Responsabilidade Civil Bancária em Casos de Fraude Business Email Compromise (BEC)

Responsabilidade Civil Bancária em Casos de Fraude: o caso do “Business Email Compromise” (BEC)

Imagine-se, uma transação internacional entre um fornecedor e um comprador de países distintos. Por interferência fraudulenta de terceiros (fraude BEC), o comprador é induzido a transferir o montante devido para uma conta bancária em Portugal titulada por um burlão. O fornecedor legítimo nunca recebe o pagamento, enfrentando um prejuízo significativo, e procura então avaliar a possibilidade de responsabilizar civilmente o banco português que recebeu e movimentou os fundos desviados. Trata-se de uma situação complexa, pois o banco em questão não tinha qualquer relação contratual direta com o lesado (fornecedor); este banco limitou-se a receber uma ordem de transferência do cliente enganado e a executá-la.

Surge, portanto, a questão jurídica central: poderá o banco receptor dos fundos fraudulentos ser civilmente responsável pelos danos causados ao verdadeiro credor, mesmo não havendo vínculo contratual com este?

1. Introdução

A fraude conhecida como Business Email Compromise (BEC) é um esquema de burla informática em que um terceiro malicioso intercepta ou falsifica comunicações eletrónicas entre empresas para induzir pagamentos indevidos. Tipicamente, o fraudador faz-se passar por um parceiro comercial legítimo (fornecedor ou cliente), fornecendo um IBAN fraudulento para o qual a vítima, em erro, realiza uma transferência de valor significativo. Em resultado, os fundos são creditados numa conta bancária controlada pelo fraudador (frequentemente em nome de uma “mula financeira”), em vez de chegarem ao verdadeiro beneficiário legítimo.

Imagine-se, por exemplo, uma transação internacional entre um fornecedor e um comprador de países distintos. Por interferência fraudulenta de terceiros (fraude BEC), o comprador é induzido a transferir o montante devido para uma conta bancária em Portugal titulada por um burlão. O fornecedor legítimo nunca recebe o pagamento, enfrentando um prejuízo significativo, e procura então avaliar a possibilidade de responsabilizar civilmente o banco português que recebeu e movimentou os fundos desviados. Trata-se de uma situação complexa, pois o banco em questão não tinha qualquer relação contratual direta com o lesado (fornecedor); este banco limitou-se a receber uma ordem de transferência do cliente enganado e a executá-la.

A resposta exige a análise do regime jurídico aplicável – nomeadamente em sede de responsabilidade civil extracontratual – e da atuação exigível às instituições financeiras no processamento de pagamentos eletrónicos. Importará para tanto avaliar os deveres legais dos bancos na execução de transferências (por exemplo, a utilização do IBAN como identificador único) e os seus deveres de compliance (obrigações de KYC/AML – Know Your Customer / anti-branqueamento de capitais), verificando em que medida a violação desses deveres poderia fundamentar uma obrigação de indemnizar. Adicionalmente, será relevante considerar a orientação da jurisprudência portuguesa sobre casos análogos de fraude BEC ou transferências indevidas, de forma a aferir se os tribunais têm admitido ou rejeitado a responsabilização bancária nestes cenários.

Por fim, discute-se criticamente se o quadro jurídico atual efetivamente salvaguarda os lesados destas fraudes e quais as perspetivas de evolução futura, tanto a nível nacional quanto europeu.

2. Quadro Legal Aplicável

Responsabilidade Civil Extracontratual: No caso em análise, não existe qualquer contrato entre o lesado (fornecedor defraudado) e o banco que recebeu os fundos. Assim, eventuais deveres violados pelo banco não decorrem de um vínculo contratual, mas sim de fontes normativas gerais. Logo, a questão insere-se no domínio da responsabilidade civil extracontratual (ou aquiliana), prevista nos termos do art. 483.º do Código Civil. Esta disposição consagra que “aquele que, com dolo ou mera culpa, violar ilicitamente o direito de outrem ou qualquer disposição legal destinada a proteger interesses alheios fica obrigado a indemnizar o lesado pelos danos resultantes da violação”.

Em síntese, para que surja responsabilidade aquiliana são exigidos quatro pressupostos: (i) um facto ilícito (ação ou omissão violadora de direito de terceiro ou de lei destinada a protegê-lo), (ii) culpa do agente, (iii) danos e (iv) nexo de causalidade entre o facto e os danos.

