Phishing: banco tem de devolver o dinheiro já, mesmo que alegue negligência, decide o TJUE

Se alguém usar os dados de acesso da sua conta bancária para fazer uma transferência que você não autorizou, o banco não pode recusar a devolução do dinheiro só porque acha que você foi descuidado. A decisão é do Tribunal de Justiça da União Europeia (TJUE), num acórdão de 15 de outubro de 2026 (processo C-70/25). Em Portugal, o tema ganhou destaque a 2 de novembro, com artigos no ECO, na 4gnews e no Jornal Económico.

O caso começou com uma burla de phishing contra uma particular, mas as regras também interessam às empresas: quem usa o homebanking da empresa, quem vende online e quem recebe pedidos de pagamento por email. Explicamos o que o tribunal decidiu, o que diz a lei portuguesa e o que a sua empresa deve fazer.

O caso: um comprador falso e uma página do banco imitada

Segundo o comunicado do TJUE, uma cliente de um banco polaco pôs um artigo à venda numa plataforma de vendas online. Um terceiro fez-se passar por interessado na compra e enviou-lhe um link, supostamente da plataforma, para «confirmar a venda». O link abria uma página que imitava o site do banco. A cliente introduziu ali os seus dados de acesso ao banco online, e o burlão usou-os para transferir cerca de 700 euros para uma conta dele.

No dia seguinte, a cliente comunicou a fraude ao banco. O banco recusou o reembolso, alegando que ela tinha tornado a operação possível por negligência grosseira, por não ter protegido os seus dados de segurança. A cliente recorreu a um tribunal polaco, que pediu ao TJUE para interpretar a diretiva europeia dos serviços de pagamento (Diretiva (UE) 2015/2366).

O que o Tribunal de Justiça decidiu

O tribunal separa duas questões: a devolução imediata do dinheiro e a decisão sobre quem suporta a perda no fim.

• Primeiro, o reembolso. Numa operação de pagamento não autorizada, o banco tem de devolver o montante de imediato e, o mais tardar, até ao fim do primeiro dia útil seguinte àquele em que teve conhecimento da operação ou em que esta lhe foi comunicada. O cliente tem de avisar o banco sem demora injustificada.
• Uma única exceção. O banco só pode deixar de reembolsar nesse prazo se tiver motivos válidos para suspeitar de fraude cometida pelo próprio cliente e comunicar esses motivos por escrito à autoridade nacional competente. Achar que houve negligência grosseira não chega.
• Depois, a responsabilidade. Já com o dinheiro devolvido, o banco pode reclamar ao cliente as perdas, se provar que o cliente agiu com intenção ou com negligência grosseira. Essa prova cabe ao banco.

O TJUE justifica a decisão com a proteção dos consumidores. Se o banco pudesse recusar logo à partida, a obrigação de reembolso imediato perderia efeito útil, e seria o cliente a ter de avançar para tribunal, com os custos e incómodos que isso implica.

O que diz a lei portuguesa

Em Portugal, a diretiva está transposta pelo Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (Decreto-Lei n.º 91/2018). As regras principais são estas:

• Artigo 114.º: o banco deve reembolsar imediatamente a operação não autorizada e, em todo o caso, até ao final do primeiro dia útil seguinte ao conhecimento ou à comunicação. Só fica dispensado desse prazo se tiver motivos razoáveis para suspeitar de fraude do cliente e os comunicar por escrito às autoridades judiciárias. Se não reembolsar sem ter feito essa comunicação, o cliente tem direito a juros de mora, contados dia a dia à taxa legal acrescida de 10 pontos percentuais.
• Artigo 112.º: o cliente deve comunicar a operação logo que dela tenha conhecimento, sem atraso injustificado, e nunca depois de 13 meses a contar da data do débito.
• Artigo 115.º: define quando o cliente suporta as perdas. Em caso de negligência grosseira, suporta-as até ao limite do saldo disponível ou da linha de crédito. Em caso de fraude ou de incumprimento deliberado, suporta-as todas.

E se a conta for da empresa?

Aqui há um pormenor importante. O artigo 100.º do mesmo decreto-lei diz que estas regras se aplicam às microempresas do mesmo modo que aos consumidores. Para os restantes clientes que não são consumidores, o banco e a empresa podem acordar no contrato afastar, no todo ou em parte, alguns artigos, entre eles o 113.º (prova da autenticação), o 115.º (quem suporta as perdas) e o prazo de comunicação do 112.º.

O artigo 114.º, o do reembolso imediato, não consta dessa lista. Mas as regras sobre quem fica com a perda e o prazo para reclamar podem ser diferentes no contrato de uma PME que não seja microempresa. Vale a pena pedir ao banco as condições da conta da empresa e confirmá-las com o seu jurista. Este artigo não substitui aconselhamento jurídico.

Atenção: nem todas as burlas são «não autorizadas»

Segundo advogados ouvidos pelo ECO, o acórdão diz respeito exclusivamente a operações de pagamento não autorizadas, isto é, transferências feitas sem o consentimento do titular da conta, como no caso de alguém que usa as suas credenciais roubadas.

Muitas burlas contra empresas funcionam de outra forma: é um funcionário que faz a transferência, convencido por uma fatura com um IBAN trocado, por um email que parece do fornecedor ou por uma mensagem que parece do gerente. São situações diferentes, e o acórdão não trata delas. Para essas, a melhor defesa continua a ser a prevenção. Explicámos como funciona a verificação do beneficiário e o que fazer depois de uma transferência para um IBAN falso, e também como reconhecer faturas falsas enviadas por email.

O que a sua empresa deve fazer

1. Comunique de imediato e por escrito. Se encontrar um movimento que não reconhece, contacte o banco pelos canais oficiais e diga claramente que não autorizou a operação. Peça também o bloqueio dos acessos e dos cartões afetados.
2. Guarde todas as provas. Mensagens, emails, links recebidos, capturas de ecrã, comprovativos e o registo dos contactos com o banco. Apresente queixa às autoridades.
3. Se o banco recusar, peça a justificação por escrito. A 4gnews lembra que pode reclamar no Livro de Reclamações Eletrónico ou junto do Banco de Portugal.
4. Leia o contrato da conta da empresa. Confirme se é tratada como microempresa e se há cláusulas que mudam as regras de responsabilidade ou o prazo para reclamar.
5. Treine quem vende online. O caso julgado começou com um «comprador» falso numa plataforma de vendas. Combine com a equipa uma regra simples: nunca introduzir dados bancários a partir de um link recebido numa mensagem. Os cinco sinais de um email de phishing ajudam a reconhecer estes pedidos.
6. Reforce os acessos. Ative a autenticação forte em todas as contas e, onde for possível, use chaves de acesso (passkeys), que não funcionam numa página falsa.
7. Proteja o nome da sua empresa. Os burlões também imitam sites e emails de empresas legítimas. Configure SPF, DKIM e DMARC no seu domínio (veja como fazer) e faça a auditoria gratuita do seu site para ver se tem falhas de segurança visíveis.

Em resumo

O TJUE deixou claro que, numa transferência que o cliente não autorizou, o banco devolve primeiro o dinheiro e só depois discute a negligência, cabendo-lhe a ele prová-la. Para as empresas, o reembolso imediato também se aplica, mas o contrato de uma PME que não seja microempresa pode mudar as regras sobre quem suporta a perda. E nada disto cobre as transferências feitas pela própria empresa para um burlão. Como sempre, o melhor é não chegar a precisar do reembolso.