Quem responde depende de onde a fraude entrou. Se o desvio ocorreu dentro da operação bancária, a Súmula 479 do STJ responsabiliza a instituição objetivamente, por fortuito interno. Se a alteração aconteceu antes, no documento que chegou à empresa, a discussão muda de lugar. E há um detalhe que quase ninguém usa: o art. 17 do CDC equipara a consumidor todas as vítimas do evento, o que alcança empresa que normalmente teria dificuldade de se dizer consumidora.
A primeira coisa a preservar não é o boleto: é o comprovante e a tela do pagamento. O nome do beneficiário exibido no momento do pagamento é o dado que separa as duas histórias possíveis, e ele some rápido dos aplicativos.
O financeiro pagou um boleto de fornecedor de sempre, no valor de sempre. Duas semanas depois o fornecedor cobrou. A empresa mandou o comprovante e o fornecedor respondeu que não era a conta dele. Ninguém tinha guardado a tela do pagamento, só o PDF do boleto e o comprovante final. Faltava exatamente o dado que resolveria a discussão: qual nome o aplicativo mostrou antes de confirmar.
Pagou e o fornecedor diz que não recebeu?
Mande o boleto, o comprovante e o print da tela de confirmação, se houver. Dá para dizer em qual das duas hipóteses o seu caso está antes de qualquer providência.
Dúvidas que aparecem primeiro
| Pergunta | Resposta curta |
|---|---|
| O banco responde por fraude de terceiro? | Responde objetivamente por fortuito interno, Súmula 479. |
| Minha empresa é consumidora aqui? | Pode ser por equiparação: o art. 17 alcança todas as vítimas do evento. |
| O que o banco tem que provar para se eximir? | Inexistência do defeito ou culpa exclusiva de quem pagou ou de terceiro. |
| Meu fornecedor pode continuar cobrando? | Na prática sim, porque ele não recebeu. |
| Qual prova mais importa? | O nome do beneficiário exibido no momento do pagamento. |
Duas fraudes diferentes com o mesmo resultado
Do lado de fora parecem iguais: a empresa pagou e o fornecedor não recebeu. Juridicamente são situações distintas, e vale identificar qual é a sua antes de decidir para onde apontar.
Na primeira, o documento que chegou à empresa já vinha adulterado, com linha digitável de outro beneficiário. O ataque aconteceu no caminho até a empresa, geralmente por e-mail.
Na segunda, o boleto estava correto, e o desvio se deu dentro da operação de pagamento. É aí que a responsabilidade da instituição fica mais direta.
Por isso a tela de confirmação vale mais que o boleto: ela mostra qual beneficiário o sistema reconheceu.
A regra que define a responsabilidade do banco
A Súmula 479 do STJ é curta e forte: as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
Duas palavras carregam o sentido. Objetivamente quer dizer sem discussão de culpa. Fortuito interno quer dizer risco próprio da atividade: fraude não é acidente externo para quem opera meios de pagamento, é risco do negócio.
O que a lei exige do prestador de serviço
O art. 14 do Código de Defesa do Consumidor estabelece que o fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados por defeitos relativos à prestação dos serviços.
O §1º define quando o serviço é defeituoso: quando não fornece a segurança que o consumidor dele pode esperar, considerando o modo do fornecimento, o resultado e os riscos que razoavelmente se esperam, e a época em que foi fornecido.
E o §3º fecha a lista de saídas. O fornecedor só não responde quando provar que o defeito inexiste, ou a culpa exclusiva do consumidor ou de terceiro. São duas hipóteses, e o ônus da prova é dele.
Por que “culpa exclusiva de terceiro” não é a solução fácil que parece
É a alegação padrão nesses casos. Mas ela precisa ser exclusiva, e é justamente essa exclusividade que a Súmula 479 afasta quando a fraude ocorre no âmbito da operação bancária: se o risco é interno à atividade, o terceiro não é causa externa.
O artigo que resolve o problema da empresa
Aqui está o ponto que quase nunca é usado, e que importa muito para pessoa jurídica.
Em contrato bancário comum, discute-se se a empresa é consumidora, porque o crédito costuma ser insumo da atividade. Em fraude, existe outro caminho: o art. 17 do CDC determina que, para os efeitos daquela seção, equiparam-se aos consumidores todas as vítimas do evento.
A seção é justamente a da responsabilidade pelo fato do serviço, onde está o art. 14. Ou seja: quem é vítima do evento danoso entra na proteção por equiparação, sem precisar vencer antes a discussão sobre destinação final do serviço.
Não é solução automática para tudo, mas é um caminho que muda a conversa, e é frequentemente esquecido em caso empresarial.
E a dívida com o fornecedor?
Essa é a parte que costuma pegar a empresa de surpresa: o fornecedor não recebeu, então na prática ele continua cobrando. O pagamento feito para a conta errada não resolve o contrato de fornecimento.
