Dr. David Silva · Advogado
cédula n.º 72532P
Sumário
- Vishing é a chamada de um falso funcionário do banco para obter códigos, dados do cartão ou a confirmação de operações.
- O número que aparece no ecrã pode ser o do banco, e o Banco de Portugal avisa que isso não prova que a chamada é verdadeira.
- O banco nunca pede credenciais nem códigos de autenticação por telefone, segundo o Banco de Portugal.
- Se foi o burlão a fazer a operação, ela é não autorizada e o banco tem de reembolsar de imediato.
- Quem suporta a perda no fim depende do que o cliente fez durante a chamada, e sobretudo de quem validou a operação.
- Os tribunais portugueses já condenaram bancos a devolver e já deram razão aos bancos, conforme esses factos.
O telefone toca e o número é o do seu banco. Do outro lado, alguém que sabe o seu nome e a sua morada diz que houve um movimento suspeito e que é preciso agir já. Pede-lhe um código que acabou de chegar por SMS, ou que confirme uma operação na app, para «bloquear» a fraude.
É assim que funciona o vishing, a versão por telefone do phishing. Funciona porque parece verdadeiro: o número é o do banco, a pessoa conhece os seus dados e a urgência não deixa tempo para pensar. Quando a chamada acaba, o dinheiro já saiu da conta.
Esta página responde a duas perguntas. O que fazer logo a seguir, para travar novas operações e proteger os seus direitos. E quem paga no fim, que é a pergunta que a lei e os tribunais já começaram a responder, nem sempre no mesmo sentido.
Vishing: o que é e como funciona
Resposta rápida: vishing é o phishing feito por chamada. Um falso funcionário do banco cria uma urgência, como a conta bloqueada ou um pagamento suspeito, e pede códigos ou a confirmação de operações. O Banco de Portugal descreve o esquema em quatro passos.
O nome junta «voice» e «phishing». Em vez de um email ou de um SMS com um link, o contacto é feito por telefone, por alguém que se apresenta como funcionário do banco. O objetivo é o mesmo de qualquer phishing: obter os dados que permitem movimentar a sua conta.
O telefone dá ao burlão uma vantagem que o email não dá. A conversa é em tempo real, o interlocutor responde às dúvidas, ajusta o guião à reação da vítima e mantém a pressão até obter o que precisa. Muitas vezes, os códigos chegam ao telemóvel da vítima enquanto a chamada decorre, e o burlão pede-os no próprio momento.
Os quatro passos do esquema
O Banco de Portugal descreve estas fraudes em quatro passos, que se repetem nos casos que chegam aos tribunais:
- Contacto de uma suposta entidade fiável, por telefone, email ou redes sociais, muitas vezes com o número ou o endereço copiados.
- Criação de um cenário credível, como atualizar dados, desbloquear a conta por atividade suspeita ou confirmar dados para receber uma transferência.
- Personalização, com o burlão a mostrar que conhece dados seus, como o nome ou a morada.
- Tom de urgência e intimidação, com ameaças de bloqueio da conta para que aja sem pensar.
O que o burlão quer obter
O que o burlão procura muda conforme o esquema, mas cai quase sempre numa destas categorias:
- as credenciais de acesso ao homebanking;
- os dados do cartão, incluindo o código de segurança;
- o código que chega por SMS para associar um novo dispositivo à conta ou para confirmar uma operação;
- a validação, na sua própria app, de uma operação que o burlão já preparou.
Cada uma destas peças tem um peso diferente quando, mais tarde, se discute quem suporta a perda. Por isso, vale a pena reconstituir com rigor o que foi pedido e o que foi dado durante a chamada.
As variantes mais comuns
O guião muda, mas há quatro variantes que se repetem:
- Falso funcionário com número copiado: a chamada aparece com o número do banco e o interlocutor pede um código para «bloquear» um movimento suspeito.
- SMS seguido de chamada: primeiro chega uma mensagem de alerta e, minutos depois, alguém liga a «dar seguimento» ao alerta.
