Rhuana Rodrigues César
O avanço dos golpes eletrônicos exige reação técnica das empresas, mas também recoloca uma pergunta para mim incômoda, qual seja, até onde vai o dever de segurança do fornecedor e onde começa o dever mínimo de cautela do consumidor?
Imagine a seguinte situação, uma reclamação chega pelo SAC, outra aparece no Procon e em paralelo, o time de fraude avisa que perfis falsos estão impulsionando anúncios com a marca da empresa.
Mais tarde, vem o print de um vídeo quase perfeito, com rosto conhecido, voz convincente e um link que parece legítimo, mas não é…nunca foi. Mas, até que se prove o contrário, a crise já começou.
Foi exatamente esse pano de fundo que ganhou contornos ainda mais concretos em 14 de abril de 2026, quando a Polícia Civil de Mato Grosso deflagrou a Operação Mil Faces, mirando um grupo que usava IA generativa para criar biometrias faciais falsas, burlar sistemas de reconhecimento, realizar troca indevida de chip e assumir o controle de linhas telefônicas, com reflexos em contas digitais e compras indevidas.
A operação cumpriu ordens judiciais em Mato Grosso e na região metropolitana de Vitória, no Espírito Santo e a lógica criminosa é eloquente, deixando a fraude deixou de ser artesanal, mas um “negócio” em escala, totalmente automatizado.
Esse dado importa muito para quem atua em contencioso, compliance e gestão de risco e assim o é, pois muda o cenário até então enfrentado.
Durante muito tempo, parte das discussões jurídicas sobre fraude digital foi conduzida como se todo evento lesivo pudesse ser reconduzido, quase automaticamente, ao risco do negócio, já que muitas das situações eram lidas como passíveis de serem detectadas pelos sistemas de segurança e controles dos fornecedores.
Só que o cenário atual é mais espinhoso, pois os criminosos usam deepfakes para imitar rostos, vozes e comportamentos com alto grau de realismo, deixando a fraude de ser só uma falha linear de segurança, envolvendo também manipulação sofisticada da confiança humana.
A própria Anatel, em campanha oficial lançada em março de 2026, alertou para fraudes com vídeos, áudios e imagens manipuladas justamente por seu potencial de enganar usuários e causar prejuízos financeiros, já o Serpro, no mesmo período, destacou que deepfakes ampliam significativamente o risco de fraudes digitais.
E é aqui que entendo que o debate jurídico precisa amadurecer (ainda mais…).
Por certo, o fornecedor tem deveres sérios e o CDC exige informação correta, clara, precisa e ostensiva na oferta e apresentação de produtos e serviços, bem como a LGPD impõe obrigações de segurança e proteção de dados.
E o Marco Civil da Internet compõe esse ambiente normativo ao fixar princípios, direitos e deveres para o uso da internet no Brasil, reconhecendo a Estratégia Nacional de Segurança Cibernética que o próprio Estado brasileiro reconhece a dimensão sistêmica do problema.
Mas existe uma diferença essencial entre afirmar dever de segurança e transformar a empresa em seguradora universal do ambiente digital, custando essa confusão muito caro, pois além do litígio, há o custo reputacional, em desenho de produto etc.
Porque uma coisa é cobrar da empresa mecanismos razoáveis de prevenção, resposta e prova, outra, bem diferente, é afirmar que qualquer fraude bem-sucedida prova, por si só, falha imputável ao fornecedor por falha no dever de segurança.
Dano indiscutivelmente há, mas o ponto central não é esse (talvez sob a ótica consumerista simples sim…), é a existência do nexo causal.
É preciso uma análise de onde nasceu o golpe, se nasceu dentro da experiência oficial da empresa, com uso de canal legítimo comprometido, autenticação defeituosa, ausência de camadas mínimas de fricção ou falha relevante de monitoramento, ou se o fato danoso construído fora da esfera real de controle do fornecedor, mediante página falsa, perfil impostor, anúncio patrocinado fraudulento, número clonado, link externo, SIM swap ou deepfake produzido por terceiro para capturar a confiança da vítima.
