Acordam os Juízes na 6ª Secção Cível do Tribunal da Relação de Lisboa
I. Relatório
DDInstalações Eléctricas Lda. instaurou a presente acção declarativa de condenação sob a forma de processo comum contra Novo Banco S.A. pedindo a condenação da Ré:
a) Pagar à Autora a quantia de € 15.000,00 (quinze mil Euros), correspondente ao dano a esta causado pela factualidade acima descrita;
b) Pagar à Autora a quantia de € 41,60 (quarenta e um Euros e sessenta cêntimos) correspondente à quantia que lhe foi indevidamente debitada a título de "comissão de devolução/anulação de TEIS";
c) Pagar à Autora juros vincendos à taxa legal, contado dia a dia, desde a citação até efectivo e integral pagamento, das quantias descritas em a) e b) antecedentes;
d) Custas e procuradoria condigna.
Alega, em síntese, que:
- desconhecido(s), criando uma página de internet em tudo idêntica ao acesso homebanking do Réu, canal digital que disponibiliza aos seus Clientes, fazendo crer à Autora que a página que visionava era genuinamente a da Ré;
- convicta de que tudo estava bem, a Autora introduziu os seus dados de acesso (número de adesão e pin) ao homebanking do Réu, recebendo um aviso nessa página de que se tornava necessário verificar os dados de acesso, e solicitando a confirmação de endereço de email assim como a introdução aleatória de 3 dígitos do cartão matriz, o que a Autora fez;
- na sequência disso foi gerado pela Ré um código que foi enviado por SMS para o telemóvel da Autora que a mesma introduziu;
- ao consultar as suas contas bancárias verificou um débito de € 15 0000, por transferência, com destino e justificação desconhecidos, tendo-se apercebido que caíra numa fraude;
- de imediato contacto o Réu para a sua linha de apoio e posteriormente para a sua gestora de conta, sendo que não foi atendido em qualquer uma destas chamadas;
- acabou por chegar ao contacto com o gerente da dependência que o informou que apesar de ter tentado reverter a situação, não tinha tido sucesso;
- a Autora dirigiu-se À PJ e apresentou queixa contra desconhecidos, a qual reencaminhou para o seu banco;
- a Ré, apesar de não ter conseguido reverter os fundos, debitou na sua conta € 41,60 a título de comissão de devolução/anulação de TEIS;
- a Autora interpelou a Ré para o ressarcimento dos danos por si sofridos não tendo, contudo, obtido qualquer resposta até à presente data.
Conclui assim pela procedência da presente acção e condenação da Ré no pedido.
Devidamente citada veio o Réu Novo Banco S.A. contestar, por impugnação, alegando, em suma, que:
- tendo o Autor aderido aos canais directos foram-lhe atribuídos um número de adesão e uma chave alfanumérica , assim como um pin, sendo que todos estes elementos são únicos, pessoais e intransmissíveis;
- foi a Autora quem comprometeu a confidencialidade e segurança desses elementos;
- tendo, desde logo, acedido ao canal directo através de procedimento não recomendado, como divulgado amplamente quer pela Ré, quer pelas demais entidades bancárias;
- o próprio printscreen junto pelo Autor evidencia isso mesmo visto que o endereço na barra de ferramentas é musomiyo.co.za, ao invés de nobobanco.pt.
- não podia a Autora, com um mínimo exigível de diligência, ignorar que não estava no canal digital disponibilizado pelo Réu;
- da mesma forma que não é credível que a Autora não tivesse desconfiado do pedido de introdução do email, elemento nunca solicitado pelo Réu;
- ao enganar-se na introdução dos dígitos do cartão matriz a Autora, a contrário do alegado, não se reassegurou que estava na página do Réu, o que se constata dos prints;
- a própria mensagem com código recebida por SMS estava em português do Brasil, o que nunca é utilizado pelo Réu, e referia expressamente uma transferência de 15 0000,00;
- independentemente do contexto em que sucedeu não pode deixar de ser especialmente censurável a circunstância de a Autora não ter atentado minimamente no endereço do site para onde foi direccionada;
- sendo certo que a Autora é utilizadora habitual dos canais directos tendo efectuado mais de 1600 acessos só a este canal, nos quais foi sempre e constantemente confrontada com alertas para não ceder os seus dados.
Conclui, assim, pela improcedência da acção e consequente absolvição do pedido.
Dispensada a realização de audiência prévia, a 25-05-2025 foi proferido despacho saneador que, fixou valor à causa, saneou o processo, elencou o objecto do litígio e respectivos temas de prova bem como se pronunciou sobre a admissibilidade dos requerimentos probatórios apresentados e designou data para julgamento.
Foi apresentada reclamação quanto à fixação do objecto do litígio e temas da prova, decidida por despacho de 15-09-2025.
Realizou-se audiência de discussão e julgamento, com observância do legal formalismo assinalado na respectiva acta, e a 199-11-2025 foi proferida sentença que “julgo(u) a presente ação totalmente improcedente e, em consequência, absolv(eu) a Ré do pedido de pagamento à Autora da quantia de €15.041,60 (quinze mil quarenta e um Euros e sessenta cêntimos), acrescida de juros de mora.
Inconformada, a Autor interpôs recurso de apelação para esta Relação, formulando na sua alegação as seguintes conclusões:
A) A sentença recorrida reconhece expressamente que a operação de pagamento em causa foi não autorizada, tendo sido executada por terceiros no contexto de um esquema de phishing, sem conluio ou má-fé da Autora.
B) Nos termos dos artigos 112.º, 113.º e 114.º, n.º 1, do Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica (DL n.º 91/2018), impende sobre o prestador de serviços de pagamento o dever de reembolsar imediatamente o montante de operações não autorizadas, salvo prova de fraude, dolo ou negligência grosseira do utilizador.
C) O ónus da prova da verificação de negligência grosseira recai integralmente sobre o banco, nos termos do artigo 113.º do RJSPME, não podendo ser invertido ou atenuado por presunções judiciais desfavoráveis ao utilizador.
D) A sentença recorrida incorre em erro de direito, ao qualificar como negligência grosseira uma conduta que, quando muito, consubstancia erro humano induzido por engenharia social sofisticada, fenómeno amplamente reconhecido pela jurisprudência como distinto de violação consciente e grave dos deveres de segurança.
E) A negligência grosseira, enquanto causa exoneratória da responsabilidade do prestador, tem natureza excepcional e exige uma actuação do utilizador marcada por desconsideração flagrante, consciente e intolerável dos deveres de cuidado, aproximando-se do dolo, o que não se verificou no caso sub judice.
F) A introdução de credenciais de segurança num sítio electrónico falso, mas graficamente idêntico ao do banco, no contexto de phishing, não constitui, por si só, negligência grosseira, conforme entendimento reiterado da jurisprudência recente da Relação de Lisboa.
G) A circunstância de o utilizador ter recebido uma OTP genuinamente emitida pelo banco, indicando a validação da operação, reforça objectivamente a aparência de legitimidade do procedimento, sendo incompatível com a imputação de culpa grave ao cliente.
H) A sentença recorrida faz uma valoração ex post de sinais (URL, idioma, conteúdo da SMS), exigindo ao utilizador um grau de literacia digital e de suspeição superior ao padrão do utilizador médio, em desconformidade com o critério normativo adoptado pelo RJSPME e pela jurisprudência mais superior esclarecida.
I) Ao valorizar decisivamente a experiência prévia da Autora no uso do homebanking, a decisão recorrida cria um critério de responsabilidade agravada não previsto na lei, penalizando o utilizador diligente em violação do princípio da confiança.
J) A decisão recorrida desconsidera, ainda, os deveres acrescidos de prevenção, detecção e bloqueio de operações atípicas que recaem sobre o prestador de serviços de pagamento, nomeadamente perante transferências imediatas de montante elevado para contas estrangeiras.
K) A qualificação jurídica efectuada pelo tribunal a quo esvazia o regime protectivo do utilizador consagrado na Directiva (UE) 2015/2366 (DSP2) e no DL n.º 91/2018, transformando a excepção da negligência grosseira em regra.
L) Ao assim decidir, a sentença recorrida violou, designadamente, o disposto nos artigos 110.º, 112.º, 113.º, 114.º e 115.º do DL n.º 91/2018, bem como os princípios da proporcionalidade, da confiança e da protecção do utilizador de serviços de pagamento.
M) Deve, por isso, a sentença recorrida ser revogada, condenando-se o Réu a reembolsar à Autora o montante da operação não autorizada, acrescido dos valores indevidamente cobrados e respectivos juros legais.
N) Subsidiariamente, caso assim não se entenda, deverá a decisão ser anulada e substituída por outra que aplique correctamente o critério restritivo da negligência grosseira, nos termos fixados pela Jurisprudência acima indicada.
