Falha do Serviço (Súmula 479 STJ)

O banco responde objetivamente pelos danos causados por fraude de terceiros sempre que a operação se insere no risco inerente da atividade bancária, e o que normalmente afasta essa responsabilidade não é mais a "senha usada pelo cliente", e sim prova de que o banco monitorou o perfil e não havia atipicidade detectável.

O argumento canônico

A Súmula 479/STJ é o enunciado mais repetido do corpus — aparece em 1.688 casos julgados como tese principal e, sozinha, define 99% do ganho material quando a vítima tem combo probatório favorável. O núcleo jurídico é simples: a atividade bancária comporta risco próprio (o chamado fortuito interno), e o risco de o banco ser "enganado" junto com o cliente é parte dessa atividade, não fator externo que rompa o nexo causal. Conforme sintetiza a Des. Márcia Rezende Barbosa de Oliveira (Núcleo 4.0-T.VII), a Súmula 479 transforma o dever de segurança em obrigação objetiva "relativa a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" — Apel. 1003725-87.2024.

Nos votos pró-consumidor, a Súmula 479 raramente aparece isolada. Ela vem acoplada, em 2025-2026, a uma segunda camada de argumentação que é a verdadeira chave de leitura moderna da responsabilidade objetiva: o dever autônomo de monitoramento de perfil. O leading case é o REsp 2.222.059/SP (STJ 3ªT, Cueva, 07/10/2025), que elenca cinco parâmetros antifraude (perfil, horário/local, intervalo, sequência, meio) e que a Des. Anna Paula Dias da Costa cita verbatim em Apel. 1018511-07.2025 para afirmar que "a validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço". A Súmula 479 é o dispositivo geral; o REsp 2.222.059, o REsp 2.229.245/RS e o REsp 2.052.228/DF são a régua específica pela qual "atividade bancária" passa a significar, em 2026, atividade bancária com filtro antifraude funcional.

Os fatos típicos que disparam a Súmula 479 formam um combo reconhecível: (i) operação em canal oficial do banco (app, ATM, agência); (ii) valor atípico em relação ao histórico do cliente; (iii) múltiplas operações em janela curta; (iv) pelo menos um dos elementos do "combo consumidor-vence" (resgate de aplicações, destinatários desconhecidos, alteração abrupta de padrão). O que costuma ser decisivo, porém, é o que falta na defesa do banco: logs de autenticação detalhados (IP, geolocalização, device fingerprint, score biométrico). Em 1020291-93.2025 (Ielo Amaro) e 1013336-88.2025 (Custodio da Silveira), a mesma fórmula se aplica: exame dos extratos × narrativa do banco → se há dissonância e o banco só alegou "senha usada", a Súmula 479 vence.

A tese falha quando o banco consegue mover o eixo probatório para "o próprio cliente autorizou, no seu dispositivo habitual, dentro do limite contratado, operação compatível com seu perfil". O REsp 2.155.065/MG (STJ 3ªT, Cueva, 11/03/2025 — golpe do motoboy) é o leading case defensivo: credenciais multifator autenticáveis + valores no perfil = fortuito externo, e a Súmula 479 cede à excludente do art. 14 §3º II do CDC. Foi essa moldura que o Des. Pedro Kodama replicou em Apel. 1000197-90.2025 para reformar sentença pró-autor quando o Bradesco juntou logs de senha + PIN + M-Token + autenticação multifator. O advogado sério precisa entender: a Súmula 479 não é mais um carimbo — ela é uma arbitragem entre dois combos probatórios antagônicos.

Como os relatores articulam — citações verbatim

“A validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras e das instituições de pagamento.”

“A hipótese é de fortuito interno — a deficiência dos sistemas de segurança que não obstaram preventivamente o uso do cartão, cujo desvio de perfil era patente. Até um ser humano notaria o desvio no caso dos autos, quanto mais o algoritmo dos sistemas de proteção de um banco digital.”

