Clonagem de cartões bancários e fraude digital: enquadramento legal e prevenção

Organização criminosa a operar em esquema estruturado de fraude bancária digital.

Nota prévia: Decorrido algum tempo desde a redacção inicial deste texto, considerou-se pertinente proceder à sua revisão e actualização, tendo em conta as alterações legislativas introduzidas e a evolução dos fenómenos associados à captação de dados bancários e à fraude em pagamentos online. 

    Para facilitar a leitura, este artigo está organizado da seguinte forma: 

1 – Introdução;

2 – Evolução da clonagem de cartões e da fraude em pagamentos eletrónicos;

3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital (com exemplos práticos);

3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas criminosas;

3.2 – Outras questões jurídicas relevantes;

4 – Conselhos práticos (actualizados para 2026);

5 – Nota final.

 

1 – Introdução 

    Actualmente, os pagamentos electrónicos deixaram de estar associados apenas aos tradicionais cartões físicos. 

    Coexistem cartões com chip EMV (Europay, Mastercard e Visa), carteiras digitais (Apple Pay, Google Pay, MB WAY), pagamentos por aproximação (contactless), aplicações bancárias, autenticação forte do cliente (SCA – Strong Customer Authentication), pagamentos instantâneos (ou transferências imediatas) e credenciais armazenadas em plataformas digitais. 

    Esta evolução trouxe maior comodidade e segurança, mas também novas formas de criminalidade. Enquanto há alguns anos predominavam a clonagem física de cartões e a captação directa de dados magnéticos, actualmente os métodos mais frequentes passam pela obtenção fraudulenta de credenciais bancárias, pela engenharia social e pela apropriação ilícita de instrumentos de pagamento electrónicos.

 

2 – Evolução da clonagem de cartões e da fraude em pagamentos electrónicos 

    A expressão «clonagem de cartão» continua a ser utilizada correntemente, mas já não descreve integralmente a realidade actual. Nos cartões modernos com chip, a simples cópia dos dados perdeu grande parte da eficácia. Os criminosos recorrem hoje, com maior frequência, a: 

→ Dispositivos de leitura ilícita (skimming em ATMs ou terminais POS; ou o shimming para chips); [1] 

[1] O skimming ataca a banda magnética; o shimming ataca o chip eletrónico. 

→ Captura do PIN através de câmaras ocultas ou teclados sobrepostos; 

→ Utilização indevida de cartões perdidos, furtados ou roubados em pagamentos contactless (com valores baixos); 

→ Obtenção de credenciais para associação do cartão a carteiras digitais (Apple Pay, Google Pay, MB Way); 

→ Ataques a aplicações bancárias (banking malware); 

→ Engenharia social (vishing [2] ou smishing [3] – falsas chamadas do banco ou suporte técnico);

[2] O vishing é uma forma de phishing realizada através de chamadas de voz. Nos casos mais sofisticados, a vítima recebe uma chamada telefónica e, no ecrã do telemóvel, surge um número aparentemente legítimo, graças a técnicas de caller ID spoofing, que permitem falsificar ou manipular a identificação da chamada, fazendo-a parecer proveniente de um banco ou de uma entidade oficial. 

[3] O smishing é uma junção das palavras SMS e phishing, sendo uma variante do phishing tradicional que utiliza mensagens de texto (SMS), serviços de mensagens instantâneas (como WhatsApp, Telegram ou Messenger) ou notificações móveis para enganar as vítimas e levá-las a fornecer dados pessoais ou financeiros. 

→ Páginas falsas para validação de pagamentos – cópias exactas de páginas de serviços legítimos (como bancos, plataformas de entrega ou portais do governo); 

→ Intercepção de códigos de autenticação – ocorre quando os mecanismos de segurança de duplo fator (2FA), como códigos enviados por SMS ou notificações push, são comprometidos em tempo real; 

→ Fraude por QR Code (Quishing) – QR Codes maliciosos que são colocados em substituição de códigos legítimos (por exemplo, em faturas de serviços, ou mesas de restaurantes), que redirecciona o utilizador para uma página web falsa; 

→ Malware em dispositivos móveis – através de download de aplicações falsas (leitores de PDF, jogos, utilitários) ou actualização forçada por falsos avisos de segurança. 

    O risco principal já não se limita ao redireccionamento para páginas falsas ou ao phishing clássico. Hoje predomina a combinação de técnicas informáticas (malware, exploração de vulnerabilidades) e humanas (engenharia social) que exploram a confiança dos utilizadores e a rapidez das transacções digitais.