Termos em que, atenta a fundamentação aduzida, deve o presente recurso ser julgado procedente, com as legais consequências.”
A recorrida contra-alegou, concluindo da seguinte forma:
“1. O recurso a que ora se responde versa sobre matéria de direito, alegando a Recorrente que a decisão recorrida se sustenta numa interpretação extensiva e desvirtuadora do conceito de negligência grosseira para os efeitos do disposto no art.º 114.º, n.º 6 e 115.º do D.L. n.º 91/2018.
2. O referido art.º 114.º, n.º 6 não tem qualquer ao caso concreto, porquanto, o que ali está em causa é o conhecimento dado pelo prestador do serviço de iniciação do pagamento ao prestador de serviços de pagamento dos motivos razoáveis de suspeição de actuação fraudulenta do ordenante e da respectiva comunicação às autoridades judiciárias nos termos da lei penal e de processo penal.
3. Ainda que tal não seja questionado pela Recorrente, não há dúvidas de que o Recorrido logrou provar que a operação de pagamento por aquela contestada foi objecto de autenticação forte, assim como foi devidamente registada e contabilizada, não tendo sido afectada por avaria técnica ou outra deficiência do serviço, conforme resulta da factualidade provada (pontos 4, 5, 25) e não provada (ponto h.), encontrando-se preenchido um dos requisitos legais para o afastamento da sua responsabilidade.
4. De igual modo, a factualidade provada sob os pontos 6, 8 e 9 a 22 sustentou o entendimento do Tribunal de que a conduta da Recorrente, perpetrada por via do seu legal representante, configurou negligência grosseira, conforme transcrição do excerto da fundamentação jurídica constante do corpo das alegações.
5. Com efeito, apreciou-se a medida da contribuição da Recorrente para a concretização da operação – por outras palavras, se a operação ocorreu por culpa que lhe seja imputável -, tendo o Tribunal concluído, e bem, que era exigível à Autora, sobretudo na qualidade de utilizadora habitual dos canais directos, estar atenta a um conjunto de circunstâncias, surgidas em diferentes momentos, que apontavam claramente para uma situação de burla, o que só não aconteceu porque não prestou a mínima atenção ao que estava a fazer.
6. Aquando do acesso, era exigível à Recorrente que tivesse introduzido o endereço do site do Recorrido directamente na barra de endereços do seu navegador de internet e que tivesse atentado no endereço do site a que acedeu (o qual era flagrantemente distinto do site do Recorrido, não contendo quaisquer palavras da sua denominação ou sequer a palavra “banco”);
7. Aquando da permanência no site, era exigível à Recorrente que tivesse atentado no facto de as mensagens recebidas estarem redigidas em português do Brasil, de nunca ter sido anteriormente confrontada com pedido idêntico de confirmação de dados e de ser duvidoso o pedido de introdução de 3 dígitos do cartão matriz quando tal só é necessário para a execução de operações (sendo que a Recorrente não estava a executar qualquer operação);
8. Aquando da concretização da operação, era exigível à Recorrente que tivesse atentado minimamente no teor da SMS recebida que era absolutamente explícito quanto à operação de transferência de € 15.000,00 a validar com o código enviado, operação essa que, repita- se, a Recorrente não estava a executar.
9. Perante todos estes elementos, o autoconvencimento da Recorrente de que estava em contacto com o Recorrido, e não terceiros, adveio, precisamente, da violação dos deveres básicos de cuidado e de atenção que se impõem aos utilizadores dos canais directos disponibilizados pelas entidades bancárias, tanto mais que os esquemas fraudulentos já são amplamente divulgados.
10. Se a Recorrente estava convencida de que estava a ceder os seus dados confidenciais ao banco e não a terceiros, tal só se deve à incúria com que actuou desde o primeiro momento quando, ao tentar aceder ao homebanking do Recorrido, não prestou a mínima atenção ao URL do site a que efectivamente acedeu, desatenção que se manteve durante todo o processo e que culminou com a disponibilização de um código remetido por via de SMS que era absolutamente clara quanto à sua finalidade!
11. A jurisprudência citada pela Recorrente não tem aplicação ao caso concreto, porquanto a Recorrente não foi confrontada ab initio com qualquer actuação de terceiros, geralmente sob a forma de SMS com pedido de acesso a link fraudulento ou por via de contacto telefónico, tendo a Recorrente acedido ao site fraudulento por iniciativa própria e na sequência do comportamento temerário de (i) pesquisar no motor de busca o site do Recorrido ao invés de introduzir directamente o endereço na barra de endereços e de (ii) não confirmar o URL do site para onde foi reencaminhada na sequência dessa busca.
12. Tal comportamento foi qualificado como culposo no Acórdão do Tribunal da Relação de Lisboa de 13.03.2025, proferido no âmbito do processo 11019/23.3T8SNT.L1-2 e disponível em www.dgsi.pt, conforme transcrição supra, sendo que no caso em apreço no Acórdão a designação do site para onde a utilizadora foi reencaminhada era muito mais próxima da real do que é no caso em apreço: www.musomiyo.co.za.
13. O Tribunal recorrido não alargou o conceito de negligência a uma situação de mera imprudência, erro humano ou confiança sustentada nos mecanismos fraudulentos utilizados, porquanto, os vários comportamentos em que o Tribunal recorrido sustentou o seu entendimento ultrapassam, em muito, aquelas circunstâncias mais desculpáveis e que a jurisprudência tem tendido a isentar de culpa.
14. A culpa, enquanto juízo de reprovação de uma conduta determinada pela omissão de um dever de diligência, não pode deixar de ter em conta as circunstâncias do caso concreto, quer as que se reportam às condições do seu agente, quer aquelas que espoletaram o seu comportamento que determinou a ocorrência do dano, só assim podendo avaliar-se qual a diligência que no caso era exigível ao agente.
15. Negligência grosseira é mais do que uma simples negligência, imprudência ou distracção, traduzindo um comportamento com um alto grau de desleixo e incúria e abrangendo situações em que a conduta do utilizador não apenas viola um dever de diligência básico, mas mostra uma inobservância clara e injustificável das regras mais elementares de cuidado.
16. Não obstante o previsto no regime jurídico dos serviços de pagamento, não poderão os respectivos utilizadores ser desresponsabilizados quando adoptam comportamentos violadores das mais básicas regras de cuidado, sobretudo os utilizadores frequentes e conhecedores do padrão de comportamento dos bancos, sendo-lhes exigido que, além de preservarem a confidencialidade das suas credenciais de acesso, estejam minimamente atentos a circunstâncias que escapem àquele padrão.
17. Sem a introdução do código recebido por SMS, a operação em causa não se teria concretizado, pelo que dúvidas não restam que o comportamento culposo da Recorrente ao não confirmar o teor da mesma foi pautado por um padrão de cuidado muito inferior ao que se exige a um utilizador médio.
18. A respeito do dever dos utilizadores confirmarem cuidadosamente o teor das SMS’s recebidas, veja-se o decidido no Acórdão do Tribunal da Relação de Lisboa de 19.12.2024, proferido no âmbito do processo 15407/23.7T8LSB.L1-8 e disponível em www.dgsi.pt, conforme transcrição supra.
19. Não obstante o comportamento decisivo e determinante para a concretização da operação não reconhecida pela Recorrente ter sido a introdução do código de validação recebido por SMS, a Recorrente insiste em manter uma visão deturpada dos factos, alegando que a sentença valoriza de forma inversa ao devido esse facto e que a A jurisprudência da Relação de Lisboa tem afirmado que a recepção de uma OTP válida reforça objectivamente a aparência de legitimidade da operação, sendo incompatível com a imputação de culpa grave ao utilizador.
20. No entanto, facilmente se perceberá que as SMS’s que os tribunais superiores têm vindo a entender que podem induzir os utilizadores em erro legítimo e, como tal, isento de culpa, são as que são remetidas com links fraudulentos, e não as SMS’s com códigos de validação das operações, as quais são, efectivamente, remetidas pelos bancos porque a operação que está a ser realizada, com a apresentação de todas as credenciais solicitadas pelo sistema, é legítima.
21. Cabe, pois, aos utilizadores confirmarem se a operação mencionada na SMS recebida correspondente à operação que está a ser por si efectuada no momento em que introduzem o código de validação nela contido, e a conduta que não respeite este mínimo dever de cuidado tem sido considerada pelos tribunais superiores como culposa.
22. O Tribunal recorrido não procedeu a qualquer inversão do ónus da prova em desfavor da Recorrente, tendo sido, sim, considerada a prova efectuada pelo Recorrido quanto a conduta culposa daquela e que, tendo sido bem sucedida, justificou o afastamento da sua responsabilidade pelo reembolso peticionado.