“A alteração abrupta do padrão — inclusive resgate integral de aplicações — era suficiente, por si só, para acionar protocolos de segurança robustos.”

“Cumpria ao fornecedor requerido a prova de inexistência do defeito na prestação dos serviços, em seus sistemas de segurança, ou que a compra impugnada não fugisse ao perfil do consumidor. Porém, nada além de alegações genéricas por parte do réu vieram aos autos.”

“o sistema bancário que admite operações totalmente atípicas em relação ao padrão de consumo tem vulnerabilidades e viola o dever de segurança que cabe às instituições financeiras.”

As cinco citações convergem em um ponto: a Súmula 479 ganhou, em 2025-2026, um dever instrumental que ela não tinha quando foi editada. O relator já não pergunta "houve falha?"; pergunta "o banco provou que o sistema antifraude funcionou diante deste perfil?". A tese se desacopla da autenticação técnica pura e passa a exigir, do banco, uma narrativa afirmativa sobre monitoramento.

Quando funciona — cenários típicos de acolhida

• Valor ≥ 3× limite diário ou histórico + múltiplas operações em janela curta — cenário número 1. O exemplo matemático está em 1017382-40.2024: R$ 270.702,92 em 24 horas contra limite diário de R$ 80.000 em conta de aposentada. O Des. Afonso Bráz monta o voto em cima da aritmética, não da moldura jurídica.
• Operações em localidade radicalmente dissonante — cartão usado a 650 km da residência em um dia (1005689-97.2024, Castro Figliolia) ou em Maceió com titular em SP (1166131-02.2024, Marco Fábio Morsello). Perfil geográfico + valor = gatilho objetivo.
• Banco comunicado e inerte — quando o cliente comunica a fraude em tempo real, ainda dentro da janela de processamento, e o banco não intervém. É o caso paradigmático do Mercado Pago / motoboy / Sodiê Doces em 1091805-37.2025 — Battaus Neto usa a expressão "omissão qualificada" como terceira camada de culpa além do monitoramento preventivo.
• Divergência técnica manifesta no log do banco — logs mostram IP em Houston, EUA (1001755-78.2025, Ricardo Pereira Júnior), divergência nome/CPF em PIX (1002702-68.2025, Torres Júnior), geolocalização incompatível com endereço do contrato (1086383-81.2025, Custodio da Silveira). A inversão do ônus opera mesmo sem perícia digital, porque o próprio documento juntado pelo banco contém o indício de fraude.
• Invasão pós-furto de celular sem demora excessiva — 1020376-61.2022 (Luís Franzé) e 1018775-66.2025: a combinação "furto do dispositivo + múltiplas operações + valores atípicos em 48h" raramente sobrevive à Súmula 479.
• Banco reconhece parte da fraude administrativamente (estorno parcial via MED) — 1020291-93.2025 (Ielo Amaro): banco devolveu R$ 26.843 via MED e manteve o resto; TJSP aproveita a devolução como confissão tácita da irregularidade e condena pelo restante.

Quando falha — cenários de rejeição

• Transferência voluntária em canal externo (WhatsApp, Telegram) com valores compatíveis com o perfil — 1005330-15.2023 (Regina Caro Gonçalves): Bitcoin via Telegram em 5,5 meses. A Súmula 479 é afastada porque a "fraude se desenvolveu fora do sistema bancário".
• Credenciais multifator autenticadas + valor dentro do limite — o combo do REsp 2.155.065/MG, aplicado pelo Des. Pedro Kodama em 1000197-90.2025.
• Operação presencial no balcão, sem sinal de coação — 1004713-21.2025 (Mario Sergio Leite): R$ 100 mil em TED presencial no Itaú. A presencialidade, contraintuitivamente, reforça culpa exclusiva.
• Pulverização temporal longa — 1071408-54.2025 (Guilherme Santini Teodoro): PIX de "taxa de liberação" em 10 dias, valores moderados, horário comercial — o próprio espalhamento afasta a caracterização de "janela curta".
• Narrativa incoerente ou confissão no BO — 1108325-43.2023 (Mario Sergio Leite): autora admite no BO ter autorizado as compras após contato pelo Instagram.
• Ausência absoluta de extratos pretéritos do autor — 1006460-49.2025 (Battaus Neto): sem extratos, não é possível afirmar atipicidade; a Súmula 479 não tem base fática.

