial peso à existência de falhas de segurança, à validação de operações incompatíveis com o perfil do cliente e à capacidade da instituição de monitorar transações atípicas e mitigar o dano.

Para a defesa bancária, o recado é claro: o argumento de que a fraude foi praticada por terceiro continua juridicamente relevante, mas raramente será suficiente, sozinho, quando a controvérsia envolver possível falha do serviço.

A prevenção passou a integrar a estratégia jurídica

O setor bancário sempre investiu pesadamente em segurança. O que mudou foi a expectativa sobre a capacidade de identificar risco em tempo real e, principalmente, de demonstrar posteriormente como os controles funcionaram naquela operação específica.

O próprio arcabouço regulatório do Pix vem incorporando mecanismos mais robustos de gerenciamento de risco de fraude, inclusive com foco na identificação de transações atípicas ou incompatíveis com o perfil do cliente. Isso aproxima ainda mais segurança operacional, regulação e responsabilidade civil.

Do ponto de vista processual, uma política genérica de segurança diz pouco.

A defesa ganha consistência quando consegue demonstrar, no caso concreto, quais sinais estavam disponíveis, quais verificações foram realizadas, que autenticações ocorreram, se houve mudança de dispositivo, quais alertas foram gerados e qual providência foi adotada diante deles.

Não basta provar que o banco possui um sistema antifraude. É preciso, cada vez mais, conseguir provar como esse sistema se comportou diante daquela fraude.

Inteligência artificial: menos discurso, mais capacidade de detectar anomalias

A inteligência artificial tem papel relevante nesse cenário, mas convém evitar o fetiche tecnológico.

Regras fixas, autenticação forte, cadastro de dispositivos, limites, bloqueios cautelares e outros controles tradicionais continuam essenciais. A IA agrega valor quando amplia a capacidade de combinar sinais e perceber padrões que, isoladamente, parecem normais.

Valor, horário, frequência, velocidade das operações, dispositivo utilizado, histórico do destinatário, mudança abrupta de comportamento e outras variáveis podem, em conjunto, indicar uma anomalia que uma regra isolada não capturaria.

Quanto maior a sofisticação da fraude — inclusive com uso de engenharia social, deepfakes e clonagem de voz —, maior a necessidade de controles capazes de se adaptar a novos padrões.

O ponto jurídico, porém, não é simplesmente utilizar IA.

É utilizar tecnologia de forma governada, auditável e compatível com a produção de prova.

Um modelo muito eficiente, mas incapaz de deixar um rastro minimamente inteligível de sua atuação, pode produzir um bom resultado operacional e uma defesa probatória fraca.

Rastreabilidade e explicabilidade viraram ativos de defesa

Esse talvez seja o ponto mais importante para o contencioso.

Em juízo, a instituição precisa reconstruir a operação de forma tecnicamente compreensível. Logs, carimbos de tempo, histórico do dispositivo, mecanismos de autenticação, indicadores de risco, alertas, bloqueios, comunicações com o cliente, acionamento de mecanismos de devolução e a versão da regra ou do modelo utilizada podem se transformar em ativos probatórios.

A qualidade da defesa depende não apenas de o controle ter existido, mas de a evidência ter sido preservada de forma acessível, coerente e suficiente para demonstrar a sequência decisória.

Explicabilidade, nesse contexto, não significa necessariamente abrir código-fonte, revelar segredo industrial ou transformar o processo judicial em auditoria integral do algoritmo.

Significa ser capaz de explicar, em nível adequado, quais critérios e sinais influenciaram a decisão e quais respostas o sistema produziu.

A LGPD torna esse tema ainda mais relevante. O art. 20 assegura ao titular, nas hipóteses de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, o direito de solicitar revisão e, nos termos do §1º, de obter informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial.

Além disso, inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais estão entre os temas prioritários de fiscalização da ANPD para o biênio 2026–2027.

A capacidade de explicar e governar decisões automatizadas, portanto, interessa simultaneamente ao contencioso, à proteção de dados e à regulação.

Prevenir com dados exige governança de dados

A análise comportamental é poderosa justamente porque utiliza dados para identificar desvios de padrão. Mas isso também significa tratamento de dados pessoais e, conforme a solução empregada, eventualmente de dados sujeitos a proteção reforçada.

A prevenção de fraude não dispensa base legal adequada nem os princípios de finalidade, adequação, necessidade, segurança e transparência.

Mais dados não significam necessariamente mais segurança.

O desenho maduro é aquele que utiliza os dados necessários para o risco que pretende enfrentar, controla acessos, define retenção, documenta finalidades e consegue justificar o tratamento.

Também é importante evitar outra simplificação: supervisão humana não significa que toda decisão automatizada precise de intervenção humana individual.

O que a boa governança exige é saber onde a automação pode decidir sozinha, quando deve haver escalonamento, quem é responsável pelo modelo, como ele é validado, auditado e atualizado e como são tratados erros, exceções e efeitos indesejados.

Automação eficiente não é automação sem dono.

O contencioso pode ser um dos melhores sensores de fraude do banco

Há, ainda, uma fonte de inteligência frequentemente subutilizada: o próprio acervo de reclamações e processos.

Em contencioso bancário de alta escala, novas modalidades de fraude, falhas de jornada, fragilidades probatórias e padrões de alegação muitas vezes aparecem nos processos antes de se consolidarem em relatórios gerenciais.

Tenho insistido em uma ideia simples: cada processo não representa apenas um problema a ser defendido. Ele também é um dado que, quando corretamente estruturado e analisado, pode ajudar a evitar milhares de novos processos.

Para isso, o jurídico precisa devolver informação para prevenção a fraudes, segurança, produto, compliance, proteção de dados e atendimento.

Quais golpes estão crescendo? Em que jornada aparecem? Que prova tem faltado? Qual argumento do consumidor vem sendo acolhido? Que comportamento o Judiciário passou a considerar atípico? Onde a resposta operacional chegou tarde?

Quando essas perguntas passam a alimentar o desenho dos controles, o contencioso deixa de ser apenas o fim da cadeia e passa a funcionar também como sensor de risco.

O novo papel do jurídico bancário

O jurídico não substitui as áreas de prevenção a fraudes, tecnologia ou segurança.

Sua contribuição é outra: traduzir a experiência do litígio em critérios de risco jurídico e mostrar quais decisões operacionais precisarão ser explicadas, documentadas e sustentadas diante do regulador, do consumidor e do Judiciário.

Isso muda o momento de atuação.

A defesa mais consistente não nasce no dia em que a citação chega. Ela começa no desenho do produto, passa pelo motor antifraude, pela governança dos dados, pela preservação da evidência e termina com a capacidade de aprender com o próprio processo.

Em fraude bancária, tecnologia sem prova é insuficiente; prova sem prevenção chega tarde; e contencioso que não retroalimenta o negócio desperdiça inteligência.

Essa, a meu ver, é uma das principais evoluções do jurídico bancário: deixar de enxergar prevenção e defesa como etapas independentes e tratá-las como partes da mesma estratégia.