- Falso estafeta: depois da chamada, alguém aparece em casa para recolher o cartão «comprometido».
- Conta segura: o interlocutor convence a vítima a transferir ela própria o dinheiro para uma conta «protegida».
As três primeiras levam, em regra, a operações feitas pelo burlão. A última leva a uma transferência feita pela própria vítima, e essa diferença muda o regime jurídico aplicável.
O número do banco no ecrã: spoofing
Resposta rápida: o spoofing copia o número de telefone ou o email de uma entidade oficial. O Banco de Portugal aconselha prudência mesmo quando o número parece legítimo, e confirmação pelos contactos oficiais, nunca pelos dados da chamada.
O spoofing é o que torna o vishing tão eficaz. O Banco de Portugal explica que os burlões copiam os números de telefone ou os emails e a aparência das entidades oficiais, para serem mais convincentes. O número que aparece no seu ecrã pode ser exatamente o da linha de apoio do seu banco.
Porque é que o número não prova nada
O identificador da chamada não garante quem está do outro lado. O Banco de Portugal recomenda prudência mesmo que o número ou o endereço de email que o contactou pareçam legítimos.
Nos tribunais, o número coincidente também não resolve a questão a favor do cliente. Num caso decidido em 2026, a Relação de Lisboa recusou que o simples facto de a chamada parecer vir do número do banco afastasse a negligência grosseira, porque a cliente acabou por validar ela própria a operação. O lado criminal destes esquemas está tratado no guia sobre burla informática.
Desligar e ligar de volta
A regra prática é simples. Mesmo que a chamada pareça legítima, não dê nenhuma informação e contacte o banco pelos contactos oficiais. O Banco de Portugal insiste que nunca deve usar os contactos fornecidos em emails, SMS ou nos telefonemas recebidos.
Desligue e ligue de volta para o número que consta do cartão ou do site oficial do banco. Se a chamada era verdadeira, o banco confirma-a. Se não era, terá evitado o passo que permitiria movimentar a conta.
O mesmo vale para mensagens e links. O Banco de Portugal recomenda que não clique em links, não abra QR codes nem descarregue anexos sem ter a certeza da origem, e que escreva sempre o endereço do banco no navegador, em vez de usar links recebidos.
Sinais de que a chamada é falsa
Resposta rápida: o banco nunca lhe pede credenciais nem códigos de autenticação por telefone, segundo o Banco de Portugal. Pedidos de códigos SMS, urgência e ameaça de bloqueio da conta são os sinais típicos de vishing.
O sinal mais seguro é o pedido em si. O Banco de Portugal é taxativo: um banco ou outro prestador de serviços de pagamento jamais lhe solicitaria credenciais de acesso ou códigos de autenticação de operações por email, SMS ou telefone.
Os outros sinais que se repetem nestas chamadas:
- pedem-lhe o código que acabou de receber por SMS, para «cancelar» ou «validar» algo;
- pedem-lhe que confirme na app uma operação que não iniciou;
- pedem-lhe que instale uma aplicação ou que associe um novo dispositivo à conta;
- dizem que a conta vai ser bloqueada se não agir de imediato;
- mostram que conhecem os seus dados ou movimentos recentes, para ganhar a sua confiança;
- propõem enviar alguém a sua casa para recolher o cartão.
Perante qualquer destes sinais, não divulgue informação numa chamada que não pediu. Em caso de dúvida, não partilhe dados, como recomenda o Banco de Portugal.
Se já deu dados durante a chamada
Se só percebeu depois de ter dado um código ou dados do cartão, não espere para ver se aparece algum movimento. O código pode já ter servido para associar um dispositivo do burlão à sua conta, e as operações podem acontecer minutos depois.
Ligue ao banco de imediato, diga exatamente o que forneceu e peça o bloqueio de todos os acessos, incluindo os dispositivos associados à conta. Quanto mais cedo o banco souber, mais cedo deve impedir novas utilizações (art. 111.º, n.º 1, alínea e), do RJSPME).
Saiu dinheiro depois da chamada?