Provas e requisitos que pesam

Provas que reforçam a tese pró-consumidor

• Extratos pretéritos do autor — 6 a 12 meses de movimentação mostrando padrão modesto. Presente em 100% dos casos vencedores paradigmáticos deste estudo.
• BO tempestivo (até 48h) — robustece verossimilhança e afasta venire contra factum proprium.
• Comprovantes de comunicação imediata ao banco — e-mails, protocolos, chats. Em Apel. 1043737-48.2024 (Jairo Brazil), foi a evidência de inércia do banco que virou o caso.
• Comparação geográfica/temporal — quando o banco juntou os próprios logs e eles mostram dissonância (IP exterior, localidade distante, horário atípico), a prova vira contra o banco.

Provas cuja ausência pelo banco é gatilho de derrota

• Logs técnicos detalhados — IP, device fingerprint, geolocalização, timestamp, score biométrico. A simples alegação de "chip + senha" é insuficiente em 2026. Ver 1002237-94.2022 (Israel Góes): banco perdeu por não juntar o POS Entry Mode.
• Prova de acionamento do MED / contestação em operações questionadas — Apel. 1000286-36.2025 eleva isso a critério autônomo: sem comprovação documental do MED, falha caracterizada.
• Análise prévia de perfil transacional, com resultado negativo documentado no sistema — nenhum banco costuma juntar isso; a lacuna vira prova contra.

Contra-argumentos eficazes (defesa do banco)

• Autenticação multifator comprovada (REsp 2.155.065/MG) — juntar senha + PIN + M-Token + biometria facial + device ID + IP na contestação. Defesa sólida quando o perfil não for absurdamente discrepante. Precedente-âncora: STJ REsp 2.155.065/MG, Rel. Cueva, 11/03/2025.
• Valores no perfil + pulverização temporal — Guilherme Santini Teodoro em 1071408-54.2025 deu 5-0 banco quando as transferências ocorreram em 10 dias, horário comercial, valores moderados. O "alongamento temporal" descaracteriza janela curta.
• Operação presencial + manifestação inequívoca do titular — 1004713-21.2025 (Mario Sergio Leite): exigir "papel de investigador" ao caixa não é dever do banco.
• Falha na comunicação tempestiva (MED inviabilizado) — 1024749-55.2023 (Giaquinto): 6-10 dias de demora tornou impossível recuperar saldo e reforçou combo banco.
• Fraude fora do sistema bancário (canal externo) — Telegram, WhatsApp sem vazamento demonstrado. A Súmula 479 pressupõe fortuito interno; fraude conduzida inteiramente em canal externo é fortuito externo.

Fundamentos jurídicos centrais

• Súmula 479/STJ — "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias." Frequência: alta (1.688 casos citam).
• CDC art. 14 caput e §1º — fundamento legal da responsabilidade objetiva. Frequência: alta.
• CDC art. 14, §3º, II — excludente de culpa exclusiva da vítima/terceiro. Frequência: alta (invocada em 100% das defesas).
• REsp 2.222.059/SP (STJ 3ªT, Cueva, 07/10/2025) — cinco parâmetros antifraude. Frequência emergente: citado em 8+ extratos pró-consumidor de 2026.
• REsp 2.229.245/RS (STJ 3ªT, Cueva, 13/10/2025) — dever de "verificação de anomalias". Frequência emergente.
• REsp 2.155.065/MG (STJ 3ªT, Cueva, 11/03/2025) — credenciais autenticáveis afastam fortuito interno. Leading case defensivo.
• Tema 466/STJ — teoria do risco da atividade. Frequência média.
• Enunciado 14 da Seção de Direito Privado do TJSP — "PIX: fortuito interno exige falha na segurança ou canais internos". Frequência crescente.
• Resolução BCB 147/2021 arts. 39-B, 41-B (MED) — regra concreta cujo descumprimento é imputado como falha. Frequência crescente no Núcleo 4.0.

