Tempo de leitura: 11 min · Atualizado em 03/09/2026
Sim, na maioria dos casos a instituição pode responder. Quando o golpista engana a vítima para que ela autorize o compartilhamento de dados bancários pelo Open Finance, esse consentimento é viciado e não vale como autorização legítima. Bancos e demais participantes têm o dever de identificar sinais de fraude nesse processo, e a falha nesse controle costuma gerar responsabilidade pelo prejuízo.
O que é o Open Finance e por que virou alvo de golpe
O Open Finance permite que uma pessoa autorize um banco, uma fintech ou outra instituição a acessar dados dela guardados em outra instituição — extrato, saldo, histórico de crédito, investimentos. A ideia é boa: com esses dados, o cliente compara ofertas e contrata crédito mais barato. O problema é que esse mesmo mecanismo virou ferramenta de golpe. Em vez de convencer a vítima a fazer um Pix, o criminoso a convence a “autorizar o compartilhamento”, muitas vezes sem que ela entenda o que está aceitando.
Como o golpista induz esse compartilhamento na prática
O roteiro mais comum começa com um contato que parece legítimo: uma ligação de suposto funcionário do banco, uma mensagem alertando sobre “movimentação suspeita” ou um anúncio de investimento com retorno alto. A vítima é orientada a abrir o aplicativo do banco e confirmar uma tela de autorização — só que essa tela, na verdade, é o consentimento do Open Finance, disfarçado de simples verificação de segurança. Em outros casos, pede-se que a vítima instale um aplicativo de terceiro e conecte a conta a ele, sob o discurso de “gestão financeira automática”.
Consentimento obtido por engano não é consentimento válido
Consentimento pressupõe vontade livre e esclarecida. Se a pessoa autoriza o compartilhamento porque foi enganada sobre a natureza do que estava assinando, esse consentimento nasce viciado. Não importa que, tecnicamente, o clique tenha partido do celular da vítima e a autenticação tenha funcionado corretamente — a vontade manifestada não corresponde ao que ela realmente queria fazer. É o mesmo raciocínio usado em casos de Pix feito sob engano: a autorização formal não afasta a responsabilidade quando foi obtida por fraude.
O dever de vigilância da instituição participante
As regras do Open Finance no Brasil, definidas pelo Banco Central, exigem que o consentimento seja específico, tenha prazo limitado e possa ser cancelado a qualquer momento. Elas também impõem às instituições participantes obrigações de segurança e de responsabilização de seus dirigentes. Ou seja, o banco ou a fintech que participa da cadeia não é mero espectador: existe o dever de manter sistemas capazes de perceber padrões estranhos, como um consentimento concedido minutos após uma ligação suspeita.
Golpe no consentimento é diferente de vazamento de dados
No vazamento, a informação escapa sem que o titular tenha feito nada — falha de segurança interna ou invasão de sistema. No golpe de consentimento induzido, é a própria vítima quem, enganada, aperta o botão de autorizar. A responsabilidade da instituição não desaparece nesse segundo cenário, mas o caminho para prová-la muda: em vez de mostrar falha na segurança dos dados, é preciso demonstrar que o processo de autorização foi manipulado e faltaram barreiras para impedir isso.
Sinais de alerta que a instituição deveria ter percebido
Alguns elementos, somados, indicam que a autorização provavelmente não partiu de uma decisão consciente: o compartilhamento vai para instituição desconhecida do cliente e sem relacionamento prévio; a autorização é seguida, em curto intervalo, por movimentações incomuns; o cliente tem baixo uso de tecnologia e, mesmo assim, conclui sozinho um fluxo relativamente complexo; há reclamações anteriores contra a mesma instituição receptora. Isolados, esses pontos podem não bastar, mas o conjunto costuma pesar na análise do caso.
Quem pode ser responsabilizado: um ou vários participantes
No Open Finance participam a instituição que detém os dados, a que os recebe e, quando há dinheiro envolvido, a que processa o pagamento. A responsabilidade pode recair sobre mais de um desses participantes ao mesmo tempo. Se o banco onde a vítima tem conta permitiu a autorização sem barreiras mínimas, ele responde. Se a instituição receptora usou o acesso concedido para causar prejuízo direto, ela também responde. A vítima não precisa decifrar sozinha qual elo da cadeia falhou — isso se apura ao levar o caso à Justiça.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Como reunir provas de que o consentimento foi manipulado
Vale guardar prints da conversa com o golpista, o histórico de mensagens que motivaram o acesso ao aplicativo e os horários de cada etapa — ligação, abertura do app, tela de autorização, primeira movimentação suspeita. Também é recomendável solicitar formalmente à instituição os registros do consentimento: data, hora, finalidade declarada e prazo de validade. Esse histórico normalmente fica na área de gerenciamento de compartilhamentos do aplicativo, e sua ausência também pode ser usada como argumento.
| Situação | O que caracteriza | Quem tende a responder |
|---|---|---|
| Vazamento de dados | Informação escapa sem ação do cliente | Instituição que sofreu a falha de segurança |
| Consentimento induzido por golpe | Cliente autoriza enganado sobre o que estava aceitando | Instituição sem controles capazes de identificar o padrão de fraude |
| Uso indevido após autorização legítima | Autorização correta, mas dado usado além do combinado | Instituição que desviou a finalidade do uso |
Esse tipo de discussão aparece com frequência em casos de Pix autorizado com reconhecimento facial, em que a instituição alega que a autenticação biométrica, por si só, prova consentimento válido — argumento parecido com o que surge nas discussões sobre compartilhamento de dados pelo Open Finance.
