Processo 64/24.1T8GDL.E1

Apelação n.º 64/24.1T8GDL.E1

(2.ª Secção)

Relatora: Cristina Dá Mesquita

Adjuntos: Maria Domingas Simões

José Manuel Costa Galo Tomé de Carvalho

Acordam os Juízes do Tribunal da Relação de Évora:

I. RELATÓRIO

I.1.

Monte do (…), Sociedade (…), Lda., Autora na ação declarativa de condenação que moveu contra a Caixa de Crédito Agrícola Mútuo da (…), C.R.L., interpôs recurso da sentença que foi proferida pelo Juízo Local Cível de Grândola, do Tribunal Judicial da Comarca de Setúbal, o qual julgou a ação totalmente improcedente e, em consequência, absolveu a ré do pedido que consistia na condenação da Ré no pagamento da quantia de € 39.904,93, acrescida de juros de mora vencidos contados desde 15/09/2022, à taxa de 4%, acrescidos de 10% nos termos do n.º 10 do mesmo diploma, os quais ascendia, na data da propositura da ação, ao valor de € 8.020,34, tudo perfazendo o total de € 47.925,27, bem como os juros vincendos até efetivo e integral pagamento e, subsidiariamente, a condenação da Ré no pagamento da quantia de € 39.904,93, acrescida de juros de mora vencidos contados ao dia sobre aquele valor, desde 14/09/2024, às taxas supletivas legais sucessivamente aplicáveis aos créditos de que são titulares empresas comerciais perfazendo, à data, a quantia de € 45.422,74, bem como os juros vincendos até efetivo e integral pagamento.

Como fundamento do seu pedido, a Autora alegou, em síntese, que é titular de contas bancárias no Banco Réu as quais foram acedidas por terceiro, que também acedeu aos seus dados pessoais e que tal sucedeu por falhas do sistema de segurança do serviço prestado pela Ré, o que levou a que fossem efetuadas das suas contas quatro transferências no valor global de € 39.904,93, sem que para tal tivesse dado qualquer autorização.

Na sua contestação a Ré declinou qualquer responsabilidade pelo sucedido e imputou à Autora negligência grosseira.

I.2.

A recorrente formula alegações que culminam com as seguintes conclusões:

«I. O presente recurso tem por objeto a impugnação da sentença recorrida na parte em que esta afasta o dever de reembolso das quantias debitadas das contas da ora Recorrente, no âmbito de operações de pagamento não autorizadas, ao abrigo do Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica (RJSPME).

II. Nos termos do “artigo 113.º, n.º 1, do RJSPME”, incumbe exclusivamente ao prestador de serviços de pagamento demonstrar que as operações foram devidamente autenticadas, corretamente registadas e contabilizadas, bem como que não ocorreu qualquer avaria técnica ou outra deficiência do serviço.

III. Como amplamente demonstrado, a Ré ora Recorrida, não cumpriu esse ónus probatório, reconhecendo o próprio Tribunal a quo que não ficou provado o modo concreto como foram autenticadas as operações de pagamento em causa.

IV. Resulta da factualidade provada que, sem o consentimento ou autorização da Autora, ora Recorrente, alguém acedeu ao sistema informático da Recorrida e às contas bancárias tituladas pela Recorrente junto desta e, de forma ilícita e ilegal, obteve os dados e elementos que bem lhe aprouve, acesso esse ocorrido antes mesmo do contacto telefónico estabelecido com o gerente da Recorrente.

V. Inexiste prova de autenticação das operações pelo ordenante, lacunas nos registos técnicos apresentados pela Recorrida e o bloqueio do acesso ao serviço CA Online Empresas no dia imediatamente seguinte aos factos.

VI. A conjugação do acesso ilegítimo ao sistema informático da Ré, da falta de autenticação das operações pelo ordenante, das lacunas nos registos técnicos apresentados e do bloqueio do acesso ao serviço no dia imediatamente seguinte aos factos inviabiliza a demonstração da integral regularidade do processo de autenticação, registo e contabilização das operações, bem como da inexistência de avaria técnica ou outra deficiência do serviço.

VII. Nos termos do artigo 113.º, n.ºs 3 e 4, do RJSPME, a mera execução técnica de uma operação de pagamento ou a utilização do instrumento de pagamento registada pelo prestador não é, por si só, suficiente para provar que a operação foi autorizada pelo ordenante, nem para lhe imputar dolo ou negligência grosseira, sendo legalmente vedada qualquer presunção ou automatismo nesse sentido.

VIII. Não tendo a Ré, ora Recorrida, cumprido o ónus probatório que sobre si impendia, nos termos do artigo 113.º, n.º 1, do RJSPME, não se encontrava aberto o plano de apreciação de qualquer causa de exclusão do dever de reembolso, impondo-se, desde logo, a aplicação deste regime-regra, consagrado no artigo 114.º do RJSPME.

Quando assim não se entendesse,

IX. Só no pressuposto, não verificado, de se considerar preenchido o ónus probatório previsto no artigo 113.º, n.º 1, do RJSPME, poderia ser equacionada a eventual imputação de negligência grosseira à Autora, ora Recorrente, nos termos do artigo 115.º, n.º 4, do RJSPME.

X. A prática de atos meramente instrumentais ou técnicos em contexto de fraude, designadamente a introdução de códigos OTP sob convicção induzida de cancelamento de uma operação, não se confunde juridicamente com a autorização de uma ordem de pagamento, nos termos do artigo 2.º, alínea mm), do RJSPME.

XI. O gerente da Autora, ora Recorrente, não introduziu ou facultou a password, quaisquer dos respetivos dígitos aleatórios ou outros elementos essenciais funcional e tecnicamente aptos, por si só, à concretização das operações de pagamento realizadas.

XII. O único de tais elementos, os códigos OTP, foram revelados pelo gerente da Autora, num contexto de fraude, urgência e convencimento de que estava a atuar para cancelar uma operação apresentada como fraudulenta, não sendo tais códigos (OTP), isoladamente, tecnicamente aptos a permitir a realização de transferências bancárias.

XIII. Nessas circunstâncias, a atuação do gerente da ora Recorrente não é funcionalmente reconduzível à autorização de transferências bancárias, o que afasta, no plano subjetivo, a imputação de consciência mínima, de estar a autorizar tais operações.

XIV. O eventual erro em que o gerente da Autora incorreu configura, assim, um erro induzido por atuação fraudulenta de terceiro, em contexto de engenharia social e engano induzido e não uma violação escandalosa das mais elementares regras de prudência exigíveis a um utilizador médio.

XV. Não é possível a qualificação da atuação da Autora, ora Recorrente, na pessoa do seu gerente, como negligência grosseira, assente na existência de alertas de segurança enviados por SMS, banners informativos, campanhas públicas de prevenção de fraude, bem como, no simples acesso a e-mail ou link recebido por correio eletrónico.

XVI. A existência abstrata e genérica de alertas, banners e campanhas, não equivale, nem pode equivaler, à prova de que tenham sido efetivamente visualizados, interiorizados e, menos ainda, corretamente contextualizados no momento concreto dos factos, num cenário de fraude sofisticada e de engenharia social.

XVII. Tais elementos informativos não suprem a ausência de prova quanto à intervenção do utilizador nos elementos essenciais da autenticação forte, nem permitem imputar-lhe a autorização de transferências bancárias.

XVIII. O mero acesso a um e-mail ou a um link, sem prova de que daí tenha resultado a introdução ou disponibilização de credenciais essenciais funcional e tecnicamente aptas à concretização das operações, como sucede in casu, não constitui violação de obrigações nem constitui, por si só, um comportamento escandaloso, imperdoável ou ostensivamente indesculpável.

XIX. Ao atribuir aos alertas, banners, campanhas públicas e ao acesso a link um valor substitutivo ou ao menos desligado da prova funcional e subjetiva exigida, a sentença recorrida converte indevidamente tal informação preventiva genérica, em critério automático de imputação de culpa qualificada – negligência grosseira.

XX. O raciocínio expendido na sentença viola o conceito exigente de negligência grosseira, tal como densificado pelo direito civil e pela jurisprudência dominante, segundo o qual apenas um comportamento que nunca seria adotado pela generalidade dos utilizadores colocados nas mesmas circunstâncias, pode integrar essa forma qualificada de culpa.

XXI. Ao concluir em sentido diverso e que a Recorrente atuou com negligencia grosseira, a sentença recorrida baixa inadmissivelmente o limiar de censurabilidade legalmente exigido, incorrendo em erro de subsunção jurídica e violando o disposto no “artigo 115.º, n.º 4, do RJSPME”.

XXII. Em consequência, deve a decisão recorrida ser revogada, com a condenação da Ré, ora Recorrida, no reembolso das quantias indevidamente transferidas, nos termos do “artigo 114.º” do RJSPME.

Termos em que, e nos mais de Direito aplicável que V. Exas. doutamente suprirão, deve ser revogada a sentença recorrida, substituindo-se por outra que condene a Ré, ora recorrida, no pedido formulado pela Autora, ora recorrente, com as legais consequências, dando assim provimento ao presente recurso de Apelação, nos moldes e com as consequências supra expostas, assim fazendo V. Exas., Venerandos Desembargadores, a costumada, necessária, desejada e indispensável, JUSTIÇA!!!».

I.3.

A resposta às alegações de recurso da apelada culminam com as seguintes conclusões:

«I. O facto provado OOO) deve manter-se na lista de factualidade provada, nos termos redigidos pelo Tribunal a quo, porquanto não estamos perante uma asserção verdadeiramente conclusiva, mas sim perante uma formulação híbrida ou fático-jurídica que corresponde a enunciados com significado socialmente claro, e que não inclui a decisão jurídica do litígio.

II. A Ré/Recorrida deu cumprimento ao ónus de prova previsto no artigo 113.º do RJSPME, demonstrando que as quatro transferências identificadas na alínea Y) da lista de factualidade provada foram (i) autenticadas mediante a utilização de três dígitos da password aleatoriamente solicitados pelo sistema e a respetiva OTP de autorização, conforme resulta do Doc. n.º 7 junto com a Contestação e do depoimento prestado pelo Eng.º (…); (ii) registadas tanto nos logs operacionais (Doc. n.º 7 da Contestação), como nos extratos bancários das contas tituladas pela Recorrente (Docs. n.º 1 e 2 da Petição Inicial) e na consulta de movimentos junta como Doc. n.º 6 da Petição Inicial, (iii) contabilizadas, pois estão refletidas nos extratos bancários das contas tituladas pela Recorrente (Docs. n.º 1 e 2 da Petição Inicial) e (iv) não foram afetadas por qualquer avaria técnica ou por qualquer deficiência do serviço prestado pelo prestador de serviços de pagamento, uma vez que resultam do conjunto dos seguintes fatores: (iv.i) atuação criminosa por terceiro burlão, conforme resulta da Queixa-Crime apresentada pelo Legal Representante da Autora / Recorrente, (iv.ii) atuação colaborante por parte do Legal Representante da Autora / Recorrente, que forneceu as suas credenciais de acesso e utilização do CA Online Empresas, que são pessoais, secretas e intransmissíveis, e, por fim, (iv.iii) da inserção, no CA Online Empresas, de todas as credenciais necessárias para a realização das quatro transferências sub judice, após a devida autenticação.