Pessoa preocupada a consultar a aplicação bancária no smartphone após detectar uma operação não reconhecida.

3 – Enquadramento jurídico-penal: da clonagem do cartão à fraude digital 

    O Direito penal do cibercrime sofreu alterações em Portugal, nomeadamente com a Lei n.º 79/2021, de 24 de Novembro, que transpôs directivas europeias e reforçou o combate à criminalidade informática, alterando o Código Penal (CP) e a Lei do Cibercrime (Lei n.º 109/2009, de 15 de Setembro), doravante apenas denominada por LC.

    Analisaremos, de seguida, os principais tipos penais relevantes para clonagem de cartões, furto de credenciais e fraude em pagamentos digitais à luz da mais recente doutrina e jurisprudência: 

► Falsidade informática (art.º 3.º n.º 1 da LC); 

    O tipo legal pune, entre outras condutas, quem introduza, modifique, apague ou suprima dados informáticos ou, por qualquer outra forma, interfira num tratamento informático de dados, produzindo dados ou documentos não genuínos, com a intenção de que sejam considerados ou utilizados para finalidades juridicamente relevantes como se fossem genuínos. 

→ Pena de prisão até 5 anos ou multa. 

Exemplo: Uma das formas de execução que pode preencher este tipo de crime é o phishing, quando alguém cria páginas na internet imitadas ou copiadas de sites oficiais, designadamente de bancos, com a finalidade de obter informações bancárias ou outras informações confidenciais através da indução da vítima em erro. 

► Contrafacção de cartões ou dispositivos de pagamento (art.º 3.º-A da LC); 

    Pune quem, com intenção de provocar engano nas relações jurídicas, contrafizer cartão de pagamento (físico ou virtual) ou outro dispositivo que permita acesso a sistema/meio de pagamento, nomeadamente introduzindo, modificando, apagando ou interferindo em dados registados/incorporados.

→ Pena de prisão de 3 a 12 anos. 

Exemplo: Alguém cria um cartão de crédito falso, reproduzindo os dados de um cartão legítimo, ou reproduz digitalmente esses dados para utilizar o cartão através de uma carteira electrónica (emulação digital).

Neste art.º 3.º-A, a actuação criminosa incide directamente sobre o próprio meio ou dispositivo de pagamento, o que o distingue do art.º 3.º (falsidade informática), em que a actuação incide sobre os dados ou sobre o tratamento informático que produz uma realidade não genuína. [4] 

[4] Antes da entrada em vigor da Lei n.º 79/2021, de 24 de Novembro, a contrafacção de um cartão de crédito mediante a utilização de dados de pagamento obtidos por clonagem podia integrar a prática do crime de contrafação de moeda, p. e  p. pelos art.ºs 262.º n.º 1 e 267.º n.º 1 al.ª c), do CP, na redação então vigente. 

► Uso de cartões ou dispositivos contrafeitos (art.º 3.º-B da LC); 

    Pune quem usa intencionalmente cartão/dispositivo contrafeito para obter benefício ou causar prejuízo.

→ Pena de prisão de 1 a 5 anos (agravada para 2 a 8 anos se houver prejuízo/benefício consideravelmente elevado; ou para 3 a 12 anos em caso de concerto com o agente da contrafacção). 

Exemplo: Alguém utiliza, conscientemente, um cartão clonado em terminais POS, ATM ou pagamentos contactless.  

► Aquisição, detenção, transmissão ou disponibilização de cartões ou dispositivos contrafeitos e determinados actos preparatórios destinados à sua contrafacção (art.ºs 3.º-C e 3.º-D da LC); 

→ Pena de prisão de 1 a 5 anos. 

Exemplos: 

- Art.º 3.º-C – Alguém adquire, na dark web, cinco cartões de pagamento contrafeitos, sabendo que são falsos e pretendendo utilizá-los posteriormente para efectuar compras ou transmiti-los a terceiros.

- Art.º 3.º-D – Alguém adquire e guarda um equipamento de leitura e gravação de dados, juntamente com software e dados informáticos, com o propósito de os utilizar para produzir cartões de pagamento contrafeitos. 

► Aquisição/detenção/transmissão de cartões ou dados obtidos mediante crimes informáticos (ex.: acesso ilegítimo ou intercepção ilegítima), art.º 3.º-E da LC. 

→ Pena de 1 a 5 anos de prisão. 

Este art.º 3.º-E distingue-se do art.º 3.º-C pois naquele os dados ou o dispositivo podem ser perfeitamente verdadeiros e genuínos. O que é ilícito é o facto de terem sido obtidos através de crime informático e, posteriormente, serem adquiridos, detidos, transmitidos ou disponibilizados com intenção de causar prejuízo ou obter um benefício ilegítimo. 

