Pergunta · Direito penal

Burla por SMS em nome do banco: o banco devolve?

Smishing em nome do banco: quando a operação é não autorizada, o reembolso até ao 1.º dia útil, a negligência grosseira e quem a prova, prazos e queixa.

Escrito por Redação Asesor.LegalPublicado em 27 de Outubro de 2026

Resposta rápida

Se, depois de uma SMS falsa, alguém entrou no seu homebanking e fez pagamentos que não consentiu, a operação é não autorizada e o banco deve reembolsar até ao fim do primeiro dia útil seguinte à comunicação (RJSPME, arts. 103.º e 114.º).
O banco pode recusar esse prazo se suspeitar de fraude do próprio cliente e o comunicar por escrito às autoridades judiciárias (art. 114.º, n.º 2).
Se o banco provar negligência grosseira (por exemplo, partilha de códigos), o cliente pode suportar as perdas até ao limite do saldo (art. 115.º, n.º 4). O registo da operação, por si só, não basta como prova (art. 113.º).
Se foi o próprio a transferir o dinheiro para o IBAN indicado pelo burlão, a operação é, em princípio, autorizada e o reembolso deste regime não se aplica.
Comunique ao banco sem atraso (máximo de 13 meses) e apresente queixa-crime no prazo de seis meses (RJSPME, art. 112.º; Código Penal, art. 115.º).

«A sua conta foi bloqueada, aceda aqui para validar os seus dados.» Mensagens como esta, que parecem vir do banco, estão por trás de muitas burlas em Portugal. Quando o dinheiro desaparece, a pergunta é sempre a mesma: o banco devolve? A lei não dá uma resposta única. Depende de quem deu a ordem de pagamento e do comportamento de cada um. Neste artigo explicamos o que o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME, anexo ao Decreto-Lei n.º 91/2018) prevê, o que fazer de imediato e como apresentar queixa, com base na legislação consultada a 27 de outubro de 2026.

Se a burla foi com MB WAY, leia burla MB WAY: como recuperar o dinheiro. Para outros casos na internet, veja burla online: o que fazer.

Como funciona a burla por SMS em nome do banco?

O burlão faz-se passar pelo banco para obter credenciais ou códigos, ou para levar a vítima a transferir dinheiro. O Banco de Portugal descreve o esquema: a vítima recebe um e-mail, uma mensagem ou uma chamada «supostamente do seu banco» a dizer que a conta pode estar comprometida ou bloqueada, e é-lhe pedido que faça login para recuperar o acesso ou que partilhe um código enviado por SMS (Banco de Portugal).

Quando é feito por SMS chama-se smishing; por telefone, vishing. O Banco de Portugal avisa que os burlões usam por vezes o spoofing: «copiam os números de telefone ou e-mails e a aparência das entidades oficiais, para serem mais convincentes». Por isso, uma SMS pode aparecer na mesma conversa das mensagens verdadeiras do banco.

A regra mais importante: «Um banco ou outro prestador de serviços de pagamento jamais lhe solicitaria esse tipo de informação por e-mail, SMS ou telefone.»

O que fazer se clicou ou deu os dados?

Contacte o banco de imediato, pelos contactos oficiais e nunca pelos que vinham na mensagem. Peça o bloqueio do acesso ao homebanking, da app e dos cartões. O banco tem de garantir meios para essa comunicação «a todo o momento» e de forma gratuita, e tem de impedir qualquer utilização logo que ela é feita (RJSPME, art. 111.º).

Depois:

peça ao banco prova da comunicação, que tem de lhe facultar durante 18 meses (art. 111.º, n.º 1, al. d));
conteste por escrito cada movimento que não autorizou, indicando data, valor e destinatário;
guarde a SMS, o número que a enviou, o endereço da página falsa e capturas do que preencheu;
altere as palavras-passe que possa ter usado na página falsa;
apresente queixa-crime (explicado abaixo).

Depois de comunicar ao banco, não suporta consequências financeiras de novas utilizações abusivas, salvo atuação fraudulenta (art. 115.º, n.º 7).

Burla por SMS: o banco devolve o dinheiro?

