Clonagem de cartões bancários e fraude digital: enquadramento legal e prevenção

Organização criminosa a operar em esquema estruturado de fraude bancária digital.

Nota prévia: Decorrido algum tempo desde a redacção inicial deste texto, considerou-se pertinente proceder à sua revisão e actualização, tendo em conta as alterações legislativas introduzidas e a evolução dos fenómenos associados à captação de dados bancários e à fraude em pagamentos online. 

    Para facilitar a leitura, este artigo está organizado da seguinte forma: 

1 – Introdução;

2 – Evolução da clonagem de cartões e da fraude em pagamentos eletrónicos;

3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital (com exemplos práticos);

3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas criminosas;

3.2 – Outras questões jurídicas relevantes;

4 – Conselhos práticos (actualizados para 2026);

5 – Nota final.

 

1 – Introdução 

    Actualmente, os pagamentos electrónicos deixaram de estar associados apenas aos tradicionais cartões físicos. 

    Coexistem cartões com chip EMV (Europay, Mastercard e Visa), carteiras digitais (Apple Pay, Google Pay, MB WAY), pagamentos por aproximação (contactless), aplicações bancárias, autenticação forte do cliente (SCA – Strong Customer Authentication), pagamentos instantâneos (ou transferências imediatas) e credenciais armazenadas em plataformas digitais. 

    Esta evolução trouxe maior comodidade e segurança, mas também novas formas de criminalidade. Enquanto há alguns anos predominavam a clonagem física de cartões e a captação directa de dados magnéticos, actualmente os métodos mais frequentes passam pela obtenção fraudulenta de credenciais bancárias, pela engenharia social e pela apropriação ilícita de instrumentos de pagamento electrónicos.

 

2 – Evolução da clonagem de cartões e da fraude em pagamentos electrónicos 

    A expressão «clonagem de cartão» continua a ser utilizada correntemente, mas já não descreve integralmente a realidade actual. Nos cartões modernos com chip, a simples cópia dos dados perdeu grande parte da eficácia. Os criminosos recorrem hoje, com maior frequência, a: 

→ Dispositivos de leitura ilícita (skimming em ATMs ou terminais POS; ou o shimming para chips); [1] 

[1] O skimming ataca a banda magnética; o shimming ataca o chip eletrónico. 

→ Captura do PIN através de câmaras ocultas ou teclados sobrepostos; 

→ Utilização indevida de cartões perdidos, furtados ou roubados em pagamentos contactless (com valores baixos); 

→ Obtenção de credenciais para associação do cartão a carteiras digitais (Apple Pay, Google Pay, MB Way); 

→ Ataques a aplicações bancárias (banking malware); 

→ Engenharia social (vishing [2] ou smishing [3] – falsas chamadas do banco ou suporte técnico);

[2] O vishing é uma forma de phishing realizada através de chamadas de voz. Nos casos mais sofisticados, a vítima recebe uma chamada telefónica e, no ecrã do telemóvel, surge um número aparentemente legítimo, graças a técnicas de caller ID spoofing, que permitem falsificar ou manipular a identificação da chamada, fazendo-a parecer proveniente de um banco ou de uma entidade oficial. 

[3] O smishing é uma junção das palavras SMS e phishing, sendo uma variante do phishing tradicional que utiliza mensagens de texto (SMS), serviços de mensagens instantâneas (como WhatsApp, Telegram ou Messenger) ou notificações móveis para enganar as vítimas e levá-las a fornecer dados pessoais ou financeiros. 

→ Páginas falsas para validação de pagamentos – cópias exactas de páginas de serviços legítimos (como bancos, plataformas de entrega ou portais do governo); 

→ Intercepção de códigos de autenticação – ocorre quando os mecanismos de segurança de duplo fator (2FA), como códigos enviados por SMS ou notificações push, são comprometidos em tempo real; 

→ Fraude por QR Code (Quishing) – QR Codes maliciosos que são colocados em substituição de códigos legítimos (por exemplo, em faturas de serviços, ou mesas de restaurantes), que redirecciona o utilizador para uma página web falsa; 

→ Malware em dispositivos móveis – através de download de aplicações falsas (leitores de PDF, jogos, utilitários) ou actualização forçada por falsos avisos de segurança. 