23. Nada foi alegado pela Recorrente quanto ao facto de a transferência em causa apresentar múltiplos factores de risco: montante elevado, transferência imediata, destino para conta estrangeira e padrão atípico face ao histórico da conta, pelo que não poderia o Tribunal recorrido pronunciar-se sobre tal matéria.
Termos em que se requer que seja julgado improcedente o recurso, mantendo-se na íntegra a decisão recorrida e, consequentemente, a absolvição do ora Recorrido do pedido.
O recurso foi admitido como sendo de apelação, com subida de imediato, nos autos e efeito meramente devolutivo.
Corridos os vistos legais, cumpre decidir.
II. O objecto e a delimitação do recurso
Consabidamente, a delimitação objectiva do recurso emerge do teor das conclusões do recorrente, enquanto constituam corolário lógico-jurídico correspectivo da fundamentação expressa na alegação, sem embargo das questões de que o tribunal ad quem possa ou deva conhecer ex officio.
De outra via, como meio impugnatório de decisões judiciais, o recurso visa tão só suscitar a reapreciação do decidido, não comportando a criação de decisão sobre matéria nova não submetida à apreciação do tribunal a quo.
Por outro lado, ainda, o recurso não é uma reapreciação ‘ex novo’ do litígio (uma “segunda opinião” sobre o litígio), mas uma ponderação sobre a correcção da decisão que dirimiu esse litígio (se padece de vícios procedimentais, se procedeu a incorrecta fixação dos factos, se fez incorrecta determinação ou aplicação do direito aplicável). Daí que não baste ao recorrente afirmar o seu descontentamento com a decisão recorrida e pedir a reapreciação do litígio (limitando-se a repetir o que já alegara na 1ª instância), mas se lhe imponha o ónus de alegar, de indicar as razões porque entende que a decisão recorrida deve ser revertida ou modificada, de especificar as falhas ou incorrecções de que em seu entender ela padece, sob pena de indeferimento do recurso.
Ademais, também o tribunal de recurso não está adstrito à apreciação de todos os argumentos produzidos em alegação, mas apenas – e com liberdade no respeitante à indagação, interpretação e aplicação das regras de direito – de todas as “questões” suscitadas, e que, por respeitarem aos elementos da causa, definidos em função das pretensões e causa de pedir aduzidas, se configurem como relevantes para conhecimento do respectivo objecto, exceptuadas as que resultem prejudicadas pela solução dada a outras.
Assim, em face do que se acaba de expor e das conclusões apresentadas, é a seguinte a questão a resolver por este Tribunal:
a) Erro na aplicação do Direito
- negligência grosseira da Autora;
- imputação de responsabilidade;
III. Factos
Na primeira instância foram considerados os seguintes
FACTOS PROVADOS
1. Os canais diretos consistem em meios de comunicação alternativos entre o Réu e o seu cliente, que permitem a realização de operações à distância, sem necessidade de aquele se deslocar fisicamente a um balcão, podendo executar tais operações por telefone ou internet.
2. Para o efeito, o Réu emite um Cartão de Acesso aos Canais Diretos do qual constam dois códigos de acesso ao serviço: (i) o Número de Adesão e (ii) uma chave alfanumérica («Matriz»), composta por 192 dígitos distribuídos em 64 posições.
3. Ao utilizador é igualmente atribuído um código pessoal secreto (PIN) constituído por 6 dígitos numéricos.
4. O conjunto «Número de Adesão e PIN» permite ao Utilizador o acesso aos canais diretos, efetuar consultas e realizar operações sobre as suas contas.
5. Para efetuar determinadas operações é, ainda, solicitada uma combinação de 3 dígitos da Matriz.
6. Em 25.08.2010, a Autora declarou aderir aos canais diretos disponibilizados pela R. e aceitar as seguintes condições gerais e termos de utilização, pré-elaborados pela R.:
«4. (…)Os códigos de acesso constituem a identificação pessoal do Utilizador, devendo, apenas e só, ser do seu exclusivo conhecimento
(…)
6 O Cliente assume inteira responsabilidade pela utilização negligente, indevida ou fraudulenta do Cartão Canais Directos ou do certificado digital, não podendo ao BES ser imputada qualquer responsabilidade decorrente dessa utilização indevida»
7. À Autora foi atribuído o número de adesão ......., que ficou associado o número de telemóvel 917341766.
8. Desde 25.08.2010, a Autora é utilizador habitual dos canais diretos, tendo efetuado mais de 1600 acessos no canal novobanco online.
9. Em data não concretamente apurada, desconhecido(s) criou(aram) o sítio eletrónico com o endereço www.musomiyo.co.za, com grafismo idêntico ao sítio eletrónico do serviço de homebanking disponibilizado pelo Réu.
10. No dia 6 de janeiro de 2023 (sexta-feira), entre as 18h00m e as 18h10m, a Autora, através do seu sócio gerente, quis aceder ao canal direto «novobanco online».
11. Para tanto, pesquisou pelo endereço do sítio de internet do Réu no motor de busca «Bing».
12. O motor de busca devolveu vários resultados, tendo a Autora selecionado o primeiro resultado que surgiu identificado como «Empresas|novobanco» e com o endereço « wwww.novobanco.pt».
13. A Autora foi direcionada para o sítio eletrónico com endereço «www.musomiyo.co.za.».
14. A Autora acreditou estar no sítio eletrónico do Réu e, com o intuito de aceder ao canal direto «novobanco online», introduziu o número de adesão, o pin e selecionou a opção «Login».
15. Nessa sequência, surgiu um aviso com a mensagem:
«Por favor, confirme o endereço de e-mail associado à sua conta!
Endereço de email:
Confirmar
16. A Autora introduziu o seu endereço de correio eletrónico no local indicado.
17. De seguida, foi solicitado que a Autora introduzisse 3 dígitos, indicados de forma aleatória, do seu cartão matriz
18. O que a Autora fez, socorrendo-se do cartão matriz que o Réu disponibiliza para o efeito.
19. Após, surgiu um aviso com a mensagem:
«Espere alguns minutos para verificar os dados?
(…)
A página está carregando, por favor aguarde»
20. Quando a verificação acabou, surgiu o seguinte aviso
«Uma mensagem com um código de verificação foi enviada para o seu celular
Coloque o Código
Confirmar»
21. Pelas 18h15horas, a Autora recebeu uma SMS, provinda do Réu, no telemóvel do seu sócio gerente com o seguinte teor:
Novobanco Online.
Transferencias Imediatas
Acum. Dia: 15.000,00 UR
Cod. Valid, 526590
22. A Autora, através do seu sócio gerente, introduziu o código mencionado no ponto anterior no campo disponível para o efeito no sítio de internet identificado em 9.
23. Simultaneamente ao evento descrito em 14. a 21., pelas 18h10, terceiro(s) desconhecido(s) acederam à conta da Autora, através do serviço «novobanco online», por via da introdução, correta e à primeira tentativa, do número de adesão e do PIN de acesso atribuídos à Autora.
24. Simultaneamente ao descrito em 17. a 21., e no âmbito da sessão iniciada nos moldes descritos no ponto anterior, terceiros desconhecidos emitiram ordem de transferência de fundos no valor de €15.000,00 (quinze mil euros) para uma conta SEPA, sedeada em Itália.
25. A ordem de transferência foi validada através da introdução dos seguintes dados:
i) OTP (One Time Password) remetida, pelas 18h165m, por SMS para o telemóvel do sócio gerente da Autora;
ii) 3 posições do cartão matriz;
iii) PIN;
26. Ao aceder às suas contas bancárias, a Autora verificou um movimento a débito, no valor de €15.000,00 (quinze mil euros), com destino e justificação por ela desconhecidos, e que não ordenou.
27. A Autora ligou para o Dr. AA, gerente da sua agência bancária (agência Camões), que não atendeu.
28. Pelas 18h30m, o Dr. AA devolveu a chamada à Autora e, ao ser informado do sucedido, explicou que se tratava de uma situação de fraude e que iria reportar internamente para tentar recuperar os valores.
29. Mais tarde, o Dr. AA informou a Autora que havia tentado reverter a transferência em causa, mas sem sucesso, dado que a mesma foi imediatamente executada e os fundos ficaram logo disponíveis na conta beneficiária.
30. A Autora dirigiu-se à Polícia Judiciária, onde apresentou queixa contra desconhecidos, dando origem ao processo que segue os seus termos sob o nº 47/23.9JGLSB.
31. No dia 7 de janeiro de 2023 (sábado), a Autora contactou a linha de apoio da Ré, tendo sido atendida pela Srª D. BB, que a informou que tinha acedido a um site falso.
32. No dia 8 de janeiro de 2023 (domingo), a Autora enviou um correio eletrónico para o endereço [email protected], descrevendo o sucedido.
33. No dia 9 de janeiro de 2023 (segunda-feira), o Réu remeteu um email ao Autor, informando que tinha sido vítima de fraude e explicando que o URL apresentado não coincidia com o do Banco.
