Burla Informática e Phishing

Mudam só o canal, a técnica é a mesma:

• Phishing → email fraudulento
• Smishing → SMS fraudulento ("SMS + phishing")
• Vishing → chamada telefónica fraudulenta ("voice + phishing")

Nos três casos, o burlão imita uma instituição confiável para obter dados ou autorizações. Spear phishing é variante direccionada (vítima específica, com dados personalizados). Pharming redirecciona para um site falso, mesmo quando a vítima digita o endereço correcto. O enquadramento legal é o mesmo — crime de burla informática, com pena até 5 anos de prisão.

Por esta ordem:

1. Contacte imediatamente o seu banco pelo número de emergência — peça bloqueio de operações MB Way, revisão de transferências pendentes e registo formal da comunicação
2. Apresente queixa-crime à Polícia Judiciária (canal específico para crimes informáticos) com preservação de todas as provas — SMS recebidos, capturas de ecrã, emails, números de telefone do burlão
3. Peça formalmente o reembolso ao banco, invocando o DL 91/2018 (operações não autorizadas)
4. Se o banco recusar, reclame ao Banco de Portugal — a instituição tem obrigações legais e a reclamação força revisão

O banco tem, em regra, 1 dia útil para reembolsar após comunicação da operação não autorizada, salvo se provar negligência grave da vítima.

Cada hora conta. Três passos imediatos:

• Bloqueio do cartão através da app do banco ou linha de emergência
• Dispute das operações não reconhecidas via banco ou via chargeback directamente à rede (Visa / Mastercard) — prazo legal de 120 dias
• Queixa-crime à PJ com descrição dos movimentos fraudulentos

A responsabilidade da vítima limita-se a 50€ em caso de uso fraudulento (art. 113.º do DL 91/2018) — o resto tem de ser reembolsado pelo banco, salvo prova de negligência grave (ex: partilha deliberada do PIN). Se o cartão foi clonado por skimming em terminal físico ou por ataque online, a responsabilidade é integralmente do banco e da rede.

Há três vias complementares:

• Via bancária (mais rápida e eficaz): reembolso por operação não autorizada se o banco reconhecer o incidente; chargeback se o pagamento foi por cartão; estorno em transferências pendentes quando detectadas a tempo
• Via penal (mais lenta mas cobre tudo): pedido de indemnização civil no processo-crime — se houver identificação do burlão e condenação, obrigatoriedade de restituição
• Via cível autónoma (última instância): acção contra o banco se este recusar reembolso indevidamente, ou contra plataformas que facilitaram a burla (OLX, Custojusto, etc.)

A taxa real de recuperação varia muito conforme o tempo decorrido, o valor e o canal — agir nas primeiras 24-72 horas é determinante.

A Polícia Judiciária (PJ) tem competência específica sobre crimes informáticos (art. 7.º da Lei de Organização da Investigação Criminal). A queixa pode ser apresentada presencialmente em posto da PJ, online no portal da Polícia Judiciária ou através do portal do Ministério Público (cidadao.justica.gov.pt). PSP e GNR recebem e encaminham, mas a investigação efectiva é feita pela PJ — conhece técnicas, tem ferramentas e liga-se ao Centro Nacional de Cibersegurança. Para burlas com elevados valores ou complexidade técnica, a queixa directa à PJ acelera o processo.

Sim, na maioria dos casos. O DL 91/2018 (que transpõe a directiva europeia PSD2) estabelece que, em operações não autorizadas pelo titular, o banco tem de reembolsar até ao final do dia útil seguinte à comunicação — salvo se demonstrar que a vítima actuou com negligência grave ou fraude. O ónus da prova é do banco, não da vítima. "Negligência grave" é conceito apertado — não basta a vítima ter clicado num link; tem de haver violação evidente de cuidados básicos (partilha do código PIN, por exemplo). Se o banco recusar reembolso ou impor condições irregulares, é motivo para reclamação formal ao Banco de Portugal.

Sim, e funciona. O Banco de Portugal tem uma área de reclamações (bancodeportugal.pt/reclamacao) onde qualquer cliente pode apresentar queixa formal contra uma instituição bancária. A reclamação é analisada, o banco é obrigado a responder no prazo de 20 dias úteis, e o Banco de Portugal emite parecer vinculativo sobre o cumprimento das normas. Não substitui uma acção judicial, mas na prática resolve a maioria dos casos sem ir a tribunal — os bancos preferem reembolsar a ter um parecer negativo do regulador. É o canal de escalada que usamos quando o banco recusa reembolso indevidamente.