Empresa vítima de fraude bancária: o CDC protege a PJ

A teoria finalista mitigada e quando o CDC se aplica à PJ

O STJ admite a proteção do CDC à pessoa jurídica que seja destinatária final do serviço. Quando a contratação integra a atividade econômica, a mitigação do critério finalista exige vulnerabilidade concreta — técnica, jurídica, fática ou informacional — diante da instituição financeira.

Porte reduzido ou ausência de departamento especializado são indícios, não atalhos automáticos. A empresa precisa mostrar como a contratação e o incidente a colocaram em desvantagem específica perante o banco.

Quando a discussão sai do CDC e vai para o Código Civil

Se o CDC não alcançar a relação, a pretensão ainda pode ser examinada pelo contrato e pelo Código Civil. O art. 927, parágrafo único, admite responsabilidade independente de culpa quando a atividade concretamente exercida cria, por sua natureza, risco especial aos direitos de terceiros.

Esse enquadramento não é automático para toda fraude em conta empresarial. É necessário ligar o risco ou o descumprimento atribuído ao banco ao prejuízo, considerando autenticação, controles pactuados, conduta das partes e eventuais causas que rompam o nexo.

Provas específicas de conta empresarial

Além dos elementos comuns a qualquer fraude bancária, contas PJ costumam exigir a apresentação de contrato social, procuração de quem tinha acesso à conta, histórico de operações típicas da empresa (para demonstrar que a transação fraudada destoa do padrão de uso) e, quando aplicável, registro de invasão de sistemas apurado por área de tecnologia da própria empresa ou de consultoria externa contratada para o incidente.

Caminho de reclamação para empresas

A contestação segue fluxo semelhante ao de pessoa física: notificação ao banco, reclamação ao Banco Central e, se necessário, ação judicial — que pode tramitar nos juizados especiais cíveis dentro do limite de valor da causa aplicável a microempresas e empresas de pequeno porte, ou na vara cível comum para valores mais altos que superem esse teto de competência.

Quando a empresa tem mais dificuldade de ser ressarcida

Empresas de grande porte, com departamento financeiro bem estruturado, dupla assinatura obrigatória para transferências relevantes e políticas internas de segurança, enfrentam maior dificuldade em provar vulnerabilidade perante o banco, e a responsabilidade tende a ser analisada com rigor mais próximo do risco compartilhado entre as partes, especialmente se a fraude explorou falha interna de controle da própria empresa, e não falha de segurança atribuível diretamente ao banco.

Um exemplo de fraude em conta de pequena empresa

Uma oficina de dois sócios recebe ligação de falso gerente e informa um código sob a promessa de cancelar movimentação suspeita. O código, na realidade, autoriza transferência que esvazia a conta da empresa. A ausência de equipe financeira ou de dupla assinatura pode ser um indício de vulnerabilidade, mas não decide o enquadramento.

O exame considera porte, domínio técnico, forma de contratação, controles disponíveis, orientação do banco e modo como a fraude explorou o sistema. O compartilhamento do código também entra na análise do nexo e das condutas de cada parte; nem a vulnerabilidade nem a exclusão da responsabilidade são automáticas.