 |
| Organização criminosa a operar em esquema estruturado de fraude bancária digital. |
Nota prévia: Decorrido
algum tempo desde a redacção inicial deste texto, considerou-se pertinente
proceder à sua revisão e actualização, tendo em conta as alterações legislativas
introduzidas e a evolução dos fenómenos associados à captação de dados bancários
e à fraude em pagamentos online.
Para facilitar a leitura, este artigo está organizado da seguinte forma:
1 – Introdução;
2 – Evolução da clonagem de cartões e da fraude em pagamentos eletrónicos;
3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital
(com exemplos práticos);
3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas
criminosas;
3.2 – Outras questões jurídicas relevantes;
4 – Conselhos práticos (actualizados para 2026);
5 – Nota final.
1 – Introdução
Actualmente, os pagamentos electrónicos deixaram de estar associados apenas
aos tradicionais cartões físicos.
Coexistem cartões com chip EMV (Europay, Mastercard e Visa), carteiras
digitais (Apple Pay, Google Pay, MB WAY), pagamentos por aproximação
(contactless), aplicações bancárias, autenticação forte do cliente (SCA –
Strong Customer Authentication), pagamentos instantâneos (ou transferências
imediatas) e credenciais armazenadas em plataformas digitais.
Esta evolução trouxe maior comodidade e segurança, mas também novas formas
de criminalidade. Enquanto há alguns anos predominavam a clonagem física de
cartões e a captação directa de dados magnéticos, actualmente os métodos mais
frequentes passam pela obtenção fraudulenta de credenciais bancárias, pela
engenharia social e pela apropriação ilícita de instrumentos de pagamento
electrónicos.
2 – Evolução da clonagem de
cartões e da fraude em pagamentos electrónicos
A expressão «clonagem de cartão»
continua a ser utilizada correntemente, mas já não descreve integralmente a
realidade actual. Nos cartões modernos com chip, a simples cópia dos dados
perdeu grande parte da eficácia. Os criminosos recorrem hoje, com maior
frequência, a:
→ Dispositivos de leitura ilícita (skimming em ATMs ou terminais POS; ou o shimming para chips); [1]
[1]
O skimming ataca a banda
magnética; o shimming ataca o chip
eletrónico.
→ Captura do PIN através de
câmaras ocultas ou teclados sobrepostos;
→ Utilização indevida de cartões
perdidos, furtados ou roubados em pagamentos contactless (com valores baixos);
→ Obtenção de credenciais para
associação do cartão a carteiras digitais (Apple Pay, Google Pay, MB Way);
→ Ataques a aplicações bancárias
(banking malware);
→ Engenharia social (vishing [2] ou smishing [3] – falsas chamadas do banco
ou suporte técnico);
[2] O vishing é
uma forma de phishing realizada
através de chamadas de voz. Nos casos mais sofisticados, a vítima recebe uma
chamada telefónica e, no ecrã do telemóvel, surge um número aparentemente legítimo,
graças a técnicas de caller ID spoofing, que permitem falsificar ou manipular a
identificação da chamada, fazendo-a parecer proveniente de um banco ou de uma
entidade oficial.
[3] O smishing é uma
junção das palavras SMS e phishing,
sendo uma variante do phishing
tradicional que utiliza mensagens de texto (SMS), serviços de mensagens instantâneas
(como WhatsApp, Telegram ou Messenger) ou notificações móveis para enganar as
vítimas e levá-las a fornecer dados pessoais ou financeiros.
→ Páginas falsas para validação
de pagamentos – cópias exactas de páginas de serviços legítimos (como bancos,
plataformas de entrega ou portais do governo);
→ Intercepção de códigos de
autenticação – ocorre quando os mecanismos de segurança de duplo fator (2FA),
como códigos enviados por SMS ou notificações push, são comprometidos em tempo
real;
→ Fraude por QR Code (Quishing) – QR Codes maliciosos que são
colocados em substituição de códigos legítimos (por exemplo, em faturas de
serviços, ou mesas de restaurantes), que redirecciona o utilizador para uma
página web falsa;
→ Malware em dispositivos móveis – através de download de aplicações
falsas (leitores de PDF, jogos, utilitários) ou actualização forçada por falsos
avisos de segurança.
