Em caso de phishing, o banco tem de devolver sempre o dinheiro?

Uma fraude por phishing pode deixar uma conta bancária sem dinheiro. Mas sabia que o banco pode ser obrigado a devolver o valor roubado, mesmo que considere que a vítima foi gravemente negligente? É o que esclarece um acórdão do Tribunal de Justiça da União Europeia (TJUE), de 15 de outubro de 2026, sobre operações de pagamento não autorizadas. Contudo, o reembolso imediato não significa que o dinheiro fique definitivamente na posse do cliente. Há exceções e situações em que o banco pode reclamar posteriormente as perdas.

Saiba quem está abrangido, quando existe direito ao reembolso e quais os cuidados para evitar estas fraudes.

O banco tem de devolver o dinheiro roubado por phishing?

Sim, em princípio, quando se trata de uma operação de pagamento não autorizada. O banco, ou outro prestador de serviços de pagamento, deve reembolsar o montante imediatamente, até ao final do primeiro dia útil seguinte ao conhecimento ou comunicação da fraude. A suspeita de negligência grosseira do cliente não permite, por si só, recusar esse reembolso. Contudo, a devolução pode não ser definitiva e a instituição pode reclamar posteriormente as perdas, se demonstrar a responsabilidade do cliente.

Quando pode o banco recusar o reembolso imediato?

A lei prevê uma exceção ao dever de reembolso imediato: quando o prestador de serviços de pagamento tem motivos razoáveis para suspeitar que foi o próprio cliente a cometer uma fraude e comunica esses motivos, por escrito, às autoridades competentes. Em Portugal, a comunicação deve ser feita às autoridades judiciárias, dentro do prazo legal.

É importante distinguir uma fraude cometida pelo cliente de uma situação em que este foi enganado por terceiros. A suspeita de negligência grosseira não equivale a uma suspeita de atuação fraudulenta. Por isso, o banco não pode recusar o reembolso imediato apenas por considerar que a vítima foi descuidada, nomeadamente ao introduzir dados bancários numa página falsa.

Esta obrigação já consta do artigo 114.º do Decreto-Lei n.º 91/2018, que transpôs para Portugal a Diretiva Europeia dos Serviços de Pagamento (PSD2). O acórdão esclarece a interpretação destas regras, não criando uma nova obrigação.

O banco pode exigir o dinheiro de volta?

Sim. Este é um dos pontos centrais do acórdão. O TJUE distingue dois momentos: primeiro, o reembolso imediato de uma operação não autorizada; depois, a determinação de quem deve suportar definitivamente as perdas.

Se o prestador de serviços de pagamento comprovar que o cliente incumpriu intencionalmente as suas obrigações ou agiu com negligência grosseira, pode reclamar a restituição dos valores que lhe sejam imputáveis. Mas há uma condição essencial: cabe à instituição provar a negligência grosseira do cliente.

Não basta afirmar que houve falta de cuidado. Também não é suficiente demonstrar que a operação foi autenticada com as credenciais do titular. O registo da utilização dos mecanismos de autenticação não prova, por si só, que existiu consentimento ou negligência grosseira.

Em Portugal, o artigo 115.º do mesmo diploma prevê diferentes níveis de responsabilidade. Em determinadas situações de utilização abusiva de instrumentos de pagamento, o cliente pode suportar perdas até 50 euros. No entanto, se ficar comprovada negligência grosseira, a responsabilidade pode ultrapassar esse valor, até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento.

Por outro lado, quando o prestador não exige autenticação forte, o cliente não deve, em regra, suportar perdas relativas a operações não autorizadas, salvo se tiver agido fraudulentamente.

Quem está abrangido por esta decisão?

O acórdão não se aplica exclusivamente aos bancos. As regras abrangem os prestadores de serviços de pagamento sujeitos à legislação europeia, incluindo instituições de crédito, instituições de pagamento e instituições de moeda eletrónica, quando prestam os serviços em causa.

Podem estar envolvidas transferências bancárias, pagamentos com cartões e outras operações abrangidas pelo regime jurídico.

