Fui vítima de phishing e perdi dinheiro da conta bancária — o que fazer?

Em Portugal, o phishing enquadra-se penalmente no crime de burla informática e nas comunicações, previsto e punido pelo artigo 221.º do Código Penal, com pena de prisão até 3 anos ou multa (agravada se o valor for elevado ou consideravelmente elevado). Pode ainda concorrer com o crime de falsidade informática (artigo 3.º da Lei do Cibercrime, Lei n.º 109/2009) e acesso ilegítimo (artigo 6.º da mesma lei).

Responsabilidade do banco

A responsabilidade das instituições bancárias em caso de fraude é regulada pelo Decreto-Lei n.º 91/2018, de 12 de novembro, que transpôs a Diretiva de Serviços de Pagamento 2 (PSD2). Este diploma estabelece que:

• O banco é responsável por devolver o valor das transações de pagamento não autorizadas pelo cliente, no prazo de 1 dia útil após ser notificado da situação (artigo 115.º DL 91/2018);
• Exceção: se o cliente agiu com negligência grave ou dolo — isto é, se partilhou voluntariamente as suas credenciais sabendo que eram pedidas de forma suspeita, ou se não notificou o banco dentro de prazo.

A fronteira entre negligência simples (que não exonera o banco) e negligência grave (que pode exonerar o banco) é uma questão frequentemente disputada. De uma forma geral, a jurisprudência portuguesa tende a não considerar como negligência grave a ação de um consumidor médio que foi enganado por uma comunicação fraudulenta convincente e bem elaborada.

Prazos para agir

O cliente deve notificar o banco logo que tome conhecimento da transação não autorizada (artigo 111.º DL 91/2018). Existem limitações temporais: o cliente não pode contestar transações ocorridas há mais de 13 meses (artigo 112.º DL 91/2018).