Tempo de leitura: 12 min · Atualizado em 03/09/2026
O banco pode ser responsabilizado quando a invasão da conta jurídica e o esgotamento do limite de TED durante a madrugada revelam uma falha real no sistema de autenticação em duas etapas — mas essa responsabilidade não é automática. Ela depende de provas concretas de que a operação era incompatível com o perfil da empresa e de que a segurança do banco falhou.
Esse tipo de caso gera duas reações opostas: a certeza de que “o banco tem que pagar” e o medo de que “não dá pra provar nada”. Nenhuma das duas está certa. O que decide é a análise dos fatos: horário da operação, valor movimentado, histórico da empresa e, principalmente, se o sistema de segurança funcionou como deveria.
O que muda quando a conta invadida é de uma empresa
Conta jurídica não é uma conta pessoal com mais zeros. Ela costuma ter vários usuários autorizados, alçadas de aprovação e um padrão de uso ligado ao horário comercial. Um TED de valor alto às três ou quatro da manhã, numa empresa que só movimenta dinheiro em horário de expediente, é um comportamento fora da curva — e sistemas antifraude bem calibrados deveriam captar isso. Isso não vale para todo negócio: empresas com operação 24 horas ou filiais em outros fusos podem ter movimentação legítima de madrugada, então a análise sempre parte do histórico real daquela conta, não de uma regra genérica. O horário sozinho não decide o caso, mas é um dado relevante dentro de um conjunto maior que os bancos cruzam para sinalizar operações atípicas — dispositivo, localização, valor e frequência.
Como funciona a autenticação em duas etapas, em termos simples
A autenticação em duas etapas existe para impedir que só a senha seja suficiente para movimentar dinheiro. Ela soma um segundo elemento — código por aplicativo, biometria, token físico ou aprovação por push no celular — porque mesmo que a senha vaze, o criminoso ainda precisaria desse segundo fator. Quando ele falha — o sistema aceita a confirmação sem checagem real, libera um dispositivo nunca usado antes sem alerta, ou tem uma brecha técnica que permite contorná-lo — a proteção que deveria existir não funcionou. É aí que mora a diferença entre uma fraude que a empresa não tinha como evitar e uma falha de controle interno da própria empresa.
Esgotar o limite de TED de uma vez: o que isso indica
Usar o limite inteiro de TED em poucas operações seguidas costuma ser tratado, pelos sistemas de compliance bancário, como sinal de alerta — principalmente quando isso nunca havia acontecido naquela conta. Se o banco sabe que a empresa nunca chegou perto do teto e, de repente, o limite é zerado de madrugada, essa é justamente a hipótese em que se espera que o sistema segure a operação para confirmação extra, e não que apenas processe tudo. Outros pontos que pesam na análise: mudança de dispositivo, IP ou localização pouco antes das transferências; transferências em sequência rápida, incompatível com digitação humana; e aceitação do segundo fator sem checagem adicional diante de um comportamento tão atípico.
Quando a falha realmente é do banco
A responsabilidade do banco fica mais evidente quando dá para mostrar que a operação era incompatível com o perfil da empresa e, mesmo assim, o sistema liberou o dinheiro sem qualquer barreira extra. Também pesa contra o banco quando ele deixou passar várias transferências seguidas no mesmo período de risco sem intervir, ou quando o próprio segundo fator teve uma vulnerabilidade técnica que permitiu a um terceiro completá-lo sem ter, de fato, o celular ou a biometria da pessoa autorizada. Nesses casos, a segurança da conta é um serviço prestado pelo banco, e falhas nesse serviço entram no risco da própria atividade bancária.
Quando a responsabilidade pode ser da própria empresa
Nem toda invasão vem de falha do banco. Se a senha corporativa era compartilhada sem controle, se o token físico ficava numa gaveta acessível a qualquer um, se um colaborador autorizado agiu de má-fé, ou se o computador usado para acessar a conta estava infectado por vírus, a origem do problema está dentro da própria empresa — como em casos de uso indevido do CNPJ em fraudes, em que a porta de entrada do golpista foi uma falha de controle interno. Concentrar credenciais em poucas pessoas, sem trilha de auditoria, também tende a jogar contra a empresa nessa discussão.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Prova de autenticação não é prova de autorização
É comum o banco alegar que a senha e a biometria foram usadas corretamente para encerrar a discussão. Mas isso, sozinho, não resolve o caso: provar que o sistema registrou uma autenticação não é o mesmo que provar que foi o responsável da empresa quem autorizou aquela operação. Se o segundo fator pode ser burlado por falha técnica, ou foi aceito em circunstâncias que deveriam soar estranhas, o registro de “autenticado com sucesso” é só um dos pontos a examinar.
O entendimento dos tribunais e do Banco Central sobre esses casos
Os tribunais superiores, de forma geral, tratam a fraude eletrônica ligada a falha de sistema como um risco da própria atividade bancária, o que dispensa provar culpa direta de algum funcionário — basta demonstrar a falha do serviço e o prejuízo. Ao mesmo tempo, esse entendimento é claro num ponto: quando a operação era compatível com o histórico do cliente e não havia sinal que o banco devesse ter percebido, a responsabilidade não se sustenta sozinha. Além disso, as instituições financeiras são obrigadas a manter políticas formais de segurança da informação, com controles sobre autenticação e monitoramento de operações atípicas — parâmetro usado para avaliar se o banco cumpriu o mínimo esperado dele quando a autenticação em duas etapas falha de forma sistemática.