A proteção aplica-se aos consumidores e, em Portugal, também às microempresas, embora os contratos com clientes que não sejam consumidores possam prever o afastamento de determinadas regras de responsabilidade e prova, nos termos da lei. Existem ainda regimes específicos para alguns instrumentos de pagamento de baixo valor ou anónimos.

Importa esclarecer que a obrigação de reembolso não recai automaticamente sobre plataformas de comércio eletrónico ou outras empresas utilizadas pelos burlões. A decisão refere-se às responsabilidades dos prestadores de serviços de pagamento.

Se a vítima fez a transferência, tem direito ao reembolso?

Nem todas as fraudes bancárias dão direito ao reembolso imediato. É necessário distinguir as operações realizadas pelos burlões, sem autorização do titular da conta, das transferências que a própria vítima autoriza por ter sido enganada.

Por exemplo, se um criminoso obtiver os dados de acesso ao banco através de phishing e os utilizar para transferir dinheiro sem consentimento do cliente, estamos, em princípio, perante uma operação não autorizada, abrangida pelas regras esclarecidas pelo TJUE.

A situação é diferente quando o burlão convence a vítima a fazer uma transferência, levando-a a autorizar o pagamento. Nestes casos, não existe um direito automático ao reembolso com base neste acórdão.

Contudo, a utilização de códigos de segurança ou a autenticação da operação não provam, por si só, que o cliente deu o seu consentimento. É necessário analisar as circunstâncias em que o pagamento foi realizado e apurar eventuais responsabilidades.

O acórdão não resolve todas as situações de fraude bancária. A decisão incide especificamente sobre o dever de reembolso imediato de operações de pagamento não autorizadas.

Uma fraude de 700 euros esteve na origem do acórdão

O caso começou quando uma cliente de um banco polaco colocou um artigo à venda numa plataforma digital. Um falso comprador enviou-lhe uma ligação fraudulenta, alegadamente destinada a confirmar a venda. Ao clicar, a mulher foi encaminhada para uma página que imitava a do seu banco, onde introduziu os dados de acesso. Com essas informações, o burlão conseguiu transferir cerca de 700 euros para outra conta.

A cliente comunicou a fraude no dia seguinte, mas o banco recusou devolver o dinheiro. Alegou que a vítima tinha agido com negligência grosseira ao não proteger os seus dados de segurança. O caso chegou à justiça polaca, que pediu esclarecimentos ao TJUE sobre a interpretação da legislação europeia.

No acórdão de 15 de outubro de 2026, relativo ao processo C-70/25, o Tribunal esclareceu que a alegada negligência grosseira não permite, por si só, recusar o reembolso imediato. Mas o TJUE não decidiu se a cliente tem direito a ficar definitivamente com os 700 euros. Essa decisão cabe ao tribunal polaco, que deverá aplicar a interpretação europeia.

O entendimento do TJUE vincula igualmente os tribunais nacionais confrontados com questões semelhantes, incluindo em Portugal.

Fraudes nos pagamentos ultrapassam 4 mil milhões na Europa

As fraudes nos pagamentos continuam a provocar perdas financeiras significativas. Segundo um relatório conjunto do Banco Central Europeu (BCE) e da Autoridade Bancária Europeia (EBA), publicado em dezembro de 2025, o valor das operações fraudulentas no Espaço Económico Europeu atingiu 4,2 mil milhões de euros em 2024, contra 3,5 mil milhões no ano anterior.

Nas transferências bancárias, os utilizadores suportaram cerca de 85% das perdas por fraude. Muitas resultaram de esquemas que levaram as próprias vítimas a iniciar pagamentos fraudulentos.

Em Portugal, o Relatório dos Sistemas de Pagamentos – 2025, do Banco de Portugal, revela que as perdas com fraudes em cartões e transferências totalizaram 5,3 milhões de euros no primeiro semestre de 2025, contra 8,9 milhões no período homólogo. Uma redução de cerca de 40%.