    O risco principal já não se limita ao redireccionamento para páginas falsas ou ao phishing clássico. Hoje predomina a combinação de técnicas informáticas (malware, exploração de vulnerabilidades) e humanas (engenharia social) que exploram a confiança dos utilizadores e a rapidez das transacções digitais.

Pessoa preocupada a consultar a aplicação bancária no smartphone após detectar uma operação não reconhecida.

3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital 

    O Direito penal do cibercrime sofreu alterações em Portugal, nomeadamente com a Lei n.º 79/2021, de 24 de Novembro, que transpôs directivas europeias e reforçou o combate à criminalidade informática, alterando o Código Penal (CP) e a Lei do Cibercrime (Lei n.º 109/2009, de 15 de Setembro), doravante apenas denominada por LC.

    Analisaremos, de seguida, os principais tipos penais relevantes para clonagem de cartões, furto de credenciais e fraude em pagamentos digitais à luz da mais recente doutrina e jurisprudência: 

► Falsidade informática (art.º 3.º n.º 1 da LC); 

    O tipo legal pune, entre outras condutas, quem introduza, modifique, apague ou suprima dados informáticos ou, por qualquer outra forma, interfira num tratamento informático de dados, produzindo dados ou documentos não genuínos, com a intenção de que sejam considerados ou utilizados para finalidades juridicamente relevantes como se fossem genuínos. 

→ Pena de prisão até 5 anos ou multa. 

Exemplo: Uma das formas de execução que pode preencher este tipo de crime é o phishing, quando alguém cria páginas na internet imitadas ou copiadas de sites oficiais, designadamente de bancos, com a finalidade de obter informações bancárias ou outras informações confidenciais através da indução da vítima em erro. 

► Contrafacção de cartões ou dispositivos de pagamento (art.º 3.º-A da LC); 

    Pune quem, com intenção de provocar engano nas relações jurídicas, contrafizer cartão de pagamento (físico ou virtual) ou outro dispositivo que permita acesso a sistema/meio de pagamento, nomeadamente introduzindo, modificando, apagando ou interferindo em dados registados/incorporados.

→ Pena de prisão de 3 a 12 anos. 

Exemplo: Alguém cria um cartão de crédito falso, reproduzindo os dados de um cartão legítimo, ou reproduz digitalmente esses dados para utilizar o cartão através de uma carteira electrónica (emulação digital).

Neste art.º 3.º-A, a actuação criminosa incide directamente sobre o próprio meio ou dispositivo de pagamento, o que o distingue do art.º 3.º (falsidade informática), em que a actuação incide sobre os dados ou sobre o tratamento informático que produz uma realidade não genuína. [4] 

[4] Antes da entrada em vigor da Lei n.º 79/2021, de 24 de Novembro, a contrafacção de um cartão de crédito mediante a utilização de dados de pagamento obtidos por clonagem podia integrar a prática do crime de contrafação de moeda, p. e  p. pelos art.ºs 262.º n.º 1 e 267.º n.º 1 al.ª c), do CP, na redação então vigente. 

► Uso de cartões ou dispositivos contrafeitos (art.º 3.º-B da LC); 

    Pune quem usa intencionalmente cartão/dispositivo contrafeito para obter benefício ou causar prejuízo.

→ Pena de prisão de 1 a 5 anos (agravada para 2 a 8 anos se houver prejuízo/benefício consideravelmente elevado; ou para 3 a 12 anos em caso de concerto com o agente da contrafacção). 

Exemplo: Alguém utiliza, conscientemente, um cartão clonado em terminais POS, ATM ou pagamentos contactless.  

► Aquisição, detenção, transmissão ou disponibilização de cartões ou dispositivos contrafeitos e determinados actos preparatórios destinados à sua contrafacção (art.ºs 3.º-C e 3.º-D da LC); 

→ Pena de prisão de 1 a 5 anos. 

