Banco recebe multa por permitir cobrança indevida em cartão de cliente

A decisão reacende um debate central na indústria financeira: até que ponto as medidas de autenticação e monitoramento de risco, especialmente em canais digitais, são suficientes para prevenir fraudes? E, no outro lado do balcão, quais são os direitos e deveres do consumidor em situações de transações contestadas?

Leia mais:

É melhor parcelar no Pix ou no cartão de crédito? Entenda

O que a Indecopi decidiu e por quê

O fundamento jurídico: o dever de idoneidade

A Indecopi enquadrou a conduta do banco como violação ao artigo 19 do Código de Proteção e Defesa do Consumidor, que trata do chamado dever de idoneidade.

Em linguagem simples, esse dever impõe que os fornecedores prestem serviços adequados e seguros, condizentes com as expectativas legítimas do usuário. Se a instituição oferece um cartão de crédito e a respectiva infraestrutura de pagamento, espera-se que adote barreiras efetivas contra o uso indevido.

A conclusão do regulador

Para a autoridade, houve falha de segurança: as transações contestadas ocorreram sem autenticação reforçada, como uma segunda etapa de verificação (por exemplo, uma senha dinâmica enviada por SMS, push seguro no aplicativo ou uso de token).

Embora o banco tenha argumentado que as compras “não destoavam” do perfil do cliente e que foram disparadas notificações, a Indecopi entendeu que tais mecanismos não substituem o controle preventivo no momento da autorização.

Por que as medidas falharam

Autenticação de um fator não basta

Sistemas que se apoiam apenas em dados estáticos do cartão (número, validade e CVV) são, por natureza, mais vulneráveis. Em ambientes digitais, esses dados podem vazar, ser interceptados ou obtidos por engenharia social. Sem um segundo fator — algo que o usuário “tem” (um celular) ou “é” (biometria) — a barreira de proteção fica reduzida.

Sinais comportamentais ignorados

Mesmo quando o comportamento não destoa do histórico do cliente, há sinais de risco que precisam ser lidos em conjunto: geolocalização, dispositivo, velocidade e padrão de tentativas, tipo de estabelecimento, valor agregado em curto intervalo e a presença de outros indicadores de fraude.

A crítica implícita da Indecopi é que o sistema do banco não elevou o nível de checagem diante de um conjunto de variáveis que, analisadas em tempo real, poderiam ter exigido autenticação adicional.

O que a multa de 3,49 UIT significa

A UIT (Unidad Impositiva Tributaria) é um parâmetro monetário usado no Peru para atualizar multas e obrigações. No caso, 3,49 UIT equivaleram a S/ 18.671,50, valor aplicado pela Indecopi.

Mais do que o montante, o aspecto simbólico da sanção é o recado ao mercado: falhas em segurança operacional que expõem consumidores a fraude têm custo regulatório.

A defesa do banco e o contraponto da autoridade

O que o banco alegou

O Banco Pichincha afirmou que:

• as transações seguiram o padrão de consumo do cliente;
• notificações por mensagem foram enviadas;
• a operação utilizou dados válidos do cartão, sugerindo vazamento prévio de credenciais.

Por que a Indecopi não acolheu os argumentos

Para a autoridade, notificar depois da compra não é equivalente a prevenir a fraude. Além disso, a prerrogativa de sustentar segurança não pode se limitar à custódia dos dados estáticos do cartão — é indispensável exigir autenticação multifator (MFA) em cenários de risco ou por padrão em transações com maior probabilidade de fraude. Em síntese, não basta informar; é preciso bloquear ou verificar melhor antes de autorizar.

Impactos para consumidores

Direitos em caso de transações não reconhecidas

O consumidor tem direito a:

• contestar a transação junto ao emissor do cartão;
• abrir procedimento de chargeback (quando aplicável ao arranjo);
• receber resposta fundamentada em prazo razoável;
• não ser responsabilizado por operações realizadas sem sua participação ou culpa, especialmente quando há indícios de falha sistêmica do fornecedor.