III. Para aferir se a conduta do Legal Representante da Autora/Recorrente configurou, ou não, uma conduta grosseiramente negligente, à luz do disposto no artigo 115.º, n.º 4, do Decreto-Lei n.º 91/2018, o Tribunal a quo considerou todas as circunstâncias específicas atinentes ao caso, nomeadamente, (i) o perfil de utilizador do Legal Representante da Recorrente (cfr. factos provados MMM,NNN e OOO);

(ii) os alertas remetidos pela Recorrida aos seus Clientes (factos provados XXX), YYY), ZZZ), AAAA), BBBB) e CCCC), para além, (iii) dos factos que ocorreram no dia 13 de setembro de 2022 (factos provados F), G), I) a S), Y), QQQ), RRR) e WWW) e concluiu, corretamente, que tal conduta foi negligentemente grosseira, por violação das mais elementares regras contratuais e de prudência e segurança na utilização do homebanking.

IV. A conduta adotada pelo Legal Representante da Autora de confiar na chamada recebida e no e-mail recebido, tentar aceder ao CA Online Empresas através de um link inserto num e-mail ilegítimo, seguir os passos comunicados pelo remetente da chamada telefónica e a partilha contínua de, pelo menos, quatro OTP de autorização, tem de ser considerada grosseiramente negligente, sobretudo considerando todos os alertas de segurança divulgados pela Ré / Recorrida.

V. O Legal Representante da Autora, sendo um utilizador frequente do CA Online Empresas, tinha um dever especial de agir com cautela e cuidado, e conhecia bem – ou tinha a obrigação de conhecer – as regras de acesso e utilização do serviço, bem como os alertas difundidos pela Ré que alertavam, especificamente, para situações como a vivenciada.

VI. A jurisprudência maioritária recente considera que a disponibilização de credenciais pessoais, secretas e intransmissíveis a terceiros constitui negligência grosseira, sendo o cliente responsável pelos prejuízos resultantes das operações realizadas, nos termos e ao abrigo do disposto no artigo 115.º, n.º 4 do Decreto-Lei n.º 91/2018, pelo que a decisão sob recurso está em conformidade com a jurisprudência atualmente maioritária, legislação e doutrina, e, por isso, não merece censura, devendo manter-se nos seus precisos termos.

VII. Sem prescindir, no caso de este douto Tribunal ad quem decidir revogar a sentença proferida pelo Tribunal a quo, o que apenas por hipótese e enquanto tal se admite, deve ser ampliado o objeto do recurso e retificar-se a matéria de facto, assim como a questão jurídica atinente à qualificação das operações como autorizadas, o que se requer nos termos e para os efeitos do disposto no artigo 636.º, n.º 2, do CPC.

VIII. O facto provado P) e os factos não provados n.º 3 e 4 não se poderão manter nos termos redigidos pelo Tribunal a quo.

IX. Como concluiu, e bem, o Tribunal a quo, uma verdadeira alteração do número de adesão, da chave multicanal, ou da password estaria refletida nos logs operacionais, juntos como Doc. n.º 7 da Contestação.

X. Ora, decorre do facto provado N) que não estamos perante uma alteração de credenciais no CA Online Empresas, mas sim uma alegada alteração que conduziria ao alegado cancelamento de uma transação bancária que estaria a ser efetuada sem o conhecimento do Legal Representante da Autora.

XI. Assim, para que dúvidas não restem, é de clarificar o teor do facto provado P), conferindo-lhe a seguinte redação:

P) O sócio-gerente da Autora seguiu os passos solicitados pelo suposto “funcionário” da Ré.

XII. Parte do enunciado do facto não provado n.º 3 coincide, materialmente, com o que o próprio Tribunal a quo deu como provado sob a alínea O): a introdução, por parte do Legal Representante da Autora, do número de adesão e da chave multicanal na página fraudulenta a que acedeu.

XIII. O que resta da redação do facto não provado n.º 3, acaba por coincidir com o facto não provado n.º 4.

XIV. Por isso, tal facto deve ser integralmente eliminado da listagem de factos não provados para clareza de raciocínio, ou, subsidiariamente, deve expurgar-se da matéria de facto não provada sob o n.º 3 a menção a que não ficou provado que o Legal Representante da Autora tenha inserido o número de adesão e chave multicanal na página fraudulenta a que acedeu, por tal resultar dos factos provados sob as alíneas M), N), O) e P).

XV. O depoimento prestado pelo Legal Representante da Autora não é absolutamente claro a excluir a inserção da chave multicanal.

XVI. Por outro lado, dos factos provados Y), WW), PPP), CCC), DDD), EEE), GGG), HHH), III) e JJJ) resulta que as quatro operações em causa nos presentes autos apenas foram realizadas após a introdução dos respetivos três dígitos da password aleatoriamente solicitados pelo sistema e as OTP de autorização, é imperativo concluir que o Legal Representante tornou disponível, por alguma forma, a sua password integral (ou as quatro combinações de três dígitos aleatoriamente solicitados pelo sistema aquando da realização de cada uma das operações).

XVII. Por sua vez, resulta do depoimento prestado pelo Eng.º (…), que à data dos factos, o modus operandi de ataques de phishing, como aquele de que o Legal Representante da Autora foi vítima, consistia numa chamada telefónica (na qual os terceiros já detinham as credenciais necessárias para efetuar o login na adesão dos Utilizadores ao homebanking, por as terem obtido previamente), seguida do envio de um e-mail, com um link fraudulento, no qual os Utilizadores inseriam a sua password (sob pretexto de alteração) e as OTP de autorização (as duas únicas credenciais que faltavam ao terceiro mal-intencionado para efetuar transferências).

XVIII. Já do Documento n.º 7 junto com a Contestação, do depoimento do Eng.º (…), da Eng.ª (…) e do Eng.º (…) que as operações foram efetuadas mediante a introdução dos três dígitos aleatoriamente solicitados aquando da execução de cada uma das transferências e da respetiva OTP de autorização.

XIX. Finalmente, resulta do depoimento do Eng.º (…) que inexistiu qualquer falha de segurança que tenha exposto credenciais dos Utilizadores do homebanking, sendo certo que, como resulta do depoimento da Eng.ª (…), a password é remetida, pela SIBS por carta fechada.

XX. Assim, apenas se pode concluir que Legal Representante da Autora tornou acessível a integralidade da sua password ou as quatro combinações solicitadas, aleatoriamente, pelo sistema aquando da execução de cada uma das quatro operações bancárias em causa nos presentes autos, de três dígitos da password.

XXI. Por estes mesmos motivos, deve ser removido da listagem de factos não provados o facto n.º 4 e aditado aos factos provados, ou, no limite, ser aditado um facto provado à listagem de factos provados, nos seguintes termos:

EEEE) O gerente da Autora, de alguma forma, tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password, aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa.

XXII. O facto provado Q) não se poderá manter nos termos redigidos pelo Tribunal a quo, por manifesto erro de julgamento quanto à prova produzida, uma vez que, contrariamente ao que decorre do mesmo, o Legal Representante da Autora não recebeu uma OTP de autorização, mas sim sete, como é demonstrado no Doc. n.º 8 junto com a Contestação e está refletido no facto provado QQQ).

XXIII. Resulta do Doc. n.º 8 junto com a Contestação e das Declarações de Parte do Legal Representante da Autora, que este recebeu sete OTPs de autorização e que tais OTP se destinavam à autorização de transferências bancárias.

XXIV. Em função do exposto, o facto provado Q) deverá ser alterado nos seguintes termos:

Q) De seguida, o sócio-gerente da Autora recebeu, através de SMS, sete códigos de autorização de transferências bancárias.

XXV. O facto provado S) não se poderá manter nos termos redigidos pelo Tribunal a quo, por da leitura conjugada com a leitura do facto provado sob a alínea R), resultar que o Legal Representante da Autora inseriu uma única OTP de autorização quatro vezes na página fraudulenta a que acedera, na sequência do descrito no facto provado sob a alínea M).

XXVI. Resulta do depoimento do Legal Representante da Recorrente que este introduziu, na página fraudulenta a que acedeu, quatro OTP de autorização (e não uma OTP, quatro vezes).

XXVII. Também não é correto afirmar que o Legal Representante da Autora foi “bem sucedido” no cancelamento da operação, porquanto não houve qualquer cancelamento de transferência, mas sim uma tentativa frutífera de ludibriar o Legal Representante da Autora, para fornecer as credenciais necessárias para a realização de transferências bancárias.

XXVIII. Assim, atendendo às declarações do Legal Representante da Autora, ao depoimento prestado pelo Eng.º (…) e ao Doc. n.º 8 junto com a Contestação, e para que o facto provado S) seja inequívoco e claro, deve ser alterado nos seguintes termos:

S) O Legal Representante da Autora inseriu quatro das OTP de autorização que recebeu. Após inserir as quatro OTP de autorização que permitiram a execução das quatro transferências, surgiu no ecrã a mensagem “Cancelamento efetuado com sucesso”.

XXIX. O facto provado T) não se poderá manter nos termos redigidos pelo Tribunal a quo, por manifesto erro de julgamento quanto à prova produzida, uma vez que não há qualquer elemento de prova que o sustente, nos termos em que foi redigido pelo Tribunal a quo.

XXX. Do Doc. n.º 4 da Petição Inicial, apenas resulta que o e-mail fraudulento se referia ao cancelamento de uma transação – não havendo dúvidas que tal corresponde a uma tentativa frutífera de ludibriar o Legal Representante da Autora e não a um verdadeiro cancelamento, até porque nunca foi possível cancelar transferências através do CA Online, como resulta do depoimento da Eng.ª (…).

XXXI. Assim, inexistindo meios de prova que sustentem a existência de uma verdadeira operação de cancelamento e resultando do depoimento da Eng.ª (…) que não é possível cancelar transferências bancárias no CA Online Empresas, o que é suportado pelos contratos juntos aos autos, que tampouco evidenciam tal possibilidade, impõe-se que o facto provado T) seja alterado nos seguintes termos:

T) “Nessa sequência, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da Autora de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se”.

XXXII. O facto provado CC) deve ser retirado da lista de factualidade provada pois (i) não foi feita prova de que alguém tenha acedido ao sistema da Ré e da prova efetuada em sede de julgamento apenas resulta que alguém acedeu à adesão da Autora/Recorrente ao CA Online Empresas, após lá ter inserido o número de adesão e a chave multicanal associadas a tal adesão (facto provado PPP)) e (ii) contém juízos valorativos e conclusivos relacionados com o desfecho da causa; sendo que também (iii) não foi efetuada qualquer prova que confirme que alguém “obteve os dados e elementos que bem lhe aprouve” descrição genérica e pouco objetiva.