34. Nesse dia, o sócio-gerente da Autora deslocou-se à sua agência bancária para saber se existiam novidades sobre o sucedido e foi informado que o cartão matriz associado à conta da Autora ainda se encontrava activo, tendo sido cancelado nesse momento.
35. O Réu cobrou à Autora quantia de €41,60 (quarenta e um e sessenta Euros), a título de "comissão de devolução/anulação de TEIS.
36. No dia 16 de fevereiro de 2023, a Autora remeteu uma carta registada ao R., solicitando o ressarcimento dos danos causados e o reembolso das despesas debitadas.
FACTOS NÃO PROVADOS
Com relevância para a boa decisão da decisão da causa ficaram por provar os seguintes factos:
A. a. A Autora enganou-se a introduzir um dos 3 dígitos que lhe foram pedidos.
b. De seguida, surgiu uma informação de que os dígitos não estavam corretos e a Autora voltou a introduzir 3 dígitos aleatórios do cartão matriz.
c. A Autora verificou que estava na página do R.
d. A Autora verificou o seu cartão matriz e verificou que os dígitos introduzidos estavam incorretos e introduziu os três dígitos, agora corretos.
e. A Autora contactou a linha de apoio do R., não tendo sido atendida.
f. A Autora ligou para a sua gestora de conta, Drª CC, que também não a atendeu.
g. A Autora informou o Dr. AA que pretendia manter o manter o acesso ao homebanking activo para poder monitorizar a sua conta bancária, estando ciente de que só poderia ser executada nova transferência se o mesmo cedesse o código de segurança que eventualmente recebesse por SMS.
h. Os terceiros que executaram a transferência de €15.000, obtiveram os dados necessários à realização da operação através de uma avaria técnica da R.
IV. Do Direito
Uma vez que a Ré não manifestou intenção de interpor recurso da decisão da matéria de facto, nos termos do art. 640.º do CPC, têm-se por adquiridos os factos tal qual os mesmos foram fixados pela primeira instância, restando apreciar se, em face da mesma, a sentença recorrida fez uma incorrecta aplicação do direito aos factos, como defende a recorrente.
No que respeita ao direito aplicável e à situação concreta chamada a pronunciar-se a sentença recorrida discorreu nos seguintes termos:
“Tecidas as considerações necessárias à questão decidenda e revertendo ao caso dos autos, decorre da factualidade provada que, no dia 25.08.2010, a R. declarou aderir às condições gerais dos canais abertos disponibilizados pela R., passando a ter acesso aos serviços do Banco, através da Internet, podendo: i) aceder a informações sobre produtos e serviços do Banco; ii) obter informações e realizar operações bancárias sobre contas de que fosse titular; iii) realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco.
Resulta do exposto que as partes celebraram um contrato legalmente atípico, mas socialmente denominado por homebanking e que consiste na disponibilização, pela entidade bancária e mediante a aceitação de determinados condicionalismos, de serviço online, que permite ao cliente efetuar qualquer tipo de operação financeira sobre as suas contas/cartões bancários, através de uma página de internet segura do banco, sem ter que se deslocar aos espaços físicos de agências e sucursais - vide Fernando Baptista Oliveira, in Contratos Privados, Vol. II, pág. 41.
Resultou, igualmente, provado que o R. disponibilizou a possibilidade de o utilizador lhe dar ordens e exigir a sua execução por via da plataforma eletrónica, pelo que, no caso concreto, o serviço de homebanking podia, como foi, ser utilizado como serviço de pagamento (artigo 4.º c) do DL n.º 91/2018, de 12 de novembro).
Ademais, perante as definições constantes das als. pp) e eee) do art. 2º do D.L. 91/2018, é possível classificar o banco réu como «Prestador de serviços de pagamento», por referência ao elenco do artigo 11º, n.º1ª, alínea a), do mesmo diploma, e a A. como utilizador de serviços de pagamento.
Como tal, atento o disposto no artigo 159.º do Diploma, à situação sub judice deve ter-se por aplicável o regime do DL n.º 91/2018, de 12 de novembro (Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica).
Aqui chegados, apurou-se que, para a utilização dos serviços de homebanking, o R. forneceu à A. um número de adesão, um PIN e uma chave alfanumérica (Matriz), por forma a identificar o cliente e autenticar as operações financeiras.
Porém, resultou provado que, no dia 06.01.2023, o acesso à conta bancária da A. foi realizado por terceiros, cuja identidade não foi apurada, os quais, sem o conhecimento da A., e através do sistema informático e da utilização de dados pertencentes apenas à A., lograram retirar da sua conta bancária a quantia de €15.000,00 (quinze mil euros).
Mais concretamente, apurou-se que a conduta dos terceiros não identificados desenrolou-se em dois momentos distintos:
i) um primeiro momento, em que criaram um o sítio eletrónico com o endereço www.musomiyo.co.za, com grafismo idêntico ao sítio eletrónico do serviço de homebanking disponibilizado pelo Réu, no qual introduziram um esquema de engenharia social (descrito em 15. a 22.) em que, sob a aparência de um login normal e de uma pretensa verificação de dados, logravam obter os dados necessários a aceder à conta das vítimas e a autorizar a realização de operações bancárias;
ii) um segundo momento, em que, na sequência da pesquisa pelo endereço eletrónico do R., surgiu um resultado que, na aparência, correspondia ao endereço eletrónico do R., mas que, ao ser selecionado, direcionou a A. para o endereço www.musomiyo.co.za, com grafismo idêntico ao sítio de internet do R., e no qual o A. acabou por se deixar enganar pelo esquema de engenharia social montado, tendo transmitido, inconscientemente, a desconhecidos, o número de adesão, PIN, e-mail e três posições da chave alfanumérica.
Ponderando os factos essenciais vindos de descrever, afigura-se-nos inequívoco que a ordem de transferência do dia 01.06.2023 não proveio da A., que sequer foi o agente imediato da introdução dos códigos OTP e da password na página de internet do R. (vide factos 22. e 23.)
Estamos, portanto, perante operações não autorizadas, pois o consentimento para a sua realização não foi prestado pela A.
Ora, negando a A a autorização da transferência de €15.000,00 (quinze mil euros), cabe à R. a prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento, devendo, ainda, apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento (artigo 113.º do RJSPME).
Face ao circunstancialismo do caso concreto não duvidamos que a A. foi ludibriada por um terceiro, sem conluio da própria. De resto, as RR. também não colocaram em causa a boa-fé dos AA. Alegam, no entanto, que a ordem de transferência foi efetuada nos termos contratualmente previstos, i.e, com introdução de códigos de autenticação forte (código OTP e posições aleatórias da Password), por violação, negligente e grosseira, dos deveres de confidencialidade por parte da A., que facultaram os seus elementos identificativos e de autenticação a terceiros.
Vejamos se lhes assiste razão.
Nos últimos anos vulgarizaram-se novas e variadas modalidades de atuações ilícitas em que terceiros tentam fazer-se passar por prestadores de serviços de pagamento, num fenómeno designado por phishing (do inglês fishing «pesca»), e que aparece sob diversos formatos (blind phishing, clone phishing, smishing, vishing, spear phishing, whaling), a par de outro, designado por pharming.
Todas estas situações congéneres redundam no acesso fraudulento, através de meios enganosos e sem o conhecimento ou autorização do respetivo titular, aos elementos identificativos e de autenticação de um utilizador de um sistema de pagamento eletrónico, por forma a permitir a utilização desse sistema pelo agente.
Ao passo que no phishing o lesado é direcionado para um site falso (através de um link falso) no pharming o utilizador digita o endereço certo, ou escolhe o site certo, mas é redirecionado para o falso porque o seu cache de DNS foi previamente viciado por um vírus ou porque (caso muito raro) o próprio servidor de DNS foi atacado.
Seja como for, todos estes tipos de fraude ou burla carecem da prévia criação de uma cópia realista de um sítio da Internet para terem credibilidade e eficácia.
Nesta sede, impõe-se relembrar que a internet é uma inovação recente, sendo que a rápida evolução no recurso aos meios tecnológicos não foi acompanhada por idêntica evolução ao nível da literacia digital dos portugueses.
Como tal, cremos não ser decisivo, na apreciação da negligência como grosseira, a simples introdução de alguns elementos de segurança num site que não é do Banco (mas parece ser), nem a circunstância de o consumidor ter acedido a tal site através de um link.
Na verdade, o fornecimento dos dados só pode adquirir censurabilidade que isenta a regra da responsabilidade do banco, nos casos em que, pelo modo e voluntariedade em que o ocorreu, coloque o cliente/utlizador do instrumento de pagamento num registo flagrante de gravidade e reprovação, por deliberada e avulsa desconsideração dos deveres a que estava obrigado.
