Golpe na conta PJ: quando o banco tem que devolver

Na maior parte dos casos de golpe, sim. O CDC considera consumidor a pessoa física ou jurídica que usa um serviço como destinatária final (art. 2º), e a Súmula 297 do STJ confirma que o código se aplica às instituições financeiras. A conta em que a empresa recebe dos clientes e paga fornecedores não é insumo da atividade dela. É o serviço bancário de guarda e movimentação de dinheiro, usado como qualquer correntista usa.

Os tribunais também olham para a vulnerabilidade técnica. Em outubro de 2026, a Primeira Turma Recursal do TJDFT aplicou o CDC a uma microempresa vítima de golpe por Pix porque ela não tinha nenhum controle sobre os sistemas de monitoramento e detecção de fraude do banco (Recurso Inominado 0707683-61.2026.8.07.0003, relator Evandro Neiva de Amorim, julgado em 08/10/2026). No mesmo julgamento, a Turma manteve o sócio administrador no processo para pedir, em nome próprio, a indenização pelo abalo que ele mesmo sofreu.

Se o juiz entender que não há relação de consumo, a discussão continua pelo Código Civil, que impõe responsabilidade sem culpa a quem exerce atividade que, por sua natureza, cria risco para os outros (art. 927, parágrafo único). A diferença mais concreta está no prazo: pelo CDC, a empresa tem cinco anos para pedir a reparação (art. 27); pelo Código Civil, a pretensão de reparação civil prescreve em três (art. 206, § 3º, V). Na dúvida, conte com o menor.

A pergunta central não é se a empresa foi enganada, mas se o banco tinha como perceber. O STJ responde há alguns anos que tinha. Em setembro de 2023, a Terceira Turma reconheceu a responsabilidade do banco que não identificou operações destoantes do perfil do cliente (REsp 2.052.228, relatora ministra Nancy Andrighi). Em outubro de 2025, a mesma Turma estendeu o dever às instituições de pagamento e listou os critérios que o sistema precisa observar: valor, horário e local das transações, o intervalo entre uma e outra, a sequência e o meio usado, e a contratação de empréstimos atípicos logo antes de pagamentos suspeitos (REsp 2.222.059, relator ministro Ricardo Villas Bôas Cueva).

O TJDFT aplica esse critério com frequência. Em agosto de 2026, a 4ª Turma Cível manteve a devolução dos valores e o cancelamento dos débitos de uma correntista cuja conta foi usada para Pix, empréstimos e compras no cartão, e registrou que a validação de transações atípicas “não afasta a responsabilidade sob alegação de utilização de senha ou dispositivo pessoal” (Apelação 0704439-58.2025.8.07.0004, Acórdão 2162870, relator desembargador Sérgio Rocha, julgada em 05/08/2026).

Conta de empresa tem um padrão próprio, e costuma ser bem previsível: os mesmos fornecedores, a folha, os tributos, clientes que pagam com frequência. Os sinais de golpe aparecem em contraste com isso. Vários destinatários que nunca receberam nada da empresa na mesma tarde. Valores fracionados, alguns centavos abaixo de um número redondo, como quem tenta passar por baixo de um gatilho de alerta. Pagamentos em sequência rápida até zerar o saldo e entrar no limite.

Boleto também conta. Em setembro de 2026, a 3ª Turma Cível do TJDFT examinou dez pagamentos de boletos de débitos de veículos de terceiros, feitos em menos de quarenta minutos, e concluiu que a falta de bloqueio preventivo, alerta ou confirmação adicional caracteriza falha do serviço. A participação da vítima no ardil, sem culpa exclusiva, não autorizou reduzir a restituição (Apelação 0727729-48.2024.8.07.0001, Acórdão 2177672, relatora designada desembargadora Selma Sauerbronn, julgada em 23/09/2026). A decisão foi por maioria, em julgamento ampliado, o que mostra que o tema ainda divide os julgadores.

Um argumento frequente do banco é que as operações cabiam no limite da conta. Limite é teto, não perfil. Contas empresariais costumam ter limites diários muito acima do que a empresa movimenta de fato, e o critério do STJ é o desvio do comportamento habitual, não o estouro de um teto.