XXXIII. A jurisprudência dos Tribunais Superiores é clara quando decide que um facto que integre uma enunciação que contenha o desfecho jurídico da ação – in casu¸ qualificação das operações ora aqui em discussão como operações não autorizadas – deve ser removido da lista da factualidade provada.

XXXIV. Ainda que o Tribunal ad quem venha a entender que o facto provado CC) poderia, em tese, ser reconduzido a matéria de facto – o que não se admite e apenas por mero dever de patrocínio se equaciona –, a verdade é que os meios de prova produzidos e nos quais o Tribunal a quo assentou para formular a sua convicção (declarações de parte do Legal Representante da Recorrente, depoimento do Eng.º … e o Doc. n.º 7 da Contestação) resulta apenas a ocorrência do acesso identificado no facto provado PPP) e das operações identificadas no facto provado Y), não existindo qualquer evidência de que um terceiro acedeu ao sistema da Recorrida, com liberdade total de obtenção de dados da Recorrente.

XXXV. Assim, requer-se que o facto provado CC) seja retirado do elenco de factualidade provada, por conter juízos conclusivos e jurídicos, antecipando o desfecho da causa, em violação do regime do artigo 607.º, n.ºs 3 e 4, do CPC e da jurisprudência firmada referente à inadmissibilidade de matéria conclusiva em sede de factos provados; por não ter base factual e, por fim, por conter expressões inexactas e não factuais.

XXXVI. O mesmo se diga quanto aos factos provados DD) e FF), cuja redação contém expressões como “quantias indevidamente transferidas”, “valores indevidamente transferidos” e “sem o seu conhecimento ou autorização”, que traduzem uma qualificação jurídica relativa às operações de pagamento, qualificando-as como ilegítimas, não autorizadas e efetuadas sem o consentimento do Legal Representante – conclusão essa relacionada com o desfecho da causa e com a questão em discussão em presentes autos.

XXXVII. Na medida em que, com exceção das expressões jurídicas e conclusivas já identificadas, tais factos resultam dos Docs. n.ºs 8 e 9 juntos com a Petição Inicial, a Recorrente requer a retificação dos factos provados DD) e FF), com a exclusão das expressões conclusivas alusivas ao desfecho da causa, nos seguintes termos:

DD) Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias transferidas.

FF) E atribuindo, tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores transferidos das suas contas bancárias.

XXXVIII. A ampliação da matéria de facto passará ainda pelo aditamento do facto, alegado pela Ré, ora aqui Recorrida, referente à inexistência de avaria ou de deficiência no CA Online Empresas.

XXXIX. Resulta inequivocamente do depoimento prestado pelo Eng.º (…) – responsável da segurança do Grupo Crédito Agrícola – que não foi detetada qualquer falha ou avaria no sistema de homebanking, especificamente uma falha que tenha exposto dados dos utilizadores do homebanking.

XL. O depoimento prestado pelo Eng.º (…) e, em particular, as operações com os ID n.º (…), (…), (…) e (…) plasmadas no Doc. n.º 7 junto com a Contestação e a factualidade provada sob as alíneas Q), R), S), Y), CCC), DDD), EEE), HHH), III), JJJ) e RRR) sustentam o aditamento do seguinte facto à lista de factualidade provada:

FFFF) Inexistiu qualquer avaria técnica ou deficiência do CA Online Empresas que tenha afetado as operações de pagamento efetuadas.

XLI. O facto não provado n.º 2 deve ser retirado da factualidade não provada, por estar em total contradição com os factos provados F), K), AAA), PPP) e WWW), dado que para o terceiro mal-intencionado ter inserido o número de adesão e a chave multicanal é pressuposto necessário que tenha, anteriormente, obtido tais credenciais.

XLII. Subsidiariamente, caso o Tribunal ad quem considere que tal facto não deve ser retirado da factualidade não provada, deve o facto não provado n.º 2 ser alterado e redigido nos seguintes termos:

Facto não provado n.º 2: Que o acesso mencionado em PPP) tenha sucedido porque, num momento anterior à chamada recebida pelo gerente da Autora e ao e-mail que lhe foi remetido, o terceiro burlão obteve o número de telemóvel do gerente da Autora associado à adesão ao CA Online Empresas.

XLIII. Por outro lado, deverá também o objeto do recurso ser ampliado para apreciar uma questão jurídica.

XLIV. Com efeito, ainda que o douto Tribunal a quo tenha concluído que “Foi a Autora que, induzida pelo artifício enganoso do terceiro, autenticou e validou as operações bancárias realizadas” 115, não apreciou, juridicamente, se as quatro operações financeiras realizadas através da adesão titulada pela Autora são, ou não, operações autorizadas – questão fulcral para a discussão dos presentes autos.

XLV. As quatro operações de pagamento executadas devem ser qualificadas como operações autorizadas, nos termos e para os efeitos do disposto no artigo 103.º, n.ºs 1 e 3, do RJSPME, porquanto foram realizadas através da introdução de todas as credenciais pessoais, secretas e intransmissíveis de acesso e de utilização, necessárias para executar tais operações.

XLVI. Como resulta do Doc. n.º 7 junto com a Contestação, e dos factos provados Q), R), S), Y), CCC), DDD), EEE), HHH), III), JJJ) e RRR), as quatro operações de pagamento executadas a partir da adesão titulada pela Autora/Recorrente e atribuída ao seu Legal Representante, foram realizadas através da introdução de três posições aleatórias da password e das respetivas OTP de autorização constantes das mensagens recebidas pelo Legal Representante da Autora/Recorrente que expressamente identificavam a conta a debitar, a conta a creditar e o montante a transferir, para além do respetivo código de autorização, pelo que as operações foram autorizadas nos termos contratuais – i.e., acordados pelas partes –, pelo que se consideram autorizadas, nos termos e para os efeitos do disposto no artigo 103.º, n.ºs 1 e 3, do RJSPME.

XLVII. Decorre da alegação da Autora/Recorrente, na Petição Inicial, dos Docs. n.ºs 1, 2, 6 e 7 da Petição Inicial, do Doc. n.º 7 junto com a Contestação e da factualidade refletida nos factos provados Q), R), S), Y), CCC), DDD), EEE), HHH), III), JJJ) e RRR) que as quatro operações identificadas no facto provado Y) foram autenticadas, registadas, contabilizadas e não afetadas por qualquer avaria técnica ou por qualquer deficiência do serviço prestado pelo prestador de serviços de pagamento.

XLVIII. Nestes termos, caso o Ilustre Tribunal ad quem venha a conhecer do mérito deste segmento – o que não se antecipa, mas por cautela de patrocínio se equaciona –, deverá julgar as operações sub judice autorizadas e, consequentemente, absolver a Recorrida do pedido contra si formulado.

XLIX. O facto provado RRR) contém um lapso de escrita, devendo a data "13 de setembro de 2023" ser corrigida para "13 de setembro de 2022", ao abrigo do disposto no artigo 614.º, n.º 1, do CPC.

Nestes termos e nos demais de Direito aplicáveis, deverá o presente recurso de apelação ser julgado totalmente improcedente, e em consequência ser a decisão do Tribunal a quo mantida nos seus exatos termos, com todas as legais consequências.

Subsidiariamente, caso a sentença venha a ser revogada, deverá o objeto do presente recurso ser ampliado nos termos requeridos, com todas as legais e devidas consequências. Por fim, deve o lapso de escrita identificado no facto provado RRR) ser retificado, nos termos e ao abrigo do disposto no artigo 614.º, n.º 1, do CPC».

I.4.

O recurso foi recebido pelo tribunal a quo.

Corridos os vistos em conformidade com o disposto no artigo 657.º, n.º 2, do Código de Processo Civil, cumpre decidir.

II. FUNDAMENTAÇÃO

II.1.

As conclusões das alegações de recurso (cfr. supra I.2) delimitam o respetivo objeto de acordo com o disposto nas disposições conjugadas dos artigos 635.º, n.º 4 e 639.º, n.º 1, ambos do CPC, sem prejuízo das questões cujo conhecimento oficioso se imponha (artigo 608.º, n.º 2 e artigo 663.º, n.º 2, ambos do CPC), não havendo lugar à apreciação de questões cuja análise se torne irrelevante por força do tratamento empreendido no acórdão (artigos 608.º, n.º 2 e 663.º, n.º 2, do CPC).

II.2.

No caso as questões que importa decidir são as seguintes:

1 – Retificação de lapso de escrita.

2 – Avaliar se ocorreu erro de julgamento de facto.

3 – Avaliar se ocorreu erro de julgamento de Direito.

II.3.

FACTOS

II.3.1.

O Tribunal de primeira instância julgou provada a seguinte factualidade:

«A) A Autora é uma sociedade que se dedica às atividades florestais e agrícolas em terrenos próprios ou de terceiros; à extração e comércio de cortiça e outros produtos florestais incluindo madeira; à produção de mel de abelha e utilização das abelhas na polinização para efeitos de auto-produção (frutos e sementes) e, ainda às atividades de hospedagem em casas particulares para fins não habitacionais e para fins turísticos com carácter familiar (turismo rural).

B) A Ré é uma instituição bancária.

C) A Autora é titular das contas de depósito à ordem com os n.ºs (…) e (…).

D) Cujos saldos, em 31 de agosto de 2022, eram, respetivamente, de € 32.933,34 e € 40.529,71.

E) As contas identificadas são geridas e movimentadas pelo sócio gerente da Autora, sr. (…).

F) Em 13 de Setembro de 2022, às 12 horas e 27 minutos, a Autora na pessoa do seu sócio gerente, sr. (…), recebeu uma chamada telefónica por parte de um indivíduo que, pela voz, lhe pareceu ser do sexo masculino, o qual se intitulou funcionário dos Serviços de Segurança da Ré.

G) O dito “funcionário” da Ré, para além de ter abordado o gerente da Autora nesta sua qualidade (de gerente) e sabendo o seu nome completo, demonstrou também ter total conhecimento dos diversos dados e elementos da Autora, designadamente, a sua denominação social, o número das supra referidas contas de depósito à ordem e os seus saldos, número de telefone, morada e endereço de correio eletrónico.

H) Razão pela qual o referido gerente da Autora ficou plenamente convencido de que a pessoa com quem falava era efetivamente um funcionário da Ré.

I) Como motivo de tal chamada e no decurso da mesma, o suposto “funcionário” informou o sócio gerente da Autora de que tinha sido detetada uma tentativa de movimento bancário fraudulento no valor de € 9.976,28 na conta bancária da Autora e que, não tendo sido por esta autorizado, como logo confirmado por aquele gerente, era necessário proceder ao cancelamento de tal operação com urgência.

J) Nesse sentido, com vista ao referido cancelamento, o referido suposto “funcionário” da Ré informou-o de que iria receber um “e-mail” da Ré na sua caixa de correio eletrónico e transmitiu-lhe várias instruções.

