Por Rhuana Rodrigues César
Se 2023 a 2025 foram os anos em que a jurisprudência consolidou a responsabilidade objetiva do fornecedor em muitos cenários digitais (“fortuito interno”, falhas sistêmicas, vazamento de dados, engenharia social), 2026 tende a ser o ano da pergunta incômoda e inevitável: qual é o mínimo de diligência exigível do consumidor na economia de cliques, links e “atualizações urgentes”?
A resposta não é um retrocesso do CDC, nem um convite à culpabilização automática do consumidor (como acontece muitas vezes com o fornecedor…), pois o movimento que se desenha é outro, qual seja, refinar o nexo causal, separar o que é falha estrutural do serviço do que é conduta do consumidor que rompe (ou, ao menos, tensiona) esse nexo, e ao mesmo tempo endurecer a filtragem contra litigância abusiva/contumaz.
A seguir, as linhas que entendo serem orientativas à defesa do fornecedor em 2026, com base em precedentes recentes, prática forense na defesa de fornecedores e em sinais regulatórios e institucionais.
- Fraudes digitais: quando a conta é do fornecedor — e quando o consumidor entra no risco:
O padrão dominante hoje é o de que a falha na segurança “engole” a tese de culpa concorrente e o STJ tem reafirmado, com intensidade, a ideia de que a atividade bancária e de pagamentos carrega um dever robusto de segurança, inclusive com mecanismos capazes de detectar transações fora do perfil do usuário.
Em outubro de 2025, a 3ª Turma decidiu que bancos e instituições de pagamento devem indenizar os consumidores que caíram em golpes de engenharia social (como a “falsa central telefônica”) quando houver falhas na proteção de dados ou na identificação de transações suspeitas, destacando a necessidade de sistemas aptos a detectar operações atípicas (valor, horário, sequência, contratação de empréstimo “antes do golpe” ou “durante o golpe”, etc.).
Em novembro de 2025, a Corte infraconstitucional foi além, pois afastou a culpa concorrente ao enfatizar que ela só se admite quando o consumidor assume conscientemente o risco de dano e, no caso concreto, a instalação de aplicativo fraudulento sob orientação de suposto funcionário não foi tratada como “assunção consciente”, e o banco foi condenado a ressarcir integralmente os valores obtidos pelos golpistas.
Ou seja, o pano de fundo permanece: fraudes como fortuito interno, CDC aplicável a bancos (Súmula 297) e dever de prevenção contínua — inclusive em golpes como o “motoboy”.
Mas se analisarmos os contextos e os argumentos alinhavados nas decisões mais recentes, vêm se construindo a ideia de que, por outro lado, não basta dizer “o consumidor caiu no golpe”.
A defesa eficaz passará por demonstrar (i) mecanismos concretos de prevenção (antifraude, barreiras, alertas); (ii) aderência ao perfil transacional, e (iii) que a operação não era detectável como suspeita ou que foi bloqueada/contestada conforme protocolo.
- A contracorrente que cresce: condutas do consumidor que rompem o nexo (culpa exclusiva/risco criado).
Ou seja, o STJ vem sinalizando um espaço (ainda minoritário, mas relevante) para reconhecer culpa exclusiva do consumidor (ou no mínimo concorrente) quando há conduta altamente imprudente, capaz de romper o nexo causal, mesmo estando a relação sob a égide da responsabilidade objetiva.
E como exemplar dessa vertente temos a decisão divulgada em dezembro de 2025 (AREsp 2.455.230) em que o consumidor teria ido ao caixa eletrônico, seguiu orientações de falsa funcionária, habilitou dispositivo de acesso remoto e permitiu que a golpista movimentasse a conta, levando o STJ a reconhecer a culpa exclusiva do consumidor e afastar a responsabilidade do banco.
Em linha semelhante (ainda que por outra via), há notícia de julgamento no qual o STJ concluiu que o banco não poderia ser responsabilizado pelo “golpe do motoboy” quando não identificada falha do serviço e a consumidora entregou dados aos golpistas.
Assim, a tendência para 2026 estará na fronteira prática do contencioso empresarial de provar — com narrativa, evidências e perícia comportamental — que o caso não é “fraude inevitável do sistema”, mas sim risco criado/assumido pelo próprio consumidor em nível incompatível com o “homem médio digital”.
2) Vazamento de dados e LGPD: o novo “nexo” é informacional.
A responsabilização do fornecedor não se limita ao ato de pagamento ou dano deste decorrente, pois pode nascer do dado.