Assim, na apreciação da negligência grosseira, é entendimento deste Tribunal que importa atender ao comportamento do homem médio, quando colocado, simultaneamente, perante um isco camuflado por engenharia social e perante o concreto cumprimento dos deveres de informação por parte do prestador do serviço de pagamento.
No caso concreto, perante a factualidade descrita em 12 a 22, é inegável que a atuação retratada reconduz-se a uma situação de phishing, sendo que, no momento em que agiu, a A. sequer representou como possível não ter entrado no site (verdadeiro) do Banco, atenta a semelhança gráfica entre a página falsa e a verdadeira, tendo fornecido os seus dados, com total desconhecimento de que os seus elementos pessoais estavam a ser transmitidos a terceiros.
Porém, o circunstancialismo que rodeou o fornecimento dos dados pela Autora denuncia uma deliberada e flagrante desconsideração dos deveres de cuidado e de confidencialidade a que esta estava obrigada.
Desde logo, gera perplexidade o facto de a Autora ter acedido ao site do Banco por via de pesquisa num motor de busca, quando é uma informação difundida há largos anos que o acesso ao serviço de homebanking deve ser realizado através da redação do endereço eletrónico do Banco. Tal embaraço agudiza quando consideramos que a Autora é utilizadora habitual e regular dos canais diretos do R. (e de outros Bancos) e há data do evento que nos ocupa já havia efetuado 1.600 acessos só no serviço de homebanking do R. Tais circunstâncias, por si só, denunciam uma utilização imprudente dos serviços da R.
Mas a conduta relapsa da A. não se queda por aqui, visto que após selecionar o primeiro resultado que apareceu no motor de busca e de ser direcionado para uma página de internet, sequer cuidou de atentar ao endereço constante da barra de endereço, pois se o tivesse feito teria verificado que o endereço indicado (www.musomiyo.co.za) não tinha qualquer correspondência com o do Banco R.
Ademais, ao longo da sua atuação, a Autora ignorou vários sinais que, no contexto em que agiu (sem qualquer indício de situação de urgência que introduzisse um fator de pressão que a induzisse a ações rápidas e irrefletidas), não teriam passado despercebidos ao cidadão médio. Em primeiro lugar, cumpre notar que todas as mensagens que foram aparecendo estavam redigidas em Português do Brasil («Insira suas posições de cartão matriz» «Uma mensagem com um código de verificacao foi enviada para o seu celular») sendo um facto do conhecimento comum que, em Portugal, as entidades bancárias apenas recorrem ao Português. Em segundo lugar, o teor da mensagem remetida pelo R. é bastante clara e sinaliza que a password remetida visa autorizar a realização de uma transferência no valor de €15.000,00 (quinze mil euros). Tal mensagem teria sinalizado até o cidadão menos providente de que algo não estaria bem e que deveria abster-se de prosseguir, não sendo admissível que, no uso de instrumentos de pagamento, a Autora sequer cuide de ler as informações transmitidas
Ao fim e ao resto, a Autora teve várias oportunidades para não se deixar enganar e só foi ludibriada porque não prestou a mínima atenção ao que estava a fazer.
Os canais abertos das entidades bancárias visam facilitar a vida ao consumidor, mas acarretam riscos, impondo-se àquele uma utilização prudente e rodeada de cautelas que obstem à realização de operações não autorizadas. No caso concreto, é inegável que a Autora descurou todos os deveres de cuidado que sobre si impendiam.
Em suma: o contexto em que o fornecimento dos dados e aprovação das transações ocorreu, adquire um elevado nível de censurabilidade, colocando a Autora num registo de flagrante gravidade e reprovação qualificável como negligência grosseira, o que afasta responsabilidade do Banco (artigo 114.º, n.º6 e 115.º, n.º1, 2, 3 e 4, do Decreto-Lei n.º 91/2018).
Improcede, assim, a pretensão da A., impondo-se absolver o R. do pedido de condenação no pagamento da quantia de €15.000 (quinze mil euros). (…)” – realces nossos.
Não está controvertida a subsunção efectuada pelo Tribunal a quo, da situação sub judice, ao Regime Jurídico dos Serviços de Pagamento em Moeda Electrónica, aprovado pelo DL 91/2018 (de ora em diante referido como RJSPME), diploma este que transpôs para a ordem jurídica interna a Directiva (EU) 2015/2366 do Parlamento Europeu e do Conselho.
A este propósito diremos que subscrevemos na íntegra a decisão recorrida quanto à relação contratual estabelecida entre Autora e os Ré, quer quanto à abertura de conta bancária, quer quanto ao sistema de homebanking disponibilizado.
Este regime jurídico regula o acesso à actividade das instituições de pagamento e a prestação de serviços de pagamento, bem como o acesso à actividade das instituições de moeda electrónica e a prestação de serviços de emissão de moeda electrónica (art. 1.º, n.º 1) e, nos termos do disposto no art. 3.º, n.º 1, é aplicável à actividade das instituições de pagamento com sede em Portugal e das respectivas sucursais, agentes e terceiros aos quais sejam subcontratadas funções operacionais, bem como à prestação de serviços de pagamento em Portugal pelas entidades legalmente habilitadas, nos termos previstos no n.º 3 do referido art. 3.º.
O homebanking é um serviço prestado pelo Banco Réu através do qual dá ao cliente a possibilidade de efectuar operações bancárias via Internet, nomeadamente, pagamentos e transferências. Portanto, através desse serviço, o Banco transfere para o cliente a execução de actos que anteriormente estavam cometidos aos seus funcionários, dispensando-se a intervenção destes. Tem vantagens para o cliente, ao permitir-lhe realizar operações bancárias, comodamente, em sua casa, nos horários que lhe são mais convenientes. Mas também traz vantagens ao Banco pois o cliente efectua operações bancárias sem intervenção do seu pessoal, com a inerente diminuição de custos de funcionamento.
E exactamente por esta mesma razão, o Banco deve assegurar, em todas as actividades que exerce, elevados níveis de competência técnica, garantindo que a sua organização empresarial funcione com os meios humanos e materiais adequados a assegurar condições apropriadas de qualidade e eficiência (art.º 73º do RGICSF aprovado pelo DL 298/92 de 31/12, na redacção do texto consolidado publicado em anexo ao DL 126/2008 de 21/7).
Há diversas formas de intromissão indevida no sistema bancário, em prejuízo dos utilizadores deste. A propósito, explica elucidativamente o AC. da RL de 13-03-2025, que: “i. no phishing, o lesado recebe um e-mail (ou outra mensagem digital, v.g. via SMS, MMS ou WhatsApp) com um link e, ao clicar neste, é direccionado para um site falso; ii. no typosquatting, espécie de cybersquatting, o lesado acede por lapso seu ao site falso, seja através de um motor de busca, seja pela errada digitação do endereço na respetiva barra; iii. no pharming o utilizador digita o endereço certo, ou escolhe o site certo, mas é redirecionado para o falso porque o seu cache de DNS foi previamente viciado por um vírus ou porque (caso muito raro) o próprio servidor de DNS foi atacado.”.
Sendo o Homebanking um serviço prestado pelo Banco ao Cliente, é àquele que cabe diligenciar pela segurança do mesmo e que o cliente nele possa confiar.
Conforme refere Miguel Pestana de Vasconcelos (na revista Julgar, n.º 42 do ano de 2020): “cabe ao utilizador manter sistemas de segurança, de diversa natureza, state of the art, para impedir que a conta do utilizador dos serviços seja acedida por terceiros, sem a autorização deste. Como vimos, trata-se de uma verdadeira obrigação de resultado, próxima de uma obrigação de garantia. A sua justificação económica é clara: o cliente paga diversas comissões, em crescendo, pela realização de operações de pagamento. O seu cerne, diríamos que um dos núcleos da contraprestação do banco pela comissão paga (que tem sempre nos termos da lei de ter como correspetivo um serviço efetivo por parte do banco – art. 3.º, al. f), do Decreto-Lei n.º 58/2013 de 8 de maio), é que a segurança dos fundos que confia ao banco seja protegida. Ela desdobra-se, ou tem consagração direta, nos deveres de assegurar a proteção das credenciais e na deteção de operações abusivas ou fraudulentas. Mas tem caráter geral, como se vê. As operações abusivas ou fraudulentas podem assumir configurações muito diversas e, num momento em que sistemas de inteligência artificial possam dar vantagem aos hackers, o banco tem de assegurar a proteção das contas. Violado o sistema, salvo em casos bastante restritos, de força maior, responde. A autentificação forte consiste num meio eficiente de proteção adicional. Mas não é inviolável. Nada é, aliás, como bem se pode constatar pela constante penetração dos mais sofisticados sistemas de segurança.”.