Obs.: procedimentos e prazos variam conforme contrato e regulação local, mas a diretriz de proteção ao consumidor — especialmente em fraudes com terceiros — tende a preservar o usuário quando há falhas de segurança do fornecedor.

Deveres e boas práticas do usuário

• manter o aplicativo do banco e do cartão sempre atualizados;
• não compartilhar códigos de autenticação com terceiros;
• usar senhas fortes e exclusivas;
• ativar alertas em tempo real e revisar extratos com frequência.

O que os bancos devem fazer (e aprender com o caso)

Autenticação multifator e SCA

Adoção de MFA com base em:

• algo que o cliente sabe (senha/PIN);
• algo que o cliente tem (celular, token, push);
• algo que o cliente é (biometria).

A combinação de pelo menos dois elementos reduz significativamente o risco de uso indevido de credenciais.

Análise de risco adaptativa

• pontuação de risco por transação (valor, MCC, local, dispositivo);
• detecção de anomalias (mudanças súbitas no padrão de gasto);
• travas dinâmicas (exigir MFA extra em cenários de risco).

Autenticação forte no e-commerce

• suporte a protocolos 3-D Secure mais modernos (com experiência fluida);
• tokens de pagamento e carteiras digitais que mascaram dados do cartão;
• limites e whitelists configuráveis pelo usuário no app.

Comunicação proativa e reversível

• alertas push antes da autorização quando possível;
• fluxo de bloqueio imediato e reemissão simplificada do cartão;
• investigação célere com transparência sobre etapas e prazos.

Panorama regulatório e outros casos similares

A multa ao Banco Pichincha não é isolada: autoridades de defesa do consumidor na região têm reiterado que bancos e emissores são responsáveis por sistemas robustos de prevenção.

As decisões seguem uma linha comum: quando as barragens de segurança são insuficientes, o risco final não deve recair sobre o cliente, sobretudo quando se comprova que o fornecedor poderia ter exigido autenticação reforçada.

Passo a passo: como agir se você for vítima de fraude

1) Reaja imediatamente

• Bloqueie o cartão no app ou pela central.
• Conteste as compras e anote protocolos.

2) Formalize a reclamação

• registre ocorrência (quando indicado);
• solicite abertura de chargeback (se aplicável);
• peça cópia do dossiê da transação (comprovantes técnicos).

3) Documente evidências

• prints de mensagens e notificações;
• e-mails, SMS e registros de contato com o banco;
• eventuais indícios de vazamento (phishing, ligações suspeitas).

4) Acompanhe os prazos

• monitore respostas;
• se houver negativa infundada, avalie instâncias administrativas e canais de defesa do consumidor.

Checklists úteis para o dia a dia

Checklist do consumidor (H3)

• MFA ativada no app do banco
• Alertas por push/SMS habilitados
• Limites por transação configurados
• Cartões virtuais para compras online
• Biometria ativa no celular

Checklist do banco (H3)

• Motor de risco em tempo real
• 2FA/MFA exigida em cenários de risco
• 3-D Secure atualizado para e-commerce
• Resposta rápida a contestações
• Auditorias periódicas de segurança

Conclusão: lições do caso

A sanção da Indecopi ao Banco Pichincha reforça uma mensagem clara: autenticação reforçada não é opcional em um ambiente de pagamentos cada vez mais digital.

Para os bancos, o caso pede investimentos contínuos em segurança, análise de risco e experiência do usuário que não sacrifique proteção por conveniência. Para os consumidores, a recomendação é proatividade: ativar MFA, revisar extratos, contestar rapidamente e exigir transparência.

Se a segurança é uma cadeia, ela só é tão forte quanto seu elo mais fraco. A decisão mostra que, na visão do regulador, esse elo não pode ser o cliente — e que caberá aos fornecedores erguerem defesas à altura do risco.