K) Assim, no decurso da referida chamada telefónica, sem que nunca tivesse facultado qualquer endereço de correio eletrónico ao suposto funcionário da Ré, o sócio gerente da Autora recebeu efetivamente na sua caixa de correio eletrónico um “e-mail” proveniente de um endereço eletrónico, com o logotipo da Ré e com o assunto “Processo de Cancelamento”.

L) No pressuposto de que se trataria efetivamente de um funcionário da Ré e convencido por este de que estaria a impedir a execução de uma transação a partir das contas da Autora que nunca autorizou, o sócio gerente da Autora acedeu proceder de acordo com as instruções que lhe foram paulatinamente transmitidas por aquele.

M) Nesse sentido, o suposto “funcionário” da Ré solicitou-lhe que, depois de abrir o referido e-mail, carregasse na zona onde dizia “Cancelar Transação”, o que fez.

N) Seguidamente, foi redirecionado para uma página web contendo um conjunto de ações que alegadamente conduziriam ao cancelamento da transação bancária.

O) Na supra referida página web foi-lhe pedido que procedesse à alteração do número de adesão do serviço “CA Online” (vulgo, homebanking) e, posteriormente, num outro campo, que alterasse a Chave Multicanal.

P) O sócio gerente da Autora efetuou estas alterações, e em momento algum transmitiu os novos dados alterados ao suposto “funcionário” da Ré.

Q) De seguida, o sócio gerente da Autora recebeu, através de SMS, um código de autorização com vista a efetivar o cancelamento da transação fraudulenta.

R) Código de autorização que o sócio gerente da Autora introduziu na supra referida página, plenamente convencido de que estaria a cancelar a transação fraudulenta.

S) Ação que teve de repetir várias vezes, apenas sendo bem-sucedido à quarta tentativa, quando surgiu no ecrã a mensagem “Cancelamento efetuado com sucesso”.

T) Finda a operação de cancelamento, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da Autora de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se.

U) Não houve lugar a nenhum inquérito de satisfação e a chamada foi desligada.

V) Certo é que no dia seguinte, 14 de setembro de 2022, a Autora, na pessoa do seu sócio gerente, deixou de ter acesso ao serviço “CA Online”, encontrando-se este bloqueado e com a indicação para contactar os serviços centrais da Ré.

W) Dirigiu-se, por isso a Autora, na pessoa do seu sócio gerente, de imediato e ainda na manhã desse mesmo dia 14 de setembro de 2022 à dependência de Grândola da Ré, onde, depois de ali dar conta de todos os factos, lhe foi transmitido pela funcionária da Ré que o atendeu, que teria sido vítima de burla.

X) Pois que, na mesma ocasião, aquela funcionária da Ré verificou também que tinham sido efetuadas quatro transferências bancárias a crédito, a partir das contas da Autora no valor global de € 39.904,93, a favor de terceiros que esta igualmente desconhece.

Y) No dia 13 de setembro de 2022 foram efetuadas quatro transferências bancárias a crédito, a partir das contas da Autora, no valor global de € 39.904,93, em concreto: I. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,18, a favor de/sendo beneficiária (…). II. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,24, a favor de/sendo beneficiário (…). III. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,28, a favor de/sendo beneficiário (…). IV. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,23, a favor de/sendo beneficiária (…).

Z) Ainda na mesma ocasião, foram contactados e informados do sucedido, direta e internamente, através da dependência de Grândola da Ré, os serviços centrais desta, em Lisboa e foi dada indicação à Autora, na pessoa do seu sócio gerente, de que deveria apresentar queixa-crime junto das autoridades e, em seguida, entregar junto daquela dependência, cópia do respetivo auto de notícia, bem como comunicações recebidas e uma análise de segurança ao computador, em ordem a que a Ré pudesse apurar a situação.

AA) No dia 14-09/2022, o sócio gerente da Autora dirigiu-se ao Posto Territorial de Grândola da Guarda Nacional Republicana onde apresentou a competente queixa-crime, a qual deu origem ao procedimento criminal que corre termos sob o NUIPC (…)

BB) Queixa-crime cuja cópia/comprovativo o sócio gerente da Autora veio a entregar no balcão da Ré em Grândola, a par de todos os demais documentos que foram solicitados, na perspetiva que, depois de analisados e confirmado que se tratou de uma burla, aquela fosse ressarcida do dinheiro indevidamente transferido.

CC) Sem o consentimento ou autorização da Autora, alguém acedeu ao sistema da Ré e às contas bancárias tituladas pela Autora junto desta e, de forma ilícita e ilegal, obteve os dados e elementos que bem lhe aprouve.

DD) Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias indevidamente transferidas, sem o seu conhecimento ou autorização.

EE) A Ré respondeu à Autora através de carta rececionada em 11 de janeiro de 2024, onde, em suma, alega que foram feitas diligências internas, não se tendo detetado nenhum incidente nem verificado qualquer tipo de avaria técnica ou deficiência no serviço, declinando qualquer responsabilidade pelo sucedido.

FF) E atribuindo, tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores indevidamente transferidos das suas contas bancárias e do consequente prejuízo.

GG) Foi celebrado entre a Autora e a Ré, a 23 de janeiro de 2013, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º (…).

HH) Na sequência do aludido contrato, as partes celebraram, na mesma data, um contrato de Adesão ao CA Online Empresas, conforme cópia das Condições Gerais de Utilização do Serviço On-Line Empresas que se dá por integralmente reproduzida para todos os legais e devidos efeitos.

II) Esta adesão permitiu à Autora, na pessoa do seu Autorizador, in casu, o gerente da Autora, consultar e movimentar a conta de depósito à ordem n.º (…) através da internet – acedendo ao CA Online Empresas – ou através de dispositivos móveis – acedendo ao CA Mobile.

JJ) Posteriormente, a 08 de novembro de 2021, foi celebrado, entre a Autora e a Ré, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º (…).

KK) Assim, a partir de 08 de novembro de 2021, a adesão ao CA Online Empresas titulada pelo gerente da Autora, permitiu a consulta e movimentação das contas de depósito à ordem n.º (…) e (…), através da internet – acedendo ao CA Online Empresas – ou através de dispositivos móveis – acedendo ao CA Mobile.

LL) Na medida em que, tal como resulta da Cláusula 54, n.º 1, alínea c), do Doc. n.º 3 ora junto, o Cliente que adira ao CA Online Empresas pode “aceder a qualquer uma das suas contas de depósitos domiciliadas em qualquer Agência da Caixa Agrícola (…), bem como efetuar um conjunto de operações financeiras de consulta e/ou de movimentação a débito e a crédito (…)”.

MM) Entre a celebração dos Contratos de Depósito e de Adesão ao CA Online Empresas, e a presente data, o teor das Condições Gerais dos mesmos foi sendo alterado, acompanhando a evolução legislativa.

NN) Todas as alterações contratuais foram comunicadas à Autora e disponibilizadas no CA Online Empresas.

OO) O serviço CA Online Empresas confere, a quem adere, a possibilidade de (i) consultar as contas de depósito que estejam domiciliadas junto do Crédito Agrícola e (ii) efetuar um conjunto de operações bancárias associadas a essas contas, designadamente (ii.i) movimentação a débito e a crédito ou (ii.ii) aceder a outros serviços prestados pelo Crédito Agrícola aos Seus Clientes.

PP) O acesso ao CA Online Empresas é facultativo, conferido a Clientes que pretendam subscrever este serviço.

QQ) E deve ser realizado através do endereço www.creditoagricola.pt ou, quando se pretenda aceder com recurso a dispositivos móveis com sistemas iOS ou Android, através da Aplicação CA Mobile.

RR) No caso das pessoas coletivas, por conta das limitações inerentes à qualidade, são nomeados pelo Cliente, para aceder à adesão ao CA Online Empresas, Utilizadores, isto é, “Pessoa(s) Singular(es) designada(s) pelo Cliente, na Proposta de Adesão ou, posteriormente e por escrito, após a sua adesão, a quem fica atribuída a possibilidade de, em representação do Cliente, aceder ao Serviço CA Online Empresas, efetuar consultas, realizar operações financeiras, sobre as contas de que o Cliente seja titular na Caixa Agrícola onde efetuou a adesão e de acordo com um dos perfis de acesso definidos”.

SS) Para o acesso ao serviço CA Online Empresas é atribuído ao Cliente um número de adesão, que consiste num código numérico de oito posições, gerado pelo sistema após ser efetuado, com sucesso, um Pedido de Adesão ao serviço.

TT) Por sua vez, a chave multicanal, é um elemento necessário para concretizar o acesso ao serviço CA Online Empresas, que consiste num código numérico de 8 posições e que permite, em conjunto com o número de adesão, identificar inequivocamente o Cliente apenas para a realização de Consultas.

UU) A Autora é Cliente, e o seu gerente é o único Autorizador/Utilizador, detendo um n.º de adesão e uma chave multicanal, simultaneamente únicos, pessoais e intransmissíveis.

VV) Como medida de segurança, estabeleceu-se que, aquando do primeiro acesso ao CA Online Empresas, o Utilizador tinha de alterar, obrigatoriamente, a chave multicanal atribuída no momento da ativação do serviço, sob pena de bloqueio técnico que inviabiliza a utilização do serviço.

WW) A Ré não conhece, nem tem como conhecer, a chave multicanal, dado que a validação da chave multicanal é feita com base numa chave encriptada, a partir da chave multicanal definida pelo Cliente aquando do primeiro acesso ao CA Online Empresas, pelo que somente o gerente, enquanto utilizador registado para acesso à conta titulada pela Autora no CA Online Empresas que recebeu as credenciais de segurança personalizadas desse serviço, deveria conhecer quer o número de adesão, quer a chave multicanal associados à adesão titulada pela Autora e atribuída ao seu gerente.

XX) A chave multicanal é equiparada ao código PIN ou ao código de acesso que outras instituições bancárias solicitam aquando do acesso aos seus sistemas de homebanking.

YY) No caso do Crédito Agrícola, o PIN corresponde a um código numérico de quatro posições, definido pelo Cliente no momento de adesão ao CA Mobile, e que permite, em conjunto com o número de adesão, identificar inequivocamente o Cliente para o acesso ao serviço CA Mobile, bem como realizar consultas.

ZZ) Até 13 de Setembro de 2019, o acesso ao CA Online Empresas era efetuado com a introdução do número de adesão e da chave multicanal.

AAA) A partir de 14 de setembro de 2019 e até 24 de outubro de 2022, isto é, à data da burla, no acesso ao CA Online Empresas exigia-se, a cada 90 dias, para além da sempre necessária introdução do número de adesão e da chave multicanal, a introdução de uma OTP de acesso ou de login enviada por SMS para o número de telemóvel associado à adesão ao CA Online Empresas titulada pela Autora e atribuída ao gerente.