Exemplos: 

- Art.º 3.º-C – Alguém adquire, na dark web, cinco cartões de pagamento contrafeitos, sabendo que são falsos e pretendendo utilizá-los posteriormente para efectuar compras ou transmiti-los a terceiros.

- Art.º 3.º-D – Alguém adquire e guarda um equipamento de leitura e gravação de dados, juntamente com software e dados informáticos, com o propósito de os utilizar para produzir cartões de pagamento contrafeitos. 

► Aquisição/detenção/transmissão de cartões ou dados obtidos mediante crimes informáticos (ex.: acesso ilegítimo ou intercepção ilegítima), art.º 3.º-E da LC. 

→ Pena de 1 a 5 anos de prisão. 

Este art.º 3.º-E distingue-se do art.º 3.º-C pois naquele os dados ou o dispositivo podem ser perfeitamente verdadeiros e genuínos. O que é ilícito é o facto de terem sido obtidos através de crime informático e, posteriormente, serem adquiridos, detidos, transmitidos ou disponibilizados com intenção de causar prejuízo ou obter um benefício ilegítimo. 

Exemplo: Alguém compra/vende na dark web “dumps” de cartões (números, validade, CVV) obtidos por skimming, phishing. 

► Acesso ilegítimo (art.º 6.º da LC); 

    Pune o acesso, sem autorização ou contra a vontade de quem tem legitimidade para o conceder, a um sistema informático ou a parte dele.

→ Pena de prisão até 1 ano ou multa. 

Exemplo: Alguém obtem as credenciais de acesso ao serviço de homebanking de outrém, e, sem autorização deste, utiliza o nome de utilizador e a palavra-passe para entrar na conta bancária e consultar os movimentos e o saldo. 

► Burla informática e nas comunicações (art.º 221.º n.º 1 do CP); 

    Este é um tipo de crime central e de grande aplicação prática.

    Pune quem, com intenção de enriquecimento ilegítimo, causa prejuízo patrimonial mediante interferência no tratamento de dados, utilização não autorizada de dados ou qualquer intervenção não autorizada no processamento.

→ Pena de prisão até 3 anos ou multa (com agravações). 

Exemplo: Alguém obtém, através de uma página bancária falsa (crime de falsidade informática), as credenciais de acesso da vítima. De seguida, entra na sua conta de homebanking (crime de acesso ilegítimo) e ordena uma transferência para uma “conta mula” controlada por um cúmplice ou por uma pessoa ingénua (que acredita estar a realizar um trabalho legítimo) ou para contas bancárias de cidadãos que foram alvo de "pirataria informática" (contas fantasma). 

► Abuso de cartão ou outro meio de pagamento (art.º 225.º do CP); 

    Pune a utilização abusiva de um cartão ou outro meio de pagamento alheio, ou determinados dados associados a esse meio, sem autorização e com intenção de obter uma vantagem patrimonial.

→ Pena de prisão até 3 anos ou multa (também com agravações). 

Exemplo: Alguém encontra um cartão bancário e, sem autorização do titular e sabendo que não tem legitimidade para o utilizar, realiza vários pagamentos contactless de pequeno valor. 

► Associação criminosa (art.º 299.º do CP); 

    Pune a promoção, fundação, participação ou apoio a uma associação de duas ou mais pessoas que tenha por finalidade a prática de crimes.

→ Pena de prisão de 1 a 5 anos para quem promover, fundar, participar ou apoiar a associação criminosa. As penas podem ser mais elevadas para quem chefiar ou dirigir a associação. 

Exemplo: Três indivíduos organizam-se de forma estável para praticar fraudes bancárias: um obtém as credenciais das vítimas, outro acede às contas e ordena transferências e um terceiro disponibiliza contas para receber e movimentar os valores obtidos. 

