Tempo de leitura: 15 min · Atualizado em 06/09/2026
Em regra, o prejuízo do cartão clonado é do banco emissor ou da administradora do cartão, e não do consumidor: a clonagem e o uso indevido dos dados do cartão são riscos da própria atividade financeira, e o STJ entende que as instituições respondem objetivamente por fraudes praticadas por terceiros nesse contexto (Súmula 479). O banco só se livra dessa responsabilidade se provar que não houve defeito no serviço ou que a culpa foi exclusivamente do consumidor — por exemplo, quando ele mesmo entregou o cartão e a senha a um terceiro. O uso de senha, biometria ou aproximação, sozinho, não basta para transferir o prejuízo à vítima.
Identificar compras que não foram realizadas pelo titular do cartão gera uma dúvida imediata: em caso de cartão clonado, quem paga o prejuízo? Em muitas situações, a responsabilidade recai sobre o banco emissor, a administradora do cartão ou outro fornecedor que tenha participado da operação, especialmente quando a fraude estiver relacionada a falhas de segurança inerentes ao serviço financeiro.
Essa conclusão, entretanto, não deve ser tratada como automática. A responsabilidade civil depende da dinâmica da fraude, do comportamento das operações, dos mecanismos de autenticação utilizados, das provas disponíveis e da existência de eventual causa que rompa o nexo entre o serviço prestado e o dano sofrido pelo consumidor.
Este artigo concentra-se na responsabilidade civil e na definição de quem pode suportar o prejuízo. As providências administrativas, os prazos e o procedimento de contestação são abordados separadamente no conteúdo Cartão clonado ou compra não reconhecida: como contestar.
O que caracteriza a clonagem ou o uso fraudulento do cartão?
A fraude ocorre quando os dados do cartão ou os meios de autenticação são utilizados sem autorização legítima do titular.
O elemento central é a ausência de consentimento para a compra, saque ou outra operação financeira.
A expressão cartão clonado é utilizada de maneira ampla para descrever diferentes modalidades de uso indevido. A fraude pode decorrer da cópia de dados, do vazamento de informações, da utilização de cartão virtual, da captura do número e do código de segurança ou do acesso indevido a contas e aplicativos vinculados.
Em alguns casos, o cartão físico permanece com o consumidor, mas os dados são utilizados em compras remotas. Em outros, há furto, roubo, troca do cartão ou comprometimento do dispositivo utilizado para autenticar a operação. Essas diferenças são importantes porque influenciam a análise da segurança adotada e da conduta de cada participante.
Quem normalmente responde pelo prejuízo do cartão clonado?
Quando a fraude está inserida nos riscos da atividade financeira e há defeito na segurança do serviço, o banco ou a administradora pode responder pelo prejuízo. A conclusão depende das provas e das circunstâncias do caso concreto.
As instituições financeiras oferecem meios de pagamento, sistemas de autenticação, monitoramento de transações e mecanismos de prevenção a fraudes. A segurança dessas operações integra o próprio serviço disponibilizado ao consumidor.
Por essa razão, a utilização fraudulenta de dados bancários pode ser considerada um risco relacionado à atividade exercida. Se houver falha na prevenção, na autenticação, no monitoramento ou na resposta a movimentações anormais, pode surgir o dever de reparar os prejuízos materiais causados.
A responsabilidade também pode alcançar outros integrantes da cadeia de fornecimento, conforme a participação de cada um. Isso não significa que todos responderão indistintamente, mas que banco, administradora, credenciadora, estabelecimento ou plataforma podem ser analisados quando suas condutas estiverem relacionadas ao dano.
O que é fortuito interno nas fraudes bancárias?
Fortuito interno é o evento ligado aos riscos próprios da atividade desenvolvida pelo fornecedor. Nas operações bancárias, determinadas fraudes praticadas por terceiros podem integrar esse risco e não afastar a responsabilidade da instituição.
A Súmula 479 do Superior Tribunal de Justiça estabelece que as instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito das operações bancárias.
O fundamento é que fraudes, clonagens e acessos indevidos podem estar vinculados ao risco da atividade financeira. A instituição que oferece cartões e sistemas de pagamento também deve adotar mecanismos compatíveis com os riscos desses serviços.
Assim, o simples fato de a fraude ter sido praticada por um criminoso não exclui automaticamente a responsabilidade do banco. É necessário verificar se o dano está conectado ao funcionamento, à segurança ou aos riscos inerentes ao serviço oferecido.
Como o artigo 14 do Código de Defesa do Consumidor se aplica?
O artigo 14 do CDC prevê responsabilidade objetiva por danos causados por defeitos na prestação do serviço. Em fraudes com cartão, a discussão costuma envolver a segurança que legitimamente se espera do sistema bancário.
A aplicação do Código de Defesa do Consumidor às instituições financeiras é reconhecida pela Súmula 297 do STJ. O consumidor, portanto, pode invocar as regras protetivas do CDC quando discute falhas relacionadas a cartões, contas, sistemas de pagamento e outros serviços bancários.