BBB) Para realizar a consulta de informação considerada sensível, aceder a documentos digitais e realizar transações de cariz financeiro, é necessário introduzir três dígitos, solicitados de forma aleatória, de entre os 8 a 12 dígitos que compõem a password.

CCC) Para validação de toda e qualquer operação ordenada no CA Online Empresas, exige-se, desde 14 de setembro de 2019, a introdução de três dígitos aleatórios da password e de uma OTP de autorização, o que corresponde à aplicação do SAFE, sigla que abrevia “Sistema de Autenticação Forte” (doravante “SAFE”), que sujeita a utilização deste serviço a “uma autenticação baseada na utilização de dois ou mais elementos pertencentes às categorias conhecimento (algo que só o utilizador conhece), posse (algo que só o utilizador possui) e inerência (algo que o utilizador é), os quais são independentes, na medida em que a violação de um deles não compromete a fiabilidade dos outros, e que é concebida de modo a proteger a confidencialidade dos dados de autenticação”.

DDD) Esta OTP de autorização, é solicitada e válida apenas para confirmar a transação a que respeita, e que poderá ser a realização de uma transferência, de um pagamento de serviços, ou o carregamento de telemóveis, sendo de utilização única.

EEE) O SAFe está, assim, em conformidade com o disposto no artigo 2.º, alínea d), do Decreto-Lei n.º 91/2018, de 12 de novembro (“Decreto-Lei n.º 91/2018”), que define “autenticação forte” como a “autenticação baseada na utilização de dois ou mais elementos pertencentes às categorias conhecimento (algo que só o utilizador conhece), posse (algo que só o utilizador possui) e inerência (algo que o utilizador é), os quais são independentes, na medida em que a violação de um deles não compromete a fiabilidade dos outros, e que é concebida de modo a proteger a confidencialidade dos dados de autenticação”.

FFF) Este tipo de autenticação e a implementação do SAFe visam “incrementar o nível de segurança na utilização do Serviço On-Line através da utilização de passwords únicas (OTP – One Time Password) enviadas por SMS para validar transações financeiras”.

GGG) Apesar de, desde 14 de setembro de 2019, a adesão ao SAFe ser obrigatória para a utilização do CA Online Empresas e exigida aquando do primeiro login, até então era voluntária, tendo a Autora, voluntariamente, aderido ao SAFe aquando da adesão ao CA Online Empresas, isto é, a 23 de janeiro de 2013.

HHH) O CA Online Empresas estava, à data da burla, dotado da autenticação forte legalmente exigida, dado que exige uma combinação de elementos pertencentes às categorias de conhecimento e posse para a realização de operações ordenadas através daquele canal.

III) Como elementos pertencentes à categoria “conhecimento”, o CA Online Empresas exige a introdução do número de adesão e da chave multicanal para o acesso ao serviço, bem como a introdução de três dígitos aleatórios da password para a realização de toda e qualquer operação bancária.

JJJ) Já como elemento da categoria “posse”, o CA Online Empresas exigia, à data da burla, a introdução de uma OTP de acesso ou login a cada 90 dias e de uma OTP de autorização para a realização de cada uma das operações ordenadas, independentemente de ter sido ou não previamente exigida naquela sessão a OTP de acesso ou login.

KKK) Cabe à instituição de crédito responsável pelo serviço manter, sob rigorosa confidencialidade, os códigos de acesso e a informação constante nos mesmos.

LLL) Cabe ao Cliente o especial dever de não revelar, nem por qualquer forma tornar acessível ao conhecimento de terceiros, os seus elementos de identificação e os códigos de acesso, seja o número de adesão, seja a chave multicanal, seja a password, sejam as OTP de acesso ao serviço ou de autorização de operações, dados que são pessoais, confidenciais e intransmissíveis.

MMM) Durante o período compreendido entre o dia 01 de junho de 2022 e 12 de setembro de 2022, o gerente da Autora acedeu ao CA Online Empresas 90 vezes.

NNN) À data da burla, o gerente da Autora era utilizador frequente do CA Online Empresas há aproximadamente dez anos.

OOO) Sendo o gerente da Autora utilizador do CA Online Empresas de forma tão frequente, tinha um dever especial de agir com cautela e cuidado e conhecia bem – ou tinha a obrigação de conhecer – as regras de acesso e utilização e do serviço.

PPP) Imediatamente antes dessa chamada telefónica, às 12:25:34 do dia 13 de setembro de 2022, o terceiro burlão introduziu o número de adesão e chave multicanal da adesão titulada pela Autora no CA Online Empresas e atribuída ao gerente da mesma.

QQQ) O gerente da Autora recebeu sete OTP de autorização – referentes a três tentativas de transferência falhadas e às quatro transferências efetuadas – às 13:01:52, 13:05:44, 13:07:33 e 13:10:12, conforme resulta do comprovativo de envio de SMS com OTP de autorização que se dá por integralmente reproduzido para todos os devidos e legais efeitos (Doc. n.º 8).

RRR) As SMS com as OTP remetidas e recebidas pelo gerente da Autora, a 13 de setembro de 2023, seguem o modelo de todas as OTP de autorização de transferências remetidas pelo Crédito Agrícola, indicando (i) o seu propósito, (ii) a conta a debitar, (iii) o IBAN a creditar, (iv) o montante da transferência e, por fim, (v) o código de autorização.

SSS) O modus operandi usual nestas burlas consiste na criação de páginas web semelhantes às das entidades bancárias, às quais os utilizadores acedem, porque, contrariando o disposto no contrato e nas regras de segurança que lhes são transmitidas, tentam aceder ao seu homebanking através de pesquisas que fazem nos motores de busca da internet, ao invés de digitarem o endereço de URL integral de acesso ao serviço.

TTT) Subsequentemente inserem nessas páginas web fraudulentas os seus dados pessoais, secretos e intransmissíveis de acesso ao homebanking, no caso, ao CA Online Empresas – número de adesão e chave multicanal.

UUU) A transmissão destes dados de acesso e utilização pode ser feita diretamente, por telefone, ou por introdução numa página web falsa, a que o utilizador acede por acionamento de um link contido num email remetido pelo burlão que encaminha o utilizador para uma página falsa, que permite ao burlão ver e ou guardar tudo o que o utilizador nela digita.

VVV) Isto mesmo tem sido relatado pela comunicação social, como se pode constatar na notícia publicada no site Observador, datada de 05 de Maio de 2022, cujo excerto se transcreve para facilidade de entendimento: “As pessoas teriam então de aceder a uma ligação que recriava os ‘sites’ dos bancos, onde eram solicitadas as credenciais de acesso ou dados pessoais. Com essas informações, os arguidos acediam às contas das vítimas e, para concretizarem operações com vista a apoderarem-se do dinheiro, ainda contactavam por telemóvel sob o pretexto de evitar uma tentativa de fraude. (…) Os arguidos contactavam os ofendidos, identificavam-se como funcionários do banco, e alegando falsamente que importava cancelar operação fraudulenta detetada, conseguiam que os ofendidos, crendo assim estar a bloquear essa operação, os informassem dos códigos de segurança gerados pelas ordens de transferência que, na pendência desse telefonema, recebiam no telemóvel e que mais não eram que os códigos de segurança para concretizar operações a débito nas suas contas”, explica a nota divulgada”.

WWW) O e-mail que recebeu foi enviado por um endereço que não pertence à Ré – …@creditoagricola-suporte.site nem tampouco tem o “domínio da Caixa de Crédito Agrícola”.

XXX) Ao longo dos anos de 2021 e 2022, o Crédito Agrícola remeteu por SMS vários alertas dando conta das tentativas de phishing que estavam a ser perpetradas.

YYY) Tais mensagens de texto foram rececionadas pelo número de telemóvel associado à adesão da Autora, nas datas de envio das mesmas.

ZZZ) Destaca-se a mensagem remetida a 25 de fevereiro de 2022, que alertava os Clientes da Ré “para possíveis tentativas de fraude ou burla. Não aceda a links e nunca forneça por telefone os seus códigos de acesso aos canais se for contactado”.

AAAA) No dia 31 de agosto de 2022, a Ré remeteu mensagem para o número de telemóvel associado à adesão da Autora e titulada pelo seu gerente, que continha o seguinte teor: “O Crédito Agrícola não telefona para cancelar transferências. É Burla/Fraude. Desligue e contacte-nos de imediato para o balcão ou Linha Direta».

BBBB) A Ré mantém um banner de alerta na página de acesso / login ao CA Online Empresas que continha a seguinte mensagem: “O Crédito Agrícola, alerta que nunca contacta telefonicamente para cancelar transferências, nem solicita códigos de acesso aos serviços – são pessoais e intransmissíveis”.

CCCC) A Ré publicou, ao longo dos anos de 2021 e 2022, alertas de fraude na sua página web, dos quais se destaca o alerta de uma tentativa de phishing, publicado em fevereiro de 2022 no qual fez constar: “o Crédito Agrícola: Nunca envia links por e-mail, nem mensagens para o telemóvel com sugestões de downloads para reforço de segurança; Nunca solicita os códigos confidenciais do Cliente, utilizados nos canais CA Online ou CA Mobile – Password e SMS Token – os quais são apenas inseridos para confirmar operações financeiras, iniciadas pelos Clientes dentro de cada serviço e que deverão ser única e exclusivamente do conhecimento do Cliente”.

DDDD) O próprio Banco de Portugal lançou uma campanha, designada “#ficaadica: Fraude financeira digital: também caía nesta?” para alertar para este problema, com o seguinte teor: “Recebe um e-mail ou uma mensagem do seu banco ou outro prestador de serviços de pagamento ou de uma entidade com a qual contratou um serviço. Dizem que a sua conta pode estar comprometida ou bloqueada e pedem que faça login para recuperar o acesso. Clica no link e insere as suas credenciais ou transmite-as por telefone, sem pensar duas vezes? É provável que esteja perante uma forma comum de phishing, isto é, um ataque destinado a captar os seus dados pessoais. E há outras técnicas fraudulentas, aparentemente inofensivas e igualmente eficazes, que são usadas por pessoas que, em qualquer parte do mundo, se podem apropriar dos seus dados. Muitas vezes os piratas informáticos utilizam informação que obtêm nas redes sociais e utilizam a manipulação psicológica para ganhar a confiança da vítima e, assim, obter informações confidenciais».

II.3.2.

O Tribunal de primeira instância julgou não provada a seguinte factualidade:

«1) As instituições como o (…) Banco, o (…) e a (…) solicitam uma chave de acesso de 6 dígitos, enquanto o Banco (…) solicita um código de 5 dígitos, e todos solicitam que o código seja introduzido na integralidade aquando do acesso.

2) Que o acesso mencionado em PPP) tenha sucedido porque, num momento anterior à chamada recebida pelo gerente da Autora e ao e-mail que lhe foi remetido, o terceiro burlão obteve (i) o número de adesão referente à adesão titulada pela Autora e atribuída ao gerente da mesma, (ii) a chave multicanal e (iii) o número de telemóvel do gerente da Autora associado à adesão ao CA Online Empresas.