O mesmo critério também derruba pedidos. A Terceira Turma Recursal do TJDFT negou a devolução de um Pix de R$ 7.000,00 porque, dois dias antes, os próprios correntistas tinham feito outro Pix do mesmo valor: sem quebra do padrão da conta, não havia o que o sistema do banco detectar (Recurso Inominado 0781242-46.2025.8.07.0016, Acórdão 2102955, relatora juíza Gabriela Jardon Guimarães de Faria, julgado em 16/03/2026). Por isso o histórico dos meses anteriores ao golpe costuma decidir o caso.

O sócio de uma pequena empresa negocia uma compra com um vendedor que encontrou na internet. Paga um sinal por Pix e, em seguida, recebe o pedido de instalar no celular o que seria o aplicativo da loja. É um programa de acesso remoto. Na mesma tarde, sai da conta da empresa uma sequência de pagamentos de boleto em valores parecidos, até a conta ficar negativa. Algumas transferências Pix para desconhecidos chegam a ser barradas pelo sistema do banco, que mesmo assim deixa os boletos passarem.

O sócio registra boletim de ocorrência, avisa o banco e pede o MED no mesmo dia. O banco reconhece indícios de que o aparelho foi comprometido e bloqueia a conta. Semanas depois, a ouvidoria muda de versão: diz que as operações partiram do aparelho habitual, dentro do limite e do padrão da conta, e nega o ressarcimento. A conta continua bloqueada, com saldo negativo e encargos correndo.

Situações assim mostram as duas questões que costumam decidir o caso. A primeira é se as operações eram atípicas a ponto de o sistema do banco ter de barrá-las, o que o fato de algumas terem sido barradas e outras não ajuda a discutir. A segunda é a diferença entre o pagamento que a vítima fez por vontade própria, enganada pelo vendedor falso, e as operações feitas pelo golpista depois do acesso remoto. Os tribunais tendem a tratar essas duas situações de forma diferente.

As decisões abaixo são de casos semelhantes e não garantem o resultado de outro processo. Em todas elas, o que pesou foi a prova: o histórico da conta, os registros do banco e o efeito concreto do golpe sobre quem o sofreu.

Suspender o saldo negativo e os encargos do golpe

Quando o golpe esvazia a conta e entra no limite, a dívida que sobra também pode ser afastada. Em outubro de 2026, a 1ª Turma Cível do TJDFT suspendeu, em liminar, a cobrança do saldo devedor deixado na conta de uma empresa por transferências feitas a mando de um falso gerente. A decisão proibiu o lançamento de juros, IOF e tarifas sobre esse saldo, mandou separá-lo num registro à parte para que o dinheiro que entrasse na conta ficasse livre para a empresa, suspendeu um limite de capital de giro contratado no meio da sequência e impediu a negativação e o registro do débito como vencido no sistema de informações de crédito do Banco Central (Agravo de Instrumento 0750335-05.2026.8.07.0000, relator desembargador Carlos Pires Soares Neto, decisão publicada em 27/10/2026).

No julgamento final, o crédito contratado pelo golpista costuma cair mesmo quando o tribunal divide o restante do prejuízo, como fez a 5ª Turma Cível no caso de compartilhamento de tela citado acima. A 6ª Turma Cível manteve a nulidade de um empréstimo e a inexigibilidade das parcelas num caso em que um aparelho foi habilitado na conta sem autorização e o dinheiro saiu em seguida por Pix (Apelação 0706693-27.2023.8.07.0019, Acórdão 2101878, relator desembargador Alfeu Machado, julgada em 04/03/2026).

Liberar a conta antes da sentença

A liminar depende de dois pontos: indícios fortes de que as operações fogem do padrão da conta e prova de que a demora causa dano. Na decisão da 1ª Turma, pesaram os comprovantes emitidos pelo próprio banco, com destinatários com quem a conta nunca tinha operado, e os encargos que já corriam sobre o saldo negativo. A 2ª Turma Cível também manteve a suspensão das cobranças de um empréstimo e de uma compra no cartão contestados por fraude, porque a medida é reversível: se o banco vencer, volta a cobrar com os encargos (Agravo de Instrumento 0714475-40.2026.8.07.0000, Acórdão 2149893, relator desembargador Renato Scussel, julgado em 08/07/2026).