Exemplo: Alguém compra/vende na dark web “dumps” de cartões (números, validade, CVV) obtidos por skimming, phishing. 

► Acesso ilegítimo (art.º 6.º da LC); 

    Pune o acesso, sem autorização ou contra a vontade de quem tem legitimidade para o conceder, a um sistema informático ou a parte dele.

→ Pena de prisão até 1 ano ou multa. 

Exemplo: Alguém obtem as credenciais de acesso ao serviço de homebanking de outrém, e, sem autorização deste, utiliza o nome de utilizador e a palavra-passe para entrar na conta bancária e consultar os movimentos e o saldo. 

► Burla informática e nas comunicações (art.º 221.º n.º 1 do CP); 

    Este é um tipo de crime central e de grande aplicação prática.

    Pune quem, com intenção de enriquecimento ilegítimo, causa prejuízo patrimonial mediante interferência no tratamento de dados, utilização não autorizada de dados ou qualquer intervenção não autorizada no processamento.

→ Pena de prisão até 3 anos ou multa (com agravações). 

Exemplo: Alguém obtém, através de uma página bancária falsa (crime de falsidade informática), as credenciais de acesso da vítima. De seguida, entra na sua conta de homebanking (crime de acesso ilegítimo) e ordena uma transferência para uma “conta mula” controlada por um cúmplice ou por uma pessoa ingénua (que acredita estar a realizar um trabalho legítimo) ou para contas bancárias de cidadãos que foram alvo de "pirataria informática" (contas fantasma). 

► Abuso de cartão ou outro meio de pagamento (art.º 225.º do CP); 

    Pune a utilização abusiva de um cartão ou outro meio de pagamento alheio, ou determinados dados associados a esse meio, sem autorização e com intenção de obter uma vantagem patrimonial.

→ Pena de prisão até 3 anos ou multa (também com agravações). 

Exemplo: Alguém encontra um cartão bancário e, sem autorização do titular e sabendo que não tem legitimidade para o utilizar, realiza vários pagamentos contactless de pequeno valor. 

► Associação criminosa (art.º 299.º do CP); 

    Pune a promoção, fundação, participação ou apoio a uma associação de duas ou mais pessoas que tenha por finalidade a prática de crimes.

→ Pena de prisão de 1 a 5 anos para quem promover, fundar, participar ou apoiar a associação criminosa. As penas podem ser mais elevadas para quem chefiar ou dirigir a associação. 

Exemplo: Três indivíduos organizam-se de forma estável para praticar fraudes bancárias: um obtém as credenciais das vítimas, outro acede às contas e ordena transferências e um terceiro disponibiliza contas para receber e movimentar os valores obtidos. 

► Branqueamento (art.º 368.º-A do CP); 

    Pune a ocultação, dissimulação, conversão, transferência, aquisição, detenção ou utilização de vantagens provenientes de atividade criminosa, com conhecimento dessa origem.

→ A pena pode atingir 12 anos de prisão. 

Exemplo: Depois de obter dinheiro através de transferências bancárias fraudulentas, alguém faz circular os valores por várias contas, converte parte em criptomoedas e utiliza o restante na aquisição de bens de elevado valor, procurando ocultar a origem criminosa do dinheiro.

 

 3.1 – Concurso de crimes: a fraude digital como uma cadeia de condutas criminosas

Representação esquemática dos diferentes momentos de uma cadeia de fraude bancária digital, desde o acesso por falsa página até à dispersão de fundos.

    Uma mesma operação de fraude digital pode envolver uma sucessão de comportamentos autónomos, cada um deles suscetível de preencher um diferente tipo legal de crime. 

    A jurisprudência tem entendido que a circunstância de determinados crimes serem praticados como meio de execução de outros não determina, por si só, a existência de concurso aparente. A solução deve ser encontrada, designadamente, através da análise dos bens jurídicos protegidos por cada norma incriminadora. 