3) E, na sequência do telefone e email que recebeu, o gerente da Autora acionou o link inserto no e-mail remetido pelo terceiro burlão, tendo procedido a uma suposta alteração das suas credenciais de acesso e utilização ao CA Online Empresas – a saber, (i) número de adesão, (ii) chave multicanal e (iii) password integral.

4) O facto de o gerente da Autora ter introduzido a password integral, no aludido link malicioso, permitiu ao terceiro burlão conhecer a totalidade da mesma e, assim, selecionar os três (3) dígitos pedidos aquando da execução das quatro (4) ordens de transferência em causa.»

II.4.

Questão prévia: retificação de lapso de escrita

Requer a apelada a retificação do lapso de escrita contido na enunciação do facto provado RRR), ao abrigo do disposto no artigo 614.º, n.º 1, do CPC, de molde a que a data ali referida – 13 de setembro de 2023 – seja corrigida para "13 de setembro de 2022".

Trata-se de um lapso de escrita e que resulta, aliás, patente do teor dos enunciados PPP) e QQQ).

Pelo que se procederá à respetiva retificação.

Apreciação do objeto do Recurso

II.4.1.

Impugnação do julgamento de facto

Ambas as partes impugnaram o julgamento de facto, embora a Ré o tenha feito a título subsidiário, na sua ampliação de recurso, ao abrigo do disposto no artigo 636.º do Código de Processo Civil.

Visto que ambas as Partes cumpriram os ónus de especificação previstos no artigo 640.º do Código de Processo Civil, cumpre apreciar.

A impugnação da apelante/autora versou sobre o enunciado OOO) do elenco dos factos julgados provados.

A impugnação da apelada/ré versou sobre os factos provados P), Q), S), T, CC), DD), FF), factos não provados n.ºs 2, 3 e 4, requerendo ainda, o aditamento de um novo facto, a saber, que «Inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas».

A. Enunciado OOO) do elenco dos factos provados - «Sendo o gerente da Autora utilizador do CA Online Empresas de forma tão frequente, tinha um dever especial de agir com cautela e cuidado e conhecia bem – ou tinha a obrigação de conhecer – as regras de acesso e utilização e do serviço».

A apelante defende que esta alínea «extravasa o âmbito próprio da decisão de facto por incorporar matéria de natureza conclusiva e jurídica em violação do disposto no artigo 607.º, n.º 4, do CPC, razão pela qual deve a mesma ser eliminada da factualidade provada».

Vejamos se lhe assiste razão.

De acordo com o disposto no artigo 607.º/4, do Código de Processo Civil o juiz deve declarar quais os factos que julga provados e os factos que julga não provados. Do ponto de vista processual e para os efeitos do preceito legal em apreço, “factos” são as ocorrências concretas da vida real e o estado, a qualidade ou situação real das pessoas e das coisas, abrangendo não só os acontecimentos externos, como os internos ou psíquicos, e

tanto os factos reais, como os simplesmente hipotéticos.

Julgamos ser entendimento pacífico na jurisprudência que as conclusões ou juízos valorativos devem extrair-se dos factos materiais, concretos e precisos que tenham sido alegados e sobre os quais tenha recaído prova que suporte o sentido dessas alegações, não podendo eles próprios (as conclusões ou juízos de valor) ser objeto de prova; isto é, o juízo conclusivo/valorativo devem apenas decorrer dos factos (materiais) provados e ser formulados a jusante, isto é, no momento em que cabe fazer a subsunção dos factos ao direito – neste sentido, entre outros, Ac. do STJ de 23.09.2009, proc. n.º 238/06.7TTBGR.S1, Ac. do STJ de 19.04.2012, proc. 30/08.4TTLSB.L1.S1, Ac. do STJ de 23/05/2012, proc. 240/10.4TTLMG.P1.S1, Ac. do STJ de 29/04/2015, proc 306/12.6TTCVL.C1.S1, Ac. do STJ de 14/01/2015, proc. 488/11.4TTVFR.P1.S1, Ac. STJ de 14/01/2015, proc. 497/12.6TTVRL.P1.S1, todos consultáveis em www.dgsi.pt.

Embora não conste do Código de Processo Civil vigente uma norma como a do artigo 646.º, n.º 4, do Código de Processo Civil de 1961, que considerava não escritas as respostas do tribunal coletivo sobre questões de direito», decorre do disposto no artigo 607.º, n.º 4, do CPC que na sentença são de afastar expressões de conteúdo puramente valorativo ou conclusivo, destituídas de qualquer suporte factual e resulta do disposto no artigo 662.º, n.º 2, alínea c), do CPC que o tribunal da relação deve considerar não escritos os enunciados da matéria de facto que contenham juízos conclusivos e genéricos e matéria de direito.
É também jurisprudência pacífica que os enunciados de facto (provados e não provados) não devem conter afirmações de natureza conclusiva que integrem o thema decidendum. Entende-se, como tal, o conjunto de questões de natureza jurídica que constituem o objeto do processo. E que sempre que um ponto da matéria de facto integre uma afirmação ou valoração de factos que se insira na análise das questões jurídicas a decidir, comportando uma resposta, ou componente de resposta, àquelas questões, tal ponto do enunciado deve ser eliminado – neste sentido, entre outros, Ac. RP de 09.03.2020, processo n.º 3789/15.9T8VFR.P1, consultável em www.dgsi.pt.

Feitas estas considerações gerais, e voltando ao caso concreto, o enunciado em apreciação contém, inequivocamente, um juízo de valor no segmento em que se julga provado que o gerente da Autora “tinha um dever especial de agir com cautela e cuidado e que conhecia ou tinha a obrigação de conhecer as regras de acesso e utilização e do serviço”. Mais: tal juízo conclusivo/valorativo integra uma componente do thema decidendum, na medida em que no âmbito de operações efetuadas com recurso ao serviço de homebanking e para a apreciação dos pressupostos da responsabilidade pelas perdas sofridas pelo cliente utilizador de tal serviço em virtude de operações bancárias por aquele não autorizadas importa aferir se o utilizador do serviço agiu com negligência grosseira no cumprimento das obrigações que para si decorrem do referido contrato de adesão ao serviço de homebanking, sendo que a negligência grosseira implica, justamente, uma omissão de deveres de cuidado e de diligência a que o utilizador do serviço está vinculado e que só uma pessoa especialmente desleixada, descuidada e incauta deixaria de observar.

Face ao exposto, os segmentos em questão devem ser expurgados do enunciado em questão.

Relativamente à primeira parte do enunciado em causa – o gerente da Autora era utilizador do CA Online Empresas de forma frequente – o mesmo é uma repetição do facto provado constante da alínea NNN), pelo que não se deve manter, por inútil, impondo-se, portanto, também a respetiva eliminação.

Em síntese, procede a impugnação do julgamento de facto empreendida pela apelante, determinando-se, em conformidade, a eliminação da alínea OOO) do elenco dos factos provados.

B. Enunciado P) dos factos julgados provados - «O sócio-gerente da Autora efetuou estas alterações, e em momento algum transmitiu os novos dados alterados ao suposto “funcionário” da Ré».

Defende a apelada que o enunciado P) deverá passar a ter a seguinte redação: «O sócio-gerente da Autora seguiu os passos solicitados pelo suposto “funcionário” da Ré». Para tal desiderato a Apelada sustenta que «o legal representante da Autora nunca procedeu a uma verdadeira alteração das credenciais na medida em que não estava na página do CA On line Empresas, mas sim numa página fraudulenta, na qual as introduziu, sob pretexto de as alterar. (…) caso tivesse ocorrido efetivamente uma alteração às credenciais tal alteração estaria evidenciada nos logs operacionais. Ora, decorre do facto provado N) que não estamos perante uma alteração de credenciais no CA On line Empresas, mas sim de uma alegada alteração que conduziria ao alegado cancelamento de uma transação bancária que estaria a ser efetuada sem o conhecimento do Legal Representante da Autora. (…) não se procedeu a uma verdadeira alteração das credenciais de acesso e utilização no CA On Line Empresas, (…) foi o discurso que terá sido apresentado ao Legal Representante da Autora que o levou a introduzir na página fraudulenta a que acedeu a integralidade das suas credenciais (número de adesão, chave multicanal e password). (…) não é verdade que o Legal Representante da Recorrente não transmitiu a terceiros mal-intencionados as credenciais que inseriu na página fraudulenta na medida em que ao inseri-las em tal página fraudulenta está, ainda que involuntária e inconscientemente, a transmiti-las a terceiros, por estar em diálogo com uma página espelho». Invoca a apelada o depoimento da testemunha (…) e o próprio depoimento do Legal Representante, afirmando, quanto a este último, que resulta do respetivo depoimento tão só que este não transmitiu as suas alterações oralmente/vocalmente à pessoa que o contactou telefonicamente.

Vejamos, desde já se antecipando que a modificação do enunciado em causa deve proceder nos termos propostos pela apelada. Com efeito, pelas regras da lógica, se o sócio-gerente não tivesse seguido os passos solicitados pelo suposto funcionário da Ré, não teria surgido no écran do sócio gerente da Autora a mensagem “Cancelamento efetuado com sucesso” (cfr. facto provado S) e não teriam sido efetuadas com sucesso as quatro transferências bancárias a crédito a partir das contas da Autora tituladas junto da Ré e a que alude a alínea Y do elenco dos factos provados.

Acresce que o facto provado P), tal como julgado provado, afigura-se inútil na medida em que está provado que antes da chamada telefónica do dia 13 de setembro de 2022 efetuada pelo alegado funcionário da Ré (“burlão”) este era já conhecedor da chave multicanal e do número de adesão da autora (cfr. facto provado PPP), pelo que o engodo em que o sócio gerente da Autora caiu não visou a obtenção daqueles dois dados pessoais da Autora para aceder às contas tituladas pela Autora através do serviço de homebanking, mas sim a obtenção da password e dos códigos de autorização os quais conseguiu obter do legal representante da Autora justamente porque este seguiu «todos os passos que lhe foram solicitados pelo suposto funcionário da Ré».

Concluindo, procede a impugnação da apelada quanto ao facto provado P.

C. Facto não provado n.º 3 - Na sequência do telefone e email que recebeu, o gerente da Autora acionou o link inserto no e-mail remetido pelo terceiro burlão, tendo procedido a uma suposta alteração das suas credenciais de acesso e utilização ao CA Online Empresas – a saber, (i) número de adesão17, (ii) chave multicanal e (iii) password integral.

A apelada defende que este enunciado deve ser integralmente eliminado da listagem de factos não provados ou, subsidiariamente, deve expurgar-se de tal enunciado a menção de que não ficou provado que o Legal Representante da Autora tenha inserido o número de adesão e a chave multicanal na página fraudulenta a que acedeu, pois que este facto está efetivamente provado no enunciado O).

Vejamos.