No contexto em apreço, não havendo relação contratual entre banco e lesado, qualquer tentativa de responsabilizar o banco português terá de preencher estes requisitos da responsabilidade extracontratual. Em especial, será necessário demonstrar a existência de um facto ilícito culposo imputável ao banco, ou seja, que o banco incumpriu algum dever legal ou dever geral de cuidado que tivesse por finalidade proteger os interesses do lesado. Aqui, apontam-se como potenciais deveres relevantes os deveres bancários no processamento de transferências e os deveres de diligência na prevenção do branqueamento de capitais – matérias que analisaremos de seguida.

A execução de transferências electrónicas; o IBAN como identificador único:

Um dos aspetos centrais deste caso é saber se o banco receptor tinha a obrigação legal de confirmar que o nome do beneficiário indicado na transferência correspondia ao efetivo titular da conta de destino.

Em Portugal (como na generalidade dos países da UE), a resposta é negativa. O regime dos serviços de pagamento estabelece que as ordens de transferência bancária são executadas com base num identificador único, usualmente o IBAN – sendo este o dado vinculativo para crédito dos fundos.

O art. 129.º do Regime Jurídico dos Serviços de Pagamento (RJSPME, aprovado pelo DL n.º 91/2018 que transpôs a Diretiva (UE) 2015/2366 – PSD2) dispõe expressamente que o prestador de serviços de pagamento “pode considerar executada corretamente a ordem de pagamento relativa ao beneficiário indicado se o fizer com base no identificador único fornecido pelo ordenante”.

Em contraponto, o banco não tem o dever legal de verificar se o nome do beneficiário coincidente com aquele IBAN corresponde de facto ao titular da conta de destino. Ou seja, ao receber uma transferência, o banco do beneficiário cumpre as suas obrigações se creditar os fundos na conta cujo IBAN foi indicado, não lhe sendo exigível conferir outros dados como a titularidade/nome.

Esta regra – por vezes chamada “regra do IBAN” – visa garantir a eficiência e rapidez dos pagamentos eletrónicos, atribuindo ao ordenante a responsabilidade de indicar corretamente o identificador da conta pretendida.

Do ponto de vista legal, a consequência prática é que, se o ordenante fornecer um IBAN incorreto ou referente a terceiro, os bancos (tanto o banco remetente como o banco beneficiário) ficam, em princípio, isentos de responsabilidade pela execução defeituosa da transferência, uma vez que tecnicamente cumpriram as instruções recebidas. O erro recai sobre o ordenante que indicou os dados errados, mesmo que o engano tenha sido induzido por fraude de terceiro.

Esta alocação de risco está alinhada com o regime europeu da PSD2 e é confirmada pela jurisprudência nacional, como veremos adiante.

Importa sublinhar que, no caso de estudo de fraude BEC apresentada, o IBAN fornecido na ordem de transferência era efetivamente aquele indicado pelo fraudador (a vítima julgava que era o IBAN legítimo do fornecedor, mas não era) – pelo que, à luz do art. 129.º RJSPME, a operação foi tecnicamente executada de forma correta quanto ao IBAN indicado, apesar de o dinheiro ter ido parar a uma conta pertencente a um burlão. Não houve, do ponto de vista formal, uma “execução ilícita” da transferência por parte do banco destinatário; pelo contrário, o banco cumpriu a ordem conforme os elementos fornecidos.

Deveres de diligência e compliance (obrigações KYC/AML):

Outra possível fonte de responsabilização da instituição bancária, estaria na alegação de que o banco português falhou no cumprimento dos seus deveres de diligência na prevenção de fraude e branqueamento de capitais.

A Lei n.º 83/2017 (Lei de Prevenção do Branqueamento de Capitais e Financiamento do Terrorismo), aplicável às instituições financeiras, impõe rigorosas obrigações de identificação e diligência na aceitação de clientes, bem como de monitorização e reporte de operações suspeitas. O banco tem nomeadamente, o dever de identificar adequadamente os titulares das contas (princípio Know Your Customer), recusar ou encerrar contas usadas indevidamente, acompanhar transferências de montantes elevados ou atípicos e comunicar imediatamente às autoridades quaisquer indícios de atividades ilícitas (cf. arts. 23.º, 32.º, 43.º da Lei 83/2017).

