Não é magia negra: é produto. Segundos de áudio bastam para fabricar um pedido de transferência na voz do titular; o módulo biométrico “confirma”; o dinheiro sai. No balcão virtual do amanhã, a defesa institucional repete o mantra de sempre — culpa do cliente, engenho do terceiro, “você autenticou”. A Súmula 479 do Superior Tribunal de Justiça, no entanto, não negocia com mantras: as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Deepfake de voz não suspende o enunciado. Apenas prova que o cofre foi desenhado para ouvir demais e duvidar de menos.
1. Fortuito interno: a falha mora no protocolo de autenticação
Fortuito interno não é azar meteorológico. É a fraude que se aloja na estrutura que a instituição controla — canal, limites, regras de risco e, sobretudo, o módulo que transforma um sinal acústico em liberação patrimonial. Quando a biometria vocal aceita clone sintético sem desafios sérios de vivacidade (liveness), sem segundo fator independente e sem barreiras ante operações atípicas, a porta aberta é da casa. O criminoso existe; o risco continua sendo da atividade.
A Súmula 297/STJ confirma a incidência do Código de Defesa do Consumidor às relações bancárias. O art. 14 do CDC impõe responsabilidade objetiva por fato do serviço; as excludentes do § 3º — culpa exclusiva do consumidor ou de terceiro — não se confundem com a mera presença de um estelionatário. “Houve terceiro” é quase sempre verdade nos golpes; “logo o banco está absolvido” é quase sempre sofisma. A Súmula 479 corta o sofisma no âmbito das operações bancárias.
2. O log que “bate” a voz não constitui vontade
Há uma diferença aristocrática entre correlação acústica e consentimento. O registro de que o sistema aceitou um timbre parecido prova autenticação técnica falível — não prova que o titular quis o Pix, o crédito ou a transferência. Timbre sintetizado a partir de lives, WhatsApp ou vazamentos não é concorrência do cliente; é vitimização. Concorrer exige conduta culposa relevante: entregar senha, ignorar alerta inequívoco, facilitar deliberadamente o acesso. Ser ecoado por um modelo generativo não preenche esse requisito.
A jurisprudência do STJ, ao tratar de fortuito interno, reitera que a sofisticação do fraudador não exonera quem lucra com o meio e desenha a segurança. Desvios de padrão — valor fora do perfil, beneficiário novo, urgência induzida, sequência incompatível com o histórico — que atravessam o sistema sem bloqueio ou confirmação em canal distinto reforçam o nexo causal. Biometria é dado sensível sob a LGPD; segurança desproporcional ao risco previsível do spoofing vocal alimenta o dever de indenizar e desmascara o slogan “você é você” como peça de marketing, não como garantia jurídica.
3. Ressarcimento inafastável: do nexo ao pedido
Configurado o fortuito interno no módulo biométrico, o dever de ressarcir não é gesto de relacionamento nem “análise caso a caso” disfarçada de discricionariedade comercial: é consequência da responsabilidade objetiva. Na prática forense, importa: situar a operação no circuito bancário; repudiar a equivalência “voz autenticou = cliente autorizou”; exigir logs de risco, políticas anti-fraude e histórico de alertas; demonstrar a atipicidade da movimentação; invocar CDC, Súmula 297 e Súmula 479; postular restituição do indébito e, conforme o caso, reparação por danos morais. O ônus de provar diligência adequada e eventual excludente legal pesa sobre a instituição — não sobre quem teve a voz sequestrada.
Conclusão
Golpes bancários por deepfakes de voz não pedem um direito novo. Pedem aplicação serena do que já está sumulado: fraude que se aproveita da falha de autenticação no meio bancário é fortuito interno, e quem desenhou o módulo responde. O dever de ressarcimento, nessas hipóteses, é inafastável. O Código Civil, o CDC e o STJ não se revogam por update de biometria — e a dignidade patrimonial do consumidor não se atualiza para absolver quem abriu o cofre ao eco e mandou a conta ao vivo.