Invasão de conta / empréstimos fraudulentos

O modus operandi

A "invasão de conta com empréstimos fraudulentos" é a categoria-cluster de golpes em que o resultado é o mesmo — contratação de empréstimos pessoais em nome da vítima com crédito imediato desviado via PIX — mas os vetores de entrada variam. Corpus: 252 casos.

Os vetores mais comuns são: (i) furto ou roubo de celular com apps bancários logados — golpistas acessam fisicamente o app e operam; (ii) phishing via link + malware — vítima clica em link (promessa de prêmio, link de programa de renda mínima, atualização de cadastro) e tem o aparelho comprometido; (iii) acesso remoto instalado via engenharia social (falsa central) — golpistas operam a conta em paralelo; (iv) invasão técnica direta sem vazamento demonstrável — fato mais raro.

Em todos os vetores, o padrão transacional é distintivo: múltiplos empréstimos contratados em sequência (2-5 em minutos/horas), seguidos imediatamente de PIX/TED para conta-laranja, frequentemente combinados com resgate de aplicações ou pagamento de boleto fraudulento. Valores típicos: R$ 10.000-110.000. Tempo: minutos (quando há acesso remoto ou celular com apps logados) a 24-48h.

Variantes observadas

• A · Furto/roubo de celular com apps logados — 1108291-39.2021, Luís Franzé — celular furtado em Copacabana; apps logados; R$ 24k em 2 dias. 1069307-81.2024, Franceschini — Copacabana, 3 empréstimos + 5 PIX.
• B · Phishing + malware no celular — 1011034-62.2025, Mendes Pereira ("Viva Sorte"); 1017042-80.2024, Giaquinto (conta digital NG Cash).
• C · Acesso remoto (falsa central + app) — mesmo cluster do ensaio de falsa central de atendimento, mas com foco nas contratações de empréstimo.
• D · Múltiplos PIX "não reconhecidos" sem fraude narrada — 1016008-74.2024, Simões de Almeida — PIX da PagSeguro sem interação com terceiro.
• E · IP estrangeiro sem explicação — 1001755-78.2025, Ricardo Pereira Júnior — IP Houston.

Perfil das vítimas

Perfil bastante amplo — da invasão pós-roubo em público (turista, cliente em deslocamento) ao idoso vítima de acesso remoto pela falsa central. Idade 25-80 anos. A comum é ser correntista com apps bancários ativos no celular. Em 1015613-63.2025, PJ — empresa L.V.S. Odonto — sofreu invasão persistente pós-sentença anterior.

Tese vencedora típica do autor

Falha do Serviço · Súmula 479 + Dever de Monitoramento do Perfil. Taxa pró-consumidor: 55% consumidor + 37% parcial = 92% favorável. um dos clusters de maior sucesso do autor.

Construção: (i) atipicidade objetiva — 3-5 empréstimos + PIX em 24h, valores 3×+ o padrão, destinatários desconhecidos; (ii) banco não bloqueou preventivamente; (iii) em casos de IP estrangeiro ou geolocalização divergente, o próprio log do banco é arma contra ele.

“a falha do dever de segurança (art. 14, § 1º, CDC) consistiu na ausência de empecilho para a realização, em um único dia, de cinco compras de cartão de crédito no valor total de R$ 59.501,94, além da contratação de empréstimo de R$ 3.970,00, seguida de transferência por Pix de R$ 6.800,00, em dissonância com o perfil de movimentações da parte autora”

Precedente-âncora: REsp 2.222.059/SP + REsp 2.229.245/RS + Súmula 479/STJ + Enunciado 14 Seção DP/TJSP.

Tese vencedora típica do banco

Fortuito Externo · Culpa do Consumidor quando há negligência clara na guarda do celular e comunicação tardia; ou REsp 2.155.065/MG quando há autenticação multifator completa. Banco vence em apenas 9% dos casos — cluster mais hostil ao banco. Construção: (i) autor demorou para comunicar (> 5-10 dias) — inviabiliza MED e fortalece argumento de culpa concorrente; (ii) logs de IP/device ID mostram acesso pelo aparelho do cliente; (iii) em roubos, a guarda do dispositivo é responsabilidade do titular.

