Phishing e pagamentos não autorizados em Espanha: quando o banco deve devolver o dinheiro

Chega uma mensagem no mesmo fio de todas as mensagens verdadeiras que o seu banco alguma vez lhe enviou: foi detetado um débito invulgar, e pode anulá-lo aqui. A página por trás da ligação parece a do banco. Escreve a sua palavra-passe. Um quarto de hora depois, pagamentos que nunca fez saíram da conta, e uma semana mais tarde um e-mail informa que nada será devolvido, porque as operações foram «corretamente autorizadas com as suas credenciais de segurança personalizadas». É a primeira resposta do banco na maioria destes casos. Não é a da lei. O direito espanhol dos pagamentos começa pelo extremo oposto: um pagamento só está autorizado se o cliente consentiu nele, um pagamento não autorizado tem de ser devolvido até ao fim do dia útil seguinte, e é o banco, não o cliente, que tem de provar a fraude ou a negligência grave. Esta nota lê a regra tal como está em outubro de 2026 — a lei, o acórdão do Supremo Tribunal de abril de 2025, dois acórdãos canários de recurso e os números do próprio Banco de España — e diz onde a proteção acaba. As citações estão em espanhol, seguidas da leitura em português.

«Autorizado» significa consentido, não «digitado com os seus códigos»

A regra é o artigo 36.º do Real Decreto-ley 19/2018, a lei dos serviços de pagamento: Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución — as operações de pagamento consideram-se autorizadas quando o ordenante deu o consentimento para a sua execução — e A falta de tal consentimiento la operación de pago se considerará no autorizada — na falta desse consentimento, a operação de pagamento considera-se não autorizada. Um pagamento que um desconhecido faz com credenciais que obteve do cliente por engano foi feito com os códigos deste e sem o seu consentimento.

O Supremo Tribunal disse-o expressamente no acórdão 571/2025, de 9 de abril de 2025: são «operações não autorizadas» também as que foram iniciadas com o nome de utilizador e a palavra-passe do cliente e confirmadas com o código que o banco enviou por SMS, sempre que o cliente negue tê-las autorizado. O contrato não pode dizer outra coisa. O regime impõe-se às duas partes, e a cláusula pela qual o cliente aceita como suas todas as operações feitas com as suas chaves não o afasta.

A devolução: até ao fim do dia útil seguinte

Logo que o banco tem conhecimento de um pagamento não autorizado deve devolver o dinheiro de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación — de imediato e, em qualquer caso, o mais tardar até ao fim do dia útil seguinte àquele em que detetou a operação ou dela foi notificado (artigo 45.º, n.º 1) — e repor a conta no estado em que estaria. Há uma única saída: o banco pode reter a devolução se tiver motivos razoáveis para suspeitar de fraude do próprio cliente e comunicar esses motivos por escrito ao Banco de España. «Estamos a investigar» não é essa comunicação.

A parte do cliente: avisar o banco de imediato, e nunca depois de treze meses

O cliente tem dois deveres (artigo 41.º): tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas — todas as medidas razoáveis para proteger as suas credenciais de segurança personalizadas — e comunicar ao banco sem demora a perda, o furto ou a utilização não autorizada do instrumento. Do segundo depende o direito à devolução. O banco tem de ser avisado sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones — sem demora injustificada, logo que tenha conhecimento de qualquer dessas operações — e, em todo o caso, dentro de un plazo máximo de trece meses contados desde la fecha del adeudo — dentro de um prazo máximo de treze meses contados da data do débito (artigo 43.º, n.º 1).

Treze meses são o muro exterior, não a data a apontar: cada hora entre a fraude e o telefonema é uma hora que o banco usará depois contra o cliente. Após o aviso, as perdas são do banco, salvo se o cliente tiver agido fraudulentamente (artigo 46.º, n.º 3), e o banco tem de manter aberto a todo o momento, e gratuitamente, um canal para esse aviso (artigo 42.º, n.º 1, alínea c)).

Quem tem de provar o quê

É aqui que a lei é mais útil. Quando um cliente nega ter autorizado um pagamento, cabe ao banco demonstrar que a operação foi autenticada, devidamente registada e contabilizada, e que não foi afetada por uma avaria técnica ou outra deficiência do seu serviço (artigo 44.º, n.º 1). Mesmo então, o registo de que o instrumento foi utilizado no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante — não bastará, necessariamente, para demonstrar que a operação de pagamento foi autorizada pelo ordenante — nem que este agiu de forma fraudulenta ou com negligência grave (artigo 44.º, n.º 2). E a última palavra é também ónus do banco: cabe ao prestador probar que el usuario del servicio de pago cometió fraude o negligencia grave — provar que o utilizador do serviço de pagamento cometeu fraude ou negligência grave (artigo 44.º, n.º 3).