Conte-nos o que lhe pediram e o que aconteceu na conta. Dizemos-lhe se o banco tem de devolver e o que fazer já.
O que fazer durante e depois da chamada
Resposta rápida: desligue, ligue ao banco pelo número oficial e bloqueie cartão e acessos. Comunique a operação sem atraso: é a comunicação que conta para os prazos dos arts. 112.º e 114.º do RJSPME (DL 91/2018).
Se percebeu durante a chamada que algo não bate certo, desligue de imediato. Se já deu algum dado ou código, cada minuto conta, porque o burlão vai tentar usá-lo antes de o banco bloquear o acesso.
A ordem é esta:
- Desligue e ligue para o banco pelo número do cartão ou do site oficial. Peça o bloqueio do cartão, da app e do homebanking.
- Comunique as operações que não fez como não autorizadas, com data, hora e montante. Esta comunicação conta para o prazo de 13 meses do art. 112.º e para o reembolso do art. 114.º do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME).
- Peça ao banco prova escrita de que comunicou, que o art. 111.º, n.º 1, alínea d), o obriga a dar.
- Envie no mesmo dia um pedido escrito de reembolso, por email ou carta registada.
- Guarde o registo de chamadas, os SMS recebidos, as notificações da app e os extratos.
- Apresente queixa às autoridades (PSP, GNR, PJ ou Ministério Público), como recomenda o Banco de Portugal.
O registo de chamadas é especialmente importante no vishing. Mostra a hora e a duração da chamada, e permite relacioná-la com o momento em que cada código chegou e cada operação foi feita.
A queixa por burla é um caminho paralelo ao pedido de reembolso ao banco. O reembolso não depende da queixa, mas a queixa ajuda a documentar o que aconteceu.
O que dizer ao banco quando ligar
Na chamada ao banco, seja concreto. Diga que foi contactado por alguém que se fez passar pelo banco, indique a hora da chamada e o número que apareceu, e enumere o que forneceu: códigos, dados do cartão ou validações na app.
Identifique as operações que não reconhece e diga expressamente que não as autorizou. Peça o número da ocorrência e confirme tudo por escrito no mesmo dia, porque é o registo escrito que fixa a data da comunicação.
Se voltarem a ligar
É comum os burlões voltarem a contactar a vítima, agora a oferecer ajuda para recuperar o dinheiro ou a pedir mais um código para «cancelar» as operações. Não responda a nenhum contacto que não tenha iniciado e confirme tudo pelo número oficial do banco.
Quem paga: autorizada ou não autorizada
Resposta rápida: se foi o burlão a ordenar a operação, ela é não autorizada (art. 103.º do RJSPME, DL 91/2018) e o banco tem de reembolsar de imediato. Se foi o próprio cliente a ordenar a transferência, a operação é autorizada e o regime é outro.
A primeira pergunta jurídica é sempre a mesma: a operação foi autorizada por si ou não? O art. 103.º, n.º 1, do RJSPME diz que uma operação só se considera autorizada se o ordenante consentir na sua execução. Na falta desse consentimento, a operação não foi autorizada (n.º 5).
O burlão faz a operação
No vishing típico, é o burlão quem faz as operações. Com o código que obteve ao telefone, associa um dispositivo seu à conta ou entra no homebanking, e transfere o dinheiro. O titular não deu ordem nenhuma: a operação não foi autorizada.
Nesse caso, aplica-se a regra do art. 114.º, n.º 1, do RJSPME. O banco tem de reembolsar de imediato e, o mais tardar, até ao fim do primeiro dia útil seguinte à comunicação. O regime completo deste reembolso está explicado no guia sobre fraude bancária.
O cliente faz a transferência
Há uma variante diferente. O falso funcionário convence o cliente a transferir ele próprio o dinheiro para uma «conta segura», com o argumento de o proteger. Aqui, a ordem foi dada pelo titular, ainda que enganado.