    Imagine-se, por exemplo, uma organização criminosa que desenvolve a seguinte atividade: 

1 – Falsidade informática (art.º 3.º da LC): um dos membros cria uma página de homebanking falsa, apresentada como genuína, destinada a induzir os utilizadores a introduzir as suas credenciais; 

2 – Acesso ilegítimo (art.º 6.º da LC): utilizando as credenciais assim obtidas, outro membro entra, sem autorização, nas contas bancárias das vítimas; 

3 – Aquisição, detenção ou transmissão de dados obtidos mediante crime informático (art.º 3.º-E da LC): os dados bancários obtidos são armazenados, vendidos ou transmitidos a outros membros do grupo; 

4 – Contrafação de cartão ou dispositivo de pagamento (art.º 3.º-A da LC): utilizando determinados dados obtidos ilicitamente, um dos agentes cria um cartão ou outro dispositivo de pagamento contrafeito; 

5 – Uso de dispositivo contrafeito (art.º 3.º-B da LC): outro membro, conhecendo a sua natureza falsa, utiliza-o para realizar pagamentos ou obter bens; 

6 – Burla informática (art.º 221.º do CP): os agentes utilizam credenciais obtidas ilicitamente para ordenar transferências não autorizadas das contas das vítimas para contas controladas pelo grupo; 

7 – Associação criminosa (art.º 299.º do CP): os agentes actuam no âmbito de uma estrutura estável, organizada e duradoura, com divisão de tarefas e finalidade de praticar crimes; 

8 – Branqueamento (art.º 368.º-A do CP): os valores obtidos são posteriormente transferidos por várias contas, convertidos em criptoativos ou utilizados na aquisição de bens de elevado valor, com o propósito de ocultar ou dissimular a sua origem criminosa. 

    Em operações de fraude digital complexas e organizadas, a prática reiterada dos tribunais é a de aplicar concurso efectivo entre falsidade informática, acesso ilegítimo, contrafacção e uso de dispositivos de pagamento, burla informática, associação criminosa e branqueamento. [5] 

[5] Neste sentido, sugiro a leitura, v. g., do Acórdão do TRL de 15/07/2024, proc. n.º 670/20.3JGLSB.L1-3, rel. Cristina Almeida e Sousa, acedido e consultado AQUI em 25/07/2026. Também, relativamente ao mesmo processo, o Acórdão do STJ de 09/04/2025, rel. António Manso, acedido e consultado AQUI também em 25/07/2026. 

 

3.2 – Outras questões jurídicas relevantes 

1.ª – Responsabilidade das instituições bancárias e reembolso 

Nos termos do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, em anexo ao Decreto-Lei n.º 91/2018, de 12 de Novembro, as instituições bancárias devem reembolsar de imediato as operações de pagamento não autorizadas (art.º 114.º n.º 1), o mais tardar até ao final do primeiro dia útil seguinte à comunicação. 

O utilizador apenas responde, em regra, até ao máximo de 50 € (art.º 115.º n.º 1), salvo se tiver agido com dolo, fraude ou negligência grosseira, casos em que pode suportar a totalidade das perdas. 

O ónus da prova da autenticação e da ausência de falha técnica cabe ao banco (art.º 113.º n.º 1). A operação deve ser comunicada sem atraso injustificado e, no máximo, no prazo de 13 meses (art.º 112.º n.º 1). 

2.ª – A causa de exclusão da punibilidade ("white-hat hackers"): 

Com o Decreto-Lei n.º 125/2025, foi aditado o art.º 8.º-A à Lei do Cibercrime, que consagra uma causa de exclusão da punibilidade para investigadores de segurança ou especialistas que acedam a sistemas exclusivamente com a intenção de identificar vulnerabilidades para reforçar o ciberespaço, desde que cumpridos rigores estritos de comunicação imediata às autoridades e ausência de intuitos lucrativos. 

 

4 – Conselhos Práticos (actualizados para 2026) 

► Nunca forneça dados, códigos ou credenciais por telefone, SMS ou e-mail (contacte sempre o banco pelos canais oficiais); 

► Mantenha o cartão à vista em pagamentos presenciais e desconfie de terminais suspeitos ou repetições de operações; 

► Nas caixas multibanco: inspeccione o terminal (teclado solto, sobreposições, câmaras), evite locais isolados e marque o PIN discretamente; 

► Use limites baixos para pagamentos contactless, active alertas em tempo real sempre que houver movimentos na conta (notificações push/SMS) e, sempre que possível, prefira carteiras digitais que não partilham diretamente o número real do cartão em cada pagamento (tokenizadas); 

► Para compras online: confirme o endereço do site antes de introduzir os seus dados, aceda às lojas através de links oficiais ou favoritos guardados e active a autenticação multifactor (o famoso MFA ou 2FA), de preferência através da aplicação do banco ou de biometria. Sempre que possível, use cartões virtuais descartáveis ou com limites de utilização; 

► Ative o 3D Secure (muitas vezes aparece com nomes como Verified by Visa ou Mastercard Identity Check) e confirme sempre na aplicação bancária; 

► Desconfie de chamadas ou mensagens que lhe peçam códigos “para anular uma fraude” ou aleguem problemas com a sua conta. Desligue e contacte o banco através do número oficial, nunca através do número que o contactou. 