O Supremo Tribunal tirou as consequências no acórdão 571/2025. A responsabilidade do banco tiene carácter cuasi objetivo — tem caráter quase objetivo — em dois sentidos: avisado de um pagamento não autorizado, responde salvo se provar a fraude; e quando o cliente nega o pagamento, um registo que mostre que foram usados os códigos certos não o liberta. «Deficiência do serviço», acrescentou o Tribunal, não é só uma falha informática: abrange cualquier falta de diligencia o mala praxis en la prestación del servicio — qualquer falta de diligência ou má prática na prestação do serviço —, medida pelo padrão do comerciante experiente e não pelo de uma pessoa normalmente cuidadosa, e as boas práticas incluem sistemas que detetem um padrão anormal de pagamentos e o travem.

O caso mostra o que isso significa. Na noite de 17 para 18 de março de 2021 saíram quinze transferências de uma conta em Saragoça — dez por Bizum, cinco pela banca online —, 83.692,73 € com as comissões, confirmadas com códigos enviados para uma linha telefónica cujo cartão SIM tinha sido duplicado nessa tarde numa loja de outra região. O cliente andava há três semanas a dizer à sua agência que recebia códigos de transferências que não tinha ordenado. O banco recuperou 27.218,10 € junto dos bancos de destino e recusou o resto; três tribunais sucessivos condenaram-no a pagar os restantes 56.474,63 €. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado — não se pode considerar normal e irrelevante que uma pessoa que nunca faz operações de madrugada, de repente, passe a realizar até dezassete operações seguidas e de montante tão elevado.

O que o cliente pode ter de suportar: 50 €, tudo ou nada

Os 50 € são a parte do cliente quando é usado um instrumento perdido ou furtado: o ordenante pode ter de suportar hasta un máximo de 50 euros — até um máximo de 50 euros. O teto desaparece, e toda a perda recai sobre o cliente, só se este a tiver sofrido por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41 — por ter agido de forma fraudulenta ou por ter incumprido, deliberadamente ou com negligência grave, uma ou várias das obrigações que o artigo 41.º estabelece. E quando o banco não exigiu autenticação forte do cliente — dois elementos independentes entre algo que o cliente sabe, algo que tem e algo que é —, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta — o ordenante só suporta as eventuais consequências económicas se tiver agido de forma fraudulenta (artigo 46.º, n.º 2).

«Negligência grave»: o que os tribunais fizeram dela

Tudo gira, então, em torno de duas palavras. A diretiva europeia que está por trás da lei espanhola dá a medida, e o Supremo Tribunal cita-a: la negligencia grave tiene que significar algo más que la mera negligencia — a negligência grave tem de significar algo mais do que a mera negligência —, uma conduta que revele um grau significativo de descuido, como guardar as credenciais junto do cartão num formato que qualquer pessoa possa ler. Ser enganado por uma falsificação bem feita não está a esse nível, e os tribunais canários disseram-no duas vezes, em casos cujos factos qualquer cliente reconhecerá.

Em Las Palmas (Audiencia Provincial, acórdão 207/2025, de 4 de abril de 2025) a mensagem chegou por SMS sob o nome do banco: um débito invulgar, uma ligação para o anular. O cliente escreveu a palavra-passe da banca online na página por trás da ligação; seguiram-se duas compras com cartão, 3.286 € no total; o banco recusou a devolução porque as operações tinham sido «corretamente autorizadas». O tribunal confirmou a condenação do banco. O certificado que o próprio banco tinha junto ao processo indicava que o dispositivo ou entidade que autenticava o cliente não estava identificado, e la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación — o banco agiu sem tomar as medidas de diligência e de segurança exigidas, e a consequência do incumprimento é a obrigação de devolver o montante da operação.

Em Santa Cruz de Tenerife (Audiencia Provincial, acórdão 177/2024, de 23 de abril de 2024) o cliente tinha ido mais longe: ao telefone com alguém que se fazia passar por operador de uma companhia telefónica, foi-lhe dando os códigos que o banco lhe enviava, e seguiu-se uma rajada de compras com cartão, feitas quase em simultâneo a partir de cidades em lados opostos do mundo; o pedido era de 44.227,28 €. O banco chamou-lhe negligência grave. O tribunal, não. A negligência que a lei exige é cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo — próxima do conceito de falta de diligência indesculpável, razão pela qual deve ser apreciada de forma restritiva —, e um banco que não prova ter qualquer sistema capaz de detetar tal rajada de operações, logo depois de alteradas a palavra-passe de acesso e os limites dos cartões, não pode descarregar a perda sobre um cliente que confiou de mais.