Nesses casos, a análise não pode ser automática e precisa partir de uma pergunta, honesta, do ponto de vista técnico: o que, exatamente, a empresa podia evitar? E o que escapa ao seu domínio real?
Essa pergunta não absolve ninguém, mas organiza o raciocínio, pois saio do campo do dano puro e passo ao campo da causalidade, essencial para a responsabilização sob a égide do CDC.
Com a permissão de Bernardes de Mello e utilizando a lógica da teoria do fato jurídico em planos (existência, validade e eficácia), eu diria ser perfeitamente cabível (e talvez até necessário…) que tivéssemos uma teoria em três planos para a responsabilidade civil do fornecedor.
Teríamos um plano da incidência do regimento objetivo, em que em que a moldura mínima exigiria a confirmação de que o dano alegado se conecta ao âmbito de atuação econômica do fornecedor.
Um plano de nexo de imputação causal, em deveria restar demonstrado pelo consumidor que o dano decorreria de (i) defeito de segurança do produto ou serviço; (ii) falha da prestação; (iii) insuficiência de informação relevante; (iv) inadequação da proteção legitimamente esperada ou (v) inserção do evento no risco inerente e controlável da atividade e o plano de eficácia reparatória, no qual, uma vez superados incidência e nexo, restaria verificar quais os efeitos reparatórios devem ser produzidos e em que extensão.
Esse terceiro plano, inclusive, evitaria um erro que vejo ocorrer todos os dias na prática forense, o de presumir que, reconhecida alguma falha, a consequência indenizatória é sempre integral, linear e automática.
E, no plano do nexo, ainda poderíamos detalhar se este seria físico ou naturalístico (o evento ocorreu em sequência ao serviço/produto) ou apenas jurídico por imputação (resultado pode ser atribuído ao fornecedor segundo o risco da atividade, a legítima expectativa de segurança e a esfera de controle).
Mas, voltando à realidade dos fatos, tomemos os sites falsos e os anúncios fraudulentos como exemplo, onde criminosos criam páginas falsas, perfis falsos e links de pagamento para se passar por lojas e capturar dados ou valores, sobretudo em períodos promocionais.
Empresa séria não espera a crise para descobrir onde estão seus pontos cegos e, diante do aparecimento deste tipo de caso, precisa mapear jornada, canais oficiais, pontos de desvio e sinais de spoofing.
Precisa dificultar a fraude e em alguns setores, isso significa rever onboarding, autenticação, recuperação de conta, troca de dispositivo, alteração cadastral e fluxos de pagamento. Em outros, significa governar melhor a presença digital da marca, com monitoramento de domínios parecidos, takedown ágil de perfis falsos, rastreio de campanhas suspeitas e protocolos para incidentes com marketplaces, redes e buscadores.
Prevenção razoável não elimina o crime, mas muda radicalmente a posição jurídica da empresa quando o problema explode, pois mais facilmente consegue-se, mesmo que em prova invertida, o que está efetivamente sob sua responsabilidade.
Além disso, informação clara é essencial, e clara significa útil, repetida e localizada no ponto de risco. A empresa precisa dizer ao consumidor, de forma ostensiva, quais são seus canais oficiais, o que ela nunca pede, como validar um contato, como confirmar um boleto, como desconfiar de links e o que fazer diante de pedido urgente de Pix, ou da solicitação de confirmação de dados.
E por fim, produção de prova. Aqui mora uma diferença decisiva entre empresa que administra crise e empresa que apenas reage.
No contencioso, não basta afirmar que “o golpe foi de terceiro”, é preciso demonstrar e demonstrar quais eram os canais oficiais, que o link usado pela vítima não era da empresa, a inexistência de login, ordem, contratação ou transação nos sistemas regulares, demonstrar o histórico de avisos preventivos, logs, trilhas, horários, IPs, divergência de device, mecanismos antifraude disparados ou, ao menos, inexistência de interação oficial correspondente.