► Evite aceder a contas bancárias em Wi-Fi públicas sem VPN; 

► Mantenha sistema operativo, browser, aplicações bancárias e antivírus sempre atualizados; 

► Verifique cuidadosamente IBAN, comerciante e montante antes de confirmar qualquer operação; 

► Consulte extratos diariamente e utilize a funcionalidade de “bloqueio temporário” em caso de suspeita (mais rápido que cancelar o cartão). 

 

5 – Nota Final 

    A prevenção continua a ser o mecanismo mais eficaz de combate a este tipo de criminalidade. A tecnologia e as ameaças evoluem rapidamente. Mantenha-se sempre informado através de fontes oficiais (Banco de Portugal, Polícias, DECO, etc.). 

    Se for vítima, guarde screenshots, registos de chamadas e mensagens, e apresente queixa de imediato. A rapidez da participação é, muitas vezes, decisiva para bloquear transferências e recuperar valores.

Aproveite para deixar um comentário sobre o artigo que acabou de ler e, se achar que pode ser útil a outras pessoas, partilhe-o.  ↓ ↓

__________________________________________________________
AVISO: Todo o conteúdo deste texto encontra-se protegido por Direitos de Autor, sendo expressamente proibida a sua cópia, reprodução, difusão ou transmissão, utilização, modificação, venda, publicação, distribuição ou qualquer outro uso, total ou parcial, comercial ou não comercial, quaisquer que sejam os meios utilizados, salvo, com a concordância do seu autor, Paulo Alexandre Fernandes Soares, ou então, desde que claramente identificada a sua origem, ao abrigo do direito de citação. 

Alguém está a viver a sua vida? O rasto invisível do furto de identidade

 

Um homem assustado confronta um reflexo inquietante de si mesmo no espelho.

 

Obs.: O texto que se segue constitui uma versão reformulada de uma publicação anterior, à qual se acrescentou uma abordagem específica da identidade digital, enquanto dimensão emergente e em acelerada expansão no contexto actual.

 

João (nome fictício) nunca imaginou que o desaparecimento da sua carteira, com todos os documentos pessoais, pudesse desencadear consequências tão graves. 

Nesse mesmo dia dirigiu-se a uma esquadra da PSP, participou a ocorrência e cancelou o cartão multibanco junto da entidade emitente. 

“Agora é só tratar das segundas vias”, pensou. 

Passados seis meses, recebeu em casa uma carta de uma instituição financeira a informar da existência de um contrato de crédito de 10.000 euros celebrado em seu nome. 

“Só pode ser um erro”, concluiu. 

Ao contactar a entidade, descobriu que alguém tinha usado os seus dados pessoais para obter o empréstimo. 

A origem? A carteira “roubada”… 

 

1 – A Identidade Pessoal 

    A identidade pessoal é o conjunto de características (nome, sexo, filiação, naturalidade, entre outras) que individualizam uma pessoa de forma exclusiva e indissolúvel. 

    A Constituição da República Portuguesa (CRP), no art.º 26.º n.º 1, consagra-a como direito fundamental. O Código Civil, no art.º 72.º n.º 1, reforça esta protecção, nomeadamente quanto ao nome, garantindo ao titular o direito de o usar livremente e de se opor ao seu uso por terceiros. 

    Apesar destas garantias, a identidade continua a ser alvo de apropriações ilícitas, muitas vezes motivadas por ganhos económicos através de fraudes. 

 

2 – A Identidade Digital 

    Nos últimos anos, a identidade deixou de ser apenas física para se tornar também digital. 

    Podemos designar, de forma simplificada, a identidade digital como o conjunto de dados e representações associados a uma pessoa no ambiente online, nomeadamente perfis em redes sociais, contas de correio electrónico, credenciais de acesso a serviços bancários, aplicações governamentais (como o Cartão de Cidadão Electrónico ou a Chave Móvel Digital), histórico de navegação, dados biométricos e informações armazenadas em bases de dados públicas ou privadas. 

    Esta identidade é protegida pelo Regulamento Geral de Proteção de Dados [RGPD – Regulamento (UE) n.º 679/2016, de 27 de Abril], transposto para a ordem jurídica portuguesa pela Lei n.º58/2019, de 8 de Agosto.

    O RGPD confere aos cidadãos direitos fundamentais como o acesso aos seus dados (art.º 15.º), a rectificação (art.º16.º), o apagamento (“direito a ser esquecido”, art.º 17.º), a limitação do tratamento (art.º 18.º) e a portabilidade (art.º 20.º). 

