Tempo de leitura: 10 min · Publicado em 11/08/2026
A instituição de pagamento pode responder por falha de segurança, cadastro ou processamento, mas não existe devolução automática para toda fraude.
Carteiras digitais, contas de pagamento, adquirentes e outros prestadores exercem funções distintas, e a responsabilidade deve refletir o serviço efetivamente oferecido.
Quando a instituição de pagamento responde pela fraude?
Resposta direta: responde quando um defeito próprio do serviço contribui para o dano, conforme as provas, o nexo causal e as excludentes legais.
O artigo 14 do CDC prevê responsabilidade pelo defeito do serviço. A segurança é parte relevante da atividade financeira, especialmente em cadastro remoto, autenticação, processamento e movimentação.
Entretanto, a existência de fraude não significa que toda empresa envolvida falhou. É necessário identificar qual instituição manteve a conta, autenticou a operação, recebeu o dinheiro ou prestou o serviço contestado.
Quando mais de um fornecedor integra a mesma cadeia e contribui para o dano, a solidariedade pode decorrer dos artigos 7º, parágrafo único, e 25, § 1º. Ela não deve ser presumida entre agentes independentes sem vínculo causal.
O que é uma instituição de pagamento?
A instituição de pagamento presta serviços relacionados a contas, transferências, pagamentos, credenciamento, emissão de instrumentos ou gestão de recursos, conforme seu modelo.
Ela pode não ser banco tradicional, embora ofereça aplicativo, cartão e conta de pagamento. A Lei 12.865/2013 integra o marco jurídico do setor, complementado pela regulamentação do Banco Central.
O usuário deve identificar a natureza do prestador e a função exercida. Uma adquirente, uma carteira digital e uma instituição que mantém conta possuem controles e dados diferentes.
Qual é o papel da regulamentação do Banco Central?
O Banco Central regulamenta e supervisiona participantes do sistema de pagamentos dentro de suas competências. As instituições devem observar regras prudenciais, operacionais, de segurança, cadastro e prevenção aplicáveis ao seu modelo.
A violação regulatória pode ser elemento relevante, mas não gera indenização civil automática. É necessário relacionar a falha ao dano concreto.
Também não se deve inventar uma obrigação universal de bloquear toda transação fora do perfil. Os deveres variam conforme operação, risco e informação disponível.
Quando a Lei 14.478/2022 pode ser relevante?
A Lei 14.478/2022 estabelece diretrizes para prestação de serviços de ativos virtuais. Ela ganha relevância quando instituição ou plataforma participa de operações com criptoativos dentro de seu âmbito.
Nem toda instituição de pagamento é prestadora de serviço de ativo virtual, e nem toda exchange exerce a mesma função de uma conta de pagamento. Os regimes precisam ser corretamente diferenciados.
Quando serviços se combinam, devem ser identificadas custódia, conversão, transferência e pagamento. A responsabilidade de cada prestador depende da atividade desempenhada.
Qual é o dever de segurança dessas instituições?
O serviço deve oferecer segurança legitimamente esperada, considerando risco, tecnologia, valor e perfil. Isso envolve cadastro, autenticação, monitoramento e resposta a incidentes.
A segurança não é absoluta. Golpes podem ocorrer apesar de controles adequados. O artigo 14, § 3º, permite demonstrar inexistência do defeito ou culpa exclusiva do consumidor ou terceiro.
A análise deve verificar se a falha foi exclusiva, concorrente ou inexistente. Uma conclusão não pode ser baseada apenas no prejuízo final.
Como o KYC influencia a responsabilidade?
Procedimentos de KYC ajudam a identificar o cliente e reduzir abertura de contas com documentos falsos. Podem incluir biometria, prova de vida, telefone, endereço e consistência cadastral.
Uma validação incompatível com o risco pode revelar defeito. Contudo, o fato de criminoso superar o controle não demonstra automaticamente que ele era insuficiente.
Também importa o monitoramento posterior. Conta aberta regularmente pode passar a receber e transferir valores de modo incompatível com seu perfil.
A instituição deve bloquear operações atípicas?
Operações atípicas podem justificar verificação adicional, mas não existe dever absoluto de impedir qualquer movimentação fora da rotina. Clientes realizam pagamentos legítimos de valores e destinatários variados.
Devem ser avaliados valor, horário, dispositivo, novo favorecido, sequência, alteração de limite e comportamento histórico. A combinação de sinais é mais relevante que um fator isolado.
O bloqueio desproporcional também pode causar dano. Os sistemas precisam equilibrar prevenção, continuidade e acesso do usuário aos próprios recursos.
Pix fraudulento deve ser devolvido?
Não automaticamente. A vítima deve comunicar a instituição e solicitar análise pelo MED quando houver enquadramento. O mecanismo não equivale a chargeback.
A devolução depende da análise das instituições e do saldo disponível na conta recebedora. Uma conta de passagem pode ser esvaziada antes do bloqueio.
A responsabilidade civil é questão distinta. Mesmo sem saldo, pode ser examinada falha própria; por outro lado, a ausência de devolução não prova defeito.
Erro de digitação no Pix é falha da instituição?
Quando o consumidor informa por conta própria uma chave errada e confirma os dados exibidos, em regra não existe falha, conforme o artigo 14, § 3º, II, do CDC.
A via pode ser a restituição contra quem recebeu indevidamente, com fundamento no artigo 884 do Código Civil.
A situação é diferente quando o endereço foi adulterado por malware, QR Code ou página fraudulenta. Nesse caso, devem ser investigados o método e os controles.
Entrega voluntária de senha elimina todos os direitos?