Variação por câmara / relator

A aplicação da Súmula 479 é hoje o principal eixo de divergência entre câmaras do TJSP. A 18ª CDPriv (Zanluqui, Ernani Desco, Clavisio, Israel Góes) trata monitoramento de perfil como faculdade, não dever — ver 1017042-65.2025 (Zanluqui), onde o voto diz expressamente que "não se pode exigir da instituição financeira que bloqueie, de forma automática e indiscriminada, toda e qualquer transação que pareça atípica". A 18ª tem 87% pró-banco em Zanluqui, 70% como média de câmara.

Na outra ponta, o Núcleo 4.0 (especialmente Turmas IV, V, VII) e a 11ª CDPriv tratam monitoramento como dever autônomo cuja ausência, por si só, aciona a Súmula 479. Ver Anna Paula Dias da Costa em 1000952-06.2025, Ricardo Pereira Júnior em 1001755-78.2025, Marco Fábio Morsello em 1166131-02.2024. Nesse grupo, 58-77% dos casos são pró-consumidor ou parcial com restituição material integral.

A 37ª CDPriv (Pedro Kodama, José Wagner Peixoto, Daniel Blikstein, Afonso Celso) aplica fórmula própria: material sim, moral não — reconhece falha do serviço pela Súmula 479 mas afasta dano moral sempre que não há negativação ou culpa concorrente da vítima. Ver 1035525-38.2024 e 1017551-44.2024. Estatística da câmara: 54% banco, 38% parcial, 8% consumidor — o "parcial" típico é inexigibilidade material sem moral.

A 22ª CDPriv (Mario Sergio Leite, Júlio César Franco) é a mais resistente ao "dever de monitoramento". Em 1108325-43.2023, Leite escreve expressamente que "análise de perfil... não é obrigação contratual, mas serviço adicional facultativo". 44% pró-banco na câmara.

O ônus probatório em jogo

A Súmula 479 inverte o jogo: cabe ao banco demonstrar que não houve defeito no serviço. A simples autenticação técnica ("senha + chip") não basta mais em 2026 — é preciso narrar afirmativamente que o sistema antifraude analisou a operação e concluiu pela regularidade, apoiado em logs completos e extratos pretéritos. A ausência desse esforço probatório é, ela mesma, o defeito de serviço.

Sub-padrões dentro da tese

A categoria é adequada no nível do enum, mas esconde pelo menos três sub-padrões internos que deveriam ganhar visibilidade própria:

1. Monitoramento de perfil atípico (40-50% da tese) — a falha não é a autenticação, mas o monitoramento. Cobre 1017382-40.2024, 1001755-78.2025, 1005689-97.2024. Tende pra consumidor integral.
2. KYC banco receptor (10-15%) — falha na abertura da conta do "laranja" (Res. BCB 4.753/2019). Cobre Núcleo 4.0-T.II. Tende a 50/50.
3. Omissão qualificada pós-aviso (5-10%) — banco avisado em tempo real e não agiu. Cobre 1091805-37.2025. Desfecho variável.

Como usar na prática — defesa do banco

Quando chegar um caso em que o autor invoca a Súmula 479, a primeira pergunta da contestação não é jurídica — é documental: que combo de logs o banco tem para juntar?. O advogado do banco deve produzir, já na contestação, um dossiê técnico com os seis elementos canônicos que o Núcleo 4.0-T.III aceita em 1014795-32.2025: logs de autenticação, biometria facial com score, trilhas de IP e porta, device ID, geolocalização, trilhas de auditoria do correspondente bancário. A ausência de um desses é tolerável; a ausência de três ou mais é fatal em qualquer câmara que não seja a 18ª.