No caso hipotético, poder-se-ia argumentar que o banco violou estes deveres: aceitou a abertura de uma conta em nome de terceiros mal-intencionados (as “mulas financeiras”) e permitiu que, logo após a receção dos fundos, estes fossem dissipados por levantamentos e sucessivas transferências para outras contas, sem levantar suspeitas ou bloquear a operação. Tais indícios (conta recente, titular possivelmente fictício, transferência internacional elevada seguida de fracionamento do montante e escoamento rápido dos fundos) poderiam ser considerados bandeiras vermelhas de potencial fraude e branqueamento, que exigiriam uma atuação diligente do banco (como bloquear a conta, congelar os valores e reportar às autoridades).

É no entanto, crucial entender o enquadramento jurídico destes deveres de compliance no contexto da responsabilidade civil. As obrigações de prevenção do branqueamento de capitais e financiamento do terrorismo visam primordialmente proteger interesses coletivos e a ordem pública – a integridade do sistema financeiro e a repressão da criminalidade. Em termos de responsabilidade extracontratual, questiona-se se a violação de tais deveres normativos poderá ser considerada “violação de disposição legal destinada a proteger interesses alheios” (nos termos do art. 483.º CC) em relação a uma vítima específica de fraude.

A jurisprudência portuguesa tem, até ao momento, respondido negativamente a esta questão: entende que as normas de compliance não constituem “normas de proteção” do tipo exigido pelo art. 483.º, destinadas a tutelar os interesses particulares do lesado, mas sim interesses difusos da coletividade. Deste modo, ainda que um banco incumpridor possa incorrer em responsabilidade administrativa ou sancionatória (coimas aplicadas pelo regulador) e até eventualmente penal, tal infração não gera automaticamente um dever de indemnizar o terceiro lesado na esfera civil.

Em suma, segundo a posição dominante, a mera falha nos deveres de prevenção do branqueamento – por reprovável que seja do ponto de vista regulatório – não preenche, por si só, o requisito de ilicitude específico exigido para a responsabilidade civil perante a vítima de uma fraude.

(Cabe notar que esta interpretação não é universalmente pacífica. Parte da doutrina tem discutido se deveres de vigilância bancária e anti-fraude, apesar de terem uma finalidade geral, devem também proteger aqueles que confiam legitimamente no sistema bancário. Por exemplo, Miguel Pestana de Vasconcelos sugeriu uma visão mais ampla da responsabilidade bancária em operações de pagamento não autorizadas. Também na doutrina espanhola mais recente vem ganhando força a tese de que uma violação grosseira de deveres de compliance – como permitir a abertura de conta com identidade falsa ou ignorar discrepâncias flagrantes numa transferência – poderia ser considerada violação de normas de proteção de potenciais vítimas, preenchendo o requisito da ilicitude e abrindo caminho a ações de indemnização contra o banco. Todavia, esse entendimento não foi adotado pelos nossos tribunais até o momento, que continuam a exigir um nexo mais direto e específico entre a norma violada e a tutela dos interesses privados lesados.)

5. Jurisprudência Nacional

A jurisprudência portuguesa tem abordado casos análogos – envolvendo transferências bancárias creditadas em contas erradas ou esquemas de fraude – e, de forma praticamente unânime, não tem reconhecido responsabilidade civil dos bancos nas situações comparáveis à fraude BEC. Convém destacar três arestos em particular:

Supremo Tribunal de Justiça – Acórdão de 16/02/2023 (Proc. 201/20.5T8MGL.S1): Neste caso, referente a uma transferência bancária que não chegou ao beneficiário correto por erro no IBAN, o STJ fixou claramente o princípio de que não existe obrigação legal do banco confirmar a correspondência entre o nome do beneficiário e o IBAN fornecido. O Tribunal entendeu que, tendo o ordenante indicado um determinado IBAN, e tendo o pagamento sido efetuado na conta correspondente a esse IBAN (ainda que pertencente a pessoa diversa do beneficiário nominal pretendido), não pode o banco ser responsabilizado pela incorreta afetação dos fundos. O erro é imputável ao ordenante que forneceu o identificador errado, mesmo que tal erro tenha sido induzido por fraude de terceiros. Em suma, o STJ reafirmou que a execução da transferência com base no IBAN satisfaz os deveres legais do banco, inexistindo ilícito na sua conduta ao cumprir as instruções recebidas.
Tribunal da Relação de Coimbra – Acórdão de 12/07/2022 (Proc. 201/20.5T8MGL.C1): Trata-se de um acórdão proferido na mesma cadeia processual do caso acima (instância inferior ao recurso decidido em 2023 pelo STJ). A Relação de Coimbra perfilhou idêntico entendimento, salientando que o IBAN funciona como elemento identificador único e suficiente para a execução das ordens de transferência, não recaindo sobre o banco deveres adicionais de verificação da titularidade da conta de destino. Este acórdão confirmou a tendência da jurisprudência das Relações em alinhar pela regra do art. 129.º RJSPME, resguardando as instituições bancárias de responsabilidade quando atuam de acordo com as instruções fornecidas pelo cliente ordenante.
Tribunal da Relação do Porto – Acórdão de 10/04/2025 (Proc. 11955/21.1T8PRT): Este acórdão recente reveste especial interesse por incidir precisamente numa situação de fraude BEC internacional, com contornos semelhantes ao caso hipotético em análise. Uma empresa estrangeira lesada moveu ação contra o banco português onde os fraudadores haviam aberto a conta para a qual foram transferidos os fundos indevidos, alegando negligência do banco na detecção do esquema. O Tribunal do Porto, contudo, manteve-se fiel à linha jurisprudencial existente: decidiu que nem a falta de confirmação nome/IBAN nem eventuais falhas nos deveres de compliance bancária configuram, por si sós, ilícito civil gerador de dever de indemnizar. Reafirmou-se que não há dever legal de conferência entre o nome do destinatário e o IBAN – mesmo em casos de fraude – e que a violação de obrigações de prevenção do branqueamento (como a identificação de clientes ou comunicação de operações suspeitas) não cria uma relação jurídica imediata com o lesado da burla, passível de responsabilidade civil. Em termos práticos, o acórdão concluiu que a perda decorrente deste ardil recai sobre os próprios envolvidos na transação (ordenante enganado e fornecedor não pago), não sendo transferível para o banco, salvo se se provasse alguma conduta dolosa ou extraordinariamente negligente deste – o que não ficou demonstrado.

Em face destes precedentes, percebe-se que a orientação jurisprudencial nacional é consistente: na ausência de previsão legal expressa que imponha ao banco deveres de proteção para com terceiros não clientes em transferências eletrónicas, não há fundamento para responsabilização civil do banco nos casos de fraude do tipo BEC. Os tribunais enfatizam a aplicação estrita do regime do identificador único (IBAN) e sublinham que os bancos, ao cumprirem as normas técnicas de execução de pagamentos, não incorrem em ilicitude, mesmo que o resultado seja um prejuízo para um terceiro alheio à relação bancária. Adicionalmente, reconhecem a distinção entre o plano regulatório/penal (onde o banco pode responder por incumprimento de obrigações perante autoridades) e o plano civil (onde apenas se admite obrigação de indemnizar se a norma violada tiver por fim proteger diretamente o lesado, o que não se verifica com as normas de AML tal como interpretadas). Em suma, a posição jurisprudencial tem sido de inexistência de dever de indemnizar por parte do banco receptor nos casos de transferências fraudulentas em que este agiu nos termos habituais.

(Cabe mencionar que, até à data, não se identificam acórdãos portugueses que adotem posição contrária a esta corrente. Ainda que os lesados frequentemente intentem ações contra bancos em fraudes financeiras, alegando falhas de segurança ou de fiscalização, os tribunais têm rejeitado essas pretensões à luz do enquadramento jurídico vigente. Tal posição não é exclusiva de Portugal: também noutras jurisdições europeias se verifica tendência semelhante, aplicando-se rigidamente a regra do identificador único conforme as diretivas comunitárias. Por exemplo, a jurisprudência francesa recente reafirmou que a execução de uma transferência conforme o IBAN fornecido iliba o banco de responsabilidade, não podendo ser imposta ex post uma obrigação genérica de vigilância que a lei não prevê. Também em Espanha e Itália, salvo situações de envolvimento doloso do próprio banco, tem prevalecido o entendimento de que as vítimas de scams como BEC devem suportar o risco do erro, na falta de culpa grave da instituição financeira.)

