Golpe do Pix por Bypass Biométrico: O Banco Deve Devolver?

Acordar de madrugada com notificações de transferências bancárias sucessivas e ver o saldo da conta zerado é uma situação desesperadora.

O choque fica ainda pior horas depois, quando o banco digital envia uma resposta padrão recusando a devolução do dinheiro sob o argumento de que a operação foi validada por biometria facial ou senha pessoal.

Essa negativa automática ignora a realidade técnica das novas fraudes digitais e desrespeita a legislação brasileira de proteção ao consumidor.

O que é o bypass biométrico e como os criminosos invadem a conta bancária?

O bypass biométrico é uma manipulação técnica em que invasores conseguem burlar os módulos de reconhecimento facial dos aplicativos bancários, injetando fotos estáticas, vídeos manipulados em tempo real ou dados forjados para simular a presença do titular da conta.

Na nossa rotina de acompanhamento de litígios bancários nos fóruns paulistas, observamos que as invasões raramente ocorrem por negligência do correntista.

Os criminosos utilizam versões modificadas dos aplicativos ou exploram vulnerabilidades nas interfaces de programação (APIs) dos próprios bancos. Ao contornar a validação de segurança ativa, eles assumem o controle total do Internet Banking em aparelhos emulados ou dispositivos nunca antes vinculados àquela pessoa.

O usuário costuma estar dormindo enquanto as transações acontecem.

Quando o cliente percebe a invasão pela manhã, descobre que os criminosos alteraram limites operacionais, cadastraram novos destinatários e realizaram múltiplos Pix sucessivos, limpando tanto o saldo da conta corrente quanto eventuais reservas e limites de cheque especial.

O banco pode recusar o ressarcimento alegando “uso de senha pessoal ou biometria”?

Não. As instituições financeiras não podem transferir o risco de sua atividade para o cliente simplesmente alegando que a operação foi autenticada internamente pelo sistema, cabendo ao banco provar que não houve falha em seus mecanismos de segurança.

A justificativa bancária de que “houve autenticação biométrica com sucesso” é frágil perante a Justiça.

O Superior Tribunal de Justiça consolidou esse entendimento por meio da Súmula 479 [INSERIR LINK EXTERNO: STJ Súmula 479], que estabelece a responsabilidade objetiva dos bancos em casos de fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Trata-se do chamado fortuito interno, risco inerente ao negócio de quem lucra fornecendo serviços digitais.

A lei é clara: cabe ao fornecedor do serviço o dever de segurança.

Pelo artigo 14 do Código de Defesa do Consumidor [INSERIR LINK EXTERNO: Planalto CDC Art. 14], o banco responde pelos danos causados por defeitos relativos à prestação dos seus serviços, independentemente da existência de culpa. Se a ferramenta do banco permitiu que uma validação simulada passasse como legítima, a falha reside exclusivamente nos servidores e algoritmos da instituição.

Por que as transferências Pix na madrugada configuram falha evidente de segurança?

A realização de transferências financeiras de alto valor na calada da noite, em sequência rápida e para contas desconhecidas, quebra de forma flagrante o perfil de consumo do cliente, o que obriga os sistemas antifraude do banco a bloquear as operações preventivamente.

O Banco Central do Estabeleceu diretrizes operacionais estritas para o tráfego de pagamentos instantâneos no período noturno, justamente para conter ações criminosas.

O erro mais comum que vemos os bancos cometerem é manter seus sistemas automatizados em operação sem parâmetros eficazes de contenção de atipicidade.

O Tribunal de Justiça de São Paulo (TJSP) possui jurisprudência consolidada no sentido de que a inércia do banco em não barrar transações que destoam totalmente do histórico do correntista gera o dever integral de indenizar.

Os sistemas antifraude deveriam disparar travas imediatas diante dos seguintes sinais de alerta:

• Quebra abrupta de perfil de gastos: movimentação de quantias desproporcionais ao saldo médio mantido pelo cliente ao longo dos meses anteriores;

• Intervalo mínimo entre operações: envio de múltiplos valores elevados em questão de segundos ou minutos para diferentes favorecidos;

• Destinatários sem histórico: repasse de valores para contas recém-abertas em outras praças ou de titularidade desconhecida pelo correntista;

• Dispositivos não reconhecidos: acessos iniciados a partir de novos endereços IP ou aparelhos não autorizados previamente com duplo fator de autenticação físico;

• Horário de repouso noturno: transações pesadas executadas entre 20h e 6h, violando as traves padrão de segurança do Pix.

A negligência do algoritmo em deixar a conta ser esvaziada sem qualquer bloqueio cautelar caracteriza defeito direto na prestação do serviço bancário.

O que fazer imediatamente após constatar a invasão da conta?

A resposta imediata ao ataque é determinante para a recuperação do patrimônio e para a construção das provas documentais que serão apresentadas ao Judiciário caso o banco mantenha a negativa administrativa.