O que fazer nas primeiras horas após perceber a invasão
A rapidez de reação costuma influenciar o resultado do caso. Há orientações mais detalhadas sobre o que fazer logo depois de perceber uma conta bancária invadida; no caso de conta jurídica, valem estes cuidados:
- Bloquear o acesso digital junto ao banco, por telefone e por escrito.
- Formalizar a reclamação no canal oficial, guardando o protocolo.
- Registrar boletim de ocorrência com horário, valores e a suspeita de falha na autenticação.
- Pedir por escrito os extratos e os registros (logs) de acesso das operações contestadas.
- Levantar internamente quem tinha acesso a senhas, tokens e dispositivos usados.
- Preservar prints, e-mails e a ausência de notificações no momento da fraude.
Quais provas ajudam a demonstrar a falha do banco
Quanto mais claro o contraste entre o comportamento normal da conta e o que aconteceu na madrugada da fraude, mais forte fica o argumento contra o banco. Extratos mostrando que a empresa nunca operou fora do horário comercial, ausência de alerta no momento das transferências, e a demonstração de que o segundo fator foi usado em condições anormais — dispositivo novo, localização incomum, velocidade incompatível com digitação humana — costumam ser decisivos. Em casos mais complexos, uma perícia técnica sobre os sistemas de autenticação pode ser necessária.
Quando o pedido de indenização pode ser negado
Se ficar demonstrado que a empresa tinha costume de operar de madrugada, que os valores estavam dentro do padrão histórico, ou que a falha começou dentro dela mesma — senha compartilhada sem controle, funcionário que vazou credenciais, computador sem qualquer proteção mínima —, a chance de responsabilizar o banco diminui bastante. A análise nunca parte da premissa de que o banco deve pagar; parte da pergunta sobre quem, entre banco e empresa, deixou de fazer o que era razoável esperar.
Perguntas frequentes
O banco tem que devolver o dinheiro automaticamente só porque a conta foi invadida?
Não. A devolução automática existe em hipóteses específicas, geralmente ligadas a falhas técnicas claras e reconhecidas do próprio sistema. Na maioria dos casos, é preciso reunir provas de falha de segurança do banco para sustentar o pedido de ressarcimento.
Existe um prazo para a empresa cobrar o banco por esse tipo de prejuízo?
Sim, e ele varia conforme a natureza do pedido e contra quem a cobrança é feita. Vale conferir o conteúdo específico sobre prazo para processar fraude bancária antes de decidir o momento de agir.
Se o token ou a biometria foram usados, isso já isenta o banco?
Não isenta automaticamente. O uso do segundo fator é um dado importante, mas não encerra a discussão sozinho. Se houver indício de que ele foi burlado por falha do sistema, ou aceito em condições que deveriam gerar alerta, o banco ainda pode ser questionado.
A empresa pode perder o direito de reclamar se demorar para avisar o banco?
A demora não elimina o direito automaticamente, mas prejudica a prova. Quanto mais tempo passa entre a fraude e a comunicação formal, mais difícil fica reconstruir o que aconteceu e mostrar que havia sinais claros de falha de segurança.
TED e Pix são tratados da mesma forma nesse tipo de discussão?
A lógica de fundo — falha de segurança versus operação compatível com o perfil do cliente — é parecida, mas os mecanismos técnicos e os canais de contestação de cada meio de pagamento têm particularidades próprias, o que pode mudar detalhes da estratégia em cada caso.
O seguro empresarial cobre esse tipo de fraude?
Depende do que está escrito na apólice contratada. Alguns seguros empresariais preveem cobertura para fraude eletrônica e crimes cibernéticos, outros não. É preciso examinar o contrato específico para saber se esse risco foi incluído.
Conclusão: falha de segurança se prova, não se presume
Uma conta jurídica invadida de madrugada, com o limite de TED todo consumido de uma vez, é um cenário grave — mas não é, por si só, prova de que o banco vai pagar a conta. O que decide é a reconstrução detalhada dos fatos: se a operação destoava do histórico da empresa, se havia sinais que deveriam ter travado a autenticação em duas etapas, e se o sistema de segurança do banco funcionou como deveria.
Por isso, o primeiro passo prático depois de um episódio assim não é discutir valores, e sim reunir provas: extratos, protocolos, logs de acesso e o histórico real de uso da conta. Com esse material organizado, um advogado consegue avaliar com precisão se há elementos que sustentam a responsabilidade do banco no caso concreto.
Fontes oficiais consultadas
- STJ — Banco deve impedir operações que destoam do perfil do cliente
- STJ — Responsabilidade do banco por golpe não é automática sem transações incompatíveis com o perfil do cliente
- Banco Central do Brasil — Resolução CMN 4.658/2018, política de segurança cibernética das instituições financeiras
- Gov.br — Registrar reclamação contra instituição supervisionada pelo Banco Central
Artigos relacionados
- Golpe por aplicativo de investimento de terceiro conectado à conta via Open Finance: o banco que autorizou o acesso responde?
- Fui ameaçado sob coação física no caixa eletrônico para fazer transferências: o banco responde por falha de segurança na agência?
- Cheque clonado compensado pelo banco mesmo com divergência grosseira na assinatura: o banco responde integralmente?
- Falha no cadastro da conta laranja: quais provas demonstram negligência do banco?
Veja também nosso conteúdo completo sobre fraudes e responsabilidades.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
