Saltar para o conteúdo
+351 920 260 897Falar sobre o projectoOrçamentoPedir orçamento

Transferiu para um IBAN falso? O que fazer nas primeiras horas e como a verificação do beneficiário ajuda

Pagou uma factura falsa? Os passos das primeiras horas (banco, queixa, provas) e como a confirmação e a verificação do beneficiário travam o próximo IBAN falso.

  • Notícias
  • 10 min de leitura

A factura parecia do fornecedor de sempre, o IBAN era novo e o pagamento já saiu. Horas depois, o fornecedor verdadeiro liga a perguntar quando é que paga. Nesse momento, quem trata dos pagamentos tem duas perguntas: o que fazer agora, e como é que isto passou. Como se reconhece a burla está no artigo a factura que não é sua. Este começa onde esse acaba, com o dinheiro já fora da conta.

Explicamos o que fazer nas primeiras horas, segundo o Banco de Portugal, a Polícia Judiciária e o Ministério Público, e as duas ferramentas que os bancos portugueses passaram a mostrar antes de cada transferência: a confirmação do beneficiário, desde Maio de 2024, e a verificação do beneficiário europeia, obrigatória desde Outubro de 2025. Servem precisamente para travar este tipo de burla antes de o dinheiro sair.

Primeiro, o enquadramento: a transferência foi autorizada

A lei separa dois casos.

  • Operação não autorizada. Alguém usou as suas credenciais ou o seu cartão sem o seu consentimento. Segundo o Portal do Cliente Bancário, o banco deve reembolsar o montante (ainda que provisoriamente) até ao final do dia útil seguinte àquele em que teve conhecimento, salvo se suspeitar de fraude do próprio cliente e o comunicar às autoridades judiciárias.
  • Operação autorizada com um IBAN errado. Foi a sua empresa que deu a ordem, com o IBAN que o burlão forneceu. A directiva europeia de serviços de pagamento (artigo 88.º da Directiva 2015/2366) diz que uma ordem executada de acordo com o IBAN indicado se considera bem executada, e que o banco não responde por um IBAN incorrecto fornecido pelo cliente.

O caso da factura falsa é quase sempre o segundo. Por isso o reembolso não é automático. Mas a mesma regra obriga o banco a tentar recuperar o dinheiro, e as regras novas sobre a verificação do beneficiário mudam a conta em alguns casos.

Nas primeiras horas, por esta ordem

  1. Ligue ao banco já, pelo número habitual. Use o contacto do contrato, do cartão ou da aplicação, não um número que venha num email. Diga que é fraude, dê a data, o montante e o IBAN de destino, e peça a recuperação dos fundos. O artigo 88.º da directiva obriga o banco de quem paga a fazer "esforços razoáveis para recuperar os fundos", e o banco que recebeu tem de colaborar e passar as informações relevantes. Não há garantia: se o dinheiro já saiu da conta de destino, pode não haver nada para devolver.
  2. Peça a resposta por escrito. Se a recuperação falhar, o banco tem de lhe entregar, a pedido escrito, a informação de que dispõe para avançar com uma acção judicial (mesmo artigo 88.º). O banco pode cobrar a recuperação, se isso estiver previsto no contrato.
  3. Apresente queixa. O Banco de Portugal recomenda participar a fraude "ao órgão de polícia criminal mais próximo", PSP, GNR ou Polícia Judiciária, ou ao Ministério Público. Há canais electrónicos: a Polícia Judiciária tem uma queixa electrónica em qe.pj.pt, com autenticação pelo Cartão de Cidadão; o sistema do MAI em queixaselectronicas.mai.gov.pt encaminha queixas de burla para a GNR ou a PSP, mas aceita apenas pessoas singulares identificadas. O Gabinete Cibercrime do Ministério Público recebe comunicações em cibercrime@pgr.pt; a denúncia deve trazer a identificação e a assinatura de quem a faz.
  4. Guarde as provas, sem limpar nada. O email com a factura e a mensagem original completa com os cabeçalhos (no Outlook e no Gmail há a opção de ver a origem ou o original), os anexos, o comprovativo da transferência, o IBAN de destino, o extracto e as horas.
  5. Avise o fornecedor verdadeiro pelo telefone que já tinha. A caixa de email dele pode ter sido invadida, e outros clientes podem estar a receber a mesma factura.
  6. Veja se o problema começou do seu lado. Troque a palavra-passe da caixa de email de quem recebeu a factura, active o segundo factor de autenticação e procure regras de reencaminhamento ou de filtro que não criou. Uma regra que esconde as respostas do fornecedor verdadeiro é um sinal clássico de caixa comprometida. Se o pagamento foi feito num computador estranho (ecrã parado durante a transferência, pedido para instalar uma actualização), o Banco de Portugal aconselha pedir ao banco novas credenciais de homebanking.
  7. Se o banco não agir, reclame. O Portal do Cliente Bancário indica que pode reclamar no livro de reclamações (físico ou electrónico) ou directamente ao Banco de Portugal, e o banco tem de lhe indicar os meios de resolução extrajudicial de litígios.

As duas ferramentas que o banco já lhe mostra

Confirmação do beneficiário (Portugal, desde Maio de 2024)

Nas transferências entre bancos portugueses, quando escreve o IBAN, a aplicação ou o homebanking mostra o nome do primeiro titular da conta de destino antes de confirmar. Segundo o Banco de Portugal, é o que acontece "na generalidade das transferências nacionais". É um serviço do Banco de Portugal que os bancos disponibilizam aos clientes, e os bancos não podem cobrar por ele (Instrução n.º 2/2025, de 30 de Janeiro de 2025).

Para uma empresa, a regra é simples: se a factura é da Fornecedora Lda e o ecrã mostra "Maria Antunes" como primeiro titular, a transferência não sai.