    No entanto, a identidade digital é especialmente vulnerável. Uma violação de dados, um phishing [1] sofisticado ou um deepfake [2] podem permitir a alguém assumir a identidade de outrem sem nunca lhe tocar num documento físico. 

[1] O phishing é uma técnica de cibercrime que utiliza o engano – através de mensagens ou sites falsos que imitam entidades de confiança – para induzir as pessoas a revelarem dados confidenciais, como palavras-passe ou informações bancárias. 

[2] O deepfake é uma técnica de inteligência artificial que cria ou manipula conteúdos de vídeo, imagem ou áudio para simular, com extremo realismo, a voz ou a imagem de pessoas a dizerem ou fazerem algo que nunca aconteceu. 

    Hoje, um criminoso pode abrir contas bancárias, contrair empréstimos, criar perfis falsos ou até cometer crimes em nome da vítima apenas com credenciais “roubadas” ou sintetizadas por inteligência artificial. 

    A singularidade da identidade – outrora garantida pela materialidade dos documentos – torna-se muito mais frágil no mundo digital, onde os dados circulam a uma velocidade vertiginosa e podem ser replicados infinitamente. 

 

3 – Apropriação de Identidade Alheia 

    O furto de identidade não é novo, mas os métodos evoluíram drasticamente. 

    A carteira furtada ou roubada continua a ser uma porta de entrada clássica, tal como a correspondência retirada de caixas de correio pouco seguras ou documentos descartados indevidamente no lixo. 

    Actualmente, os alvos preferenciais são os dispositivos digitais. Um telemóvel ou computador furtado ou roubado, ou comprometido remotamente através de malware [3], phishing [1] ou credential stuffing [4], dá acesso a um tesouro de informações. 

[3] Numa definição simplificada, o malware é qualquer programa ou código informático concebido com a intenção maliciosa de infiltrar, danificar, subtrair dados ou obter acesso não autorizado a sistemas e dispositivos. 

[4] O credential stuffing é um ciberataque automatizado que utiliza listas de nomes de utilizador e palavras-passe subtraídos num serviço para tentar forçar o acesso a contas noutros sites, explorando a tendência dos utilizadores para reutilizarem as mesmas credenciais em várias plataformas. 

    As redes sociais facilitam o trabalho dos criminosos: dados públicos, fotografias e relações pessoais permitem construir perfis falsos muito convincentes. 

    Outras técnicas modernas incluem: mensagens de phishing ou smishing (por SMS) que simulam entidades bancárias ou serviços oficiais; chamadas de voz com clonagem de voz por inteligência artificial; deepfakes [2] em videochamadas para enganar sistemas de verificação; violações em massa de bases de dados (data breaches) que depois são vendidas na dark web [5]. 

[5] De forma sintética, podemos descrever a dark web como uma zona oculta da internet que só pode ser acedida através de browsers específicos (por exemplo o Tor), garantindo o anonimato dos utilizadores e sendo frequentemente utilizada tanto para comunicações seguras e privadas como para mercados ilícitos e atividades cibercriminosas. 

    A identidade virtual pode ser usurpada com uma password fraca ou previsível, ou simplesmente porque o utilizador partilhou demasiada informação pessoal online.

 

Carteira com dados pessoais digitais, incluindo cartões de crédito e perfis de redes sociais a sair do seu interior

4 – Enquadramento Legal 

    Ao contrário do que acontece no Brasil (art.º 307.º do Código Penal brasileiro [6]), em Portugal não existe um crime autónomo de “usurpação de identidade” ou “furto de identidade”. 

[6] O art.º 307.º do Código Penal brasileiro, aprovado pelo Decreto-lei n.º 2.848/1940, com epigrafe “falsa identidade”, prevê e estatui o seguinte: 

“Atribuir-se ou atribuir a terceiro falsa identidade para obter vantagem, em proveito próprio ou alheio, ou para causar dano a outrem: Pena – detenção, de três meses a um ano, ou multa, se o fato não constitui elemento de crime mais grave”. 

    A Lei n.º 12/91, de 21 de Maio, previa o crime de “usurpação de identidade” (art.º 38.º), mas este foi revogado pelo art.º 53.º al.ª f) da Lei n.º 33/99, de 18 de Maio, e nunca foi reintegrado no Código Penal. 

    O legislador português entendeu que o mero uso de identidade alheia só ganha relevância penal quando integrado numa conduta que visa obter benefício ilegítimo ou causar prejuízo a terceiro. Assim, o “furto de identidade” desdobra-se em vários tipos legais de crime, consoante a fase e o meio utilizado (físico ou digital).