No “golpe do boleto”, o STJ reconheceu que a instituição responde por vazamento de dados sigilosos ligados a operações bancárias e, ainda, conectou o raciocínio ao art. 44 da LGPD (tratamento irregular quando não fornece a segurança esperada, conforme riscos).
E a tendência para 2026 é a necessidade de os fornecedores não apresentarem defesas genéricas (“não vazou daqui”), como vemos na prática forense. Tais defesas, apresentadas aos milhares, perdem força e acabam por prejudicar a afirmação de novas releituras para normas antes aplicáveis.
O debate precisa se deslocar para (i) classificação do dado (cadastral básico vs. dado vinculado a operação); (ii) trilha de acesso e governança (logs, privilégios, terceiros) e (iii) prova do elo informacional que permitiu o golpe; (iv) pix, contestação e “cultura de prova”, pois o regulador está mudando o jogo e o fornecedor também precisa mudar.
O Banco Central vem reforçando instrumentos de prevenção e recuperação, e isso impacta diretamente a discussão judicial (expectativas de conduta do consumidor e do fornecedor).
Um exemplo disso é o aprimoramento do MED – Mecanismo Especial de Devolução, através do qual se possibilitou a devolução em casos de fraude/golpe, com conduta ativa do consumidor e evoluções no regulamento do Pix.
Portanto, a tendência 2026 é a de que cresça a expectativa de diligência mínima imediata (comunicar rápido, acionar instituição, registrar contestação), e, também, a cobrança de procedimentos internos rastreáveis nas instituições e nos participantes do Pix.
- Marketplace, logística e cadeia de consumo: solidariedade com freios (e com critérios).
Possivelmente dois vetores convivem e vão tensionar ainda mais as relações em 2026:
3.1) Vetor A — expansão da responsabilização de plataformas.
Os Órgãos de defesa do consumidor e Procons têm reforçado a tese de responsabilidade solidária de marketplaces por vícios/defeitos de parceiros (com fundamentação material ligada ao papel econômico e funcional da plataforma).
3.2) Vetor B — o STJ puxando o freio do “todo mundo responde”.
Em dezembro de 2025, a 4ª Turma afastou a responsabilidade de uma transportadora que se limitava ao transporte, sem integração funcional na relação de consumo e sem defeito no serviço prestado, por ausência de nexo causal com vício intrínseco do produto (leite adulterado).
Vejam que aqui o desenho tradicional da “cadeia de consumo” começa a ter novos rabiscos, que podem, em médio prazo, fortalecendo-se a tese, levar ao deslocamento da responsabilização para o nexo causal e para a função efetiva de cada agente, separando-se aquele que participa e aquele que integra.
E, em um recorte importante para plataformas de anúncios/classificados, foi o precedente no sentido de que o provedor que publica anúncios como mero divulgador não assume condição de fornecedor do bem anunciado, nem responde por inexatidões de preço/condições.
Tendência 2026 (defesa): a estratégia, assim, tende a passar a demonstrar o “papel funcional” do fornecedor na cadeia, ou seja, quem controla pagamento, entrega, curadoria, garantia, comunicação e risco, pois a solidariedade tende a ser afirmada quando houver integração econômica e funcional e mais, tende a ser afastada quando o agente for periférico, sem ingerência e sem defeito do serviço.
- Chargeback e “autofraude”: quando o STJ cobra cautela… do fornecedor:
Nem só o consumidor terá dever de diligência (como já se espera e se exige..)
Em abril de 2025, a 3ª Turma do STJ decidiu que o lojista responde por chargeback se agir sem cautela diante de transações visivelmente fraudulentas, destacando deveres contratuais de verificação e o papel decisivo da conduta do comerciante para o sucesso da fraude (REsp 2.180.780).
Tendência 2026: em disputas de chargeback e “fraude amigável” (autofraude), a defesa empresarial ganha quando a empresa consegue demonstrar protocolo de validação, prova de entrega, política antifraude, análise de risco e aderência ao contrato com credenciadora.
- Consumidor contumaz e litigância abusiva: 2026 será o ano da filtragem (com método):
Aqui está uma das tendências que considero mais relevantes (e menos “instagramáveis”) para quem defende fornecedor. O CNJ publicou a Recomendação nº 159/2024, com diretrizes para identificação, tratamento e prevenção de litigância abusiva e em 2025, o próprio CNJ divulgou estudo/pesquisa sobre litigância abusiva no Judiciário e medidas de enfrentamento.
