Tempo de leitura: 12 min · Publicado em 29/09/2026
Uma empresa que sofre transferências fraudulentas deve agir em duas frentes: tentar conter o desvio imediatamente e preservar a trilha técnica da operação. A responsabilidade do banco não decorre automaticamente da existência da fraude nem da afirmação de que o valor era alto. É preciso examinar quem autorizou cada transação, quais controles da conta PJ estavam configurados, se houve comportamento incompatível com o histórico empresarial e como a instituição respondeu ao alerta. A recuperação pode envolver o mecanismo do Pix, contestação bancária e, conforme a prova, ação judicial.
Por que a fraude na conta PJ exige análise própria?
Uma conta empresarial pode ter vários usuários, limites por perfil, dupla aprovação e rotinas de pagamento de alto valor. O volume diário de uma empresa também pode ser muito diferente do de uma pessoa física. Uma transferência que parece “atípica” em abstrato pode ser habitual para um negócio sazonal; outra, aparentemente pequena, pode destoar porque saiu de usuário sem alçada, fora da rotina ou para beneficiário novo.
O primeiro passo é identificar a modalidade: Pix, TED, boleto, pagamento de fornecedor, cartão corporativo ou transferência entre contas. O mecanismo especial de devolução do Pix não se aplica a toda operação bancária, e seu acionamento não garante recuperação integral. Fraude externa, invasão de credenciais, manipulação de funcionário e erro operacional interno também têm causas e responsabilidades distintas.
Esta página não repete o artigo geral sobre operações fora do perfil de um cliente. O foco é o desenho da conta PJ: perfis de acesso, cadeia de autorização, controles configurados pela empresa, alertas bancários e repercussão no capital de giro. A pretensão econômica precisa ser confrontada com a prova técnica, não com a gravidade isolada do prejuízo.
O que fazer nas primeiras horas sem destruir provas?
Comunique o banco pelo canal oficial, peça bloqueio de acessos comprometidos e conteste cada transação com identificador, valor, data e destinatário. Se o desvio ocorreu por Pix e há indícios de fraude, solicite avaliação para o Mecanismo Especial de Devolução (MED). O Banco Central informa prazo de até 80 dias para requerer o MED, mas a comunicação imediata aumenta a chance prática de localizar recursos ainda disponíveis.
Também é prudente revisar senhas e dispositivos por procedimento seguro, mas antes de apagar máquinas ou reinstalar aplicativos registre o que for possível de modo controlado. A investigação interna deve preservar logs, e-mails, mensagens e comprovantes sem expor credenciais a terceiros. A empresa não deve enviar prints contendo tokens, senhas ou dados completos de clientes a canais não verificados.
Registre ocorrência policial quando os fatos indicarem crime e anote os protocolos bancários. Avise a equipe financeira sobre risco de novas ordens ou engenharia social; confira pagamentos pendentes e dados de fornecedores por canal independente. Essas medidas reduzem danos adicionais, mas não substituem a reclamação formal nem demonstram, sozinhas, defeito do serviço bancário.
Quem podia autorizar pagamentos na conta?
Peça ao banco e confira internamente a configuração vigente no momento da fraude: usuários, poderes, limites por operação, alçadas, dispositivo cadastrado, exigência de dois aprovadores, alterações recentes e horários de ativação. Contrato social e procurações não bastam se a plataforma bancária possuía permissões operacionais diferentes. O importante é reconstruir quem, tecnicamente, podia iniciar e concluir a transferência.
Se houve mudança de limite ou inclusão de novo aprovador antes da saída dos valores, a sequência temporal deve ser documentada. Que canal autorizou a mudança? Houve confirmação independente? A resposta pode apontar falha do banco, falha de governança da empresa ou atuação de pessoa com poder legítimo que o utilizou indevidamente. Não se deve ocultar hipótese interna apenas porque a ação contra o banco parece mais simples.
Nas empresas com terceirização financeira, é necessário mapear o papel do contador, escritório terceirizado ou prestador de tecnologia. Acesso compartilhado por várias pessoas reduz a capacidade de atribuir autoria e pode afetar a análise de diligência. Da mesma forma, a existência de duplo fator de autenticação não prova, sem os registros, que a transação foi autorizada conscientemente pela empresa.
Como comparar a transação com o perfil real da empresa?
Separe o histórico de pagamentos por período, faixa de valor, horário, destinatário e canal. Inclua pagamentos de folha, tributos e fornecedores recorrentes para mostrar o padrão legítimo. Depois destaque o que mudou: sequência de ordens em curto intervalo, primeira transferência para beneficiário desconhecido, mudança de dispositivo ou local de acesso, tentativa frustrada anterior e alteração de limites.
Esse trabalho não transforma qualquer diferença em obrigação automática de bloqueio pelo banco. Em julho de 2026, o STJ reiterou, em caso de golpe da falsa central, que a responsabilidade da instituição depende de elementos de falha do serviço e nexo causal; a mera ocorrência da fraude não basta. O contexto de uma conta PJ exige avaliação própria, inclusive da aplicabilidade do Código de Defesa do Consumidor à relação específica.
Um relatório financeiro claro é mais útil que a frase “o banco deveria ter percebido”. Mostre qual controle estava disponível e como seu funcionamento esperado se relaciona com o desvio. Se o banco enviou alerta, verifique para quem, em que momento e por qual canal; se a empresa confirmou uma operação, investigue o contexto dessa confirmação antes de atribuir tudo a um sistema automatizado.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Quais registros técnicos podem mudar a avaliação?
