A regra geral é a Súmula 479 do STJ: o banco responde pelas fraudes de terceiros que acontecem dentro das operações bancárias, mesmo sem culpa. A fraude é tratada como um risco do próprio negócio do banco. O Código de Defesa do Consumidor (art. 14) diz o mesmo de outro jeito: o serviço é defeituoso quando não oferece a segurança que o cliente pode esperar.
O ponto central é este: a operação fugia do seu costume a ponto de o sistema do banco ter de barrar? As regras do Banco Central mandam o banco recusar o Pix quando houver fundada suspeita de fraude (Regulamento do Pix, art. 38, II) e recusar transferências para conta com fundada suspeita de fraude (Resolução BCB nº 501/2025). O banco também pode segurar um Pix suspeito por até 30 minutos, das 8h às 20h em dia útil, e por até 60 minutos nos demais horários.
O STJ já disse que o banco deve ter sistemas para barrar operações fora do perfil do cliente, e que aprovar operação atípica é defeito do serviço (REsp 2.222.059, de 2025). Também julgou que operações em sequência, de valor alto e fora do padrão, deviam ter sido barradas (REsp 2.052.228, de 2023). E, num golpe da mão fantasma em que houve falha de segurança do banco, afastou a divisão do prejuízo com a vítima (REsp 2.220.333, de 2025).
Sendo franco: a responsabilidade do banco não é automática. Em 2026, num golpe da falsa central, o STJ afastou a indenização porque os Pix eram compatíveis com o histórico da cliente e uma parte do dinheiro foi transferida por ela mesma, na agência (REsp 2.209.868). Por isso o extrato dos meses anteriores ao golpe pesa tanto.