A Associação Portuguesa de Bancos (APB) arrancou a 8 de setembro com a segunda fase da campanha nacional de sensibilização “Não passes cartão à fraude”, um ano depois de ter lançado a primeira vaga. A nova etapa é integralmente digital, decorre durante cinco semanas nas redes sociais da associação e do portal de literacia financeira Saber de Contas, e coloca no centro cinco cenários de fraude que se tornaram rotina no dia a dia dos portugueses: chamadas falsas em nome do banco, SMS com links maliciosos, e-mails com promessas de dinheiro fácil, referências de pagamento falsas e códigos QR manipulados. A mensagem central é comportamental e não tecnológica: parar, questionar e confirmar antes de agir.
Resposta rápida: A APB iniciou a 8 de setembro a segunda fase da campanha “Não passes cartão à fraude”, focada em vishing, smishing, phishing, falsas referências de pagamento e códigos QR fraudulentos. A ação decorre cinco semanas nas redes sociais da APB e do Saber de Contas, com dois conteúdos semanais por tema. A recomendação prática é simples: nunca partilhar dados bancários, códigos de autenticação ou palavras-passe em resposta a contactos inesperados e confirmar sempre a informação pelos canais oficiais do banco.
O que muda nesta segunda fase
A primeira fase da iniciativa foi apresentada a 22 de setembro de 2025. Na altura, a APB anunciou uma campanha nacional com presença em televisão, rádio, imprensa e meios digitais, incluindo redes sociais, com o mote “Não passes cartão à fraude”, destinada a alertar a população para os riscos crescentes da fraude online e a educar os diferentes públicos sobre os principais tipos de fraude nos pagamentos, com destaque para o phishing, o spoofing e a usurpação de identidade (impersonation). A associação indicou então que a campanha estaria presente também no multibanco, esperando alcançar cerca de 80% da população adulta, com intérprete de Língua Gestual Portuguesa nos vídeos televisivos e legendas em todos os conteúdos digitais.
A nova fase tem um perímetro diferente e mais cirúrgico. Segundo a APB, arranca a 8 de setembro e destina-se a ajudar os consumidores a reconhecer tentativas de fraude e a adotar comportamentos mais seguros nos canais digitais, com o regresso da personagem “Arnaldo” em cinco novas situações inspiradas em tentativas de fraude cada vez mais presentes no quotidiano. A campanha decorre ao longo de cinco semanas no LinkedIn da APB e no Instagram e Facebook do Saber de Contas, o portal de literacia financeira da associação, com dois conteúdos semanais dedicados a cada uma das situações de fraude. Além dos vídeos, serão publicados conteúdos educativos em vários formatos, incluindo carrosséis, infografias, questionários e listas de verificação.
O diagnóstico que sustenta a campanha é psicológico, não técnico. “A fraude assume formas cada vez mais diversificadas e sofisticadas, mas continua frequentemente a explorar os mesmos fatores: a urgência, a confiança e a distração”, afirma Rita Machado, responsável da área da literacia financeira da APB, que resume o objetivo desta fase: quando são pedidos dados, pagamentos ou uma ação imediata, deve parar-se e confirmar antes de agir. Em cada episódio, a personagem é confrontada com uma situação aparentemente credível e urgente e, antes de partilhar dados, clicar num link ou pagar, para, questiona e confirma a origem do contacto através dos canais oficiais.
As cinco tipologias em foco
| Técnica | Como se manifesta | Sinal de alerta típico |
|---|---|---|
Vishing | Chamada telefónica falsa em nome do banco | Pedido de códigos, PIN ou de uma “transferência de segurança” |
Smishing | SMS com link fraudulento | Ligação para uma página de homebanking imitada |
Phishing | E-mail com promessa de dinheiro fácil ou prémio | Remetente que não corresponde ao domínio oficial |
| Falsas referências de pagamento | Entidade e referência geradas pelo atacante | Pagamento “urgente” de um serviço não solicitado |
Quishing / QRishing | Código QR que encaminha para página ou pagamento fraudulento | QR colado sobre o original ou enviado por mensagem |
Entre os comportamentos de segurança promovidos estão a não partilha de dados bancários em resposta a contactos inesperados, a verificação da origem das mensagens antes de clicar em links, a confirmação de referências de pagamento e a utilização dos canais oficiais do banco ou da entidade em causa.
Os números do Banco de Portugal: fraude baixa, mas prejuízo real
Os dados oficiais mais recentes ajudam a enquadrar a campanha. No Relatório dos Sistemas de Pagamentos referente a 2025, o Banco de Portugal indica que a fraude nos pagamentos eletrónicos se manteve extremamente reduzida e até diminuiu face ao período homólogo: no primeiro semestre de 2025, os débitos diretos foram o instrumento com menor taxa de fraude, com quatro operações fraudulentas por cada milhão, seguindo-se as transferências a crédito, com dez por milhão, e os cartões, com 66 por milhão. O valor compara com 129 operações fraudulentas por milhão nos cartões no primeiro semestre de 2024, com o valor médio da fraude a descer de 58 para 48 euros.
A escala percentual, porém, não deve criar falsa segurança. As perdas absolutas ascenderam a 5,3 milhões de euros no primeiro semestre de 2025, envolvendo essencialmente cartões e transferências a crédito — uma queda de 40,4% face ao período homólogo, segundo os dados divulgados pelo supervisor. Mais relevante para o tema desta campanha é a natureza da fraude: nas transferências a crédito, 84% das operações fraudulentas resultaram da emissão de uma ordem de pagamento pelo próprio infrator. Ou seja, o vetor dominante não é a quebra de sistemas bancários, mas a manipulação de pessoas — exatamente o terreno da engenharia social. O Banco de Portugal nota ainda que, nas operações com cartão, a taxa de fraude foi muito inferior quando foi aplicada autenticação forte do cliente.