Depende de quem deu a ordem de pagamento. Uma operação de pagamento só se considera autorizada «se o ordenante consentir na sua execução»; sem esse consentimento, «considera-se que a operação de pagamento não foi autorizada» (RJSPME, art. 103.º, n.os 1 e 5).

O que aconteceu	Enquadramento provável	Regra principal
O burlão usou as suas credenciais para fazer transferências ou compras	Não autorizada	Reembolso até ao fim do 1.º dia útil seguinte (art. 114.º, n.º 1)
Partilhou com o burlão um código de autenticação e ele usou-o	Não autorizada, com discussão sobre negligência grosseira	Possíveis perdas até ao limite do saldo (art. 115.º, n.º 4); prova a cargo do banco (art. 113.º)
O banco não exigiu autenticação forte	Não autorizada	Sem perdas para o cliente, salvo atuação fraudulenta (art. 115.º, n.º 5)
Transferiu o próprio, para uma «conta segura» ou para pagar uma falsa dívida	Em princípio, autorizada	Não se aplica o reembolso das operações não autorizadas; recuperação pelo processo-crime

A qualificação depende dos factos concretos. Em caso de desacordo, quem decide são os tribunais.

Prazo do banco e juros: o que diz a lei

Numa operação não autorizada, o banco deve reembolsar «imediatamente» e, «em todo o caso, o mais tardar até ao final do primeiro dia útil seguinte» ao conhecimento ou à comunicação (RJSPME, art. 114.º, n.º 1), repondo a conta como estaria sem a operação (n.º 4).

O banco só fica dispensado deste prazo se tiver «motivos razoáveis para suspeitar de atuação fraudulenta do ordenante» e comunicar esses motivos por escrito às autoridades judiciárias (n.º 2). Sem isso, se não reembolsar, deve juros contados dia a dia, «calculados à taxa legal, fixada nos termos do Código Civil, acrescida de 10 pontos percentuais» (n.º 10).

O Banco de Portugal acrescenta que este reembolso «é provisório, até que sejam apurados os contornos concretos da situação», e que o banco pode voltar a debitar o montante se concluir que houve negligência grosseira (Banco de Portugal).

Negligência grosseira: quando o cliente suporta a perda?

O cliente pode suportar parte ou a totalidade da perda conforme a sua conduta. O art. 115.º do RJSPME prevê três níveis:

Conduta do cliente	Perda que pode suportar	Norma
Sem culpa grave (regra geral)	Até 50 €, dentro do saldo disponível	Art. 115.º, n.º 1
Negligência grosseira	Até ao limite do saldo ou da linha de crédito, mesmo acima de 50 €	Art. 115.º, n.º 4
Fraude ou incumprimento deliberado dos deveres de segurança	Todas as perdas	Art. 115.º, n.º 3
Depois de comunicar ao banco	Nada, salvo fraude	Art. 115.º, n.º 7

O limite de 50 € não se aplica se a apropriação abusiva não pudesse ser detetada pelo cliente antes do pagamento (n.º 2, al. a)). O cliente tem o dever de tomar «todas as medidas razoáveis» para preservar a segurança das credenciais (art. 110.º, n.º 2).

A lei não define em abstrato o que é negligência grosseira; avalia-se em cada caso. Mas fixa quem tem de a provar: quando o cliente nega ter autorizado a operação, a utilização registada pelo banco «não é necessariamente suficiente, por si só», e o banco «deve apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira» (art. 113.º, n.os 3 e 4). Por isso, não aceite sem análise uma resposta do banco que se limite a dizer que a operação «foi autenticada».

Até quando posso reclamar junto do banco?

Deve comunicar a operação ao banco «logo que dela tenha conhecimento e sem atraso injustificado, e dentro de um prazo nunca superior a 13 meses a contar da data do débito» (RJSPME, art. 112.º, n.º 1). O limite de 13 meses não se aplica se o banco não tiver prestado as informações a que está obrigado sobre a operação (n.º 2).

Se o banco não resolver, pode reclamar ao Banco de Portugal, através do livro de reclamações eletrónico, quando considere que a instituição «não atuou corretamente» (Portal do Cliente Bancário). A reclamação não substitui a queixa-crime nem a via judicial.

Que crime é e como apresentar queixa?