 

4.1 – Normas mais frequentemente violadas 

► Crimes principais (crimes-fim): 

→ Burla [art.º 217.º do Código Penal (CP)] e burla qualificada (art.º 218.º do CP); 

Trata-se de situações em que, por erro ou engano (nomeadamente por falsa identidade), o criminoso leva outrem a praticar actos que lhe causam prejuízo patrimonial, sendo o enquadramento típico em celebrações de contratos de crédito ou de aquisições realizadas em nome da vítima. 

→ Falsificação de documentos (art.º 256.º do CP); 

Abrange a falsificação – que pode consistir na alteração de um documento preexistente ou na inserção de falsidade no seu conteúdo (falsidade intelectual) –, bem como a contrafacção, entendida como a criação integral de um documento falso com aparência de genuíno. Inclui ainda a utilização de documentos falsos ou contrafeitos. Abrange igualmente, na actualidade, documentos digitais e certificados eletrónicos. 

→ Falsidade informática (art.º 3.º da Lei n.º 109/2009, de 15 de Setembro, que aprovou a Lei do Cibercrime, doravante apenas LC); 

No contexto da usurpação de identidade, este tipo penal é frequentemente preenchido quando o criminoso utiliza dados pessoais alheios (nome, NIF, morada, número de telemóvel, fotografias, etc.) para criar ou manipular informações em sistemas informáticos, fazendo crer que tais dados ou acções provêm da própria vítima. 

Exemplos clássicos incluem a criação de um perfil falso numa rede social com recurso a dados e fotografias da vítima [7], ou a criação de uma conta de correio eletrónico utilizando o nome ou parte do nome desta, de modo a simular a sua autoria. [8] 

[7] Neste sentido, o acórdão do Tribunal da Relação do Porto, proc. n.º 585/11.6PAOVR.P1, acedido e consultado AQUI em 02/05/2026. 

[8] A este propósito, o acórdão do Tribunal da Relação de Évora, proc. n.º 238/12.8PBPTG.E1, acedido e consultado AQUI em 02/05/2026. 

Particularmente relevante na dimensão digital do furto de identidade é a manipulação de dados em aplicações bancárias ou de pagamento, como o MB Way. 

Quando o criminoso, através de engano (phishing, chamada fraudulenta ou contacto via OLX, por exemplo), convence a vítima a associar a aplicação MB Way a um número de telemóvel controlado por si, ou lhe dá instruções para introduzir dados que permitem o controlo da conta, introduz dados incorrectos ou falsos num sistema informático. Esta conduta preenche o tipo objectivo e subjectivo do art.º 3.º n.º 1 da LC (produção de dados não genuínos com intenção de provocar engano). [9] 

[9] Nesta linha de entendimento, o acórdão do Tribunal da Relação de Évora, proc. 82/20.9PACTX-A.E1, acedido e consultado AQUI em 02/05/2026. 

→ Burla informática (art.º 221.º do CP); 

Na sequência do exemplo apresentado no crime anterior (falsidade informática), o criminoso, após introduzir ou fazer introduzir dados falsos no sistema (por exemplo, associando um número de telemóvel alheio ou confirmando operações em nome da vítima), ordena transferências ou levantamentos que causam prejuízo patrimonial efectivo à vítima, determinando a consumação também do crime de burla informática. 

Os tribunais têm entendido, de forma maioritária, que existe concurso efectivo (e não meramente aparente) entre os crimes de falsidade informática e de burla informática, por tutelarem bens jurídicos distintos. [10] 

[10] Ver, por exemplo, o acórdão referido na nota anterior. 

→ Uso de documento de identificação ou de viagem alheio (art.º 261.º do CP);

Punição específica para quem usa cartão de cidadão, passaporte ou documento equivalente de outrem. [11] 

[11] Não preenche o tipo legal de crime em causa a conduta de quem utiliza o cartão Navegante pertencente a terceiro. Sobre esta matéria, sugerimos a leitura do nosso artigo intitulado: Crime de Uso de Documento de Viagem Alheio – o casoespecífico dos cartões de identificação para transportes (v.g., Lisboa VIVA).

 

► Crimes instrumentais (crimes-meio): 

→ Furto (art.º 203.º do CP) ou furto de documento (art.º 259.º do CP); 

Quando se subtrai uma carteira, um telemóvel ou outros suportes com dados pessoais. 

→ Violação de correspondência (art.º 194.º n.º 1 do CP);  

Abertura ou apropriação indevida de cartas ou encomendas contendo dados pessoais. 