Reconhece-se a incongruência entre parte deste enunciado e o enunciado de facto provado O) - Na supra referida página web foi-lhe pedido que procedesse à alteração do número de adesão do serviço “CA Online” (vulgo, homebanking) e, posteriormente, num outro campo, que alterasse a Chave Multicanal – na medida em que está provado que «O sócio-gerente da Autora seguiu os passos solicitados pelo suposto “funcionário” da Ré» (cfr. facto provado P) e que, designadamente, alterou, na página web para que foi redirecionado, o seu n.º de adesão ao serviço de homebanking e a chave multicanal.

Sucede, porém, que os enunciados que integram a parte da sentença sobre factualidade julgada não provada são inaproveitáveis para a fundamentação do julgamento de direito da sentença. Donde a respetiva impugnação (dos factos julgados não provados) quando não vise a obtenção de uma pronúncia de “provado“ – como é o caso – constitui um ato inútil, ficando, assim, o tribunal de recurso desonerado de apreciar a impugnação em apreço.

Em face do exposto, improcede a impugnação do julgamento de facto quanto ao enunciado não provado n.º 3.

D. Facto não provado n.º 4 - O facto de o gerente da Autora ter introduzido a password integral no aludido link malicioso permitiu ao terceiro burlão conhecer a totalidade da mesma e, assim, selecionar os três (3) dígitos pedidos aquando da execução das quatro (4) ordens de transferência em causa.

Defende a apelada que o facto não provado n.º 4 deve ser removido da listagem dos factos não provados ou, no limite deve ser aditado um facto provado ao elenco dos factos provados com o seguinte teor: «O gerente da Autora, de alguma forma, tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa».

Vejamos.

Considerando que:

1) Está provado que no dia 13 de setembro foram efetuadas quatro transferências de fundos depositados em contas abertas pela Autora junto do banco Réu, no valor global de € 39.904,93, a favor de terceiros, como melhor resulta dos factos provados X) e Y), todas elas através do serviço de homebanking, que a realização dessas operações supunha uma autenticação forte do cliente/utilizador do serviço [cfr.

facto provado CCC)], a qual exigia a introdução de elementos pertencentes à categoria “conhecimento”, a saber, o número de adesão, a chave multicanal e a introdução de três dígitos aleatórios da password (cfr. facto provado III), elementos que só o utilizador conhece (cfr. facto provado CCC);

2) Do doc. n.º 7 junto com a Contestação resulta que as operações que estão em causa nestes autos foram efetuadas após a introdução dos três dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro operações (para além das respetivas OTP de autorização), o que foi, aliás, corroborado também pelos depoimentos das testemunhas (…) e (…).

Então, pelas regras da lógica, tem de se inferir que, em algum momento do contacto telefónico entre o legal representante da Autora e o alegado funcionário da Ré (burlão) o primeiro partilhou, por alguma forma, a sua password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução das quatro (4) ordens de transferência em causa.

Por conseguinte, elimina-se o facto não provado n.º 4 e adita-se ao elenco dos factos provados um novo enunciado com a seguinte redação e identificação:

«EEEE)

O gerente da Autora, de alguma forma, tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa».

E. Facto provado Q) - De seguida, o sócio gerente da Autora recebeu, através de SMS, um código de autorização com vista a efetivar o cancelamento da transação fraudulenta.

Defende a apelada que este enunciado deve ser alterado passando a ter a seguinte redação: «De seguida, o sócio gerente da Autora recebeu, através de SMS, sete códigos de autorização de transferências bancárias».

Invoca, para tal desiderato, o facto provado QQQ), o doc. n.º 8 junto à contestação, bem como as declarações de parte do legal representante da Autora.

A apelada tem razão.

Resulta do facto provado QQQ) – que, por sua vez resulta do teor do documento n.º 8 anexo à Contestação o qual contem o teor das SMS recebidas pelo legal representante da Autora – e do facto provado RRR), que o legal representante da Autora recebeu sete (7) OTP de autorização relativas a transferências e não a quaisquer ordens de cancelamento.

Por conseguinte, procede este segmento da impugnação da apelada, passando o ponto de facto provado Q) a ter a seguinte redação: «De seguida, o sócio gerente da Autora recebeu, através de SMS, sete códigos de autorização de transferências bancárias».

F. Facto provado S) - Ação que teve de repetir várias vezes, apenas sendo bem-sucedido à quarta tentativa, quando surgiu no ecrã a mensagem “Cancelamento efetuado com sucesso”.

A apelada defende que este enunciado deverá passar a ter a seguinte redação: «O legal representante da Autora inseriu quatro das OTP de autorização que recebeu. Após inserir as quatro OTP de autorização que permitiram a execução de quatro transferências, surgiu no écran a mensagem “Cancelamento efetuado com sucesso”».

Invoca para tal desiderato as declarações do legal representante da Autora, o depoimento do engenheiro (…) e o doc. n.º 8 junto com a Contestação.

Assiste razão à apelada, pois que é a redação proposta que é congruente com a nova redação do facto provado Q) de acordo com o qual o legal representante da Autora recebeu através de SMS sete códigos de autorização de transferências e com o facto provado QQQ) e aquela que resulta da conjugação dos meios de prova apontados pela apelada.

Por conseguinte, altera-se a redação do ponto de facto provado S) nos termos propostos pela apelada: «O legal representante da Autora inseriu quatro das OTP de autorização que recebeu. Após inserir as quatro OTP de autorização que permitiram a execução de quatro transferências, surgiu no écran a mensagem “Cancelamento efetuado com sucesso”».

G. Facto provado constante da alínea T) - Finda a operação de cancelamento, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da Autora de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se».

A apelante pretende que o enunciado em questão passe a ter a seguinte redação: «Nessa sequência, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da Autora de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se».

A apelante tem razão, pois que não há prova que sustente ter sido realizada qualquer operação de cancelamento. Pelo contrário, resulta da prova produzida nos autos, nomeadamente do doc. n.º 8 anexo à contestação, bem como dos enunciados de facto provados Y e QQQ que as (únicas) operações realizadas foram transferências bancárias, em número de quatro, a partir das contas da autora e não qualquer operação de cancelamento de uma transferência fraudulenta. Por conseguinte, procede também este segmento da impugnação da apelada, passando o enunciado T) a ter a seguinte redação: «Nessa sequência, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da Autora de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se».

H. Facto provado CC) - Sem o consentimento ou autorização da Autora, alguém acedeu ao sistema da Ré e às contas bancárias tituladas pela Autora junto desta e, de forma ilícita e ilegal, obteve os dados e elementos que bem lhe aprouve.

Defende a apelada a eliminação deste enunciado por falta de prova e por conter juízos de valor.

A apelada tem razão; não há prova de que alguém tenha acedido ao sistema da Ré; pelo contrário, a testemunha (…), Diretor de Segurança da Ré declarou, além do mais, que no ano de 2022 não existe registo de intrusões no sistema da Ré ou de incidentes com impacto negativo que colocassem em causa a confidencialidade dos dados dos clientes e nomeadamente da Ré.

Por conseguinte, este enunciado deve ser eliminado.

I. Facto provado DD) – Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias indevidamente transferidas, sem o seu conhecimento ou autorização – e facto provado FF) – E atribuindo, tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores indevidamente transferidos das suas contas bancárias e do consequente prejuízo.

A apelada defende que ambos os enunciados devem ser expurgados das expressões jurídicas e conclusivas neles contidas, passando a ter seguinte redação:

«Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias transferidas.»

«E atribuindo tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores transferidos das suas contas bancárias».

Tem razão a apelada, pelo que se impõe a alteração por ela preconizada, procedendo, assim, este segmento da impugnação de facto da apelada.

J. Facto não provado n.º 2 – O acesso mencionado em PPP) tenha sucedido porque, num momento anterior à chamada recebida pelo gerente da Autora e ao e-mail que lhe foi remetido, o terceiro burlão obteve (i) o número de adesão referente à adesão titulada pela Autora e atribuída ao gerente da mesma, (ii) a chave multicanal e (iii) o número de telemóvel do gerente da Autora associado à adesão ao CA Online Empresas.

A apelada defende que este facto deve ser eliminado do elenco dos factos não provados por estar em «total contradição com os factos provados F), K), AAA), PPP) e WWWW) dado que para o terceiro mal-intencionado ter inserido o número de adesão e a chave multicanal é pressuposto que tenha obtido anteriormente tais credenciais ». Subsidiariamente, defende a apelada que o facto não provado deve passar a ter a seguinte redação: « O acesso mencionado em PPP) tenha sucedido porque, num momento anterior à chamada recebida pelo gerente da Autora e ao e-mail que lhe foi remetido, o terceiro burlão obteve o número de telemóvel do gerente da Autora associado à adesão ao CA Online Empresas».

Os enunciados que integram a parte da sentença sobre factualidade julgada não provada são inaproveitáveis para a fundamentação do julgamento de direito da sentença. Donde a respetiva impugnação (dos factos julgados não provados) quando não vise a obtenção de uma pronúncia de “provado “– como é o caso – constitui um ato inútil, ficando, assim, o tribunal de recurso desonerado de apreciar a impugnação em apreço.

K. Pretende a apelante que seja aditada ao elenco dos factos provados a seguinte factualidade: «Inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas».

Para tal desiderato invoca o depoimento prestado pelo eng.º (…), responsável pela segurança do grupo Crédito Agrícola.

Vejamos.

Previamente se dirá que se trata de matéria alegada pela Ré na sua Contestação (cfr. artigos 4º, 5º e 6º), pelo que a mesma está abrangida pelos poderes de cognição do tribunal no âmbito do julgamento de facto (cfr. artigo 5.º do Código de Processo Civil).

E assiste razão à Autora pois que não só para tal aponta o depoimento da testemunha (…), como resulta da factualidade provada que a forma de acesso em causa nos autos foi o ardil utilizado nas interações com o legal representante da recorrida/ré. Acresce que a página web através da qual foram fornecidos os dados pessoais de que o agente da fraude necessitava não integra o sistema da ré/apelada, antes foi uma simulação de página para onde o gerente da recorrida foi conduzido por via de um erro e engano em que foi induzido por terceiro.

Em face do exposto, procede também este segmento da impugnação da apelada, ordenando-se, em conformidade, o aditamento da seguinte factualidade ao elenco dos factos provados:

«Inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas».

*

DECISÃO:
Em face do exposto:

1 – Julga-se procedente a impugnação do julgamento de facto apresentada pela apelante e, em conformidade, determina-se a eliminação da alínea OOO) do elenco dos factos provados;

2 – Julga-se parcialmente procedente a impugnação do julgamento de facto apresentada pela apelante e, em conformidade, determina-se:

2.1. A alteração da redação do enunciado P) que passará a ser a seguinte: «O sócio-gerente da Autora seguiu os passos solicitados pelo suposto “funcionário” da Ré»;

2.2. A eliminação do facto não provado n.º 4 e o aditamento ao elenco dos factos provados um novo enunciado com a seguinte redação e identificação:

«EEEE)

O gerente da Autora, de alguma forma, tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa»;

2.3. A alteração da redação do enunciado Q) que passará a ser a seguinte:

«De seguida, o sócio gerente da Autora recebeu, através de SMS, sete códigos de autorização de transferências bancárias»;

2.4. A alteração da redação do ponto de facto provado S) que passará a ser a seguinte: «O legal representante da Autora inseriu quatro das OTP de autorização que recebeu. Após inserir as quatro OTP de autorização que permitiram a execução de quatro transferências, surgiu no écran a mensagem “Cancelamento efetuado com sucesso”».