Podem ser relevantes logs de acesso, horário de autenticação, identificação de dispositivo, IP, alterações cadastrais, trilha de aprovação, mensagens de alerta e dados da transação. Um endereço IP incomum é indício a interpretar, não prova definitiva de invasão; o uso de rede móvel, VPN corporativa ou viagem legítima pode alterar a localização aparente. MAC address ou outros dados nem sempre são capturados ou disponíveis à parte.
O pedido ao banco deve ser específico e proporcional. Solicite os registros associados a cada identificador de operação e ao período imediatamente anterior, preservando sigilo bancário e dados pessoais. Se houver recusa ou resposta incompleta, a via judicial pode permitir produção ou exibição de documentos conforme o Código de Processo Civil, com delimitação adequada do que se busca.
A empresa também deve preservar sua própria trilha: ERP, e-mail de aprovação, ferramenta de gestão de pagamentos, registros de fornecedor e backups. Comparar esses dados com a trilha bancária ajuda a detectar se a fraude começou fora ou dentro do banco. A ausência de log em uma das pontas não autoriza preencher lacunas com certeza artificial.
O MED devolve o dinheiro de uma conta PJ?
O Banco Central descreve o MED como mecanismo do Pix voltado a suspeitas de fraude. A empresa deve registrar o pedido na instituição participante e apresentar os dados da operação. O procedimento busca bloquear recursos disponíveis em contas ligadas ao desvio e submete o caso à avaliação das instituições. Se o dinheiro já saiu ou o caso não atende aos requisitos, a recuperação pode ser parcial ou inexistente.
Não confunda MED com estorno de qualquer pagamento. Desacordo comercial comum e transferência feita ao fornecedor correto com disputa posterior sobre entrega seguem outras vias. Além disso, a conclusão administrativa do MED não encerra necessariamente a discussão judicial sobre responsabilidade ou sobre valores que não puderam ser recuperados. Guarde o resultado e a fundamentação recebida.
Quando houver vários Pix, relacione cada um separadamente. A comunicação vaga de “fraude de R$ X” pode deixar transações sem contestação específica. Depois de pedir o MED, acompanhe protocolos e eventuais devoluções para não reclamar judicialmente quantia já restituída.
Quando o banco pode ser responsabilizado?
A Súmula 479 do STJ trata da responsabilidade objetiva das instituições financeiras por danos gerados por fortuito interno relativo a fraudes e delitos de terceiros no âmbito de operações bancárias. Sua aplicação não dispensa analisar a natureza da relação, o defeito do serviço, o nexo com o prejuízo e as particularidades da autorização. Uma fraude praticada inteiramente fora do risco bancário ou decorrente de atuação interna da empresa pode levar a conclusão diferente.
Os elementos mais relevantes são concretos: autenticação não reconhecida, alçada ignorada, alteração de limites sem confirmação adequada, transações incompatíveis com o perfil que deveriam acionar controles, alerta tardio ou falha em medidas após comunicação. A defesa do banco costuma apontar validação por credenciais e eventual culpa exclusiva de terceiro ou da empresa. Por isso, a questão não deve ser decidida apenas por um comprovante de transferência.
A reclamação pode incluir ressarcimento do valor não recuperado, despesas adicionais comprovadas e, em hipóteses justificadas, perdas decorrentes da interrupção operacional. Lucros cessantes exigem prova de negócios perdidos e nexo causal; não são sinônimo do valor do Pix. Antes de litigar, compare o montante e a força da prova com custo e duração de uma perícia técnica.
Perguntas frequentes
O banco tem de devolver qualquer Pix fraudulento da empresa?
Não automaticamente. O MED pode recuperar recursos em hipóteses próprias, mas depende de análise e disponibilidade de valores. Responsabilidade civil adicional exige exame da falha do serviço e do nexo causal.
Se o Pix saiu com senha correta, a empresa perde o caso?
O uso de credenciais é relevante, mas não encerra a apuração. É preciso verificar como foram obtidas, quem aprovou a operação, quais controles estavam ativos e se houve outros sinais de anomalia.
Uma operação de alto valor prova que era atípica?
Não. O parâmetro é o perfil concreto da empresa e sua rotina de pagamentos. Valor, destinatário, horário, sequência, canal e alçada devem ser vistos em conjunto.
Posso pedir logs ao banco?
É possível solicitar registros relacionados à contestação por canal formal, com delimitação de transações e período. A disponibilização pode sofrer limites de sigilo, segurança e proteção de dados; recusa relevante pode ser discutida judicialmente.
Funcionário desviou valores: o banco responde junto?
Depende. Se o funcionário agiu dentro de poderes corretamente configurados, o debate é diferente do caso em que o banco ignorou controles contratados ou permitiu alteração anormal de alçada. A prova deve separar fraude interna e falha bancária.
O MED funciona para boleto ou TED?
Não. O MED é mecanismo específico do Pix. Outras modalidades têm procedimentos próprios de contestação e eventual recuperação.
Leia também
- Como pedir logs e dados ao banco após fraude — aprofunda a obtenção de registros, sem substituir a análise dos controles próprios da conta PJ.
- Operação fora do perfil do cliente: quando o banco deveria bloquear? — explica a tese geral de atipicidade, enquanto esta página se concentra na estrutura empresarial.
Reagir rápido e provar a cadeia de autorização
Uma recuperação responsável combina comunicação imediata, tentativa de bloqueio e reconstrução técnica da operação. Na conta PJ, a resposta costuma estar na interação entre alçadas internas e controles do banco. Quanto melhor a empresa documenta seus próprios processos e a reação da instituição, maior a chance de distinguir prejuízo recuperável de perda cuja causa não pode ser atribuída ao banco.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