O que fazer imediatamente após perceber o golpe
- Revogar o consentimento na área de Open Finance do aplicativo, assim que perceber a fraude.
- Registrar boletim de ocorrência detalhando como o golpista induziu a autorização.
- Formalizar reclamação por escrito, pedindo os registros técnicos do consentimento concedido.
- Guardar prints, áudios e mensagens do contato enganoso.
- Procurar orientação jurídica caso a instituição negue responsabilidade ou demore a responder.
A forma como o banco reage nas primeiras horas costuma pesar como prova em eventual ação — algo parecido com o que se discute quando a operação foge do perfil habitual do cliente e a instituição deveria ter suspendido a movimentação antes de o prejuízo se consumar.
“O cliente autorizou” não encerra a discussão
É comum a instituição responder à reclamação dizendo apenas que houve autenticação e, portanto, consentimento válido. Esse argumento sozinho não resolve o caso. A mesma lógica já apareceu em disputas sobre uso de senha e biometria como suposta prova de autorização: o sistema ter funcionado corretamente não significa que a vontade por trás dele estava livre de manipulação.
O golpe combinado com aplicativo de acesso remoto
Uma variação frequente soma o pedido de compartilhamento via Open Finance à instalação de um aplicativo de acesso remoto, que dá ao golpista controle direto da tela do celular. Esse padrão, já documentado em casos de fraude por aplicativo de acesso remoto, reforça a responsabilidade da instituição, pois somam-se dois problemas: a manipulação da vontade e a perda de controle técnico do aparelho.
Quando a instituição pode se eximir
Nem toda situação gera dever de indenizar. Se a instituição comprova que manteve os controles de segurança esperados, que o consentimento foi isolado, sem sinal de anomalia identificável, e que a vítima ignorou avisos claros no momento da autorização, a análise pode pender para o outro lado. Também pesa a favor da instituição a reação rápida para bloquear o acesso assim que a fraude foi comunicada.
Perguntas frequentes
Revogar o consentimento no aplicativo já resolve o problema?
Revogar interrompe o compartilhamento futuro, mas não desfaz o prejuízo já ocorrido. É um passo urgente, porém complementar à reclamação formal e, se necessário, à busca por indenização.
O golpista precisa ser identificado para a instituição responder?
Não. A responsabilidade decorre da falha nos controles de segurança e verificação da própria instituição, e não depende de a vítima localizar o autor do golpe.
Funciona igual quando o golpe usa um aplicativo de investimento de terceiro?
A lógica de consentimento viciado é parecida, mas há particularidades quando o acesso é dado a um app externo que também movimenta a conta. Esse cenário costuma envolver ainda a instituição que autorizou a conexão desse terceiro.
Dado bancário compartilhado sem movimentar dinheiro já gera dano?
Pode gerar. Dados financeiros são considerados sensíveis, e o compartilhamento indevido, mesmo sem saque imediato, pode abrir caminho para fraudes posteriores e configurar prejuízo à vítima.
Existe prazo para reclamar desse tipo de golpe?
Sim. Como regra prática, o prazo para buscar reparação costuma ser de três anos, contados da data em que a vítima descobriu o prejuízo. Não vale a pena deixar para depois, pois provas técnicas se perdem com o tempo.
Vale registrar boletim de ocorrência mesmo sem saber quem é o golpista?
Sim. O boletim documenta data, narrativa e o momento em que a vítima percebeu a fraude, servindo de peça importante tanto para a reclamação junto à instituição quanto para eventual ação judicial.
Conclusão: consentimento enganado não protege a instituição
O Open Finance trouxe comodidade real, mas também abriu uma porta nova para golpes que exploram a confiança do cliente no próprio aplicativo do banco. Quando o consentimento é obtido por engano, a instituição não pode se esconder atrás do argumento de que “houve autorização” — porque essa autorização, nesse caso, nunca existiu de forma livre e consciente.
Cada caso tem particularidades que fazem diferença no resultado, da rapidez do bloqueio aos sinais que a instituição deveria ter percebido antes de liberar o compartilhamento. Reunir provas cedo e buscar orientação jurídica logo após perceber o golpe aumenta as chances de reverter o prejuízo.
Fontes oficiais consultadas
Artigos relacionados
- Golpe por aplicativo de investimento de terceiro conectado à conta via Open Finance: o banco que autorizou o acesso responde?
- Cartão tokenizado no Google Pay ou Apple Pay usado por golpista após o roubo do celular: o banco emissor responde pelas compras?
- Golpe em fintech de “compre agora, pague depois” usando dados vazados: a fintech responde pelo prejuízo?
- Fui ameaçado sob coação física no caixa eletrônico para fazer transferências: o banco responde por falha de segurança na agência?
Veja também nosso conteúdo completo sobre fraudes e responsabilidades.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