O pedido também é negado com frequência. Em agosto de 2026, a 6ª Turma Cível recusou a suspensão da cobrança do cheque especial de uma empresa vítima do golpe da falsa central, com três Pix em cerca de quinze minutos, por entender que a fraude ainda dependia de prova e que a empresa não mostrou, com faturamento ou fluxo de caixa, como a dívida comprometia a atividade (Agravo de Instrumento 0737361-33.2026.8.07.0000, relator desembargador Leonardo Roscoe Bessa, decisão de 19/08/2026). O efeito do bloqueio no caixa precisa estar documentado desde o primeiro pedido.

Obrigar o banco a mostrar os registros

Os tribunais têm cobrado do banco a prova de como cada operação foi autorizada. A 6ª Turma Cível reformou uma decisão que negava a inversão do ônus da prova e atribuiu ao banco o encargo de demonstrar a regularidade da contratação, porque logs, IP, geolocalização, biometria e a trilha da operação estão sob a guarda dele (Agravo de Instrumento 0708304-67.2026.8.07.0000, Acórdão 2126378, relator desembargador Arquibaldo Carneiro Portela, julgado em 13/05/2026). No caso do aparelho habilitado sem autorização, a mesma Turma exigiu prova técnica e auditável, como registros de acesso, IP, carimbo de tempo e trilha de sessão, e considerou que capturas de tela e fluxos internos não a substituem. A 4ª Turma Cível manteve a condenação de um banco a ressarcir uma sociedade empresária porque não havia prova de que as transferências tinham sido feitas com a senha dela (Apelação 0703232-67.2024.8.07.0001, Acórdão 2116487, relator desembargador James Eduardo Oliveira, julgada em 15/04/2026).

Os registros também podem ser preservados logo no começo. Na decisão da 1ª Turma de outubro de 2026, o banco recebeu ordem de guardar os registros de acesso, autenticação, dispositivos e alertas antifraude dos três meses que terminaram no golpe, com a advertência de que descartá-los poderia ser tratado como ato atentatório à dignidade da justiça.

A empresa precisa provar que não fez as operações? Não. Com a inversão do ônus, cabe ao banco provar que o serviço não teve defeito ou que a culpa foi exclusivamente da empresa ou de terceiro (CDC, art. 14, § 3º). Na prática, isso passa pelos registros técnicos que só ele tem.

O golpe foi por boleto, não por Pix. Existe MED? Não. O MED é exclusivo do Pix. O pagamento de boleto se discute diretamente com o banco da empresa, e a falha do antifraude vale do mesmo jeito.

O sócio confirmou a biometria uma vez durante o golpe. Isso acaba com o caso? Não necessariamente. Uma validação feita dentro da tela controlada pelo golpista, achando que fazia parte de outra coisa, é diferente de autorizar cada pagamento. O que o juiz vai examinar é se as operações seguintes eram atípicas o bastante para o banco barrar ou pedir nova confirmação.

Qual é o prazo para a empresa processar o banco? Pelo CDC, cinco anos para pedir a reparação (art. 27). Se o juiz entender que a conta não é relação de consumo, vale o Código Civil, e a pretensão de reparação civil prescreve em três anos (art. 206, § 3º, V). Como a resposta depende de como o juiz vai enquadrar a conta, o mais seguro é contar com o prazo menor.

O golpe do falso gerente também entra? Entra. Quem liga se passando pelo gerente e convence o sócio a fazer operações ou instalar um aplicativo usa o mesmo caminho do acesso remoto, e a pergunta continua a mesma: as operações fugiam do padrão da conta a ponto de o banco ter de barrá-las? O risco, como mostra o julgado da 5ª Turma citado acima, é o tribunal dividir o prejuízo quando a vítima informou senhas por conta própria.

A empresa pode entrar no Juizado Especial? Microempreendedor individual, microempresa e empresa de pequeno porte podem ser autores no Juizado Especial Cível (Lei 9.099/1995, art. 8º, § 1º, II), em causas de até 40 salários mínimos (art. 3º, I). Quando o caso depende de perícia técnica nos registros do banco, a Justiça comum costuma ser o caminho mais seguro.