Fraude bancária: engenharia social (phishing)

DIREITO DO CONSUMIDOR. AGRAVO INTERNO NO RECURSO ESPECIAL. FRAUDE BANCÁRIA. ENGENHARIA SOCIAL (PHISHING). RESPONSABILIDADE OBJETIVA DE INSTITUIÇÃO FINANCEIRA. FORTUITO INTERNO. DEVER DE MONITORAMENTO DE TRANSAÇÕES ATÍPICAS E DE MITIGAÇÃO DO DANO (MED). REVALORAÇÃO JURÍDICA DE FATOS INCONTROVERSOS. SÚMULA 479/STJ. SÚMULA 7/STJ. AGRAVO INTERNO DESPROVIDO.

I. Caso em exame

1. O recurso. Agravo interno interposto por instituição financeira contra decisão monocrática que deu provimento ao recurso especial da parte consumidora para restaurar sentença de procedência em ação de ressarcimento decorrente de fraude bancária.

2. Fato relevante. Consumidora vítima de fraude por "engenharia social" (phishing) em operação bancária eletrônica, com comunicação quase imediata às instituições rés (transação às 15h30 e aviso às 15h32) e acionamento efetivo do bloqueio cautelar e do Mecanismo Especial de Devolução (MED) apenas cinco dias após o evento, ocasionando prejuízo financeiro.

3. As decisões anteriores. Sentença reconheceu falha na prestação do serviço bancário e condenou as instituições financeiras, qualificando como fortuito interno a inércia injustificada no bloqueio dos valores. Tribunal estadual reformou a sentença, entendendo configurado fortuito externo e culpa exclusiva da vítima, afastando o nexo causal e a responsabilidade civil. Decisão monocrática no STJ deu provimento ao recurso especial da consumidora, restabelecendo a sentença de procedência, com fundamento na responsabilidade objetiva (art. 14 do CDC e Súmula 479/STJ) e no dever de monitoramento de transações atípicas e de mitigação do dano pós-notificação.

II. Questão em discussão

4. Há duas questões em discussão: (i) saber se a decisão monocrática incorreu em erro de premissa fática e violou a Súmula 7/STJ ao considerar a "inércia de cinco dias" para acionamento do Mecanismo Especial de Devolução (MED) como fundamento da falha na prestação do serviço bancário; e (ii) saber se a fraude bancária decorrente de "engenharia social" (phishing) configura fortuito externo e culpa exclusiva da vítima, aptos a afastar a responsabilidade objetiva da instituição financeira e a incidência da Súmula 479/STJ, ou se, diante da comunicação imediata e da ineficiência do sistema de segurança em conter o dano, o evento deve ser enquadrado como fortuito interno.

III. Razões de decidir

5. A alegação de erro de premissa fática é afastada porque a cronologia da comunicação da fraude (às 15h32) e do acionamento efetivo do bloqueio e do MED apenas cinco dias após o evento foi expressamente delineada na sentença de primeiro grau, de modo que a decisão monocrática apenas utilizou elemento fático já constante do processo, ignorado pelo Tribunal de origem.

6. A atuação do STJ no caso configura mera revaloração jurídica de fatos incontroversos - especificamente a cronologia entre o aviso da fraude e a inércia da instituição financeira -, o que se qualifica como questão de direito e não implica reexame de prova, não incidindo o óbice da Súmula 7/STJ.

7. A inércia injustificada da instituição financeira em adotar, de forma célere, medidas de bloqueio cautelar e acionamento do MED após comunicação imediata da fraude caracteriza defeito na prestação do serviço bancário, pois evidencia ineficiência dos sistemas de segurança em reagir ao alerta, atraindo a incidência da responsabilidade objetiva prevista no art. 14 do CDC.

8. A falha no dever de mitigar o dano e no monitoramento de transações atípicas transmuda o evento para a categoria de fortuito interno, de risco inerente à atividade bancária, hipótese em que a instituição financeira responde objetivamente pelos danos causados por fraudes praticadas por terceiros, nos termos da Súmula 479/STJ e da teoria do risco do empreendimento.

9. O acórdão estadual, ao qualificar o evento como fortuito externo e afastar o nexo causal, divergiu da jurisprudência consolidada do STJ, que afirma a responsabilidade das instituições financeiras por fraudes bancárias, bem como pela insuficiência de seus mecanismos de segurança e de pronta contenção do prejuízo, razão pela qual a decisão monocrática, ao restabelecer a sentença, alinhou-se à orientação dominante desta Corte Superior.

10. Ausentes novos argumentos capazes de infirmar os fundamentos da decisão agravada, mantém-se o entendimento de que há responsabilidade civil da instituição financeira, impondo-se a negativa de provimento ao agravo interno.

IV. Dispositivo

11. Agravo interno desprovido.