Quer dizer que a empresa fica com dois problemas ao mesmo tempo: recuperar o valor desviado e manter a relação comercial de pé. Tratar os dois separadamente, e rápido, costuma ser melhor do que esperar a definição de um para tratar o outro.
O que preservar, e a ordem
Prova, nesse assunto, é quase tudo. E boa parte dela é volátil.
Em pagamento de boleto adulterado, a responsabilidade da instituição financeira é objetiva quando o dano decorre de fortuito interno relativo a fraude de terceiro no âmbito de operações bancárias, conforme a Súmula 479 do STJ. O art. 14 do Código de Defesa do Consumidor responsabiliza o fornecedor de serviços independentemente de culpa por defeito na prestação, considerando defeituoso o serviço que não fornece a segurança que dele se pode esperar, e admite apenas duas excludentes: inexistência do defeito ou culpa exclusiva do consumidor ou de terceiro (art. 14, §3º). O art. 17 equipara a consumidores todas as vítimas do evento, alcançando também pessoa jurídica atingida pela fraude.
Observatório João Coelho
O que a norma dá a quem foi vítima
Súmula 479 conferida no repositório oficial de verbetes do STJ e Código de Defesa do Consumidor no Planalto, em 19/08/2026.
As primeiras horas
1. Salve o comprovante e, principalmente, o print da tela de confirmação com o nome do beneficiário. Isso some.
2. Guarde o boleto original recebido e o e-mail com que ele chegou, com cabeçalho completo.
3. Comunique o banco por canal que gere protocolo, e anote número e horário.
4. Avise o fornecedor no mesmo dia, por escrito, e peça confirmação dos dados bancários verdadeiros por outro canal.
5. Registre boletim de ocorrência. Ele não resolve sozinho, mas organiza a cronologia e costuma ser exigido depois.
O que esperar, com honestidade
Nenhum advogado pode garantir resultado. A recuperação depende muito de tempo: valor que já saiu da conta de destino é mais difícil de reaver, e por isso as primeiras horas pesam mais do que qualquer argumento posterior.
Também é honesto dizer que nem toda fraude com boleto é responsabilidade do banco. Quando a alteração ocorreu no documento antes de chegar à empresa e o aplicativo exibiu corretamente outro beneficiário, a discussão é bem mais difícil, e o caminho pode ser outro.
Como reconhecer golpe nesse assunto
Recupero seu dinheiro em 24 horas mediante taxa. Cobrança antecipada para recuperar valor de fraude é, muitas vezes, a segunda fraude sobre a mesma vítima.
Tenho contato dentro do banco que estorna. Não existe canal interno. Existe protocolo, apuração e, se for o caso, ação.
Não precisa avisar o banco agora, primeiro processe. Comunicação imediata com protocolo é justamente o que sustenta a cronologia depois.
Como empresa você não tem direito nenhum. Falso. O art. 17 do CDC equipara a consumidor todas as vítimas do evento.
Perguntas frequentes
Paguei um boleto adulterado. O banco responde?
Responde quando a fraude é fortuito interno. A Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
Minha empresa pode invocar o Código de Defesa do Consumidor?
Pode, por equiparação. O art. 17 do CDC determina que se equiparam aos consumidores todas as vítimas do evento, o que dispensa vencer antes a discussão sobre destinação final do serviço.
O que o banco precisa provar para não responder?
Uma de duas coisas, e o ônus é dele. O §3º do art. 14 do CDC admite apenas a prova de que o defeito inexiste ou de culpa exclusiva do consumidor ou de terceiro.
Quando o serviço é considerado defeituoso?
Quando não entrega a segurança esperada. O §1º do art. 14 manda considerar o modo de fornecimento, o resultado e os riscos que razoavelmente se esperam e a época em que foi fornecido.
E se o aplicativo mostrou outro nome de beneficiário?
Aí a discussão fica mais difícil. É exatamente por isso que a tela de confirmação é a prova mais importante do caso, e precisa ser preservada antes de tudo.
Meu fornecedor ainda pode me cobrar?
Na prática sim, porque ele não recebeu. São dois problemas paralelos: recuperar o valor desviado e resolver a relação comercial. Tratá-los ao mesmo tempo costuma ser melhor.
Vale a pena registrar boletim de ocorrência?
Vale, como parte da cronologia. Ele não resolve sozinho, mas organiza datas e horários e costuma ser exigido nas etapas seguintes.
Quer saber em qual hipótese o seu caso está?
Alguém do escritório pode ler o boleto, o comprovante e a comunicação com o banco, e dizer se o caminho é a responsabilidade da instituição ou outro.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 19/08/2026. Súmula 479 do Superior Tribunal de Justiça, enunciado conferido no repositório oficial de verbetes do STJ nesta data, sem constar como cancelada. Lei 8.078, de 11 de setembro de 1990, arts. 14 e 17, em vigor, texto conferido no Planalto. Não há, nesta página, citação de dispositivo revogado.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de enunciado sumular e texto legal conferidos nas fontes oficiais na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende dos documentos preservados e da cronologia da comunicação com a instituição.