No STJ, a Corte Especial, sob rito repetitivo (Tema 1.198), fixou tese permitindo que, havendo indícios de litigância abusiva, o juiz possa exigir, de forma fundamentada e razoável, emenda da inicial para demonstrar interesse de agir e autenticidade da postulação (REsp 2.021.665).
Tendência 2026: a defesa do fornecedor deve incorporar, desde o recebimento do caso à contestação:
- Pedidos de saneamento probatório (documentos mínimos, procuração atualizada, extratos, comprovantes);
- Mapeamento de repetição de demandas e padrões;
- E abordagem técnica (sem “criminalizar” consumidor), alinhada à Recomendação 159 e ao Tema 1.198.
Esse é o ambiente em que surge (com mais força) a discussão sobre o consumidor contumaz, não como rótulo moral, mas como dado processual que pode justificar maior rigor de autenticidade, prevenção a fraudes processuais e calibragem do dano.
- Dano moral: menos automatismo, mais prova de lesão.
Em 2024, o STJ registrou julgado (REsp 1.962.275) estabelecendo a inexistência de dano moral in re ipsa pelo simples descumprimento de prazo previsto em legislação específica para prestação de serviço bancário.
Tendência 2026: cresce a janela defensiva para sustentar que:
- O ilícito formal não se converte automaticamente em dano moral;
- É preciso demonstrar repercussão concreta, contexto e gravidade;
- E que a resposta adequada pode ser material (recomposição) sem “punitivismo automático”.
- Novos golpes (e velhos golpes aprimorados com IA): o “fato do terceiro” ficou e deve ficar ainda mais sofisticado:
A defesa do fornecedor em 2026 precisará dialogar com a realidade, pois o golpe evoluiu e não irá parar de evoluir em uma velocidade ainda maior.
A Febraban, por exemplo, listou os golpes mais reportados por clientes em 2024 — com destaque para golpe do WhatsApp, falsa venda e falsa central/falso funcionário — e apontou investimentos bilionários do setor em segurança.
E a camada nova que se apresenta é a “engenharia social com IA”, vídeos manipulados e narrativas verossímeis para induzir pagamento via Pix, inclusive explorando serviços públicos reais (como “valores a receber”), com checagens jornalísticas mostrando o uso de conteúdo adulterado para fraude, por exemplo.
Em exercício de futurologia e um pouco de criatividade, poderíamos ter, por exemplo, deepfake de gerente de banco em vídeo chamada; botão de contestação como “isca”, comprovante Pix/Transferência ‘perfeito’ gerado por IA, QR Code ‘trocado’ em ambiente real” (varejo, eventos, delivery), falso suporte do marketplace / logística, clonagem de voz de familiar/sócio, golpe do ‘cadastro/atualização’ com dados vazados + IA e por aí vai…
Tendência 2026: disputas judiciais sobre fraude tenderão a girar em torno de três eixos:
- qualidade do dever de segurança do fornecedor (barreiras, detecção, governança de dados);
- diligência mínima do consumidor (conduta consciente, fornecimento de senha, instalação de acesso remoto, insistência em sinais de alerta);
- prova do nexo (informacional e transacional).
Mas neste cenário, o que muda na estratégia de defesa do fornecedor?
- Reescrever a tese padrão de fraude: sair da “culpa exclusiva do consumidor” genérica e ir para o nexo causal demonstrável (perfil transacional, alertas, antifraude, logs etc.).
- Prova desde o início: protocolos internos, trilhas de atendimento, evidências de bloqueio/contestação, gravações e registros.
- Governança de dados (LGPD como escudo e como espada): mapear origem do dado, terceirização, incidente de responsabilidade e demonstrar controles.
- Diferenciar “engenharia social inevitável” de “conduta consciente de risco”: a virada defensiva está na prova do comportamento (ex.: acesso remoto habilitado em caixa eletrônico, entrega deliberada de credenciais, insistência apesar de alertas), visão de lucro fácil ou vantagem incomum e a investigação social é importantíssima nesse contexto.
- Usar o Tema 1.198 e a Recomendação 159 para lidar com demandas seriadas: pedir emenda, autenticidade e interesse de agir quando houver indícios objetivos.
- Chargeback: revisar fluxos de venda, entrega e validação — e preparar dossiês de contestação.
- Treinamento e UX jurídica: avisos, fricções de segurança, “red flags” explícitas (pois isso vira prova).