Na responsabilidade objetiva, não é necessário demonstrar que o banco agiu com intenção ou negligência específica. Ainda assim, devem ser analisados o defeito do serviço, o dano e o nexo entre ambos.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Um serviço pode ser considerado defeituoso quando não oferece a segurança que o consumidor legitimamente espera, consideradas a forma de fornecimento, os riscos previsíveis e as circunstâncias da operação. Transações completamente incompatíveis com o perfil do cliente, por exemplo, podem exigir avaliação mais cuidadosa dos mecanismos de controle utilizados.
O banco responde mesmo quando a compra foi autenticada por senha?
O uso de senha ou de outro mecanismo de autenticação é relevante, mas não encerra automaticamente a discussão. É necessário avaliar como a autenticação ocorreu e se a operação apresentava sinais que deveriam ter provocado medidas de segurança.
A instituição pode utilizar a senha, a biometria, o token ou a aproximação como elementos destinados a demonstrar a regularidade da operação. Contudo, esses registros precisam ser analisados em conjunto com outros fatores.
Entre os aspectos relevantes estão o valor da compra, o horário, a localização, a sequência de transações, o dispositivo utilizado e a compatibilidade com o histórico de consumo. Também podem ser importantes eventuais alterações cadastrais ou acessos incomuns anteriores à movimentação.
Portanto, afirmar que a compra utilizou senha não significa, por si só, que o consumidor necessariamente autorizou a operação ou que inexiste falha de segurança. Essa discussão aparece com frequência em compras internacionais parceladas contestadas em que o banco alega uso de senha e nos casos de cartão tokenizado usado após o roubo do celular, em que a “autenticação” foi feita pelo próprio criminoso a partir do aparelho da vítima. Explicamos em detalhe por que senha e biometria não provam, por si sós, que a operação foi autorizada.
Quando pode existir culpa exclusiva do consumidor?
A culpa exclusiva pode afastar a responsabilidade quando a conduta do consumidor for a única causa do prejuízo e não houver falha atribuível ao serviço. A instituição deve demonstrar essa circunstância com elementos concretos.
O artigo 14 do CDC admite a exclusão da responsabilidade quando o fornecedor comprova a inexistência do defeito ou a culpa exclusiva do consumidor ou de terceiro. Essa defesa não pode ser presumida apenas porque houve interação da vítima com o fraudador.
Para caracterizar culpa exclusiva, a conduta do consumidor deve romper o nexo entre o serviço e o dano. Se houver contribuição de falhas de segurança, movimentações manifestamente atípicas ou ausência de resposta adequada do banco, a exclusividade poderá ser questionada.
Também é necessário diferenciar culpa exclusiva de eventual culpa concorrente. Na culpa concorrente, mais de uma conduta contribui para o dano, o que pode influenciar a extensão da responsabilidade sem necessariamente eliminá-la.
Como os artigos 186 e 927 do Código Civil se relacionam ao caso?
Os artigos 186 e 927 do Código Civil estabelecem as bases gerais do ato ilícito e do dever de reparar o dano. Eles podem complementar a proteção prevista no Código de Defesa do Consumidor.
O artigo 186 considera ato ilícito a conduta que, por ação ou omissão, violar direito e causar dano a outra pessoa. O artigo 927 estabelece que aquele que causar dano por ato ilícito fica obrigado a repará-lo.
Nas relações bancárias de consumo, o CDC normalmente ocupa posição central. Entretanto, as regras do Código Civil podem complementar a análise do dever de indenizar, especialmente quanto ao dano, ao nexo causal e à extensão da reparação.
A responsabilidade civil não tem como objetivo gerar vantagem indevida, mas buscar a recomposição dos prejuízos efetivamente demonstrados, observadas as particularidades de cada situação.
Banco, administradora e estabelecimento respondem da mesma forma?
Não necessariamente. A responsabilidade de cada participante depende de sua atuação, da falha identificada e da relação entre essa falha e o prejuízo causado ao consumidor.
| Participante | Dever normalmente analisado | Situação que pode indicar responsabilidade | Limite da análise |
|---|---|---|---|
| Banco emissor | Segurança, autenticação e monitoramento | Operações atípicas autorizadas sem controle adequado | Depende dos registros e da dinâmica da fraude |
| Administradora do cartão | Gestão das transações e mecanismos antifraude | Falha no processamento ou na identificação da operação suspeita | A participação deve ser demonstrada |
| Estabelecimento comercial | Regularidade da venda e verificação exigível | Aceitação da compra em circunstâncias manifestamente suspeitas | Não responde automaticamente por toda fraude |
| Consumidor | Proteção razoável de credenciais e comunicação da ocorrência | Conduta comprovadamente exclusiva como causa do dano | A culpa exclusiva não deve ser presumida |
Quais prejuízos podem integrar a responsabilidade civil?
A reparação pode envolver prejuízos materiais comprovados e, em situações específicas, danos extrapatrimoniais. A existência de fraude não gera dano moral automaticamente.