O risco principal já não se
limita ao redireccionamento para páginas falsas ou ao phishing clássico. Hoje
predomina a combinação de técnicas informáticas (malware, exploração de
vulnerabilidades) e humanas (engenharia social) que exploram a confiança dos
utilizadores e a rapidez das transacções digitais.
 |
| Pessoa preocupada a consultar a aplicação bancária no smartphone após detectar uma operação não reconhecida. |
3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital
O Direito penal do cibercrime
sofreu alterações em Portugal, nomeadamente com a Lei n.º 79/2021, de 24 de Novembro,
que transpôs directivas europeias e reforçou o combate à criminalidade
informática, alterando o Código Penal (CP) e a Lei do Cibercrime (Lei n.º 109/2009,
de 15 de Setembro), doravante apenas denominada por LC.
Analisaremos, de seguida, os principais
tipos penais relevantes para clonagem de cartões, furto de credenciais e fraude
em pagamentos digitais à luz da mais recente doutrina e jurisprudência:
► Falsidade informática (art.º 3.º n.º 1 da LC);
O tipo legal pune, entre outras
condutas, quem introduza, modifique, apague ou suprima dados informáticos ou,
por qualquer outra forma, interfira num tratamento informático de dados,
produzindo dados ou documentos não genuínos, com a intenção de que sejam
considerados ou utilizados para finalidades juridicamente relevantes como se
fossem genuínos.
→ Pena de prisão até 5
anos ou multa.
Exemplo: Uma das formas de execução que pode preencher este tipo de
crime é o phishing, quando alguém
cria páginas na internet imitadas ou copiadas de sites oficiais, designadamente
de bancos, com a finalidade de obter informações bancárias ou outras
informações confidenciais através da indução da vítima em erro.
► Contrafacção de cartões ou dispositivos de pagamento (art.º 3.º-A da LC);
Pune quem, com intenção de
provocar engano nas relações jurídicas, contrafizer cartão de pagamento (físico
ou virtual) ou outro dispositivo que permita acesso a sistema/meio de
pagamento, nomeadamente introduzindo, modificando, apagando ou interferindo em
dados registados/incorporados.
→ Pena de prisão de 3
a 12 anos.
Exemplo: Alguém cria um cartão de crédito falso, reproduzindo os dados de um cartão legítimo, ou reproduz digitalmente esses dados para utilizar o cartão através de uma carteira electrónica (emulação digital).
Neste art.º 3.º-A, a actuação
criminosa incide directamente sobre o próprio meio ou dispositivo de pagamento,
o que o distingue do art.º 3.º (falsidade informática), em que a actuação incide
sobre os dados ou sobre o tratamento informático que produz uma realidade não
genuína. [4]
[4] Antes da entrada em vigor da Lei n.º 79/2021, de 24 de Novembro,
a contrafacção de um cartão de crédito mediante a utilização de dados de
pagamento obtidos por clonagem podia integrar a prática do crime de contrafação
de moeda, p. e p. pelos art.ºs 262.º n.º 1 e 267.º n.º 1 al.ª c), do CP, na redação então vigente.
► Uso de cartões ou dispositivos
contrafeitos (art.º 3.º-B da LC);
Pune quem usa intencionalmente
cartão/dispositivo contrafeito para obter benefício ou causar prejuízo.
→ Pena de prisão de 1
a 5 anos (agravada para 2 a 8 anos se houver prejuízo/benefício
consideravelmente elevado; ou para 3 a 12 anos em caso de concerto com o agente
da contrafacção).
Exemplo: Alguém utiliza, conscientemente, um cartão clonado em
terminais POS, ATM ou pagamentos contactless.
► Aquisição, detenção,
transmissão ou disponibilização de cartões ou dispositivos contrafeitos e
determinados actos preparatórios destinados à sua contrafacção (art.ºs 3.º-C e
3.º-D da LC);
→ Pena de prisão de 1
a 5 anos.
Exemplos:
- Art.º 3.º-C – Alguém adquire,
na dark web, cinco cartões de
pagamento contrafeitos, sabendo que são falsos e pretendendo utilizá-los
posteriormente para efectuar compras ou transmiti-los a terceiros.