De outra banda, o cliente deverá utilizar esse serviço seguindo as regras de segurança que lhe tenham sido comunicadas pelo Banco e aquelas que, segundo um padrão de normalidade o comum utilizador sabe que devem ser observadas, de que é exemplo paradigmático a não divulgação de códigos.
Com efeito, com a proliferação deste tipo de contratos surgiu a necessidade de regulamentar tal actividade, o que, entre nós, se consagrou através do DL 317/2009, de 30 de Outubro (transpondo Directiva Comunitária), diploma que foi revogado e substituído pelo DL 91/2018, de 12/11, de acordo com o qual se estipulam obrigações quer para o utilizador dos serviços de pagamento quer para o seu prestador.
Assim, para o utilizador assume, designadamente, especial importância a obrigação de utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização; comunicar, atempadamente, a perda, roubo ou apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento e impondo-se-lhe que tome todas as medidas razoáveis, para preservar a eficácia dos dispositivos de segurança personalizados do instrumento de pagamento.
As disposições legais que aqui, para o presente caso, relevam são, exactamente, as que estabelecem as obrigações do utilizador do serviço de pagamento (art. 110.º) e do prestador de serviços de pagamento (art. 111.º), bem como as que consagram a responsabilidade do prestador de serviços em caso de operação de pagamento não autorizada (art. 114.º) e a responsabilidade do ordenante em caso de operação de pagamento não autorizada (art. 115.º).
Ao prestador de serviços - conforme art. 68.º - impõe-se que assegure que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador. Ter-se-á ainda que ter em conta o disposto no artigo 70.º, n.º 2, de acordo com o qual, se um utilizador negar a regularidade de uma transferência executada, não é suficiente para provar que a mesma foi autorizada pelo ordenante, que este agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, alguma das obrigações que sobre si impendem (actualmente - art.º 113º, nº 3 DL 91/2018) que tem a seguinte redacção: - “Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, incluindo o prestador do serviço de iniciação do pagamento, se for caso disso, não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º” acrescentando o nº 4 da mesma disposição legal: - “Nas situações a que se refere o número anterior, o prestador de serviços de pagamento, incluindo, se for caso disso, o prestador do serviço de iniciação do pagamento, deve apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento.”).
A questão coloca-se não quanto à caracterização do contrato, mas sim quanto à sua utilização e imputação dos riscos inerentes à utilização do serviço de homebanking.
Analisando o caso concreto o Tribunal recorrido discorre da seguinte forma:
O Tribunal a quo analisou a autorização das operações, e conclui que as mesmas não tinham sido autorizadas, afirmando “Ponderando os factos essenciais vindos de descrever, afigura-se-nos inequívoco que a ordem de transferência do dia 01.06.2023 não proveio da A., que sequer foi o agente imediato da introdução dos códigos OTP e da password na página de internet do R. (vide factos 22. e 23.)
Estamos, portanto, perante operações não autorizadas, pois o consentimento para a sua realização não foi prestado pela A.(…)”
E, em conformidade afirmou que “Ora, negando a A a autorização da transferência de €15.000,00 (quinze mil euros), cabe à R. a prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento, devendo, ainda, apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento (artigo 113.º do RJSPME).
Face ao circunstancialismo do caso concreto não duvidamos que a A. foi ludibriada por um terceiro, sem conluio da própria. De resto, as RR. também não colocaram em causa a boa-fé dos AA. Alegam, no entanto, que a ordem de transferência foi efetuada nos termos contratualmente previstos, i.e, com introdução de códigos de autenticação forte (código OTP e posições aleatórias da Password), por violação, negligente e grosseira, dos deveres de confidencialidade por parte da A., que facultaram os seus elementos identificativos e de autenticação a terceiros.”
Acrescentando adiante que “Como tal, cremos não ser decisivo, na apreciação da negligência como grosseira, a simples introdução de alguns elementos de segurança num site que não é do Banco (mas parece ser), nem a circunstância de o consumidor ter acedido a tal site através de um link.” e que Assim, na apreciação da negligência grosseira, é entendimento deste Tribunal que importa atender ao comportamento do homem médio, quando colocado, simultaneamente, perante um isco camuflado por engenharia social e perante o concreto cumprimento dos deveres de informação por parte do prestador do serviço de pagamento.”
Neste seguimento acaba o Tribunal a quo por concluir que “Porém, o circunstancialismo que rodeou o fornecimento dos dados pela Autora denuncia uma deliberada e flagrante desconsideração dos deveres de cuidado e de confidencialidade a que esta estava obrigada.
Desde logo, gera perplexidade o facto de a Autora ter acedido ao site do Banco por via de pesquisa num motor de busca, quando é uma informação difundida há largos anos que o acesso ao serviço de homebanking deve ser realizado através da redação do endereço eletrónico do Banco. Tal embaraço agudiza quando consideramos que a Autora é utilizadora habitual e regular dos canais diretos do R. (e de outros Bancos) e há data do evento que nos ocupa já havia efetuado 1.600 acessos só no serviço de homebanking do R. Tais circunstâncias, por si só, denunciam uma utilização imprudente dos serviços da R.
Mas a conduta relapsa da A. não se queda por aqui, visto que após selecionar o primeiro resultado que apareceu no motor de busca e de ser direcionado para uma página de internet, sequer cuidou de atentar ao endereço constante da barra de endereço, pois se o tivesse feito teria verificado que o endereço indicado (www.musomiyo.co.za) não tinha qualquer correspondência com o do Banco R.
Ademais, ao longo da sua atuação, a Autora ignorou vários sinais que, no contexto em que agiu (sem qualquer indício de situação de urgência que introduzisse um fator de pressão que a induzisse a ações rápidas e irrefletidas), não teriam passado despercebidos ao cidadão médio. Em primeiro lugar, cumpre notar que todas as mensagens que foram aparecendo estavam redigidas em Português do Brasil («Insira suas posições de cartão matriz» «Uma mensagem com um código de verificacao foi enviada para o seu celular») sendo um facto do conhecimento comum que, em Portugal, as entidades bancárias apenas recorrem ao Português. Em segundo lugar, o teor da mensagem remetida pelo R. é bastante clara e sinaliza que a password remetida visa autorizar a realização de uma transferência no valor de €15.000,00 (quinze mil euros). Tal mensagem teria sinalizado até o cidadão menos providente de que algo não estaria bem e que deveria abster-se de prosseguir, não sendo admissível que, no uso de instrumentos de pagamento, a Autora sequer cuide de ler as informações transmitidas.(…)”
Vejamos se, a este respeito, assiste razão ao juízo expendido na decisão recorrida:
Tendo em consideração que é apenas o banco que possui os mecanismos necessários para assegurar a operacionalidade do complexo sistema informático que utiliza e a regularidade do seu funcionamento – garantindo igualmente a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento –, é natural que sobre ele incida o ónus de provar que as ordens de pagamento dadas pelo cliente foram devidamente autorizadas através da utilização efetiva dos mecanismos de autenticação disponibilizados, bem como foram corretamente registadas e contabilizadas, e que a sua execução foi isenta de qualquer avaria técnica ou devido a deficiência do serviço prestado pelo prestador de serviços de pagamento. Ou, em alternativa, o ónus de provar a ocorrência de comportamento negligente, gravemente negligente ou doloso do utilizador (art.º 70.ºdo RJSPME).
Dito isto, das duas uma:
i. se tal prova não for realizada pela instituição bancária, esta será responsável pelo imediato pagamento do montante da operação de pagamento não autorizada, repondo a conta na situação em que estaria se a operação de pagamento não autorizada não tivesse sido executada (art.º 114.º n.º 1 do RJSPME).
ii. No entanto, se for apurada responsabilidade do ordenante por operações de pagamento não autorizadas, regerá o art.º 115.º do RJSPME, nos seguintes termos:
a. se as operações de pagamento não autorizadas resultantes de perda, de roubo ou da apropriação abusiva de instrumento de pagamento, com quebra da confidencialidade dos dispositivos de segurança personalizados for imputável ao ordenante, este suporta as perdas relativas a essas operações dentro do limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, até ao máximo de 50Euros;
b. se as perdas forem devidas a actuação fraudulenta ou ao incumprimento deliberado de uma ou mais das obrigações previstas no art.º 110.º o RJSPME, o ordenante suporta todas as perdas resultantes de operações de pagamento não autorizadas (sem que seja aplicável o referido limite do saldo disponível ou da linha de crédito associada à conta/instrumento de pagamento atrás referidos);
c. finalmente, se ocorrer negligência grosseira do ordenante, este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a (euro) 50, dependendo da natureza dos dispositivos de segurança personalizados do instrumento de pagamento e das circunstâncias da sua perda, roubo ou apropriação abusiva.