Verificação do beneficiário (zona euro, desde Outubro de 2025)

O Regulamento (UE) 2024/886, sobre transferências imediatas em euros, criou uma obrigação para todos os bancos da zona euro: a partir de 9 de Outubro de 2025, oferecer a verificação do beneficiário antes de o cliente autorizar uma transferência a crédito. Vale para as transferências imediatas e para as tradicionais, em qualquer canal (aplicação, homebanking, balcão), e é gratuita para todos os clientes. Em Portugal, o serviço do Banco de Portugal funciona desde 5 de Outubro de 2025.

Funciona assim: escreve o IBAN e o nome da pessoa ou da empresa a quem quer pagar, e o banco do destinatário compara esse nome com os titulares da conta. Segundo as perguntas frequentes do Banco de Portugal, há quatro respostas possíveis:

  • Correspondência exacta. O nome bate com um dos titulares. O banco não lhe devolve o nome, só confirma.
  • Correspondência aproximada. O nome é parecido (uma letra trocada, uma abreviatura) e o banco mostra o nome do titular mais próximo, para que veja se é quem pretende.
  • Sem correspondência. O banco não mostra nenhum nome e avisa que, se autorizar, o dinheiro pode ir para uma conta que não é do destinatário pretendido.
  • Impossível verificar. Por razões técnicas ou porque a conta não existe. O banco avisa e pode sugerir nova tentativa.

Nas transferências para empresas, a verificação deve funcionar tanto com a denominação social como com o nome comercial, embora o Banco de Portugal avise que alguns bancos podem não ter o nome comercial registado. Se der "sem correspondência", tente a denominação social da factura; e não pague até perceber.

A decisão final é sua, e a responsabilidade também

O regulamento diz que a verificação não pode impedir o cliente de autorizar a transferência: mesmo com "sem correspondência", o botão de confirmar continua lá. Mas há uma consequência. Se o banco cumpriu a verificação e a empresa avançou contra o aviso, o banco não é responsável por o dinheiro ter ido para o beneficiário errado. Ao contrário, se o banco não ofereceu a verificação como devia e foi essa falha que levou ao erro, tem de reembolsar sem demora o montante transferido (artigo 5.º-C do regulamento). Na conversa com o banco, a pergunta "que resultado da verificação apareceu nesta transferência?" é das primeiras a fazer.

Atenção aos pagamentos em lote

Muitas empresas pagam fornecedores com um ficheiro de várias transferências. O regulamento permite que empresas (não consumidores) que enviam ordens agrupadas renunciem à verificação, e voltem a pedi-la quando quiserem. Confirme com o banco se a sua empresa não ficou de fora sem saber; o Banco de Portugal indica que os bancos devem ter soluções para verificar beneficiários em lote.

Os números do Banco de Portugal

Em Maio de 2026, numa conferência sobre fraude digital em Lisboa, o governador do Banco de Portugal, Álvaro Santos Pereira, estimou que a confirmação do beneficiário e os serviços relacionados evitaram cerca de 6,5 milhões de euros em fraudes nos dois anos de funcionamento, segundo a RTP e o DNoticias. Na mesma intervenção, disse que estes mecanismos não protegem quando a vítima é contactada por telefone por alguém que falsifica o número de origem (o chamado spoofing), e pediu legislação contra essa prática, lembrando que Portugal é o único país da União Europeia que ainda não o fez.

A 6 de Outubro de 2026, um ano depois do arranque, o Banco de Portugal informou que o serviço de verificação já tinha verificado o destinatário em 404 milhões de operações, e que é usado por 39 prestadores de serviços de pagamento em Portugal e por 30 de outros dez países.

O que muda na rotina de quem paga

  • Leia o nome que o banco mostra, sempre. Se o titular não é o fornecedor, pare.
  • Escreva o nome do fornecedor na transferência. Use a denominação social da factura; assim a verificação compara nomes em vez de depender só do IBAN.
  • Confirme qualquer mudança de IBAN por telefone, para um número que já tinha (contrato, proposta, site), nunca para o que vem no email.
  • Duas pessoas aprovam o primeiro pagamento para um IBAN novo. Se o banco permitir dupla autorização na conta da empresa, use-a; se não, faça disso uma regra interna.
  • Proteja o seu próprio domínio de email. Com SPF, DKIM e DMARC bem configurados, fica mais difícil alguém enviar facturas falsas em seu nome; explicámos como no artigo sobre emails no spam e o que o Gmail e o Outlook exigem.
  • Segundo factor em todas as caixas de email de quem recebe facturas ou dá ordens de pagamento. É um dos cinco hábitos de cibersegurança para uma PME.

Em resumo

Se o dinheiro já saiu para um IBAN falso, ligue ao banco no próprio momento e peça a recuperação, apresente queixa à polícia ou ao Ministério Público, guarde as provas, avise o fornecedor verdadeiro e veja se a caixa de email da empresa foi comprometida. Como foi a empresa a autorizar a transferência, o reembolso não é automático. Para a próxima, o banco já mostra o nome do titular ou diz se o nome bate com a conta; falta ler o aviso e ter uma regra para IBAN novos. Este artigo não é aconselhamento jurídico nem financeiro. Se quiser rever a segurança do email e dos acessos da empresa, a auditoria de segurança da MarcaWeb verifica, entre outros pontos, o SPF, DKIM e DMARC do domínio, as palavras-passe e o segundo factor, e o plano de resposta a incidentes.

Fontes

Partilhar

Blog

Continue a ler

Gostou do artigo? Vamos falar do seu projecto.

Orçamentos gratuitos e resposta em 48 horas.

Pedir orçamentoMais artigos