► Branqueamento (art.º 368.º-A do CP); 

    Pune a ocultação, dissimulação, conversão, transferência, aquisição, detenção ou utilização de vantagens provenientes de atividade criminosa, com conhecimento dessa origem.

→ A pena pode atingir 12 anos de prisão. 

Exemplo: Depois de obter dinheiro através de transferências bancárias fraudulentas, alguém faz circular os valores por várias contas, converte parte em criptomoedas e utiliza o restante na aquisição de bens de elevado valor, procurando ocultar a origem criminosa do dinheiro.

 

 3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas criminosas

Representação esquemática dos diferentes momentos de uma cadeia de fraude bancária digital, desde o acesso por falsa página até à dispersão de fundos.

    Uma mesma operação de fraude digital pode envolver uma sucessão de comportamentos autónomos, cada um deles suscetível de preencher um diferente tipo legal de crime. 

    A jurisprudência tem entendido que a circunstância de determinados crimes serem praticados como meio de execução de outros não determina, por si só, a existência de concurso aparente. A solução deve ser encontrada, designadamente, através da análise dos bens jurídicos protegidos por cada norma incriminadora. 

    Imagine-se, por exemplo, uma organização criminosa que desenvolve a seguinte atividade: 

1 – Falsidade informática (art.º 3.º da LC): um dos membros cria uma página de homebanking falsa, apresentada como genuína, destinada a induzir os utilizadores a introduzir as suas credenciais; 

2 – Acesso ilegítimo (art.º 6.º da LC): utilizando as credenciais assim obtidas, outro membro entra, sem autorização, nas contas bancárias das vítimas; 

3 – Aquisição, detenção ou transmissão de dados obtidos mediante crime informático (art.º 3.º-E da LC): os dados bancários obtidos são armazenados, vendidos ou transmitidos a outros membros do grupo; 

4 – Contrafação de cartão ou dispositivo de pagamento (art.º 3.º-A da LC): utilizando determinados dados obtidos ilicitamente, um dos agentes cria um cartão ou outro dispositivo de pagamento contrafeito; 

5 – Uso de dispositivo contrafeito (art.º 3.º-B da LC): outro membro, conhecendo a sua natureza falsa, utiliza-o para realizar pagamentos ou obter bens; 

6 – Burla informática (art.º 221.º do CP): os agentes utilizam credenciais obtidas ilicitamente para ordenar transferências não autorizadas das contas das vítimas para contas controladas pelo grupo; 

7 – Associação criminosa (art.º 299.º do CP): os agentes actuam no âmbito de uma estrutura estável, organizada e duradoura, com divisão de tarefas e finalidade de praticar crimes; 

8 – Branqueamento (art.º 368.º-A do CP): os valores obtidos são posteriormente transferidos por várias contas, convertidos em criptoativos ou utilizados na aquisição de bens de elevado valor, com o propósito de ocultar ou dissimular a sua origem criminosa. 

    Em operações de fraude digital complexas e organizadas, a prática reiterada dos tribunais é a de aplicar concurso efectivo entre falsidade informática, acesso ilegítimo, contrafacção e uso de dispositivos de pagamento, burla informática, associação criminosa e branqueamento. [5] 

[5] Neste sentido, sugiro a leitura, v. g., do Acórdão do TRL de 15/07/2024, proc. n.º 670/20.3JGLSB.L1-3, rel. Cristina Almeida e Sousa, acedido e consultado AQUI em 25/07/2026. Também, relativamente ao mesmo processo, o Acórdão do STJ de 09/04/2025, rel. António Manso, acedido e consultado AQUI também em 25/07/2026. 

 

3.2 – Outras questões jurídicas relevantes 

1.ª – Responsabilidade das instituições bancárias e reembolso 

Nos termos do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, em anexo ao Decreto-Lei n.º 91/2018, de 12 de Novembro, as instituições bancárias devem reembolsar de imediato as operações de pagamento não autorizadas (art.º 114.º n.º 1), o mais tardar até ao final do primeiro dia útil seguinte à comunicação. 