Não basta apenas ligar para o SAC do banco.

O primeiro passo é registrar um Boletim de Ocorrência detalhado perante a Polícia Civil do Estado de São Paulo, preferencialmente por meio da Delegacia Eletrônica, descrevendo com exatidão os horários, valores e a ausência de autorização das transações.

Em seguida, faça o contato formal com o banco solicitando a abertura do Mecanismo Especial de Devolução (MED) criado pelo Banco Central.

Anote todos os números de protocolo, tire capturas de tela dos extratos com as saídas dos valores e guarde cópias das mensagens de erro ou e-mails de recusa emitidos pela instituição financeira. Se houver recusa em fornecer os registros de acesso (logs com endereço IP e modelo do dispositivo invasor), registre uma reclamação formal no portal Consumidor.gov.br e no canal de atendimento do Banco Central.

Caso as respostas administrativas sejam negativas ou protelatórias, o ajuizamento de uma [INSERIR LINK INTERNO: Ação de Restituição contra Bancos] com pedido de tutela de urgência se torna a via cabível para restabelecer o saldo e estancar eventuais cobranças indevidas de juros.

Como funciona na prática? Um caso real na região metropolitana de São Paulo

Para entender a dinâmica jurídica desses litígios, vejamos um cenário recorrente em nossa prática forense na capital paulista.

Carlos, engenheiro civil residente em Santo André, mantinha sua conta principal em um conhecido banco digital. Em uma terça-feira, por volta das 3h15 da madrugada, criminosos conseguiram acesso ao seu aplicativo por meio de um ataque de bypass biométrico.

Em menos de vinte minutos, foram realizadas quatro transferências Pix que totalizaram R$ 38.000,00, zerando os investimentos de liquidez diária e consumindo o limite do cheque especial.

Carlos tomou conhecimento da fraude às 6h30, ao acordar com as notificações no aparelho celular.

Imediatamente, ele acionou o suporte do banco e lavrou o boletim de ocorrência. Três dias depois, o banco digital respondeu formalmente que não faria a devolução do dinheiro, alegando que as operações haviam sido autenticadas mediante “leitura facial validada com sucesso” e que não caberia ressarcimento por se tratar de guarda de credencial pessoal.

O obstáculo parecia intransponível administrativamente, já que o banco tratava a biometria como prova incontestável de autoria.

Ao levar a questão ao Tribunal de Justiça de São Paulo, demonstramos tecnicamente a completa atipicidade das movimentações. Carlos nunca havia feito transferências Pix acima de R$ 1.000,00 no período noturno, nem possuía qualquer relação com os titulares das contas receptoras localizadas em outros estados da federação.

A decisão judicial aplicou a Súmula 479 do STJ e o Código de Defesa do Consumidor, reconhecendo a falha no sistema de autenticação e no monitoramento de fraudes do banco digital.

A instituição foi condenada a restituir a totalidade dos R$ 38.000,00 com correção monetária e juros, a anular as tarifas do cheque especial cobradas indevidamente e a pagar indenização pelos danos morais decorrentes do desamparo financeiro imposto ao correntista.

Perguntas frequentes sobre invasão de contas e recusa do banco

O banco é obrigado a devolver o dinheiro transferido por criminosos via Pix?

Sim. Havendo falha na segurança do sistema ou negligência no bloqueio de operações atípicas fora do perfil do correntista, a responsabilidade de recompor o saldo recai sobre a instituição financeira.

O que significa o banco alegar “culpa exclusiva da vítima”?

É a tentativa do banco de se isentar da obrigação de indenizar alegando que o cliente forneceu senhas a terceiros. No entanto, nos casos de bypass biométrico e invasão de sistema, essa tese cai por terra diante da ausência de provas periciais concretas de repasse de dados pelo correntista.

Qual é o prazo médio para reaver os valores por via judicial em São Paulo?

O tempo varia conforme a vara e o volume processual de cada comarca da Grande São Paulo, mas pedidos liminares (tutelas de urgência) costumam ser apreciados por juízes paulistas nos primeiros dias após a distribuição da ação.

Vale a pena aceitar propostas de acordo em que o banco oferece devolver apenas 30% ou 50% do valor?

Essa prática é comum nas tentativas extrajudiciais dos bancos para reduzir prejuízos próprios. A aceitação implica renúncia ao direito de cobrar o restante na Justiça, motivo pelo qual a análise detalhada das provas disponíveis deve preceder qualquer assinatura de termo de quitação.

Situações de invasão de contas bancárias envolvem particularidades técnicas profundas, exigindo análise criteriosa dos registros de conexão, notificações e respostas emitidas pela instituição financeira. Para proteger seus direitos nesta situação, o caminho mais seguro é buscar a avaliação de um advogado especialista.