O HSBC Bank Australia foi multado em A$ 35 milhões pela Justiça Federal australiana após admitir falhas em proteger clientes contra golpes. A Comissão Australiana de Valores Mobiliários (ASIC) chama a sanção de um dos primeiros casos do tipo no mundo, e o banco ainda terá de publicar aviso de culpa em seu site, no aplicativo e por carta aos clientes afetados.
A multa do HSBC Australia em números
Indicador
Valor
Multa aplicada
A$ 35 milhões
Período afetado
jan/2020 a ago/2024
Reclamações de transações não autorizadas
mais de 1.000
Valor total das transações não autorizadas
A$ 34,6 milhões
Surto de relatos em 2023 e 2024
cerca de 380%
Ressarcimento já pago
A$ 21,5 milhões
Recuperado e devolvido
A$ 6,5 milhões
Tempo médio para investigar cada caso
144 dias
Dados do caso ASIC contra o HSBC Bank Australia. Fonte: Finextra
O que o HSBC admitiu
No acordo com a ASIC, o HSBC declarou que tinha ciência desde maio de 2021 do crescimento dos golpes de impersonação, em que criminosos se passam por funcionários do banco para induzir clientes a transferir dinheiro. Apesar disso, entre maio de 2023 e maio de 2024, não manteve controles adequados em seu sistema de transferências internas, deixando clientes expostos a maior risco de pagamentos não autorizados.
Entre janeiro de 2020 e agosto de 2024, o banco recebeu mais de 1.000 reclamações de transações não autorizadas, que somaram A$ 34,6 milhões. Os relatos dispararam cerca de 380% em 2023 e 2024. A demora também virou parte do caso: a investigação de cada reclamação levou em média 144 dias, e houve cliente que ficou 542 dias sem acesso pleno à conta após reportar a fraude.
“As falhas alegadas do HSBC deixaram clientes mais vulneráveis a golpes, com dezenas de milhões de dólares fora do bolso e esperando meses para descobrir o que havia acontecido com o seu dinheiro”, disse Sarah Court, presidente da ASIC, em tradução livre. O banco já pagou A$ 21,5 milhões em ressarcimento e recuperou outros A$ 6,5 milhões devolvidos aos clientes.
Em entrevista ao podcast Let’s Money em julho de 2025, especialistas em antifraude da BMP detalharam como o MED funciona na prática e por que a régua sobre o banco aumentou: hoje, parte relevante do risco de golpe migra para a instituição que custodia a conta de origem ou destino. O caso australiano leva esse princípio para outro patamar, ao tratar a demora em responder ao cliente como infração regulatória.
A decisão sinaliza um deslocamento da régua regulatória. Reguladores deixam de cobrar apenas que bancos protejam o sistema contra invasão técnica e passam a cobrar agilidade na resposta ao cliente vítima de golpe, com sanção por violação de licença de serviços financeiros quando essa resposta falha. A obrigação de publicar aviso de culpa em site, aplicativo e cartas adiciona um custo reputacional novo, que circula sob o controle do regulador.
Para o Brasil, vale acompanhar como o Banco Central define os limites dessa responsabilização ao implementar o rastreamento da cadeia de golpes no Pix. A discussão regulatória pode evoluir do desenho de devolução, que já existe via MED, para um regime em que controles internos inadequados e tempo de resposta a vítimas viram objeto de sanção em si. Bancos digitais, instituições com sistemas de transferência interna ampla e prestadoras de serviços de pagamento são as categorias mais expostas a esse próximo capítulo: o que está em jogo é o desenho de processos para distinguir transação autorizada de transação fraudada e o tempo de resposta aceitável diante de cada reclamação.