O utilizador apenas responde, em regra, até ao máximo de 50 € (art.º 115.º n.º 1), salvo se tiver agido com dolo, fraude ou negligência grosseira, casos em que pode suportar a totalidade das perdas. 

O ónus da prova da autenticação e da ausência de falha técnica cabe ao banco (art.º 113.º n.º 1). A operação deve ser comunicada sem atraso injustificado e, no máximo, no prazo de 13 meses (art.º 112.º n.º 1). 

2.ª – A causa de exclusão da punibilidade ("white-hat hackers"): 

Com o Decreto-Lei n.º 125/2025, foi aditado o art.º 8.º-A à Lei do Cibercrime, que consagra uma causa de exclusão da punibilidade para investigadores de segurança ou especialistas que acedam a sistemas exclusivamente com a intenção de identificar vulnerabilidades para reforçar o ciberespaço, desde que cumpridos rigores estritos de comunicação imediata às autoridades e ausência de intuitos lucrativos. 

 

4 – Conselhos Práticos (actualizados para 2026) 

► Nunca forneça dados, códigos ou credenciais por telefone, SMS ou e-mail (contacte sempre o banco pelos canais oficiais); 

► Mantenha o cartão à vista em pagamentos presenciais e desconfie de terminais suspeitos ou repetições de operações; 

► Nas caixas multibanco: inspeccione o terminal (teclado solto, sobreposições, câmaras), evite locais isolados e marque o PIN discretamente; 

► Use limites baixos para pagamentos contactless, active alertas em tempo real sempre que houver movimentos na conta (notificações push/SMS) e, sempre que possível, prefira carteiras digitais que não partilham diretamente o número real do cartão em cada pagamento (tokenizadas); 

► Para compras online: confirme o endereço do site antes de introduzir os seus dados, aceda às lojas através de links oficiais ou favoritos guardados e active a autenticação multifactor (o famoso MFA ou 2FA), de preferência através da aplicação do banco ou de biometria. Sempre que possível, use cartões virtuais descartáveis ou com limites de utilização; 

► Ative o 3D Secure (muitas vezes aparece com nomes como Verified by Visa ou Mastercard Identity Check) e confirme sempre na aplicação bancária; 

► Desconfie de chamadas ou mensagens que lhe peçam códigos “para anular uma fraude” ou aleguem problemas com a sua conta. Desligue e contacte o banco através do número oficial, nunca através do número que o contactou. 

► Evite aceder a contas bancárias em Wi-Fi públicas sem VPN; 

► Mantenha sistema operativo, browser, aplicações bancárias e antivírus sempre atualizados; 

► Verifique cuidadosamente IBAN, comerciante e montante antes de confirmar qualquer operação; 

► Consulte extratos diariamente e utilize a funcionalidade de “bloqueio temporário” em caso de suspeita (mais rápido que cancelar o cartão). 

 

5 – Nota Final 

    A prevenção continua a ser o mecanismo mais eficaz de combate a este tipo de criminalidade. A tecnologia e as ameaças evoluem rapidamente. Mantenha-se sempre informado através de fontes oficiais (Banco de Portugal, Polícias, DECO, etc.). 

    Se for vítima, guarde screenshots, registos de chamadas e mensagens, e apresente queixa de imediato. A rapidez da participação é, muitas vezes, decisiva para bloquear transferências e recuperar valores.

Aproveite para deixar um comentário sobre o artigo que acabou de ler e, se achar que pode ser útil a outras pessoas, partilhe-o.  ↓ ↓

__________________________________________________________
AVISO: Todo o conteúdo deste texto encontra-se protegido por Direitos de Autor, sendo expressamente proibida a sua cópia, reprodução, difusão ou transmissão, utilização, modificação, venda, publicação, distribuição ou qualquer outro uso, total ou parcial, comercial ou não comercial, quaisquer que sejam os meios utilizados, salvo, com a concordância do seu autor, Paulo Alexandre Fernandes Soares, ou então, desde que claramente identificada a sua origem, ao abrigo do direito de citação.