A defesa só se sustenta se for afirmativa: dizer "chip e senha foram usados" é, em 2026, praticamente confessar omissão no monitoramento. É preciso dizer afirmativamente que o sistema antifraude analisou a operação e concluiu pela regularidade, explicando em parágrafo por que — os valores estavam no perfil histórico (juntar extratos de 12 meses), a geolocalização era compatível (juntar device ID e IP confrontados com histórico), a sequência não fugiu do padrão (comparar com operações dos 60 dias anteriores). Se os extratos mostrarem atipicidade, a defesa muda de rota: pede reconhecimento de culpa concorrente via art. 945 CC, com restituição de 50% e — o mais importante — afastamento do dano moral por participação ativa da vítima.

Novos achados · o estudo (23/04/2026)

O estudo adicionou ~45 extratos desta tese (total ~53 extratos). Três confirmações e três expansões. O estudo não refuta nem matiza substancialmente o ensaio anterior — consolida.

Confirmado — "Súmula 479 vence material, dano moral cai sem negativação"

Nos 45 extratos do estudo adicionais, 78% dos pró-consumidor no material afastaram o moral quando não havia negativação externa clássica. Paradigma Rui Porto Dias (Núcleo 4.0-T.V) em Apel. 1125535-73.2024: "Prejuízo estritamente material, integralmente ressarcido, resolve-se na esfera patrimonial".

Confirmado — dever autônomo de monitoramento consolidado via REsp 2.229.245/RS

(Cueva, 13/10/2025). Ricardo Pereira Júnior em 1001755-78.2025 invoca expressamente: "o sistema bancário que admite operações totalmente atípicas em relação ao padrão de consumo tem vulnerabilidades e viola o dever de segurança". Padrão replicado em Cristina Di Giaimo, Castro Figliolia, Alexandre Malfatti.

Confirmado — clivagem 18ª CDP × Núcleo 4.0 sobre monitoramento

Zanluqui/Clavisio mantêm "facultativo"; Turmas do Núcleo 4.0 consolidam "obrigatório". Nenhum novo relator da do estudo aderiu ao polo 18ª — contra-parenteado.

Expansão — fortuito_interno_abertura_conta_irregular

Emerge como sub-padrão robusto dentro da tese — quando o banco receptor falhou em KYC, aplica-se Súmula 479 contra ele, não contra o banco do autor. Alexandre Malfatti em 1036090-50.2024 (Cora condenada a R$ 200k); Thiago de Siqueira em 1004401-86.2025 (Santander receptor 75%); Léa Duarte em 1052284-85.2025. A divergência com Inah Machado (1002174-36.2025) está mapeada em discussoes-divergencias.md §9.2.

Expansão — IP estrangeiro sem explicação vira fator probatório autônomo

Ricardo Pereira Júnior transformou o silêncio do banco sobre IP em Houston (EUA) em presunção de fraude + responsabilidade plena. Padrão replicável.

Expansão — inércia probatória do banco após intimação judicial

Jacob Valente em Apel. 1016090-66.2024 condenou Mercado Pago porque este recusou juntar extrato, instrumento contratual e biometria mesmo após determinação expressa do juízo. Fator que age como excludente da defesa: "a instituição financeira não conseguiu comprovar a regularidade das operações nem a ausência de interferência durante sua execução".

Combo probatório — como ler esta tese

O combo pró-consumidor com 4-6 fatores é o motor desta tese. Quando valores 3×+ do limite, operações múltiplas em janela curta e padrão dissonante coexistem, a Súmula 479 se aplica quase automaticamente. Atenção especial ao fator 5 (banco sem alerta/MED) — ele sozinho sustenta a fundamentação objetiva. REsp 2.229.245/RS (Cueva, 13/10/2025) consolidou dever autônomo de monitoramento.