Quando é o próprio titular a ordenar a transferência, a operação tende a ser tratada como autorizada, e o regime de reembolso dos arts. 114.º e 115.º do RJSPME deixa de ser o ponto de partida. O caminho passa então pela queixa e pela tentativa de travar ou recuperar os fundos. Cada caso depende dos factos concretos.
Nestes casos, a rapidez é ainda mais importante. Quanto mais cedo o banco e as autoridades forem avisados, maior a hipótese de o banco do destinatário reter os fundos antes de serem levantados ou transferidos de novo. O percurso de uma transferência feita a um burlão está explicado no guia sobre recuperar dinheiro de uma burla.
Validar na app não é autorizar
A fronteira não é tão simples como «quem carregou no botão». No acórdão da Relação de Lisboa de 5 de fevereiro de 2026 (processo 6928/24.5T8LSB.L1-2), o burlão inseriu uma compra de 4 500 € e a cliente validou-a na app, com o código SMS.
Mesmo assim, o tribunal tratou a operação como não autorizada. O que discutiu foi outra coisa: se, ao validar uma operação que não tinha pedido, a cliente agiu com negligência grosseira. É essa pergunta que decide a maior parte dos casos de vishing.
Deu um código ao telefone: o que decidem
Resposta rápida: dar um código ao telefone não é, por si só, negligência grosseira. O TRG condenou o banco num caso de vishing (2025). O TRL isentou-o quando a cliente validou na app uma operação que não tinha pedido (2026).
Com uma operação não autorizada, o banco só se livra da perda se provar fraude ou negligência grosseira do cliente (art. 113.º, n.º 4, e art. 115.º, n.os 3 e 4, do RJSPME). Com negligência grosseira, o cliente suporta a perda até ao limite do saldo disponível ou da linha de crédito.
Há uma regra que pesa a favor do cliente e que vale a pena verificar em cada caso. Se o banco não exigiu autenticação forte, isto é, dois elementos independentes como um código e o telemóvel, o ordenante não suporta quaisquer perdas, salvo se tiver agido fraudulentamente (art. 115.º, n.º 5, do RJSPME).
Quando o banco teve de pagar
No acórdão do Tribunal da Relação de Guimarães de 30 de outubro de 2025 (processo 1292/24.5T8VCT.G1), o cliente recebeu a chamada de alguém que se identificou como funcionário do banco e que conhecia o seu nome e a sua morada completos. Durante a chamada, forneceu um código que permitiu aos burlões concluir a instalação da app do banco num dispositivo deles.
Os burlões fizeram as operações, e o cliente não as validou. A Relação manteve a condenação do banco a reembolsar 16 998 €, com juros de mora à taxa legal acrescida de uma sobretaxa de 10 % desde o dia da chamada, e a pagar 2 000 € de danos não patrimoniais. O tribunal reconheceu culpa do cliente, mas não negligência grosseira.
Quando o cliente suportou a perda
No acórdão da Relação de Lisboa de 5 de fevereiro de 2026 (processo 6928/24.5T8LSB.L1-2), a chamada parecia vir do número da Caixa Geral de Depósitos. A cliente deu um código de associação de dispositivo e, depois, validou na app uma compra de 4 500 € que não tinha pedido.
A Relação revogou a sentença de primeira instância e absolveu o banco. Entendeu que validar uma operação sabendo que não a tinha aprovado revelava uma incúria grave, e que o número coincidente não afastava essa conclusão.
No acórdão da Relação de Lisboa de 13 de janeiro de 2026 (processo 347/23.8T8CDN.L1-7), depois de um SMS e de uma chamada que pareciam do banco, a cliente forneceu vários códigos. Ficou provado que um deles vinha numa mensagem que anunciava expressamente um pagamento de 4 950 €, e a perda ficou do lado da cliente.