Nem todos os casos acabam assim. A própria diretiva diz que todas as circunstâncias têm de ser ponderadas, e factos diferentes podem dar um resultado diferente.

Quando foi o cliente a fazer a transferência

Uma fraude diferente pede uma regra diferente. Se o cliente foi enganado para ordenar ele próprio o pagamento — a fatura do fornecedor com o número de conta alterado, o «funcionário do banco» que o convence a mudar as poupanças para uma «conta segura» —, a regra legal de devolução não serve tal como está: foi escrita para pagamentos feitos sem consentimento, e um pagamento que o próprio ordenou, por mais enganado que estivesse, é à primeira vista um pagamento autorizado. O relatório de reclamações do Banco de España classifica-o como operação «autorizada mediante engano» e remete o cliente para a polícia, as autoridades de consumo ou os tribunais. Perante o juiz, resta o direito geral dos contratos, em que a conduta do cliente é ponderada com a do banco. O acórdão 787/2026 do Supremo Tribunal, de 25 de maio de 2026, dá a medida: uma sociedade cuja funcionária da tesouraria foi levada, por alguém que se fazia passar por um administrador, a ordenar sete transferências para a China recuperou metade dos seus 1.566.951,50 € — 783.475,75 € — porque o banco tinha ignorado o protocolo escrito que a sociedade lhe entregara, e a sociedade respondeu pela parte da sua funcionária no engano.

Desde 9 de outubro de 2025 há uma ferramenta que atua antes de o dinheiro sair. Nas transferências em euros, os bancos da área do euro têm de verificar o nome do beneficiário com o número de conta antes de o cliente autorizar, e avisá-lo quando não coincidem, com a advertência de que autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante — autorizar a transferência pode levar a que os fundos sejam transferidos para uma conta de pagamento de que não é titular o beneficiário indicado pelo ordenante (Regulamento (UE) 260/2012, artigo 5.º-C, aditado em 2024). Se o banco não fizer a verificação e o pagamento correr mal por isso, tem de devolver o montante sem demora; se avisou e o cliente prosseguiu, não responde pela transferência para a conta que o cliente digitou. Um aviso de não coincidência perante um «novo número de conta» chegado por e-mail é o momento de telefonar ao fornecedor para o número que já tinha.

As empresas estão menos protegidas do que os consumidores

As regras acima protegem plenamente os consumidores, e quase plenamente as microempresas. A uma empresa maior pode pedir-se que renuncie a elas por contrato: quando o utilizador não é nem uma coisa nem outra, as partes podem acordar que os artigos 44.º e 46.º — o ónus da prova e os limites da responsabilidade do cliente — não se aplicam; e a qualquer utilizador que não seja consumidor, microempresas incluídas, pode fixar-se um prazo diferente dos treze meses (artigo 34.º, n.º 1). Leia o contrato bancário da sua empresa antes da fraude, não depois.

O caminho: o banco, o Banco de España, o tribunal

Três passos, por esta ordem. Primeiro, o serviço de apoio ao cliente do banco, por escrito. Nos serviços de pagamento tem de responder a más tardar quince días hábiles después de la recepción de la reclamación — o mais tardar quinze dias úteis depois de receber a reclamação — e, no limite, dentro de um mês se explicar o atraso (artigo 69.º).

Depois, o Banco de España, se o banco recusar ou se calar: o seu departamento de conduta recebe reclamações online ou em papel, e um consumidor tem um ano a contar da reclamação ao banco para a apresentar. Convém saber duas coisas sobre essa via antes de a escolher. O seu relatório deveria chegar dentro de quatro meses, e no tiene carácter vinculante — não tem caráter vinculativo (Orden ECC/2502/2012, artigo 12.º): o banco pode não o seguir. E nesta matéria o seu balanço é misto. Em 2025 o Banco de España recebeu 30.970 reclamações; 30 % diziam respeito a pagamentos feitos num contexto de engano ou burla, cerca de 18 % mais do que no ano anterior, dois terços com cartão e um terço por transferência — e nas reclamações sobre cartões, diz o seu próprio relatório, predominam as decisões favoráveis aos bancos, em processos que tratam sobretudo de pagamentos fraudulentos que tinham passado a autenticação forte. O supervisor vê se o banco seguiu as boas práticas; os tribunais aplicam o ónus da prova descrito acima.

