Empréstimo automático pré-aprovado contratado por invasão de hacker no aplicativo: o banco é obrigado a cancelar?

Sim, na grande maioria dos casos o banco é obrigado a cancelar um empréstimo pré-aprovado contratado por um hacker que invadiu o aplicativo, porque a falha foi na segurança do próprio sistema, não em algo que o cliente fez de errado. O primeiro passo é o cancelamento do contrato e a devolução dos valores cobrados; a indenização por um prejuízo maior vem depois, se houver.

O que é um empréstimo “pré-aprovado” dentro do aplicativo

O empréstimo pré-aprovado é aquele que o banco já deixa pronto na tela inicial do aplicativo, com valor e prazo definidos, esperando apenas um toque para ser liberado. Em muitos casos basta confirmar uma vez, sem repetir senha, sem token novo e sem pergunta sobre o motivo do crédito. É um produto pensado para ser aceito rápido, não para ser checado com cuidado.

Essa mesma rapidez que atrai o cliente de boa-fé é o que torna o produto perigoso quando cai nas mãos de quem invadiu a conta. Quanto menos confirmação o banco exige para liberar dinheiro emprestado, menos chances existem de alguém perceber a movimentação a tempo de impedi-la.

Como a invasão do aplicativo costuma acontecer

Aqui a palavra-chave é invasão direta: o criminoso não ligou fingindo ser do banco, não mandou link de phishing e não pediu para a vítima instalar nenhum programa. Ele explorou uma falha técnica do próprio aplicativo — uma brecha de segurança, uma sessão mal protegida, uma forma de burlar a autenticação — e entrou como se fosse o titular da conta, usando a própria estrutura do banco contra o cliente.

É uma situação diferente, por exemplo, de um celular furtado usado para contratar um empréstimo, em que o aparelho físico saiu das mãos do dono, ou de um golpe por aplicativo de acesso remoto, em que a própria vítima instala a ferramenta que dá passagem ao golpista. Quando a porta de entrada é uma vulnerabilidade do sistema do banco, não há gesto do cliente para apontar como causa.

Por que a falha técnica do aplicativo pesa mais contra o banco

Existe diferença prática entre “o cliente entregou a senha sem querer” e “o aplicativo tinha uma porta aberta que ninguém deveria conseguir usar”. No segundo caso, o problema nasce dentro do serviço que o banco vende e cobra tarifa para manter seguro. Manter um aplicativo no ar, oferecer crédito automático por ele e não fechar brechas de segurança é risco do próprio negócio bancário, não do cliente que só usou o app do jeito esperado.

O Código de Defesa do Consumidor trata isso como defeito no serviço: o cliente não precisa provar descuido proposital do banco, basta mostrar que a segurança prometida falhou e o prejuízo saiu dali. Some a isso o fato de o produto contratado ser o de menor fricção possível — o pré-aprovado — e fica ainda mais difícil o banco alegar que fez tudo certo.

O banco é obrigado a cancelar o contrato?

Sim, como regra. Um contrato de empréstimo pressupõe que quem aceitou as condições é, de fato, o titular da conta manifestando vontade própria. Quando quem confirmou a operação foi um invasor, essa vontade nunca existiu — o titular real nunca quis aquele dinheiro emprestado, nunca concordou com juros nem prazo. Um contrato sem consentimento verdadeiro do cliente não se sustenta só porque a tela mostrou “operação concluída com sucesso”.

Na prática, o banco deve cancelar o empréstimo, zerar o saldo devedor criado por ele e devolver qualquer valor já descontado a título de parcela, tarifa ou seguro embutido. Alegar apenas que “a senha foi digitada corretamente” não basta quando a própria autenticação foi comprometida por falha do sistema.

Cancelamento e indenização são dois pedidos diferentes

É importante separar duas coisas que se misturam na cabeça de quem foi vítima. O primeiro pedido, mais simples e mais rápido, é o cancelamento do contrato com a devolução do que foi cobrado — isso coloca a pessoa na situação em que estaria se o empréstimo nunca tivesse existido.

O segundo, a indenização por dano moral ou material, só entra em cena quando há prejuízo concreto além do contrato: nome negativado por causa das parcelas, saldo bloqueado que atrasou outras contas, ou transtorno real para resolver tudo. Uma coisa não depende da outra: dá para conseguir o cancelamento sem indenização adicional, quando o banco resolve rápido e sem gerar dano extra.

Sinais de que a contratação foi rápida demais para ser segura

• O empréstimo apareceu no extrato sem nenhuma solicitação anterior feita pelo cliente.
• O valor foi liberado para uma chave Pix, conta ou cartão que a pessoa não reconhece.
• A confirmação exigiu apenas um toque, sem repetir senha, sem token e sem biometria adicional.
• A operação ocorreu em horário incomum, fora do padrão de uso da pessoa.
• O aviso de crédito liberado chegou depois que o dinheiro já tinha saído da conta.

O que se espera que o banco tenha feito para evitar a falha

Quanto mais automático é o produto, maior deveria ser o cuidado por trás dele: monitorar mudanças bruscas de comportamento, como dispositivo diferente, localização estranha ou valor muito acima do habitual, e travar a operação para checagem antes de liberar o dinheiro. Também inclui corrigir com agilidade qualquer vulnerabilidade técnica identificada no aplicativo, já que é o próprio banco quem escolhe manter no ar um sistema de contratação sem fricção.

Quando a invasão só é percebida depois que o crédito já saiu, a explicação de que “o sistema funcionou normalmente” joga contra o banco: significa que o sistema dele não distingue o titular de um invasor.