6. Análise Crítica e Perspetivas

Do ponto de vista do lesado, o panorama traçado é desanimador: apesar de ter sido vítima de um esquema sofisticado, ele vê-se sem reparação civil por parte daquele que, à primeira vista, parecia ter alguma capacidade para evitar ou minimizar o dano (o banco que acolheu os fundos fraudulentos). Os tribunais portugueses colocam a ênfase na autodresponsabilização do utilizador do sistema de pagamentos, entendendo que cabe aos participantes nas transações assegurar a correção dos dados e tomar precauções contra fraudes – não podendo a vítima transferir o prejuízo para o banco quando este atuou dentro dos parâmetros legais. Essa alocação de riscos tem lógica numa perspetiva de eficiência do sistema bancário: se cada banco tivesse o dever de confirmar manualmente a correspondência de nomes e monitorizar proativamente milhões de transações em tempo real, o tráfego financeiro seria onerado e moroso. Além disso, criar-se-ia uma responsabilidade potencialmente ilimitada para os bancos, que poderiam passar a responder por praticamente qualquer burla ocorrida entre clientes de outras instituições. A solução jurídica atual busca evitar esse efeito desincentivador, garantindo aos prestadores de pagamento que, cumprindo as normas técnicas (ex.: utilizar o IBAN como referência) e os protocolos de diligência previstos, não serão responsabilizados por fraudes cometidas por terceiros fora do seu controle direto. Em contrapartida, os lesados são incentivados a adotar maiores cautelas (por exemplo, confirmando telefonicamente instruções de alteração de conta bancária recebidas por email, ou implementando sistemas internos de verificação).

Não obstante, do ponto de vista da justiça material, esta solução deixa as vítimas de fraude BEC numa posição fragilizada. Na prática, o fornecedor lesado dificilmente obterá ressarcimento: os verdadeiros autores da burla são desconhecidos ou insolventes (hackers, “mulas” e redes criminosas muitas vezes sediadas no estrangeiro), e o banco que poderia ter funcionado como “última barreira” para travar a fraude não responde pelos danos. Questiona-se, portanto, se o ordenamento jurídico oferece proteção suficiente a estes lesados ou se seria desejável reforçar os deveres e responsabilidades dos bancos em tais contextos. Uma corrente doutrinária argumenta que os bancos detêm uma posição privilegiada de controle sobre as movimentações financeiras e dispõem de meios avançados de detecção de padrões suspeitos, pelo que deveriam assumir uma parcela de responsabilidade quando falham em impedir abusos evidentes. Por exemplo, se uma determinada transferência apresenta características manifestamente atípicas ou indicativas de fraude (como beneficiário recém-cliente, grande valor seguido de saques imediatos), talvez se pudesse exigir legalmente ao banco uma intervenção mínima (p.ex. contactar o ordenante ou atrasar o crédito para verificação) – e a omissão desse cuidado poderia configurar negligência. Contudo, conforme vimos, a legislação atual não impõe explicitamente tal dever de vigilância reforçada em transferências regulares, e a jurisprudência tem relutado em construí-lo por via interpretativa.

Há sinais, entretanto, de que o quadro normativo poderá evoluir para mitigar a exposição a fraudes deste género. A nível europeu, foi recentemente aprovado o Regulamento (UE) 2024/886, conhecido como o Regulamento dos Pagamentos Instantâneos, que introduz medidas concretas para aumentar a segurança das transferências bancárias em euros. Entre essas medidas destaca-se a obrigatoriedade de os prestadores de serviços de pagamento oferecerem um serviço de verificação do nome do beneficiário, imediatamente antes da autorização de uma transferência instantânea, alertando o ordenante caso o nome indicado não corresponda ao titular do IBAN fornecido. Adicionalmente, prevê-se que, se o prestador de serviços de pagamento não realizar essa verificação ou não alertar o cliente devidamente, e daí resultar uma operação de pagamento incorreta (fundos creditados numa conta diferente da pretendida), o banco deverá reembolsar prontamente o ordenante pelo montante transferido. Em contrapartida, se o banco realizar a verificação e, mesmo avisado da divergência, o cliente optar por prosseguir com a transferência, a responsabilidade pelo erro permanece do lado do cliente – situação equiparada, assim, ao fornecimento de um IBAN errado (conforme a lógica já presente na PSD2).

Apesar de este novo regime incidir por ora apenas sobre transferências instantâneas em euros, a sua relevância não pode ser subestimada. Ele sinaliza uma tendência regulatória de reforço dos deveres de diligência dos bancos para evitar transferências fraudulentas, aproximando-se de mecanismos já adotados em alguns países (como o sistema Confirmation of Payee no Reino Unido). É expectável que a generalização da verificação de correspondência nome/IBAN reduza drasticamente a eficácia das fraudes BEC no espaço europeu, ao dificultar que os fraudadores passem despercebidos. Em todo o caso, convém notar que o Regulamento 2024/886 não se aplicava à data dos casos aqui analisados, nem ainda abrange as transferências tradicionais (não instantâneas) – trata-se de uma mudança prospectiva. Contudo, a sua menção ilustra uma resposta do legislador à necessidade de maior proteção dos utilizadores e poderá, no futuro, influenciar a interpretação dos deveres bancários mesmo fora do âmbito estrito dos pagamentos instantâneos.

