O Algoritmo de Segurança em Xeque: A Responsabilidade das Fintechs por Transações Atípicas

Por Luiza Brandão

No dinâmico mercado das fintechs e instituições de pagamento, a agilidade é o maior atrativo. No entanto, essa mesma velocidade tem sido explorada por criminosos em golpes de engenharia social. Recentemente, o Superior Tribunal de Justiça (STJ) proferiu uma decisão paradigmática (REsp 2.222.059-SP) que redefine os limites da responsabilidade civil digital, protegendo o consumidor mesmo quando a transação é realizada mediante o uso de senha.

Se a tecnologia permite transações em segundos, ela também deve ser capaz de interrompê-las em milissegundos diante de uma fraude evidente.

O Caso Concreto: Quando o Sistema Ignora o Óbvio

A controvérsia jurídica teve origem em um episódio de fraude clássica: um consumidor, com histórico de movimentações modestas e perfil conservador, foi induzido por uma falsa central de segurança a realizar operações que fugiam completamente ao seu padrão. Em menos de uma hora, o sistema da instituição permitiu 14 transações sucessivas, incluindo a contratação de empréstimos e transferências vultosas, resultando no esgotamento total dos recursos.

O ponto de inflexão deste caso não é o golpe em si, mas a omissão do sistema de segurança. A instituição alegou "culpa exclusiva do consumidor" por ter digitado a senha de seu próprio aplicativo, mas o STJ entendeu que o defeito do serviço reside na falha em detectar a atipicidade das operações.

A Tese Jurídica: O Defeito do Serviço e o Fortuito Interno

Para o Direito do Consumidor, o serviço é considerado defeituoso quando não fornece a segurança que dele legitimamente se espera (Art. 14, § 1º, CDC). No ecossistema bancário moderno, espera-se que os algoritmos de prevenção de riscos identifiquem comportamentos que divergem do histórico do correntista.

A tese central reside na capacidade de monitoramento:

·       A instituição detém os algoritmos de comportamento do cliente.

·  A validação de múltiplas operações em curtíssimo intervalo, que fogem drasticamente ao histórico de consumo do usuário, configura uma falha no sistema de segurança.

·     O esgotamento de recursos e a contratação de empréstimos atípicos em sequência são sinais de alerta que o sistema deveria detectar e bloquear preventivamente.

A falha em identificar uma "anomalia comportamental" no fluxo de transações transfere o risco do prejuízo à instituição. Afinal, quem lucra com a celeridade e a desburocratização dos sistemas de pagamento deve, obrigatoriamente, investir em mecanismos de contenção de danos equivalentes à sofisticação dos fraudadores.

A Superação da Barreira da Senha Pessoal

A grande contribuição do Ministro Ricardo Villas Bôas Cueva neste julgado foi o afastamento da premissa de que o uso da senha pessoal exime a instituição de culpa. O STJ consolidou que o dever de segurança das instituições de pagamento — equiparadas aos bancos pela Súmula 479 — inclui o aprimoramento constante de mecanismos capazes de bloquear transações que fogem ao perfil do cliente.

A validação automática de operações sequenciais, em curto intervalo de tempo e com valores discrepantes, evidencia uma falha de monitoramento. Em termos simples: o "robô" de segurança do banco falhou ao não perceber que aquele comportamento não era do seu dono.

Conclusão: A Proteção do Consumidor na Era Digital

Esta decisão é um marco de equilíbrio. Ela não retira do consumidor o dever de cautela, mas impõe às instituições de pagamento a responsabilidade técnica sobre as ferramentas que oferecem. Se a tecnologia permite transações em segundos, ela também deve ser capaz de interrompê-las em milissegundos diante de uma fraude evidente.

O Judiciário reafirma que o lucro obtido com a tecnologia de pagamentos traz consigo o ônus de garantir que o sistema seja resiliente a ataques de engenharia social.