A Súmula 479 do Superior Tribunal de Justiça foi aprovada pela Segunda Seção no dia 27 de junho de 2012 e diz o seguinte: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. Quatorze anos depois, o enunciado continua sendo repetido em petições como se fosse um passe livre contra qualquer banco, em qualquer golpe.
Um consumidor paga um boleto falso de R$ 8.400 gerado num site que imitava a loja onde ele acabara de fechar a compra, liga para a central do banco na manhã seguinte e ouve que a instituição não tem nada com aquilo. O episódio é invenção, e mesmo assim nada nele é raro: é o roteiro que chega todo mês aos juizados. A pergunta que sobra é quem responde pelo prejuízo.
O desfecho depende de onde saiu a informação que permitiu montar a cobrança. Se o golpista sabia o valor exato, a data e o número do contrato, a discussão muda de lado. Se ele tinha apenas nome, CPF e telefone, o banco costuma sair ileso.
Por que a Súmula 479 não resolve sozinha o caso do boleto falso?
A parte do enunciado que faz o trabalho pesado é a que o encerra, a menção às operações bancárias, e ela delimita o alcance em vez de ampliá-lo. Fortuito interno é o acidente que nasce dentro da atividade e está embutido no preço do serviço: clonagem de cartão, saque com documento falso, transferência feita por quem se passou pelo correntista. Fortuito externo vem de fora do negócio, e nenhuma diligência do fornecedor o evitaria.
O CDC na versão compilada do Planalto manda o prestador de serviço reparar danos independentemente de culpa, no artigo 14, e o parágrafo 3º abre uma saída quando o defeito não existe ou quando a culpa foi só do próprio cliente ou de um terceiro. A Súmula 479 fecha essa saída para o que for risco próprio do banco, e o Tema 466 dos recursos repetitivos aparece nos acórdãos ao lado dela. Nenhum dos dois diz que boleto emitido por um estranho, fora do sistema, vira automaticamente serviço bancário defeituoso. A responsabilidade objetiva do fornecedor reaparece em outros setores regulados, como na companhia aérea que tenta trocar reembolso por crédito, e esbarra sempre na mesma pergunta.
Onde termina o dado cadastral e começa o dado de operação bancária?
O julgado mais favorável ao consumidor nessa discussão é o REsp 2.077.278, decidido na Terceira Turma do STJ no dia 24 de outubro de 2023 e relatado pela ministra Nancy Andrighi. A tese ali é estreita e por isso mesmo útil: o banco responde quando a fraude decorreu de vazamento de dados relativos a operações bancárias, não de dados cadastrais que circulam por toda parte.
Leia Também
Nome completo, CPF, endereço e celular estão em cadastro de loja, de farmácia e de qualquer site que peça formulário. Saldo devedor, número do contrato, valor da parcela, data do vencimento e histórico de pagamento existem em um lugar só. Quando o golpista chega com esse segundo conjunto na mão, ele não adivinhou nada, e a Lei 13.709/2018 na versão atualizada pela Câmara dos Deputados trata como irregular o tratamento de dados que deixa de “fornecer a segurança que o titular dele pode esperar”. Essa fronteira é estreita demais para o tamanho do prejuízo que ela distribui.
O que a fraude nascida de vazamento no banco muda no processo?
Muda quem precisa provar o quê.
Nos casos de vazamento, a discussão deixa de girar em torno da esperteza da vítima e passa a girar em torno da segurança do sistema. O artigo 6º, inciso VIII, do CDC autoriza o juiz a inverter o ônus da prova quando a alegação é verossímil ou o cliente é hipossuficiente, e é difícil algo ser mais verossímil do que um estranho conhecendo a parcela exata de um financiamento. A Lei Geral de Proteção de Dados reforça o desenho: o artigo 42 obriga controlador e operador a reparar o dano causado no exercício do tratamento, o artigo 43 só os libera se provarem que não trataram aqueles dados, que não violaram a lei ou que a falha foi só do titular ou de um terceiro. O banco, nesse ponto, deixa de discutir o boleto e passa a discutir a própria base de dados.
Quando a conduta da vítima rompe o nexo e derruba a indenização?
A tendência recente do STJ é de contenção. No REsp 2.209.868, a Terceira Turma decidiu em 15 de julho de 2026 que a Súmula 479 e o Tema 466 não se aplicam de forma automática quando a conduta da própria vítima rompe o nexo causal entre o serviço bancário e o dano. O REsp 2.124.423, também da Terceira Turma, julgado em 27 de janeiro de 2025, seguiu a mesma linha.
Na prática, isso alcança quem digitou a senha numa página aberta a partir de link recebido por mensagem, repassou o código de autenticação para alguém que se apresentou como funcionário, autorizou acesso remoto ao celular ou pagou documento com beneficiário claramente estranho ao negócio. Não se trata de culpar quem foi enganado, e sim de identificar em que ponto a falha deixou de ser do sistema bancário. Quando a informação sensível saiu das mãos do próprio titular, o vazamento que sustentaria a tese do REsp 2.077.278 simplesmente não existe.
Como provar de onde saiu a informação que o golpista usou?
A prova se monta com o que o próprio documento carrega. A linha digitável identifica o banco emissor nos três primeiros dígitos, e o comprovante mostra o beneficiário final, que quase nunca é a loja anunciada. A mensagem recebida, com cabeçalho completo, preserva a origem do arquivo, e o extrato registra data, valor e conta de destino.
O passo que decide a causa é outro: listar, item por item, quais informações do documento falso só poderiam vir do banco. Valor idêntico ao da parcela, número de contrato correto, data de vencimento coincidente e tratamento pelo nome que consta apenas no cadastro interno formam um conjunto que o fornecedor terá de explicar. Registrar reclamação formal no canal do banco e guardar o protocolo importa, porque a recusa por escrito costuma abrir o processo, como acontece na cobrança de multa de fidelidade que a operadora insiste em manter. O boletim de ocorrência não resolve o mérito, mas data o episódio.
O que convém lembrar sobre boleto falso e responsabilidade do banco?
Reúna o boleto pago, o comprovante, a mensagem que trouxe o arquivo e o protocolo da reclamação no mesmo lugar. Exija do banco resposta escrita sobre a origem dos seus dados de contrato, não apenas a confirmação de que o pagamento foi processado. Aja nos primeiros dias, porque conta de golpe costuma ser esvaziada rápido. Observe qual conjunto de informações o falsificador tinha: se aparecem valor de parcela, número de contrato ou vencimento, a tese do vazamento de dados de operações bancárias está no seu caso; se havia só nome, CPF e telefone, o caminho tende a ser o do fato de terceiro. E não entregue senha, código de autenticação nem acesso remoto a ninguém, porque é exatamente ali que a jurisprudência de 2025 e 2026 corta o nexo.
O consumidor dos R$ 8.400 é personagem de papel, e as decisões citadas são reais: a função destas linhas é informativa, e elas reúnem a redação da Súmula 479, os processos indicados na checagem desta pauta, o texto consumerista no Planalto e a Lei 13.709/2018 na base da Câmara. Cada caso depende de prova própria, e conferir os documentos com quem tem habilitação para examiná-los é o passo seguinte.