→ Utilização de fotografias contra a vontade [art.º 199.º n.º 2 al.ª b) do CP]; 

Relevante quando se retiram fotos de redes sociais para criar perfis falsos. 

→ Acesso ilegítimo a sistema informático (art.º 6.º da LC); 

No contexto da usurpação de identidade, este crime é um dos mais relevantes na vertente digital, funcionando frequentemente como meio para o criminoso aceder a contas bancárias, aplicações de pagamento ou outros serviços em nome da vítima. 

Aquele obtém, através de engano (phishing, smishing, chamada fraudulenta ou contacto no OLX, por exemplo), credenciais de acesso ou controlo indirecto sobre contas ou aplicações da vítima (como homebanking ou MB Way). Uma vez dentro do sistema, pode visualizar dados, alterar configurações ou efetuar operações em nome da vítima, assumindo temporariamente a sua identidade digital. [12] 

[12] Estando preenchidos os tipos legais de crime de acesso ilegítimo, de burla informática e de falsidade informática, os tribunais têm entendido que, atendendo à diversidade dos bens jurídicos protegidos, se verifica concurso efetivo entre os três ilícitos. Veja-se, v.g., o Acórdão do Tribunal da Relação de Évora, de 14/01/2025, proc. n.º 248/20.1GDSRP.E1, acedido e consultado AQUI em 02/05/2026.

 

5 – Conselhos Úteis 

    Não é possível eliminar 100 % o risco, mas é possível reduzi-lo drasticamente com alguns hábitos simples: 

► Leve na carteira apenas os documentos essenciais do dia-a-dia e guarde os restantes em local seguro; 

► Em caso de extravio, furto ou roubo, participe imediatamente à polícia e cancele cartões de débito/crédito (guarde os números de contacto do banco e da PSP). AQUI encontra uma lista actualizada de contactos telefónicos de entidades emissoras de cartões bancários e também da entidade responsável pela gestão da rede Multibanco, a SIBS.

Preencha também o FORMULÁRIO disponibilizado gratuitamente pelo Banco de Portugal, para evitar que os seus dados sejam utilizados para abertura de contas ou pedidos de empréstimo. 

► Proteja as caixas de correio com fechadura sólida. Evite a acumulação de correspondência e destrua documentos com dados pessoais; 

► Nunca deixe dispositivos digitais no carro ou em locais públicos. Use password forte no ecrã de bloqueio e ative a encriptação total do disco; 

► Mantenha o sistema operativo, antivírus, anti-malware e firewall sempre atualizados; 

► Use um gestor de passwords confiável e active a autenticação multifator (MFA/2FA) em todas as contas importantes; 

► Evite partilhar dados sensíveis por telefone, email ou SMS sem confirmar a identidade do destinatário. Desconfie de links e pedidos urgentes; 

► Nas redes sociais, limite a visibilidade de informações pessoais e revise periodicamente as definições de privacidade; 

► Monitore regularmente as suas contas bancárias, extratos e a Central de Responsabilidades de Crédito (CRC) do Banco de Portugal. Apps bancárias e alertas por SMS ajudam a detectar anomalias rapidamente;

► Em caso de suspeita de uso indevido da sua identidade, apresente queixa imediata à polícia e, se necessário, à Comissão Nacional de Proteção de Dados (CNPD); 

► Considere serviços de monitorização de identidade ou alertas de violações de dados – data breaches (existem opções gratuitas e pagas), v.g., Bitdefender Digital Identity Protection ou Avast BreachGuard. 

    A identidade, seja ela física ou digital, é a nossa singularidade. Protegê-la é um acto de responsabilidade individual e colectiva num mundo cada vez mais conectado. Alguns anos depois de nos termos debruçado, pela primeira vez, sobre esta matéria, o risco não diminuiu, apenas mudou de forma. 

Estar informado e vigilante continua a ser a melhor defesa.

Aproveite para deixar um comentário sobre o artigo que acabou de ler e, se achar que pode ser útil a outras pessoas, partilhe-o.  ↓ ↓

__________________________________________________________
AVISO: Todo o conteúdo deste texto encontra-se protegido por Direitos de Autor, sendo expressamente proibida a sua cópia, reprodução, difusão ou transmissão, utilização, modificação, venda, publicação, distribuição ou qualquer outro uso, total ou parcial, comercial ou não comercial, quaisquer que sejam os meios utilizados, salvo, com a concordância do seu autor, Paulo Alexandre Fernandes Soares, ou então, desde que claramente identificada a sua origem, ao abrigo do direito de citação.