- Art.º 3.º-D – Alguém adquire e
guarda um equipamento de leitura e gravação de dados, juntamente com software e
dados informáticos, com o propósito de os utilizar para produzir cartões de
pagamento contrafeitos.
► Aquisição/detenção/transmissão
de cartões ou dados obtidos mediante crimes informáticos (ex.: acesso ilegítimo
ou intercepção ilegítima), art.º 3.º-E da LC.
→ Pena de 1 a 5 anos
de prisão.
Este art.º 3.º-E distingue-se do art.º 3.º-C pois naquele os dados ou o dispositivo podem ser perfeitamente
verdadeiros e genuínos. O que é ilícito é o facto de terem sido obtidos através
de crime informático e, posteriormente, serem adquiridos, detidos, transmitidos
ou disponibilizados com intenção de causar prejuízo ou obter um benefício
ilegítimo.
Exemplo: Alguém compra/vende na dark web “dumps” de cartões
(números, validade, CVV) obtidos por skimming, phishing.
► Acesso ilegítimo (art.º 6.º da
LC);
Pune o acesso, sem autorização ou
contra a vontade de quem tem legitimidade para o conceder, a um sistema
informático ou a parte dele.
→ Pena de prisão até 1
ano ou multa.
Exemplo: Alguém obtem as
credenciais de acesso ao serviço de homebanking
de outrém, e, sem autorização deste, utiliza o nome de utilizador e a
palavra-passe para entrar na conta bancária e consultar os movimentos e o
saldo.
► Burla informática e nas
comunicações (art.º 221.º n.º 1 do CP);
Este é um tipo de crime central e
de grande aplicação prática.
Pune quem, com intenção de
enriquecimento ilegítimo, causa prejuízo patrimonial mediante interferência no
tratamento de dados, utilização não autorizada de dados ou qualquer intervenção
não autorizada no processamento.
→ Pena de prisão até 3
anos ou multa (com agravações).
Exemplo: Alguém obtém, através de uma página bancária falsa (crime
de falsidade informática), as credenciais de acesso da vítima. De seguida,
entra na sua conta de homebanking (crime de acesso ilegítimo) e ordena uma
transferência para uma “conta mula” controlada por um cúmplice ou por uma pessoa ingénua (que acredita estar a realizar um trabalho legítimo) ou para contas bancárias
de cidadãos que foram alvo de "pirataria informática" (contas fantasma).
► Abuso de cartão ou outro meio
de pagamento (art.º 225.º do CP);
Pune a utilização abusiva de um
cartão ou outro meio de pagamento alheio, ou determinados dados associados a
esse meio, sem autorização e com intenção de obter uma vantagem patrimonial.
→ Pena de prisão até 3 anos ou multa (também com agravações).
Exemplo: Alguém encontra um cartão
bancário e, sem autorização do titular e sabendo que não tem legitimidade para
o utilizar, realiza vários pagamentos contactless de pequeno valor.
► Associação criminosa (art.º 299.º do CP);
Pune a promoção, fundação,
participação ou apoio a uma associação de duas ou mais pessoas que tenha por
finalidade a prática de crimes.
→ Pena de prisão de 1 a 5 anos para
quem promover, fundar, participar ou apoiar a associação criminosa. As penas
podem ser mais elevadas para quem chefiar ou dirigir a associação.
Exemplo: Três indivíduos organizam-se de
forma estável para praticar fraudes bancárias: um obtém as credenciais das
vítimas, outro acede às contas e ordena transferências e um terceiro
disponibiliza contas para receber e movimentar os valores obtidos.
► Branqueamento (art.º 368.º-A do
CP);
Pune a ocultação, dissimulação,
conversão, transferência, aquisição, detenção ou utilização de vantagens
provenientes de atividade criminosa, com conhecimento dessa origem.
→ A pena pode atingir 12 anos de
prisão.
Exemplo: Depois de obter dinheiro
através de transferências bancárias fraudulentas, alguém faz circular os
valores por várias contas, converte parte em criptomoedas e utiliza o
restante na aquisição de bens de elevado valor, procurando ocultar a origem
criminosa do dinheiro.