O contexto de utilização também explica a pressão. O mesmo relatório registou um crescimento de 10,7% no número de pagamentos, para 5,2 mil milhões de operações, e um aumento de 12,8% no valor transacionado, com o valor médio por transação a subir para 168 euros.
Até a própria APB foi usada como isco
A pertinência da campanha ficou demonstrada pouco antes do seu arranque. A APB divulgou um comunicado a alertar para situações em que cidadãos são contactados telefonicamente por indivíduos que se fazem passar por colaboradores da associação, utilizando indevidamente o seu nome. É um caso de escola de vishing combinado com abuso de identidade institucional: a marca de uma entidade que não tem qualquer relação comercial direta com os clientes bancários é usada para conferir credibilidade a um pedido fraudulento. A regra prática é a mesma que a campanha promove: nenhuma entidade legítima — banco, associação setorial ou autoridade — pede códigos de autenticação, palavras-passe ou transferências por telefone.
Como reagir a um contacto suspeito
- Interromper o contacto. Desligar a chamada ou ignorar a mensagem não tem custo; agir sob pressão tem.
- Confirmar por canal independente. Ligar para o número do banco impresso no cartão ou usar a aplicação oficial, nunca os contactos indicados na mensagem recebida.
- Nunca partilhar credenciais nem códigos. Códigos de autenticação de dois fatores, PIN e palavras-passe são pessoais e não devem ser ditados a ninguém.
- Validar referências e QR codes. Confirmar entidade, referência e valor no portal oficial do prestador de serviço antes de pagar; desconfiar de autocolantes QR aplicados sobre outros.
- Comunicar de imediato. Se houve partilha de dados ou pagamento, contactar o banco sem demora para tentar bloquear a operação e cartões, e apresentar queixa às autoridades competentes.
- Reportar tentativas. Incidentes de
phishingesmishingpodem ser comunicados ao CERT.PT, no CNCS, contribuindo para a deteção e bloqueio de domínios fraudulentos.
Porque é que isto importa para cidadãos, PME e organizações
A engenharia social é, há anos, a ameaça mais transversal no ciberespaço nacional. Na 6.ª edição do Relatório Riscos & Conflitos, o CNCS destacou o phishing e o smishing, outras formas de engenharia social e as burlas online entre as ciberameaças mais relevantes, com os cibercriminosos, atores estatais e hacktivistas como principais agentes de ameaça em 2024. No mesmo documento, o vishing foi a subtipologia mais observada pelo CERT.PT, com 170 incidentes (18,31% do total) e um aumento de 136%, seguido da CEO Fraud, com 166 incidentes (17,89%) e uma subida de 164% face a 2023. A edição seguinte, o Relatório Riscos e Conflitos 2025, foi publicada a 30 de abril de 2026 e analisa as ciberameaças que afetaram o ciberespaço de interesse nacional no ano transato, apresentando também as tendências para o futuro próximo.
Para as PME, a leitura é direta: as mesmas técnicas que visam a conta pessoal do consumidor são usadas contra departamentos financeiros, sob a forma de faturas alteradas, pedidos urgentes de transferência em nome da gerência ou falsas alterações de IBAN de fornecedores. Uma burla bem-sucedida pode ainda ter uma segunda camada de consequências jurídicas: se envolver o acesso indevido a dados pessoais de clientes ou colaboradores, aplica-se o dever de avaliação e eventual notificação de violação de dados à CNPD ao abrigo do RGPD. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, a formação e a sensibilização dos colaboradores deixaram de ser boa prática opcional para passarem a integrar as obrigações de gestão de risco, ao lado do registo junto do CNCS e dos deveres de notificação de incidentes.
Campanhas como a da APB não substituem controlos técnicos — autenticação forte, limites de transação, monitorização de fraude —, mas atacam o elo que os atacantes mais exploram. Num cenário em que a maioria das transferências fraudulentas é ordenada pela própria vítima, a decisão de parar cinco segundos antes de confirmar um pagamento vale, em muitos casos, mais do que qualquer camada de software.
Perguntas frequentes
O que é a campanha “Não passes cartão à fraude”?
É uma campanha nacional de sensibilização da Associação Portuguesa de Bancos, lançada em setembro de 2025, com o objetivo de alertar os cidadãos para os principais riscos de fraude nos pagamentos e promover comportamentos mais seguros na utilização da banca digital. A segunda fase arrancou a 8 de setembro e é dirigida aos consumidores.
Que tipos de fraude são abordados nesta nova fase?
Cinco cenários: chamadas falsas em nome do banco (vishing), SMS com links fraudulentos (smishing), e-mails com promessas de dinheiro fácil (phishing), falsas referências de pagamento e códigos QR que encaminham para páginas ou pagamentos fraudulentos (quishing ou QRishing).
O que devo fazer se receber uma chamada ou mensagem suspeita do meu banco?
Interromper o contacto, não clicar em links e não partilhar dados pessoais, credenciais de acesso ou códigos de autenticação. Depois, confirmar a alegada operação diretamente com o banco, através dos canais oficiais, e comunicar a tentativa de fraude às autoridades competentes.
A fraude nos pagamentos está a aumentar em Portugal?
Segundo o Banco de Portugal, a fraude nos pagamentos eletrónicos manteve-se muito reduzida e diminuiu no primeiro semestre de 2025, com 66 operações fraudulentas por milhão nos cartões e dez por milhão nas transferências. As perdas totais foram de 5,3 milhões de euros nesse semestre, e a maior parte das transferências fraudulentas resultou de ordens emitidas pelo próprio infrator após manipulação da vítima.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Associação Portuguesa de Bancos, pelo Banco de Portugal e pelo Centro Nacional de Cibersegurança.