O tribunal é o terceiro passo, e aquele em que foram obtidos os acórdãos aqui citados. A queixa na polícia não é um quarto: é uma diligência que o banco pedirá no primeiro dia, fixa a data e os factos, e o que a investigação penal faça depois é um assunto à parte que esta nota não trata.

O que fazer na primeira hora, e na primeira quinzena

• Telefone ao banco e mande bloquear tudo. O cartão, a banca online, o Bizum; peça a referência da chamada.
• Ponha-o por escrito no próprio dia. Diga que não autorizou os pagamentos, enumere-os e peça a devolução prevista no artigo 45.º, por um canal que deixe prova.
• Apresente queixa na polícia e guarde a cópia. O banco vai pedi-la.
• Não assine nada que diga que «autorizou» as operações. Um formulário de reclamação não é uma confissão; leia o que lá está escrito.
• Deixe o telefone como está. As mensagens, o registo de chamadas e a ligação são prova.
• Se o seu cartão SIM deixou de funcionar, escreva também ao operador telefónico. Um duplicado do SIM foi a via pela qual o código chegou a outra pessoa.
• Conte quinze dias úteis. Depois escolha entre o Banco de España e o tribunal com os papéis na mão.

A primeira carta do banco diz que os códigos eram seus. A lei faz outra pergunta: consentiu? E pode o banco provar que a culpa foi grave, e sua?

O que faz a nossa equipa de direito bancário

Analisamos o processo à luz da lei e dos acórdãos acima — a hora de cada pagamento, o que os registos do banco provam realmente, o que o cliente disse ao banco e quando —, redigimos a reclamação ao banco e, se este recusar, levamos o caso a tribunal. A consulta é paga, com orçamento prévio, e ninguém pode prometer o que um tribunal vai decidir. As reclamações bancárias não são todas iguais: as nossas notas sobre as cláusulas suelo e sobre o índice IRPH tratam de outras duas. O serviço está descrito na nossa página de direito bancário, e a página de contactos tem os horários dos dois escritórios.

Perguntas frequentes

O banco diz que os pagamentos foram autenticados com as minhas credenciais. Acaba aí?

Não. A autenticação prova que foram usados os códigos certos, não que houve consentimento. A lei diz que o registo do banco não basta necessariamente para provar a autorização (artigo 44.º, n.º 2), e o Supremo Tribunal decidiu em abril de 2025 que os pagamentos feitos com a palavra-passe do utilizador e o código SMS não estão autorizados se o utilizador os negar, salvo se o banco provar fraude ou negligência grave.

Quanto tempo tenho para reclamar?

Avise o banco no dia em que descobrir. A lei exige comunicação sem demora injustificada e fixa um limite máximo de treze meses a contar do débito; um consumidor tem depois um ano a contar da reclamação ao banco para recorrer ao Banco de España. Esperar só ajuda a outra parte.

Cliquei na ligação e escrevi a minha palavra-passe. Foi negligência grave?

Não por si só, segundo os acórdãos lidos para esta nota. A negligência grave é algo mais do que a mera negligência e aprecia-se de forma restritiva; os tribunais de Las Palmas e de Santa Cruz de Tenerife recusaram vê-la em clientes enganados por uma mensagem falsa do banco e por um falso operador ao telefone, e olharam antes para o que os sistemas do banco não tinham detetado. Cada caso decide-se pelos seus próprios factos.

Isto protege a conta da minha empresa?

Quase plenamente, se a empresa for uma microempresa: das regras aqui descritas, o seu contrato só pode alterar o prazo de treze meses. O contrato de uma empresa maior pode ter excluído também as regras sobre o ónus da prova e sobre a responsabilidade, e uma fraude em que um funcionário ordenou a transferência é julgada pelo direito geral dos contratos, onde conta o descuido da própria empresa.

O relatório do Banco de España vincula o banco?

Não. É um parecer fundamentado que deveria chegar dentro de quatro meses; o banco tem de dizer se o aceita, e pode não o fazer. Uma sentença judicial é a única decisão que obriga o banco a pagar.

Informação geral sobre o direito espanhol em vigor em outubro de 2026 (Real Decreto-ley 19/2018, artigos 34.º, 36.º, 41.º a 46.º e 69.º; Regulamento (UE) 260/2012, artigo 5.º-C; Orden ECC/2502/2012), não aconselhamento sobre o seu caso: a responsabilidade por uma fraude depende dos seus factos e datas exatos.