O que pesa na decisão
Lidos em conjunto, os três casos mostram os factos que mais pesam:
| Facto | Pesa a favor do cliente | Pesa a favor do banco |
|---|---|---|
| Quem validou a operação | O burlão, com o código obtido por engano | O próprio cliente, na sua app |
| Texto do SMS do código | Não descrevia a operação | Anunciava o pagamento ou a transferência |
| O que o burlão sabia | Nome, morada, movimentos recentes | Pouca informação pessoal |
| Avisos do banco | Campanha de fraude conhecida e sem aviso eficaz | Avisos claros e repetidos ao cliente |
O facto mais decisivo é quase sempre quem validou a operação e o que dizia a mensagem com o código. Por isso, peça ao banco o texto exato dos SMS e das notificações enviados durante a fraude.
Nenhum destes casos se decide por uma regra fixa. Os tribunais olham para o conjunto: o que o burlão sabia, o que pediu, o que a vítima viu no ecrã e o que fez a seguir. Por isso, antes de aceitar a recusa do banco, vale a pena reconstituir a chamada minuto a minuto, com o registo de chamadas, os SMS e os extratos lado a lado.
Falso estafeta: o cartão entregue em casa
Resposta rápida: entregar o cartão a um falso estafeta depois de uma chamada falsa dá origem a pagamentos e levantamentos não autorizados. Aplica-se o art. 115.º do RJSPME (DL 91/2018), e o banco pode invocar negligência grosseira.
É uma variante do vishing que acaba à porta de casa. Depois da chamada, aparece alguém que diz vir do banco recolher o cartão «comprometido», muitas vezes depois de o cliente ter dito o código ao telefone. Com o cartão e o código, o burlão faz levantamentos e pagamentos.
O art. 115.º, n.º 1, do RJSPME regula as perdas resultantes de um instrumento de pagamento perdido, furtado, roubado ou abusivamente apropriado. Em regra, o ordenante pode ter de suportar até 50 €. Com negligência grosseira, o limite sobe até ao saldo disponível ou à linha de crédito (n.º 4).
O momento da comunicação ao banco é decisivo. Depois de comunicar a apropriação abusiva do cartão, o ordenante não suporta quaisquer consequências financeiras da sua utilização, salvo atuação fraudulenta (art. 115.º, n.º 7). Ligue ao banco assim que perceber o que aconteceu, mesmo que o estafeta já tenha saído.
Nestes casos, o banco costuma alegar que o cliente entregou o cartão e revelou o código. A resposta depende dos factos de cada caso e dos elementos que o banco apresentar para demonstrar a negligência grosseira que alega (art. 113.º, n.º 4, do RJSPME).
Também aqui, o reembolso imediato é a regra: a alegação de negligência não dispensa o banco de reembolsar primeiro. A discussão sobre quem suporta a perda vem depois.
Se o banco não devolver o dinheiro
Resposta rápida: o banco não pode recusar o reembolso imediato só com base em negligência grosseira, segundo o TJUE (C-70/25). Pode reclamar ao banco, ao Banco de Portugal ou avançar para tribunal.
É frequente o banco responder, no vishing, que o cliente forneceu os códigos e que, por isso, não devolve. A 15 de outubro de 2026, o Tribunal de Justiça da União Europeia decidiu, no processo C-70/25, que essa alegação não permite recusar o reembolso imediato de uma operação não autorizada.
O banco pode, depois, tentar provar a negligência grosseira e reclamar as perdas. Mas tem de devolver primeiro. Como contestar uma recusa, com o ónus da prova, os juros de mora e as vias de reclamação, está explicado no guia sobre o que fazer quando o banco recusa devolver o dinheiro.
Aviso legal: este conteúdo é informativo e não substitui aconselhamento jurídico — cada caso depende de circunstâncias concretas que só podem ser avaliadas em consulta. A informação reflete o quadro legal à data da última revisão. Para analisar o seu caso, contacte a QUOR.
Ligaram-lhe do «banco»?
Diga-nos o que lhe pediram e dizemos-lhe se o banco tem de devolver.
Avaliações
A Dra. Maria e toda a equipa da QUOR foram sempre muito prestativas, responderam a todas as minhas dúvidas rapidamente e sempre me mantinham atualizada sobre o andamento do meu processo. Recomendo 100%!