Há diversas formas de intromissão indevida no sistema bancário, em prejuízo dos utilizadores deste. A propósito, explica elucidativamente o Ac. da Relação de Lisboa de 13 de março de 2025 que: “i. no phishing, o lesado recebe um e-mail (ou outra mensagem digital, v.g. via SMS, MMS ou WhatsApp) com um link e, ao clicar neste, é direcionado para um site falso; ii. no typosquatting, espécie de cybersquatting, o lesado acede por lapso seu ao site falso, seja através de um motor de busca, seja pela errada digitação do endereço na respetiva barra; iii. no pharming o utilizador digita o endereço certo, ou escolhe o site certo, mas é redirecionado para o falso porque o seu cache de DNS foi previamente viciado por um vírus ou porque (caso muito raro) o próprio servidor de DNS foi atacado.”.
Em primeiro lugar cumpre referir que, atenta a matéria de facto provada, forçoso se torna concluir que, in casu, ocorreu uma situação de typosquatting, em que se regista um nome de domínio que corresponde a um provável erro de digitação de um outro nome de domínio, pertencente a uma entidade conhecida, com a finalidade de capturar tráfego destinado ao site da dita entidade; para consumar acções de apropriação indevida de dados bancários alheios, o typosquatter, além de registar o domínio, cria um site similar ao do banco pelo qual se pretende fazer passar e ao qual o utilizador incauto vai aceder.
Conforme se refere no Ac. da R.L. acabado de citar “As formas de evitar ser-se vítima de typosquatting são simples: digitar o endereço do sítio ao qual se pretende aceder na barra de endereço (em vez de se fazer uma pesquisa por nome no motor de busca) e verificar se se escreveu bem o endereço desejado; caso se pretenda mesmo aceder através de pesquisa prévia em motor de busca, depois de escolher o sítio de Internet (website, sítio, site, página), verificar na barra de endereço que se trata mesmo do endereço correto e verificar as informações sobre o site que se encontram à esquerda do endereço, nomeadamente que a ligação é segura (pois só assim se garante que as informações que se inserem através desse site são privadas quando enviadas para esse site, não podendo ser acedidas por terceiros).
Disto isto há que convocar os seguintes factos provados:
9. Em data não concretamente apurada, desconhecido(s) criou(aram) o sítio eletrónico com o endereço www.musomiyo.co.za, com grafismo idêntico ao sítio eletrónico do serviço de homebanking disponibilizado pelo Réu.
10. No dia 6 de janeiro de 2023 (sexta-feira), entre as 18h00m e as 18h10m, a Autora, através do seu sócio gerente, quis aceder ao canal direto «novobanco online».
11. Para tanto, pesquisou pelo endereço do sítio de internet do Réu no motor de busca «Bing».
12. O motor de busca devolveu vários resultados, tendo a Autora selecionado o primeiro resultado que surgiu identificado como «Empresas|novobanco» e com o endereço « wwww.novobanco.pt».
13. A Autora foi direcionada para o sítio eletrónico com endereço «www.musomiyo.co.za.».
14. A Autora acreditou estar no sítio eletrónico do Réu e, com o intuito de aceder ao canal direto «novobanco online», introduziu o número de adesão, o pin e selecionou a opção «Login».
15. Nessa sequência, surgiu um aviso com a mensagem:
«Por favor, confirme o endereço de e-mail associado à sua conta!
Endereço de email:
Confirmar”
16. A Autora introduziu o seu endereço de correio eletrónico no local indicado.
17. De seguida, foi solicitado que a Autora introduzisse 3 dígitos, indicados de forma aleatória, do seu cartão matriz
18. O que a Autora fez, socorrendo-se do cartão matriz que o Réu disponibiliza para o efeito.
19. Após, surgiu um aviso com a mensagem:
«Espere alguns minutos para verificar os dados?
(…)
A página está carregando, por favor aguarde»
20. Quando a verificação acabou, surgiu o seguinte aviso
«Uma mensagem com um código de verificação foi enviada para o seu celular
Coloque o Código
Confirmar»
21. Pelas 18h15horas, a Autora recebeu uma SMS, provinda do Réu, no telemóvel do seu sócio gerente com o seguinte teor:
Novobanco Online.
Transferencias Imediatas
Acum. Dia: 15.000,00 UR
Cod. Valid, 526590
22. A Autora, através do seu sócio gerente, introduziu o código mencionado no ponto anterior no campo disponível para o efeito no sítio de internet identificado em 9.
23. Simultaneamente ao evento descrito em 14. a 21., pelas 18h10, terceiro(s) desconhecido(s) acederam à conta da Autora, através do serviço «novobanco online», por via da introdução, correta e à primeira tentativa, do número de adesão e do PIN de acesso atribuídos à Autora.
24. Simultaneamente ao descrito em 17. a 21., e no âmbito da sessão iniciada nos moldes descritos no ponto anterior, terceiros desconhecidos emitiram ordem de transferência de fundos no valor de €15.000,00 (quinze mil euros) para uma conta SEPA, sedeada em Itália.
25. A ordem de transferência foi validada através da introdução dos seguintes dados:
i) OTP (One Time Password) remetida, pelas 18h165m, por SMS para o telemóvel do sócio gerente da Autora;
ii) 3 posições do cartão matriz;
iii) PIN;
26. Ao aceder às suas contas bancárias, a Autora verificou um movimento a débito, no valor de €15.000,00 (quinze mil euros), com destino e justificação por ela desconhecidos, e que não ordenou.
8. Desde 25.08.2010, a Autora é utilizador habitual dos canais diretos, tendo efetuado mais de 1600 acessos no canal novobanco online.
Daqui resulta que a autora entrou num site que não era o do banco réu, tinha outro endereço, pertencia a um terceiro.
Mais, a autora escolheu o site desse terceiro que lhe surgiu quando digitou Novo Banco no motor de busca “Bing”, e, quando entrou no dito site, não cuidou de verificar o endereço. Endereço esse que seria susceptível de levantar sérias dúvidas: «www.musomiyo.co.za.».
É certo que Apenas a autora pode ser responsável pela entrada num site alheio e que se tivesse tivesse entrado, lido o endereço na barra de endereços e saído, nenhum mal lhe teria sucedido.
No plano dos princípios diremos que o acesso a uma pagina através da pesquisa google, e com uma configuração idêntica à das Rés, não pode, por si só, a nosso ver, ser considerado como desatenção indesculpável, uma vez que se provou que a. estava convencida de tratar-se de página da R. – assim já foi defendido pela também aqui Relatora no Ac. desta Relação de 26-03-2026.
Mas, nesse mesmo acórdão referimos que “Para o Banco demonstrar, neste primeiro momento, que a Autora actuou sem o mínimo de diligência, sem o mínimo cuidado, de forma incauta, teria que ter alegado e demonstrado que a página que esta abriu, e onde veio a introduzir as credenciais de acesso, não era passível de ser confundida com o endereço e site do banco, pois só com tais elementos poderia ser possível formular um juízo sobre uma falta de atenção crassa e indesculpável da Autora.”. O que nos remete para o endereço URL com que a Autora se deparou ao abrir o resultado da pesquisa no BING: «www.musomiyo.co.za.».
Porém, a actuação da autora não se ficou por uma pesquisa e acesso ao site da Ré através de um motor de busca.
Aberto o resultado da pesquisa a autora não cuidou de ver o endereço do site para onde foi redireccionada, o que por si só lhe permitiria antever a desconformidade.
Depois, foram-lhe pedidas por email 3 posições do cartão matriz e a introdução de código enviado por telemóvel e a autora, sem qualquer motivo para isso, facultou.
No SMS que recebeu lia-se:
Novobanco Online.
Transferencias Imediatas
Acum. Dia: 15.000,00 UR
Cod. Valid, 526590
A segurança do sistema estará dependente da actuação diligente de todos os seus utilizadores e intervenientes. Assim, há-de fazer-se uma repartição dos prejuízos entre as partes, tendo em consideração a actuação de cada uma delas no cumprimento dos deveres que lhe são impostos».
Por isso mesmo, de acordo com o art. 110.º, daquele diploma:
«1- O utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento deve:
a) Utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização, as quais têm de ser objectivas, não discriminatórias e proporcionais; e
b) Comunicar, logo que tenha conhecimento dos factos e sem atraso injustificado, ao prestador de serviços de pagamento ou à entidade designada por este último, a perda, o furto, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento.
2- Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial logo que receber um instrumento de pagamento, para preservar a segurança das suas credenciais de segurança personalizadas.
E, por outro lado, prevê o art. 111.º, n.º 1, al. a), também do RJSPME, que «o prestador de serviços de pagamento que emite um instrumento de pagamento deve assegurar que as credenciais de segurança personalizadas do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior».