O relatório identifica ainda uma diferença importante na origem das fraudes. Em 84% das transferências fraudulentas, a ordem de pagamento foi emitida pelo próprio infrator. Já em 16% dos casos, houve manipulação do titular da conta para realizar o pagamento.

O risco também é evidente nos contactos recebidos pelos consumidores. Segundo o Barómetro Doutor Finanças – Literacia Financeira Digital, desenvolvido em parceria com o Centro de Estudos Aplicados da Universidade Católica Portuguesa e divulgado em setembro de 2026, 66% dos inquiridos foram alvo de uma tentativa de fraude financeira nos 12 meses anteriores. Entre estes, 86% identificaram o correio eletrónico ou as SMS como canais utilizados pelos burlões.

Leia ainda: Dois em cada três portugueses foram alvo de tentativa de fraude no último ano

Foi vítima de phishing? Saiba o que fazer

Se descobrir movimentos suspeitos na sua conta, agir rapidamente é essencial para limitar os prejuízos. Assim, deve contactar imediatamente a instituição financeira e comunicar o sucedido.

Há cinco passos importantes para as vítimas de phishing:

1. Contactar o banco ou prestador de serviços de pagamento. Comunique expressamente as operações que não autorizou e solicite a análise e o reembolso dos valores.
2. Bloquear os acessos comprometidos. Peça o bloqueio dos cartões ou outros instrumentos de pagamento afetados e altere as palavras-passe.
3. Guardar as provas. Conserve mensagens, endereços fraudulentos, comprovativos e registos das operações e comunicações.
4. Apresentar queixa às autoridades. Pode recorrer à PSP, GNR, Polícia Judiciária ou Ministério Público.
5. Reclamar se os seus direitos não forem respeitados. Pode utilizar o Livro de Reclamações ou apresentar uma reclamação ao Banco de Portugal.

O Banco de Portugal pode avaliar o cumprimento das regras pelas instituições, mas não substituir-se aos tribunais na resolução de litígios sobre indemnizações ou devolução de montantes. Para resolver o conflito, poderá ser necessário recorrer a mecanismos de resolução alternativa de litígios ou à justiça.

Quanto tempo tem para comunicar uma operação não autorizada?

A comunicação deve ser feita sem atraso injustificado, logo que tenha conhecimento da operação. A legislação portuguesa estabelece, em regra, um prazo máximo de 13 meses após o débito para solicitar a retificação de operações não autorizadas. Contudo, este prazo máximo não dispensa a obrigação de comunicar rapidamente a fraude. Existem ainda exceções quando o prestador não disponibiliza as informações legalmente exigidas.

Como evitar cair num esquema de phishing?

O phishing utiliza mensagens, páginas falsas e contactos que imitam entidades legítimas para obter dados confidenciais. Pode surgir através de correio eletrónico, SMS, chamadas telefónicas ou plataformas de vendas.

Para reduzir o risco, tenha os seguintes cuidados:

• Não aceda ao banco através de ligações suspeitas. Utilize a aplicação oficial ou introduza diretamente o endereço da instituição.
• Nunca partilhe palavras-passe, códigos de autenticação ou o código pessoal de identificação (PIN). Mesmo que o contacto pareça legítimo.
• Desconfie de pedidos urgentes. Mensagens sobre contas bloqueadas, pagamentos pendentes ou problemas de segurança podem ser fraudulentas.
• Confirme os dados antes de autorizar uma transferência. Verifique o nome do beneficiário, o montante e os restantes elementos apresentados.
• Acompanhe regularmente os movimentos da conta. Ative notificações e reporte imediatamente operações desconhecidas.

Nas plataformas de venda de artigos usados, desconfie especialmente de pedidos para introduzir credenciais bancárias numa página enviada por um desconhecido para confirmar vendas ou receber pagamentos.

A prevenção continua a ser fundamental. Mas, quando ocorre uma fraude, conhecer os direitos e agir rapidamente pode fazer a diferença na recuperação do dinheiro.

Leia ainda: Não se deixe apanhar: Conheça as fraudes mais recorrentes