Usar as credenciais da vítima para movimentar a conta pode ser burla informática, que abrange quem causa prejuízo através de «utilização de dados sem autorização» (Código Penal, art. 221.º). Se a vítima foi levada a transferir ela própria, pode ser burla (art. 217.º). Conforme os factos, pode estar também em causa o acesso ilegítimo da Lei do Cibercrime (art. 6.º). A qualificação é do Ministério Público.

A burla e a burla informática dependem de queixa, a apresentar no prazo de seis meses a contar do conhecimento do facto e dos seus autores (Código Penal, art. 115.º, n.º 1). Pode apresentá-la na Queixa Eletrónica do MAI (a lista inclui a «Burla»), na PSP, na GNR, na Polícia Judiciária ou no Ministério Público. Junte o comprovativo da comunicação ao banco e a SMS recebida.

A queixa é importante também para o processo contra o banco, porque documenta que foi vítima de um crime. O procedimento geral está em como apresentar uma queixa-crime. Se transferiu o dinheiro por si, o meio para o recuperar é o pedido de indemnização civil contra o burlão no processo penal (CPP, arts. 71.º e 77.º).

Como reconhecer uma SMS falsa do banco?

Segundo o Banco de Portugal:

desconfie de mensagens com tom de urgência ou ameaça de bloqueio da conta;
não clique em ligações nem abra QR codes de mensagens que não pediu;
escreva sempre o endereço do banco no navegador, em vez de usar ligações, favoritos ou resultados de pesquisa;
nunca partilhe credenciais nem códigos de autenticação, mesmo que a pessoa conheça o seu nome ou morada;
em caso de dúvida, ligue para o banco pelos contactos oficiais.

Quando falar com um advogado

Se o banco reembolsou e não voltou a debitar, muitas vezes o assunto fica resolvido com a queixa. Pode fazer sentido ouvir um advogado quando:

o banco recusa o reembolso ou volta a debitar o valor invocando negligência grosseira;
o valor é elevado ou abrange poupanças, créditos ou contas de empresa;
o burlão contratou créditos ou abriu contas em seu nome (veja roubo de identidade);
o prazo de seis meses para a queixa ou o de 13 meses para comunicar ao banco está a terminar;
quer pedir juros ou indemnização suplementar ao banco.

Encontre um profissional na nossa página de advogados em Portugal. Se não tiver meios para pagar, informe-se sobre o advogado oficioso.

Perguntas frequentes

Cliquei numa SMS falsa do banco mas não dei dados. Corro riscos?

Contacte o banco pelos contactos oficiais para confirmar que não houve acessos e altere as palavras-passe por precaução. O Banco de Portugal desaconselha abrir ligações de mensagens que não pediu, porque podem levar a páginas falsas ou instalar software malicioso.

O banco é obrigado a devolver o dinheiro de uma burla por SMS?

Se a operação não foi autorizada por si, o banco deve reembolsar até ao fim do primeiro dia útil seguinte à comunicação, salvo suspeita de fraude do cliente comunicada às autoridades (RJSPME, art. 114.º). Pode depois imputar-lhe perdas se provar negligência grosseira (arts. 113.º e 115.º).

Dei o código que recebi por SMS. É negligência grosseira?

A lei não o diz em abstrato: avalia-se em cada caso e cabe ao banco apresentar elementos que a demonstrem (RJSPME, art. 113.º, n.º 4). Explique ao banco, por escrito, como foi enganado.

Fiz eu a transferência a pedido de um falso funcionário do banco. Recupero o dinheiro?

Em princípio, essa operação é autorizada e não se aplica o reembolso das operações não autorizadas. Contacte o banco de imediato, apresente queixa-crime e peça indemnização ao burlão no processo penal.

Quanto tempo tenho para reclamar ao banco?

Deve comunicar sem atraso injustificado e, no máximo, 13 meses após a data do débito (RJSPME, art. 112.º, n.º 1).

O banco pode pedir-me códigos por SMS ou telefone?

Não. Segundo o Banco de Portugal, um banco «jamais» pede credenciais ou códigos de autenticação por e-mail, SMS ou telefone.

Legislação e fontes

Informação consultada a 27 de outubro de 2026.