3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas criminosas
 |
| Representação esquemática dos diferentes momentos de uma cadeia de fraude bancária digital, desde o acesso por falsa página até à dispersão de fundos. |
Uma mesma operação de fraude
digital pode envolver uma sucessão de comportamentos autónomos, cada um deles
suscetível de preencher um diferente tipo legal de crime.
A jurisprudência tem entendido
que a circunstância de determinados crimes serem praticados como meio de
execução de outros não determina, por si só, a existência de concurso aparente.
A solução deve ser encontrada, designadamente, através da análise dos bens
jurídicos protegidos por cada norma incriminadora.
Imagine-se, por exemplo, uma
organização criminosa que desenvolve a seguinte atividade:
1 – Falsidade informática (art.º 3.º da LC): um dos membros cria
uma página de homebanking falsa, apresentada como genuína, destinada a induzir
os utilizadores a introduzir as suas credenciais;
2 – Acesso ilegítimo (art.º 6.º da LC): utilizando as credenciais
assim obtidas, outro membro entra, sem autorização, nas contas bancárias das
vítimas;
3 – Aquisição, detenção ou transmissão de dados obtidos mediante crime
informático (art.º 3.º-E da LC): os dados bancários obtidos são
armazenados, vendidos ou transmitidos a outros membros do grupo;
4 – Contrafação de cartão ou dispositivo de pagamento (art.º 3.º-A
da LC): utilizando determinados dados obtidos ilicitamente, um dos agentes cria
um cartão ou outro dispositivo de pagamento contrafeito;
5 – Uso de dispositivo contrafeito (art.º 3.º-B da LC): outro
membro, conhecendo a sua natureza falsa, utiliza-o para realizar pagamentos ou
obter bens;
6 – Burla informática (art.º 221.º do CP): os agentes utilizam
credenciais obtidas ilicitamente para ordenar transferências não autorizadas
das contas das vítimas para contas controladas pelo grupo;
7 – Associação criminosa (art.º 299.º do CP): os agentes actuam no
âmbito de uma estrutura estável, organizada e duradoura, com divisão de tarefas
e finalidade de praticar crimes;
8 – Branqueamento (art.º 368.º-A do CP): os valores obtidos são
posteriormente transferidos por várias contas, convertidos em criptoativos ou
utilizados na aquisição de bens de elevado valor, com o propósito de ocultar ou
dissimular a sua origem criminosa.
Em operações de fraude digital
complexas e organizadas, a prática reiterada dos tribunais é a de aplicar
concurso efectivo entre falsidade informática, acesso ilegítimo, contrafacção e
uso de dispositivos de pagamento, burla informática, associação criminosa e
branqueamento. [5]
[5] Neste sentido, sugiro a leitura, v. g., do Acórdão do
TRL de 15/07/2024, proc. n.º 670/20.3JGLSB.L1-3, rel. Cristina Almeida e Sousa,
acedido e consultado AQUI em 25/07/2026. Também, relativamente ao mesmo
processo, o Acórdão do STJ de 09/04/2025, rel. António Manso, acedido e consultado
AQUI também em 25/07/2026.
3.2 – Outras questões
jurídicas relevantes
1.ª – Responsabilidade das instituições bancárias e reembolso
Nos termos do Regime Jurídico dos
Serviços de Pagamento e da Moeda Eletrónica, em anexo ao Decreto-Lei n.º 91/2018, de 12 de Novembro, as instituições bancárias devem reembolsar de
imediato as operações de pagamento não autorizadas (art.º 114.º n.º 1), o mais
tardar até ao final do primeiro dia útil seguinte à comunicação.
O utilizador apenas responde, em
regra, até ao máximo de 50 € (art.º 115.º n.º 1), salvo se tiver agido com
dolo, fraude ou negligência grosseira, casos em que pode suportar a totalidade das
perdas.
O ónus da prova da autenticação e
da ausência de falha técnica cabe ao banco (art.º 113.º n.º 1). A operação deve
ser comunicada sem atraso injustificado e, no máximo, no prazo de 13 meses
(art.º 112.º n.º 1).