“Em se tratando de fato negativo (no caso o autor afirma que não realizou as operações), o ônus da prova é de quem afirma a existência da contratação, da dívida e o do seu valor. (...) comprovada a regularidade das transações, não há que se falar em nulidade do contrato e inexigibilidade do débito”

Defesa típica do banco — o que funciona

Caso mais difícil do corpus para o banco como pagador (9% banco). A defesa precisa ser excepcionalmente robusta.

Câmaras e relatores que mais julgam

• Ricardo Pereira Júnior (Núcleo 4.0-T.V) — pró-consumidor; paradigma do IP estrangeiro.
• Ielo Amaro (16ª CDPriv) — pró-consumidor; foco no dever de monitoramento.
• Luís H. B. Franzé (17ª CDPriv) — parcial 50/50 quando há demora do autor.
• Pedro Kodama (37ª CDPriv) — pró-banco em casos com autenticação multifator robusta.
• Simões de Almeida (13ª CDPriv) — pró-consumidor, mas controla quantum moral.
• Jairo Brazil (19ª CDPriv) — pró-consumidor quando banco não junta logs.

Discussões e divergências

Principal divergência: tratamento do device ID habitual. Parte das câmaras aceita "dispositivo cadastrado" como sinal de autenticação válida. Outras (Núcleo 4.0-T.V, 16ª) exigem que o banco demonstre que o dispositivo foi usado no mesmo IP/geolocalização habitual. Device ID sozinho não basta quando o celular foi roubado.

Segunda divergência: tempo admissível para comunicar furto. A 17ª CDPriv (Luís Franzé em 1018775-66.2025) aplicou 50/50 quando autor demorou 16 dias para avisar PagSeguro/Mercado Pago (Bradesco avisado em tempo ganhou integralmente). A 13ª é mais tolerante; a 22ª, menos.

O ônus probatório em jogo

Neste cluster, o ônus pende fortemente contra o banco — 92% favorável ao consumidor. O banco precisa demonstrar simultaneamente autenticação no dispositivo habitual, IP/geolocalização compatíveis e biometria válida; o consumidor precisa apenas da atipicidade objetiva (3-5 empréstimos + PIX em 24h, valores 3×+ o padrão, destinatários desconhecidos). Quando o banco tem o dado técnico (IP estrangeiro) e silencia, presume-se contra ele.

Sub-padrões dentro do cluster

1. Invasão pós-furto/roubo com app logado — golpista opera diretamente no celular da vítima.
2. Invasão por phishing (link + malware) — vítima clica em link e tem o aparelho comprometido.
3. Invasão por acesso remoto (app instalado) — convergente com falsa central; AnyDesk/ToDesk instalado.
4. Invasão técnica sem vetor narrado — autor alega apenas "transações não reconhecidas" sem história de fraude específica.

Como usar isso na prática — defesa do banco

O banco é estruturalmente perdedor nesse cluster (9% banco). A estratégia realista é tripla.

Para o consumidor, a tese é extraordinariamente produtiva — 55% + 37% parcial = 92% favorável. A petição deve enfatizar atipicidade (extratos comparativos), IP/geolocalização divergente (se houver), comunicação tempestiva ao banco, e invocar REsp 2.222.059/SP e REsp 2.229.245/RS como precedentes-âncora.

Novos achados — o estudo (23/04/2026)

O estudo adicionou ~15 extratos, com duas consolidações marcantes.

Combinação REsp 2.229.245/RS + combo consumidor-vence: quando há 5 PIX + empréstimo + compras em 24h + atipicidade de perfil, a tese da Súmula 479 + dever autônomo de monitoramento é praticamente invencível. Padrão consolidado.

Combo probatório — como ler este golpe

Combo pró-consumidor é estruturalmente dominante aqui: valores 3×+ (fator 1), múltiplas operações rápidas (fator 2), padrão dissonante (fator 3) e banco sem alerta (fator 5) aparecem juntos em >60% dos casos. Falha do serviço + dever de monitoramento predominam. Defesa do banco depende de demonstrar operação no app da vítima (fator 3 pró-banco) — em laptop invadido isso fica muito difícil.