- Integração com regras do Pix/MED: orientar cliente/usuário, registrar rapidamente, padronizar comunicação (porque o regulador está criando o trilho).
- Dano moral sob medida: atacar automatismos e exigir prova de lesão, sobretudo quando a falha é formal e reparável.
- Mapear o “papel funcional” na cadeia (marketplace/logística/anúncios): provar ausência de integração funcional quando aplicável (transportador, classificado, intermediário neutro).
Neste tópico cabe uma reflexão importante e que já tenho feito e defendido há algum tempo.
A ideia de “cadeia de consumo”, no CDC, sempre foi uma resposta prática ao mercado de massa, ou seja, o consumidor não precisa identificar ex ante qual elo falhou, daí a força histórica da solidariedade, mas a jurisprudência mais recente vem fazendo, sobretudo com plataformas, logística e arranjos de pagamento, um freio de arrumação, qual seja, cadeia não é sinônimo de presença econômica remota, mas de integração funcional com a experiência do consumidor e controle do risco do dano.
A partir da economia de plataformas (marketplaces, intermediação, logística pulverizada), o STJ começa a refinar, eu diria, o conceito de cadeia de consumo, assentando que cadeia não é sinônimo de qualquer agente que passou perto, sendo de extrema relevância entender a diferença entre cadeia de consumo e cadeia produtiva.
Portanto, cadeia exige papel funcional, nexo e agentes periféricos podem (na verdade devem…) ficar fora quando não controlam o risco e não há defeito no seu serviço.
Em 2026, a pergunta processualmente útil deixa de ser “quem participou, de algum modo?” e passa a ser (ou deveria):
- Quem captura/coordena a demanda (marketing, contratação, onboarding)?
- Quem controla o núcleo do negócio (pagamento, entrega, acesso ao serviço, suporte, reembolso)?
- Quem tem governança do risco (capacidade preventiva real; antifraude; bloqueios; verificação; curadoria)?
- Quem lucra e organiza a operação (regras, sanções, qualidade; escolha/gestão de parceiros)?
- Onde está o nexo causal: o dano nasceu de um risco controlado por esse agente ou de fato exclusivo de terceiro, fora do seu perímetro?
Esse “teste” aparece com nitidez em dois grupos de decisões: (a) quando o Tribunal afasta responsabilidade por fraude ocorrida fora do ambiente/plataforma (rompimento do nexo); (b) quando reconhece integração funcional e solidariedade em serviços que compõem, de fato, a entrega ao consumidor.
- Conclusão: 2026 e o CDC probatório.
A defesa do fornecedor em 2026 não será anti-CDC, como muitos sugerem serem as defesas dos fornecedores, mas será, cada vez mais, prova-dependente e nexo-dependente.
O fornecedor que tratar fraude como evento inevitável e chegar ao processo sem trilha de segurança, sem logs e sem governança, continuará exposto.
De outro lado, o consumidor que, em padrões cada vez mais evidentes, cria o risco, ignora alertas e entrega o controle da própria conta/dispositivo, começa a encontrar um Judiciário mais disposto a discutir diligência mínima, sem perder de vista a vulnerabilidade, mas também sem romantizar a imprudência.
Se existe um slogan para 2026, ele é simples! A responsabilidade segue sendo objetiva, mas há espaço para o nexo e isso não representa um retrocesso do Direito do Consumidor ou uma deturpação do modelo de responsabilização do CDC, mas sua necessária atualização.
O microssistema consumerista não se opõe ao Direito do Fornecedor, mas exige uma leitura madura da relação de consumo como um todo.
Insistir em uma proteção unilateral, desconectada da conduta concreta das partes, em um mundo que muda em segundos é ignorar um dado incontornável, o de que o consumidor médio de hoje é informado, digitalmente ativo e capaz de escolhas conscientes.
Proteger não é substituir o discernimento do indivíduo nem converter a responsabilidade objetiva em seguro universal contra qualquer resultado indesejado e certamente o desafio de 2026 está justamente em recolocar o nexo causal no centro do debate, reconhecendo vulnerabilidades reais, sem abdicar da análise da diligência — de todos os envolvidos.
O CHENUT alcançou por 14 vezes o 1° lugar como o escritório mais admirado de Minas Gerais pela publicação Análise Editorial ADVOCACIA. Quer conhecer mais sobre a nossa Equipe e nossos serviços? Entre em contato com novosnegocios@chenut.online e agende uma conversa.