Comparando com outras fraudes parecidas

Passo a passo para contestar o empréstimo pré-aprovado indevido

1. Guarde prints da tela, do extrato e das notificações do aplicativo assim que perceber a operação, antes que o histórico seja apagado ou reorganizado.
2. Ligue para a central do banco e registre formalmente o pedido de cancelamento do contrato, anotando o número de protocolo.
3. Peça por escrito os dados técnicos da operação: dispositivo, IP e horário usados para confirmar o empréstimo.
4. Registre um boletim de ocorrência relatando a invasão do aplicativo.
5. Se o banco negar o cancelamento ou demorar, formalize a reclamação nos canais oficiais de defesa do consumidor.

Vale a leitura de como contestar fraude no banco passo a passo, e do que muda quando o banco nega devolver o dinheiro da fraude mesmo diante de provas.

Quando cabe indenização além do cancelamento

A indenização entra quando o empréstimo indevido gerou consequência que vai além de simplesmente existir no papel. Negativação do nome por parcelas de um contrato que a pessoa nunca fez é o exemplo mais comum, e costuma justificar reparação por dano moral, já que atinge o crédito e a reputação de quem nada fez de errado. Bloqueio de conta que impediu o pagamento de outras contas, cheques ou boletos também pode gerar prejuízo concreto a ser cobrado à parte.

Já quando o banco reconhece o erro rapidamente, cancela o contrato e devolve os valores sem deixar rastro negativo, a chance de uma indenização adicional cair é maior — a lei olha para o dano que de fato aconteceu, não para o susto em si.

Perguntas frequentes

O banco pode dizer que a culpa foi minha porque toquei em algo no aplicativo?

Só se conseguir mostrar, de forma concreta, que houve um erro do cliente que abriu a porta para o golpe. Quando a invasão explorou uma vulnerabilidade técnica do próprio sistema, essa alegação genérica não costuma se sustentar sozinha.

Preciso continuar pagando as parcelas enquanto o cancelamento é discutido?

Não é razoável ser cobrado por um contrato que nunca aceitou. O pedido correto é suspender qualquer cobrança e desconto até a análise ser concluída, e não simplesmente pagar para “evitar problema”.

O empréstimo indevido pode negativar meu nome mesmo sem eu ter contratado nada?

Pode acontecer na prática, mesmo sendo indevido. Se isso ocorrer, além do cancelamento do contrato, normalmente cabe pedido para retirar o nome dos cadastros de proteção ao crédito e discutir indenização pelo transtorno.

Quanto tempo o banco tem para responder ao pedido de cancelamento?

Não existe um prazo único e automático para toda situação, mas a demora exagerada sem justificativa concreta é, em si, um fator que pesa contra o banco em uma eventual discussão judicial.

Faz diferença se o hacker usou meu próprio celular, sem trocar de aparelho?

Sim, é um dado relevante. Quando o próprio aparelho do cliente nunca saiu de suas mãos e mesmo assim a invasão ocorreu, fica ainda mais evidente que a falha estava na estrutura do aplicativo, e não em algo perdido ou entregue por descuido.

Conclusão: o risco da facilidade é do banco, não do cliente

Quando o banco cria um produto de crédito para ser aceito com o mínimo de esforço possível, ele assume, junto com essa facilidade, o dever de proteger essa mesma porta de entrada contra invasões. Se a falha foi técnica, do próprio aplicativo, o caminho natural é o cancelamento do contrato e a devolução de tudo o que foi cobrado, sem que o cliente precise provar culpa além de mostrar que não foi ele quem contratou aquele crédito.

Separar bem os dois pedidos — primeiro cancelar, depois discutir indenização se houver dano concreto, como negativação — ajuda a resolver a situação de forma mais rápida e organizada, sem deixar de lado o direito a uma reparação maior quando ela realmente existir.

Artigos relacionados

• Idoso sofreu fraude em empréstimo consignado contratado por biometria facial fraudulenta: o banco tem culpa?
• Golpe por aplicativo de investimento de terceiro conectado à conta via Open Finance: o banco que autorizou o acesso responde?
• Recorrência do Pix Automático ativada por golpe sem autorização real do cliente: o banco responde pelos débitos indevidos?
• Golpe do empréstimo fácil por link recebido via SMS: o banco responde por liberar o crédito a partir do link falso?

Veja também nosso conteúdo completo sobre fraudes e responsabilidades.

Sobre o autor

Siga @phelipecardosoadv no Instagram →

Phelipe Pereira Cardoso é advogado desde 2009 e fundador do PHC Phelipe Cardoso Advogados. Atua principalmente em Direito Civil, Empresarial e do Consumidor, com experiência em responsabilidade civil, indenizações, contratos, conflitos patrimoniais e demandas envolvendo empresas e instituições financeiras.

Ao longo de sua trajetória, concedeu entrevistas e contribuiu com análises jurídicas para veículos como TV Globo, TV Record e Rádio Itatiaia, abordando temas de interesse público e questões relevantes das relações civis e de consumo. À frente do PHC, coordena a estratégia jurídica do escritório e combina experiência prática, linguagem clara e tecnologia aplicada ao Direito para conduzir casos de forma técnica, personalizada e orientada à solução.

Precisa de orientação sobre o seu caso?

Fale com o escritório  ·  Conheça o PHC Advogados  ·  Ver outros artigos

Este conteúdo tem caráter informativo e não substitui a análise individual do seu caso por um advogado.