Por fim, do ponto de vista prático e preventivo, as vítimas de fraudes BEC dispõem atualmente de poucos mecanismos de recuperação para além da via criminal e da cooperação internacional para congelamento de ativos. É crucial agir rapidamente assim que a fraude é descoberta: notificar o banco envolvido e as autoridades competentes para tentar bloquear os fundos antes de serem dissipados (infelizmente, conforme o caso hipotético demonstrou, muitas vezes quando o banco é alertado já os valores foram movimentados sucessivamente, tornando a recuperação inviável). Os lesados devem também apresentar participações criminais tanto no seu país como no país do banco destinatário (no caso, Portugal), para que se investigue a eventual responsabilidade penal por burla, falsificação e branqueamento de capitais. Embora o processo penal não garanta o ressarcimento, ele pode levar à punição dos culpados e, se porventura forem identificados bens apreendidos, permitir algum retorno. Além disso, é recomendável apresentar queixa ao regulador bancário (Banco de Portugal) expondo os fatos – não para obter indemnização, mas para que sejam apuradas eventuais infrações regulamentares pelo banco (por exemplo, falhas nos protocolos AML). Esse escrutínio poderá resultar em sanções contra a instituição financeira ou em determinações para melhoria de procedimentos, contribuindo indiretamente para elevar os padrões de diligência. Em suma, na conjuntura atual, a resposta jurídica para o lesado de BEC reside mais no âmbito penal e regulatório do que no civil.

7. Conclusões

Em conclusão, perante o estado atual do direito aplicável e da jurisprudência, pode-se resumir a situação nos seguintes pontos-chave:

Ausência de dever de verificação nome/IBAN: Os bancos não estão juridicamente obrigados a confirmar se o nome do beneficiário indicado coincide com o titular da conta de destino. A execução de uma transferência com base exclusiva no IBAN fornecido pelo ordenante é considerada válida e suficiente, libertando o banco dessa conferência adicional.
Risco atribuído ao ordenante/vítima: Se o IBAN indicado não corresponde ao beneficiário pretendido (por erro ou fraude sofrida pelo ordenante), o risco do pagamento indevido recai sobre o ordenante que forneceu os dados – mesmo que ele próprio tenha sido enganado –, não havendo, em regra, reembolso automático pelo banco. O direito vigente equipara essa situação a um erro do cliente, não configurando uma falha do prestador de serviços de pagamento.
Deveres de compliance não geram, por si, responsabilidade civil perante terceiros: O incumprimento de obrigações de prevenção de branqueamento de capitais ou de diligência no acompanhamento de operações pode expor o banco a penalizações administrativas e reputacionais, mas não estabelece automaticamente um nexo de responsabilidade civil em relação às vítimas de uma fraude como a BEC. Tais normas são interpretadas como tutelando interesses gerais (legalidade, estabilidade do sistema financeiro) e não interesses individuais concretos, pelo que a sua violação não preenche o requisito de ilicitude específico do art. 483.º do CC no contexto de uma ação de indemnização movida pelo lesado.
Jurisprudência uniformizada negando responsabilidade do banco: Os tribunais superiores portugueses têm reiteradamente decidido no sentido da inexistência de responsabilidade civil bancária em casos de transferências fraudulentas do tipo BEC. Acórdãos do STJ (2023) e de Relações (Coimbra 2022, Porto 2025) confirmam que, agindo o banco em conformidade com os dados da ordem de transferência (IBAN) e não havendo indícios de conluio ou infração dolosa por parte do próprio banco, não se configura violação culposa de dever que justifique indemnizar o lesado.

Em suma, o regime jurídico português atual não atribui aos bancos responsabilidade civil pelos prejuízos causados por fraudes BEC, salvo em circunstâncias excecionais ainda não reconhecidas na prática judiciária.

O cenário poderá alterar-se com a evolução legislativa e jurisprudencial – nomeadamente através de novas obrigações de verificação de pagamentos impostas pelo direito europeu –, mas, até lá, os participantes em transações comerciais deverão reforçar os seus próprios procedimentos de confirmação e alerta para evitar cair nas armadilhas deste tipo de fraude. A confiança no sistema bancário continua a ser um valor a preservar, mas sem uma base legal específica que a ampare nestes casos, prevalece o princípio da auto-responsabilização do utilizador e da rigorosa observância dos procedimentos de transferência, cabendo aos lesados recorrer a vias alternativas para buscar justiça.