Quanto à prova da existência, ou não, de autorização ou de autenticação, estipula o art. 113.º do RJSPME, que, caso o utilizador negue ter autorizado a operação executada, incumbe ao prestador do serviço fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afectada por avaria técnica ou qualquer outra deficiência do serviço prestado. No entanto, a utilização do instrumento de pagamento registada pelo prestador de serviços não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais das obrigações previstas no art. 110.º.
Nessas situações, o prestador de serviços deve apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento – é isso que resulta da conjugação dos n.ºs 3 e 4 do art. 113.º.
A prova, efectuada pelo Banco, de que a operação de pagamento foi autenticada, registada e contabilizada não prova, por si só, que a operação de pagamento tenha sido autorizada pelo ordenante – neste sentido ver Ac. R.P. de 12-10-2023 onde se refere “Com efeito (tal como se refere a sentença recorrida), do disposto nos n.os 1, 3 e 4 do art. 113.º do RJSPME resulta que a prova efetuada pelo banco de que a operação de pagamento foi autenticada, devidamente registada e contabilizada, não prova, por si só, que a operação de pagamento foi autorizada pelo ordenante (nem que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º), incumbindo ao banco réu (prestador de serviços) fazer prova da existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento.
Da leitura conjugada das disposições legais supra transcritas decorre, em síntese, que a entidade bancária prestador de serviços de pagamento, no caso de realização de operações de pagamento não autorizadas sobre a conta do cliente através da utilização de serviço de homebanking, com recurso a fraude informática e/ou burla, apenas vê afastada a sua responsabilidade pelos danos sofridos pelo utilizador de serviços de pagamento se alegar e provar que o dano em causa se deveu a atuação dolosa ou negligência grosseira do utilizador do serviço.”
As modalidades de fraude informática caracterizam-se pela introdução de uma pessoa não autorizada numa rede informática e consequente movimentação de fundos das contas bancárias dos clientes para contas de terceiros. O utilizador do serviço é enganado sendo direccionado para uma página forjada, sempre que digite o site do seu banco. (neste sentido Acórdão desta Relação datado de 13/10/2022, proc. nº 344/21.8T8AGH.L1-2, in www.dgsi.pt).
A autorização ou não da operação tem de ser analisada em face do comportamento de ambas as partes no seu todo, contextualizado no tempo e modo como ocorreram.
Não podemos, por isso dizer que a operação autorizada fosse da autoria da Autora – apenas e tão somente porque a mesma foi autenticada, registada e contabilizada -, por forma a deste modo, responsabilizá-la exclusivamente pela mesma. É à Ré que incumbe combater deficiências fraudulentas relacionadas com o serviço de pagamento por si prestado, que originam situações como a dos autos.
O que são ou não operações autorizadas é definido pela lei, muito concretamente pelo supra referido art. 113.º do RJSPME, sendo certo que o caso dos autos preenche o enquadramento de operação autorizada na medida em que:
i. foi Autenticada,
ii. foi devidamente registada,
iii. foi Contabilizada,
iv. não foi afetada por avaria técnica,
v. nem foi afetada por qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento.
Pressupõe por isso um funcionamento regular e aceitável do sistema de pagamento, como um acto de vontade do seu utilizador, o que não se verifica numa situação como a dos autos.
Considerando a operação como não autorizada, nos termos do n.º 3 do art. 113.º do RJSPME, a Ré apenas se pode eximir à responsabilidade provando que a Autora não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no art. 110.º.
O nó górdio está assim na qualificação da conduta da Autora que terá contribuído para a execução da transferência de € 15 000,00 da sua conta bancária, com culpa leve ou culpa grave (negligência grosseira).
Vejamos então se se pode imputar à Autora negligência grosseira, no incumprimento das suas obrigações, uma vez que a fraude ou conduta intencional estão fora de equação no objecto do litígio.
A mera culpa ou negligência traduz-se na omissão da diligência exigível. Há um juízo de censura inerente à conduta negligente: «O agente devia ter usado uma diligência que não empregou. Devia ter previsto o resultado ilícito, a fim de o evitar, e nem sequer o previu; ou se o previu, não fez o necessário para o evitar, não usou das adequadas cautelas para que ele não se produzisse.» – Inocêncio Galvão Telles, Direito das Obrigações, 7.ª Edição, Coimbra Editora, pág. 350.
Por seu lado, e no contra ponto, a negligência grosseira constitui uma negligência temerária, qualificada, em que a culpa é agravada pelo elevado teor de imprevisão ou de falta de cuidados elementares, nas circunstâncias concretas, correspondendo ao erro imperdoável, à desatenção inexplicável e à incúria indesculpável, vistos em confronto com o comportamento do comum das pessoas, mesmo daquelas pouco diligentes.
Tem vindo a ser entendido de forma pacífica pela nossa jurisprudência e também pela doutrina que o conceito de negligência grosseira a que alude o art.º 115.º n.º 4 do RJSPME deve ser equiparado ao conceito de culpa grave no Direito Civil, podendo recorrer-se ao disposto no art.º 487.º n.º 2 do C. Civil, o qual estabelece que a culpa é apreciada, na falta de outro critério legal, pela diligência de um bom pai de família, em face das circunstâncias de cada caso – neste sentido ver Ac. da R.L. de 05-11-2023, supra citado, e ainda Ac. da R.L. de 13-01-2026 e Ac. R.L. de 15-01-2026.
O acesso a uma pagina através da pesquisa google, e com uma configuração idêntica à das Rés– mas com um endereço em tudo diverso do a Ré e insusceptível de ser com este confundido permite-nos formular um juízo sobre uma falta de atenção crassa e indesculpável da Autora.
O mesmo teremos de afirmar à introdução de um código recebido por SMS para efectivar uma transferência de 15 000,00€ quando a Autora não pretendia transferência alguma e estava apenas a tentar entrar e registar-se no seu sistema de homabanking…
A mensagem recebida pela Autora dizia coisa distinta daquilo que a mesma pretendia: a mensagem dizia transferência imediata de € 15 000, quando aquilo que a mesma se encontrava fazer era a confirmar dados!
O teor deste últimoi SMS não poderia deixar de constituir um evidente alerta para o A, desde logo por fazer referência a uma transferência de € 15 000,00, transferência essa que a Autora não estava a efectuar nem o pretendia fazer!
Não se nos afigura minimamente compreensível, do ponto de vista de uma pessoa minimamente informada, perspicaz, cuidadosa e diligente, que a Autora, ainda assim, tivesse dado seguimento a todo este encadeado de actos.
O que é mais difícil de aceitar é que uma pessoa que não pretenda realizar qualquer operação de transferência bancária da sua conta, faculte códigos para a efectuar, afigurando-se que uma pessoa medianamente diligente não o faria, abstendo-se pelo menos de prosseguir a operação, já que não sendo assim estamos perante a desconsideração dos mais elementares deveres de cuidado e diligência.
Considera-se que um utilizador do serviço medianamente diligente e cuidadoso ficaria alerta e procuraria pelo menos contactar o Banco antes de fornecer o código para uma transferência que não havia solicitado. Se não antes, pelo menos neste momento, e antes de o fornecer, deveria a Autora ter-se certificado do endereço URL em que se encontrava!
E tal negligência grosseira é ainda mais grave se atentarmos na circunstância de a Recorrida, conforme igualmente resultou assente – cf. facto 8 - a Autora ser, desde 25-08-2010, utilizadora habitual dos canais diretos, tendo efetuado mais de 1600 acessos no canal novobanco online.”, o que revela uma utilização assídua de tal canal digital.
Em razão dos factos apurados, conclui-se que a conduta do A. que determinou a saída de fundos da sua conta bancária, se apresenta como precipitada, manifesta e gravemente descuidada e grosseiramente imprevidente, quando não pretendendo realizar qualquer operação de transferência não se absteve de prosseguir, fornecendo o código de, para o que não se vê qualquer justificação relevante, já que por si não tinha sido solicitada qualquer operação de pagamento on line.
Dispõe o art. 115.º, n.º 4, do DL 91/2018 que “ - Havendo negligência grosseira do ordenante, este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a (euro) 50. (…)”
Assim, em face do exposto, e pelos motivos expostos, entendemos ser de confirmar o juízo do Tribunal a quo e a respectiva decisão, improcedendo o recurso.
Tendo a Autora /Apelante decaído no recurso é a mesma responsável pelas custas – artigo 527º nº 1 e 2 do Código de Processo Civil.
VI. Decisão
Pelo exposto, os Juízes da 6.ª Secção da Relação de Lisboa acordam em julgar totalmente improcedente a presente apelação e, consequentemente, manter a decisão recorrida.
Custas da apelação pela recorrentes- art. 527.º do CPC
Notifique e Registe.
Lisboa, 09 de Julho de 2026
Maria Teresa Mascarenhas Garcia
António Santos
Vera Antunes