2.ª – A causa de exclusão da punibilidade
("white-hat hackers"):
Com o Decreto-Lei n.º 125/2025,
foi aditado o art.º 8.º-A à Lei do Cibercrime, que consagra uma causa de
exclusão da punibilidade para investigadores de segurança ou especialistas que
acedam a sistemas exclusivamente com a intenção de identificar vulnerabilidades
para reforçar o ciberespaço, desde que cumpridos rigores estritos de
comunicação imediata às autoridades e ausência de intuitos lucrativos.
4 – Conselhos Práticos (actualizados para 2026)
► Nunca forneça dados, códigos ou credenciais por telefone, SMS
ou e-mail (contacte sempre o banco pelos canais oficiais);
► Mantenha o cartão à vista em
pagamentos presenciais e desconfie de terminais suspeitos ou repetições de
operações;
► Nas caixas multibanco:
inspeccione o terminal (teclado solto, sobreposições, câmaras), evite locais
isolados e marque o PIN discretamente;
► Use limites baixos para
pagamentos contactless, active alertas em tempo real sempre que houver
movimentos na conta (notificações push/SMS) e, sempre que possível, prefira
carteiras digitais que não partilham diretamente o número real do cartão em
cada pagamento (tokenizadas);
► Para compras online: confirme o
endereço do site antes de introduzir os seus dados, aceda às lojas através de
links oficiais ou favoritos guardados e active a autenticação multifactor (o
famoso MFA ou 2FA), de preferência através da aplicação do banco ou de
biometria. Sempre que possível, use cartões virtuais descartáveis ou com
limites de utilização;
► Ative o 3D Secure (muitas vezes
aparece com nomes como Verified by Visa ou Mastercard Identity Check) e confirme
sempre na aplicação bancária;
► Desconfie de chamadas ou
mensagens que lhe peçam códigos “para anular uma fraude” ou aleguem problemas
com a sua conta. Desligue e contacte o banco através do número oficial, nunca
através do número que o contactou.
► Evite aceder a contas bancárias
em Wi-Fi públicas sem VPN;
► Mantenha sistema operativo,
browser, aplicações bancárias e antivírus sempre atualizados;
► Verifique cuidadosamente IBAN,
comerciante e montante antes de confirmar qualquer operação;
► Consulte extratos diariamente e
utilize a funcionalidade de “bloqueio temporário” em caso de suspeita (mais
rápido que cancelar o cartão).
5 – Nota Final
A prevenção continua a ser o
mecanismo mais eficaz de combate a este tipo de criminalidade. A tecnologia e as
ameaças evoluem rapidamente. Mantenha-se sempre informado através de fontes
oficiais (Banco de Portugal, Polícias, DECO, etc.).
Se for vítima, guarde
screenshots, registos de chamadas e mensagens, e apresente queixa de imediato.
A rapidez da participação é, muitas vezes, decisiva para bloquear transferências
e recuperar valores.
Se gostou deste artigo, sugerimos
também a leitura de outros temas no nosso blogue:
→ Alguém está a viver a sua vida? O rasto invisível do furto de identidade.
Uma análise jurídica e prática
sobre o impacto do "roubo" de dados pessoais e a usurpação de identidade na era
digital.
→ «O Cartão de Cidadão não sai da
minha mão»: o que significa realmente ser “pessoal e intransmissível”?
Descubra os limites legais da
retenção, cópia e solicitação de documentos de identificação em Portugal.
→ A Polícia e o Direito à Imagem/Palavra
Um enquadramento legal detalhado
sobre o registo em vídeo/fotografia de agentes de autoridade no exercício de
funções.
Aproveite para deixar um comentário sobre o artigo que acabou de ler e, se achar que pode ser útil a outras pessoas, partilhe-o. ↓ ↓
__________________________________________________________
AVISO: Todo o conteúdo deste texto encontra-se protegido por Direitos de Autor, sendo expressamente proibida a sua cópia, reprodução, difusão ou transmissão, utilização, modificação, venda, publicação, distribuição ou qualquer outro uso, total ou parcial, comercial ou não comercial, quaisquer que sejam os meios utilizados, salvo, com a concordância do seu autor, Paulo Alexandre Fernandes Soares, ou então, desde que claramente identificada a sua origem, ao abrigo do direito de citação.