Não automaticamente, mas é fator relevante. A entrega de senha, cartão, token ou código pode sustentar alegação de culpa exclusiva.
Não se deve garantir indenização quando o consumidor voluntariamente fornece credenciais. Ao mesmo tempo, podem existir falhas concorrentes, como operações claramente anormais ou alteração de limite sem controle adequado.
A análise precisa verificar se a conduta do usuário foi a única causa ou se o serviço também contribuiu.
Instituição pagadora e recebedora têm deveres diferentes?
A pagadora administra a conta da vítima e examina autenticação, dispositivo, limite e perfil da ordem. A recebedora administra cadastro, KYC e movimentação do destinatário.
Pode haver falha de uma, de ambas ou de nenhuma. A solidariedade depende de integração na cadeia e contribuição jurídica para o dano.
O artigo sobre responsabilidade do banco da conta usada pelo golpista detalha os deveres do recebedor.
Quais provas devem ser guardadas?
Preserve comprovante, extrato, conversa, anúncio, chave, fatura, contratos e protocolos. Individualize cada operação contestada.
Solicite registros de autenticação, IP, dispositivo, alterações de limite, inclusão de favorecidos e alertas. Não omita como o golpe ocorreu.
A coerência da cronologia é importante. Informações incompletas podem ser confrontadas com os registros técnicos e prejudicar a análise.
Como contestar a fraude?
Abra reclamação no canal oficial, indique data, valor, destinatário e natureza da fraude. Solicite protocolo, MED quando cabível e resposta fundamentada.
O guia para contestar fraude na instituição financeira ajuda a estruturar o pedido administrativo.
Se houver contrato ou empréstimo, impugne também a contratação. Não gaste valor de crédito fraudulento que permaneça na conta; mantenha-o intocado ou avalie consignação.
É possível pedir logs e dados?
Sim. Peça registros relacionados à sua conta e à operação, observados sigilo e proteção de terceiros. Solicitações específicas tendem a ser mais úteis.
Podem ser relevantes IP, dispositivo, biometria, horário, autenticação e destinatários. Parte dos dados pode exigir ordem judicial.
O conteúdo sobre pedido de logs e dados bancários explica como delimitar período, finalidade e operação.
A instituição responde solidariamente?
Os artigos 7º, parágrafo único, e 25, § 1º, do CDC preveem solidariedade quando há pluralidade de responsáveis na cadeia de fornecimento.
Isso não significa responsabilizar qualquer empresa que processou uma etapa legítima. É necessário demonstrar que ela integra a cadeia relacionada e que sua conduta ou serviço se conecta ao dano.
Em cadeias independentes, a responsabilidade deve ser individualizada. O simples trânsito do dinheiro não cria solidariedade universal.
A fraude gera dano moral automaticamente?
Não. Devem ser avaliados esvaziamento da conta, retenção de verba essencial, negativação, endividamento, demora e outras repercussões relevantes.
Uma tentativa bloqueada ou operação rapidamente resolvida pode receber tratamento diferente de perda grave e prolongada.
Não há valor fixo nem promessa de resultado. Dano, responsabilidade e nexo devem ser comprovados.
Tipos de falha em instituições de pagamento
| Falha alegada | Questão central | Registro relevante |
|---|---|---|
| Conta falsa | KYC e identidade | Documento, biometria e dispositivo |
| Conta invadida | Autenticação e recuperação | Logins, IPs e alterações |
| Operação atípica | Monitoramento e alertas | Histórico, valor e destinatário |
| MED sem saldo | Devolução operacional | Comunicação e bloqueio disponível |
| Cripto desviada | Custódia, rede e endereço | Hash, carteira e plataforma |
Dúvidas sobre instituição de pagamento e fraude (FAQ)
1. Instituição de pagamento é igual a banco?
Não necessariamente. Ela pode oferecer conta e cartão, mas possui natureza e atividades próprias segundo a regulamentação aplicável.
2. A instituição tem que devolver todo Pix fraudulento?
Não. O MED depende de análise e saldo, e a responsabilidade civil exige falha própria e nexo.
3. Operação fora do meu perfil prova falha?
É um elemento relevante, mas não prova sozinho defeito. Devem ser examinados todos os sinais e controles.
4. Posso pedir os registros da transação?
Sim. Dados da sua conta podem ser solicitados; informações protegidas de terceiros podem exigir ordem judicial.
5. Entreguei o código, ainda posso reclamar?
Sim, mas a entrega será considerada e pode afastar a responsabilidade se for comprovada como causa exclusiva.
Instituição de pagamento e banco tradicional: a responsabilidade muda?
Uma dúvida frequente é se a instituição de pagamento, por não ser um banco tradicional, responderia de forma diferente. Em regra, quem oferece serviços de pagamento ao consumidor integra a relação de consumo e responde pela segurança do serviço que presta, independentemente do rótulo institucional. O que a análise examina é a falha concreta: se houve defeito no serviço, se o dever de identificação e monitoramento foi cumprido e qual o nexo entre a conduta da instituição e o dano. A responsabilização depende de prova e das circunstâncias, sem devolução automática nem valor fixo de indenização.
Fontes oficiais consultadas
- Código de Defesa do Consumidor — artigos 7º, 14 e 25
- Lei 12.865/2013 — arranjos e instituições de pagamento
- Lei 14.478/2022 — serviços de ativos virtuais
- Banco Central do Brasil — Pix e regulação do sistema de pagamentos
Leia também
MED do Pix ou contestação bancária?Veja a diferença entre devolução de saldo e apuração de responsabilidade da instituição.Ler o guia →
Conta bancária invadidaSaiba como preservar acessos, contestar operações e pedir os registros de segurança.Ler o guia →