Recomendo 100% este escritório para quem precisar de um advogado. Agradeço a Dra. Margarida e a Dra. Carolina por todo suporte durante o meu processo. Muito obrigada
A Quor Advogados prestou-me um excelente serviço relacionado com fiscalidade e relações internacionais. Foram, durante todo o processo, profissionais exemplares, competentes e inteiramente dedicados à minha causa, o que resultou no desfecho desejado. Não podia ter tido melhor apoio. Por tal, recomendo sem hesitações.
Equipa muito atenciosa, dedicada e transparente. Agilidade visto priorizarem o atendimento online. Agradecimentos à Dra. Margarida e Dra. Carolina. Recomendo
Recorremos à QUOR para nos aconselhar, tendo em conta a distância onde o processo se irá desenvolver, achamos por bem contratar alguém mais próximo da zona em questão. Após o primeiro aconselhamento com a Dra. Inês Azevedo, que se apercebeu que as nossas dúvidas não estariam no enquadramento da sua especialidade, prontamente nos encaminhou e bem, para a Dra Monica Martins. Ficamos sem dúvida, esclarecidas e convictas que escolhemos o melhor grupo para nos representar. A consulta online por videoconferência foi fácil e intuitiva, sem dúvida uma mais valia, que nos permite reduzir as nossas deslocações até ao estritamente necessário. Saliento o profissionalismo de toda a equipa e recomendo sem dúvida.
Perguntas frequentes
Não. O Banco de Portugal diz que um banco ou outro prestador de serviços de pagamento jamais pede credenciais de acesso ou códigos de autenticação de operações por email, SMS ou telefone. Um pedido destes é sinal de fraude.
Chama-se spoofing: os burlões copiam o número de telefone de entidades oficiais. O Banco de Portugal recomenda prudência mesmo quando o número parece legítimo e confirmação sempre pelos contactos oficiais do banco.
Se foi o burlão a fazer a operação, ela é não autorizada e o banco tem de reembolsar de imediato (art. 114.º do RJSPME). Depois, só fica com a perda do lado do cliente se provar negligência grosseira, o que depende do que o cliente fez.
Se foi o próprio titular a ordenar a transferência, a operação tende a ser tratada como autorizada, nos termos do art. 103.º do RJSPME, e o regime de reembolso dos arts. 114.º e 115.º deixa de ser o ponto de partida. O caminho passa pela queixa e pela recuperação dos fundos.
Deve comunicar logo que tenha conhecimento e sem atraso injustificado, e nunca depois de 13 meses a contar do débito, nos termos do art. 112.º, n.º 1, do RJSPME. No vishing, o ideal é ligar ao banco no próprio dia.
Sim. O Banco de Portugal recomenda que denuncie a fraude à PSP, à GNR, à PJ ou ao Ministério Público. A queixa não é condição do reembolso, mas ajuda a documentar o caso.
- Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME), aprovado pelo Decreto-Lei n.º 91/2018, de 12 de novembro, na versão consolidada:
- art. 2.º, alínea d) (autenticação forte);
- art. 103.º (consentimento);
- art. 104.º (autenticação);
- art. 110.º e art. 111.º (obrigações do utilizador e do banco);
- art. 112.º (comunicação);
- art. 113.º (prova);
- art. 114.º (reembolso);
- art. 115.º (responsabilidade do ordenante).
- Acórdão do Tribunal de Justiça da União Europeia de 15 de outubro de 2026, processo C-70/25 (Tukowiecka), ECLI:EU:C:2026:852.
- Acórdão do Tribunal da Relação de Guimarães de 30 de outubro de 2025, processo 1292/24.5T8VCT.G1.
- Acórdão do Tribunal da Relação de Lisboa de 5 de fevereiro de 2026, processo 6928/24.5T8LSB.L1-2.
- Acórdão do Tribunal da Relação de Lisboa de 13 de janeiro de 2026, processo 347/23.8T8CDN.L1-7.
- Banco de Portugal, «Recebeu um contacto, supostamente do seu banco, a pedir-lhe dados pessoais? Saiba o que fazer».