E há, por fim, claro, um tema desconfortável, mas incontornável que é o dever de cautela do consumidor.
Falar disso não é culpá-lo, mas reconhecer a realidade, pois o ordenamento protetivo não eliminou a necessidade de condutas mínimas de prudência, especialmente em um ambiente em que a fraude se alimenta de urgência, informalidade e quebra deliberada de verificações básicas e se retroalimenta em nova modalidades quase que diárias.
Se uma pessoa recebe pedido atípico de transferência, vindo de canal estranho, sem validação mínima, ou conclui compra em domínio evidentemente falso, atraída por promessa extravagante, preço destoante do mercado ou condições por demais facilitadas para o mercado comum, há um componente de comportamento que não pode ser juridicamente apagado em toda e qualquer hipótese.
A própria orientação oficial vai nessa linha e as autoridades seguem recomendando desconfiança com promessas fáceis, verificar procedência de ofertas, páginas e perfis antes do fornecimento de dados ou pagamento.
Esse dever mínimo de autoproteção não dissolve a responsabilidade empresarial quando ela existe, mas impede que o debate seja reduzido a uma caricatura em que toda astúcia criminosa, por mais externa e sofisticada que seja, é automaticamente debitada ao fornecedor.
E é justamente aqui que o tema interessa tanto aos setores de saúde, farma e varejo.
Nesses mercados, a credibilidade da marca é ativo crítico e o golpista sabe disso. Usa nome, layout, linguagem regulatória, promessa de escassez, falsa chancela técnica, suposto benefício ao consumidor e, agora, voz e imagem sintéticas. Em alguns casos, a fraude se vale de anúncios patrocinados, em outros, de perfis falsos, SACs paralelos ou boletos adulterados.
No campo da saúde e do farma, o dano ainda se agrava porque a fraude não produz só perda patrimonial, podendo afetar aderência a tratamento, desinformar paciente, deslocar compra para canal impróprio e produzir repercussão sanitária e reputacional em cascata.
O fornecedor consegue impedir tudo isso? Não.
Consegue, porém, fazer bastante coisa e isso tem nome, governança de risco digital, que inclui matriz de incidentes, protocolo de escalonamento entre jurídico, compliance, marketing, TI e atendimento, biblioteca de respostas, fluxo de preservação de evidências, canal rápido com plataformas, critérios de comunicação externa, linguagem segura para atendimento de vítimas e trilha de auditoria.
No fundo, a grande discussão jurídica não é se o fornecedor responde sempre ou nunca (acho que já amadurecemos o suficiente…), mas se o evento danoso ocorreu dentro do perímetro de controle, previsibilidade e evitabilidade razoável da empresa.
Perguntas como: Houve falha concreta de arquitetura, autenticação, monitoramento, aviso ou resposta? Ou o que houve foi uma fraude externa, tecnicamente sofisticada, construída para parasitar a marca e capturar o erro do consumidor fora da operação real do fornecedor?
Essa é a diferença entre responsabilidade e reflexo reputacional, pois nem todo dano que toca a marca nasce da marca.
O mercado precisará aprender isso com mais precisão e o contencioso também, porque a IA não criou o estelionato, mas apenas profissionalizou a encenação, dando ao golpista figurino, roteiro e voz.
E, diante desse palco novo, o papel do fornecedor não é prometer invulnerabilidade, mas demonstrar diligência séria, prevenção proporcional e capacidade de reação, sendo o resto na minha opinião fantasia regulatória.
No fim, três ideias precisam ficar de pé.
Fornecedor diligente não é seguradora universal do crime digital;
Fraude sofisticada não elimina dever de prevenção, mas também não autoriza culpa automática e; Sem arquitetura de prova, a melhor tese morre na primeira crise.
É nesse ponto que a responsabilidade objetiva precisa reencontrar seu eixo, com menos automatismo, mais nexo, menos retórica, mais prova e menos ficção de controle absoluto, com governança concreta.