Os danos materiais podem corresponder aos valores de compras, saques, encargos, juros ou outras consequências financeiras diretamente relacionadas à fraude. A documentação deve permitir identificar o prejuízo e sua ligação com as operações questionadas.
O dano moral exige avaliação própria. Situações como negativação indevida, bloqueio prolongado de recursos essenciais, exposição relevante de dados ou dificuldades extraordinárias podem ser consideradas, mas não existe reconhecimento automático em todos os casos.
O contexto, a intensidade dos efeitos e as providências adotadas pelas instituições influenciam essa análise. Também não é possível antecipar valores, pois a definição depende das provas e dos critérios aplicáveis ao caso concreto — veja os critérios que a jurisprudência costuma usar em dano moral em fraude bancária.
Como diferenciar responsabilidade civil de contestação da compra?
A contestação é um procedimento administrativo para questionar a operação. A responsabilidade civil analisa quem deve suportar o prejuízo e se existe obrigação de reparar os danos causados.
Os temas se relacionam, mas possuem objetivos diferentes. O procedimento de contestação busca informar a operação não reconhecida e provocar a análise administrativa. Já a responsabilidade civil examina juridicamente o defeito do serviço, o nexo causal e os danos.
Para entender as providências administrativas sem misturar as duas intenções de busca, consulte o artigo Cartão clonado ou compra não reconhecida: como contestar.
Perguntas frequentes
O banco sempre paga o prejuízo do cartão clonado?
Não. A responsabilidade depende da existência de defeito no serviço, do nexo com o prejuízo e da ausência de causa que exclua a responsabilização. A Súmula 479 do STJ é relevante, mas não substitui a análise do caso.
A compra feita com senha elimina a responsabilidade do banco?
Não necessariamente. O uso da senha é um elemento de prova, mas devem ser avaliados o perfil da operação, o dispositivo, a localização, o valor, o horário e os mecanismos de segurança adotados.
O consumidor pode ser considerado culpado pela fraude?
Pode haver discussão sobre culpa exclusiva ou concorrente, mas a instituição precisa apresentar elementos concretos. A culpa exclusiva exige que a conduta do consumidor seja a única causa do prejuízo.
O estabelecimento comercial também pode responder?
Em determinadas situações, sim. Isso pode ocorrer quando houver falha própria do estabelecimento relacionada à transação. A responsabilidade não deve ser presumida sem análise de sua participação.
Existe prazo para contestar as compras do cartão clonado?
Não há um prazo legal único para a contestação administrativa, mas quanto antes ela for feita, melhor: bancos costumam fixar prazos internos e a demora pode ser usada contra o consumidor. Para a ação judicial de reparação, o prazo de prescrição nas relações de consumo por defeito do serviço é de cinco anos, contado do conhecimento do dano e de sua autoria (art. 27 do CDC). Detalhamos o tema em prazo para contestar compra no cartão.
Toda compra fraudulenta gera dano moral?
Não. O dano moral depende dos efeitos concretos da fraude e da conduta das instituições envolvidas. O prejuízo material isolado não produz automaticamente uma indenização extrapatrimonial.
Quando solicitar uma análise individual do caso?
A análise pode ser útil quando existem compras não reconhecidas, prejuízo financeiro, negativa do banco ou dúvidas sobre a responsabilidade dos participantes. Os documentos e registros disponíveis precisam ser examinados individualmente.
É importante reconstruir a cronologia da fraude, identificar como as transações foram autenticadas e verificar se existiam sinais de anormalidade. Também devem ser analisadas as respostas do banco, da administradora e de outros participantes.
Para acessar todos os conteúdos relacionados, visite a Central de Fraudes Bancárias do PHC Advogados. Conheça também a página sobre atuação em fraudes e golpes bancários.
Este conteúdo possui caráter informativo e não substitui a análise individualizada das circunstâncias e dos documentos de um caso concreto.
Artigos relacionados
- Cheque clonado compensado pelo banco mesmo com divergência grosseira na assinatura: o banco responde integralmente?
- Cartão de crédito clonado em compras internacionais parceladas: o banco pode negar o estorno alegando uso de senha?
- Cartão tokenizado no Google Pay ou Apple Pay usado por golpista após o roubo do celular: o banco emissor responde pelas compras?
- Boleto de financiamento imobiliário gerado em site falso idêntico ao do banco: quem arca com o prejuízo da fraude?
Veja também nosso conteúdo completo sobre fraudes e responsabilidades.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Fontes oficiais consultadas
- STJ — Súmula 479 (responsabilidade objetiva das instituições financeiras por fortuito interno)
- STJ — Súmula 297 (aplicação do CDC às instituições financeiras)
- Lei nº 8.078/1990 (Código de Defesa do Consumidor), arts. 14 e 27 — Presidência da República
- Lei nº 10.406/2002 (Código Civil), arts. 186 e 927 — Presidência da República
Leia também sobre fraudes bancárias
Central de Fraudes Bancárias: biblioteca completa com todos os guias do escritório