2.5. A alteração do enunciado T) que passará a ter a seguinte redação:

«Nessa sequência, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da A. de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se.»;

2.6. A eliminação do Facto provado CC.;

2.7. A alteração do enunciado DD), quer passará a ser a seguinte:

««Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias transferidas.»;

2.8. A alteração do enunciado FF), que passará a ser a seguinte:

«E atribuindo tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores transferidos das suas contas bancárias»;

2.9. O aditamento da seguinte factualidade ao elenco dos factos provados:

«Inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas».
*
Assim, por uma questão de clareza passa-se a enunciar o (novo) elenco dos factos julgados provados:

«A) A Autora é uma sociedade que se dedica às atividades florestais e agrícolas em terrenos próprios ou de terceiros; à extração e comércio de cortiça e outros produtos florestais incluindo madeira; à produção de mel de abelha e utilização das abelhas na polinização para efeitos de auto-produção (frutos e sementes) e, ainda às atividades de hospedagem em casas particulares para fins não habitacionais e para fins turísticos com carácter familiar (turismo rural).

B) A Ré é uma instituição bancária.

C) A Autora é titular das contas de depósito à ordem com os n.ºs (…) e (…).

D) Cujos saldos, em 31 de agosto de 2022, eram, respetivamente, de € 32.933,34 e € 40.529,71.

E) As contas identificadas são geridas e movimentadas pelo sócio gerente da Autora, sr. (…).

F) Em 13 de Setembro de 2022, às 12 horas e 27 minutos, a Autora na pessoa do seu sócio gerente, sr. (…), recebeu uma chamada telefónica por parte de um indivíduo que, pela voz, lhe pareceu ser do sexo masculino, o qual se intitulou funcionário dos Serviços de Segurança da Ré.

G) O dito “funcionário” da Ré, para além de ter abordado o gerente da Autora nesta sua qualidade (de gerente) e sabendo o seu nome completo, demonstrou também ter total conhecimento dos diversos dados e elementos da Autora, designadamente, a sua denominação social, o número das supra referidas contas de depósito à ordem e os seus saldos, número de telefone, morada e endereço de correio eletrónico.

H) Razão pela qual o referido gerente da Autora ficou plenamente convencido de que a pessoa com quem falava era efetivamente um funcionário da Ré.

I) Como motivo de tal chamada e no decurso da mesma, o suposto “funcionário” informou o sócio gerente da Autora de que tinha sido detetada uma tentativa de movimento bancário fraudulento no valor de € 9.976,28 na conta bancária da Autora e que, não tendo sido por esta autorizado, como logo confirmado por aquele gerente, era necessário proceder ao cancelamento de tal operação com urgência.

J) Nesse sentido, com vista ao referido cancelamento, o referido suposto “funcionário” da Ré informou-o de que iria receber um “e-mail” da Ré na sua caixa de correio eletrónico e transmitiu-lhe várias instruções.

K) Assim, no decurso da referida chamada telefónica, sem que nunca tivesse facultado qualquer endereço de correio eletrónico ao suposto funcionário da Ré, o sócio gerente da Autora recebeu efetivamente na sua caixa de correio eletrónico um “e-mail” proveniente de um endereço eletrónico, com o logotipo da Ré e com o assunto “Processo de Cancelamento”.

L) No pressuposto de que se trataria efetivamente de um funcionário da Ré, e convencido por este de que estaria a impedir a execução de uma transação a partir das contas da Autora que nunca autorizou, o sócio gerente da Autora acedeu proceder de acordo com as instruções que lhe foram paulatinamente transmitidas por aquele.

M) Nesse sentido, o suposto “funcionário” da Ré solicitou-lhe que, depois de abrir o referido e-mail, carregasse na zona onde dizia “Cancelar Transação”, o que fez.

N) Seguidamente, foi redirecionado para uma página web contendo um conjunto de ações que alegadamente conduziriam ao cancelamento da transação bancária.

O) Na supra referida página web foi-lhe pedido que procedesse à alteração do número de adesão do serviço “CA Online” (vulgo, homebanking) e, posteriormente, num outro campo, que alterasse a Chave Multicanal.

P) O sócio-gerente da Autora seguiu os passos solicitados pelo suposto “funcionário” da Ré.

Q) De seguida, o sócio gerente da Autora recebeu, através de SMS, sete códigos de autorização de transferências bancárias.

R) Código de autorização que o sócio gerente da Autora introduziu na supra referida página, plenamente convencido de que estaria a cancelar a transação fraudulenta.

S) O legal representante da Autora inseriu quatro das OTP de autorização que recebeu. Após inserir as quatro OTP de autorização que permitiram a execução de quatro transferências, surgiu no écran a mensagem “Cancelamento efetuado com sucesso”.

T) Nessa sequência, o dito “funcionário” dos Serviços de Segurança da Ré informou o sócio gerente da A. de que, em seguida, a chamada telefónica iria ser redirecionado para um inquérito de satisfação e despediu-se.

U) Não houve lugar a nenhum inquérito de satisfação e a chamada foi desligada.

V) Certo é que no dia seguinte, 14 de setembro de 2022, a Autora, na pessoa do seu sócio gerente, deixou de ter acesso ao serviço “CA Online”, encontrando-se este bloqueado e com a indicação para contactar os serviços centrais da Ré.

W) Dirigiu-se, por isso a Autora, na pessoa do seu sócio gerente, de imediato e ainda na manhã desse mesmo dia 14 de setembro de 2022 à dependência de Grândola da Ré, onde, depois de ali dar conta de todos os factos, lhe foi transmitido pela funcionária da Ré que o atendeu, que teria sido vítima de burla.

X) Pois que, na mesma ocasião, aquela funcionária da Ré verificou também que tinham sido efetuadas quatro transferências bancárias a crédito, a partir das contas da Autora no valor global de € 39.904,93, a favor de terceiros que esta igualmente desconhece.

Y) No dia 13 de setembro de 2022 foram efetuadas quatro transferências bancárias a crédito, a partir das contas da Autora, no valor global de € 39.904,93, em concreto: I. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,18, a favor de/sendo beneficiária (…). II. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,24, a favor de/sendo beneficiário (…). III. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,28, a favor de/sendo beneficiário (…). IV. Transferência da conta de depósito à ordem n.º (…), em 13/09/2022, no valor de € 9.976,23, a favor de/sendo beneficiária (…).

Z) Ainda na mesma ocasião, foram contactados e informados do sucedido, direta e internamente, através da dependência de Grândola da Ré, os serviços centrais desta, em Lisboa e foi dada indicação à Autora, na pessoa do seu sócio gerente, de que deveria apresentar queixa-crime junto das autoridades e, em seguida, entregar junto daquela dependência, cópia do respetivo auto de notícia, bem como, comunicações recebidas e uma análise de segurança ao computador, em ordem a que a Ré pudesse apurar a situação.

AA) No dia 14-09/2022, o sócio gerente da Autora dirigiu-se ao Posto Territorial de Grândola da Guarda Nacional Republicana onde apresentou a competente queixa-crime, a qual deu origem ao procedimento criminal que corre termos sob o NUIPC (…).

BB) Queixa-crime cuja cópia/comprovativo o sócio gerente da Autora veio a entregar no balcão da Ré em Grândola, a par de todos os demais documentos que foram solicitados, na perspetiva que, depois de analisados e confirmado que se tratou de uma burla, aquela fosse ressarcida do dinheiro indevidamente transferido.

CC) (eliminado).

DD) Em 28 de Novembro de 2023, a Autora decidiu interpelar expressa e formalmente a Ré para que esta procedesse ao reembolso das quantias transferidas.

EE) A Ré respondeu à Autora através de carta rececionada em 11 de janeiro de 2024, onde, em suma, alega que foram feitas diligências internas, não se tendo detetado nenhum incidente nem verificado qualquer tipo de avaria técnica ou deficiência no serviço, declinando qualquer responsabilidade pelo sucedido.

FF) E atribuindo tal responsabilidade antes e apenas à Autora que alegadamente “não autuou com o zelo, a atenção, o cuidado e a diligência que se impunham”, recusando, por isso, ressarci-la dos valores transferidos das suas contas bancárias.

GG) Foi celebrado entre a Autora e a Ré, a 23 de janeiro de 2013, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º (…).

HH) Na sequência do aludido contrato, as partes celebraram, na mesma data, um contrato de Adesão ao CA Online Empresas, conforme cópia das Condições Gerais de Utilização do Serviço On-Line Empresas que se dá por integralmente reproduzida para todos os legais e devidos efeitos.

II) Esta adesão permitiu à Autora, na pessoa do seu Autorizador, in casu, o gerente da Autora, consultar e movimentar a conta de depósito à ordem n.º (…) através da internet – acedendo ao CA Online Empresas – ou através de dispositivos móveis – acedendo ao CA Mobile.

JJ) Posteriormente, a 08 de novembro de 2021, foi celebrado, entre a Autora e a Ré, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º (…).

KK) Assim, a partir de 08 de novembro de 2021, a adesão ao CA Online Empresas titulada pelo gerente da Autora, permitiu a consulta e movimentação das contas de depósito à ordem n.º (…) e (…), através da internet – acedendo ao CA Online Empresas – ou através de dispositivos móveis – acedendo ao CA Mobile.

LL) Na medida em que, tal como resulta da Cláusula 54, n.º 1, alínea c) do Doc. n.º 3 ora junto, o Cliente que adira ao CA Online Empresas pode “aceder a qualquer uma das suas contas de depósitos domiciliadas em qualquer Agência da Caixa Agrícola (…), bem como efetuar um conjunto de operações financeiras de consulta e/ou de movimentação a débito e a crédito (…)”.

MM) Entre a celebração dos Contratos de Depósito e de Adesão ao CA Online Empresas, e a presente data, o teor das Condições Gerais dos mesmos foi sendo alterado, acompanhando a evolução legislativa.

NN) Todas as alterações contratuais foram comunicadas à Autora e disponibilizadas no CA Online Empresas.

OO) O serviço CA Online Empresas confere, a quem adere, a possibilidade de (i) consultar as contas de depósito que estejam domiciliadas junto do Crédito Agrícola e (ii) efetuar um conjunto de operações bancárias associadas a essas contas, designadamente (ii.i) movimentação a débito e a crédito ou (ii.ii) aceder a outros serviços prestados pelo Crédito Agrícola aos Seus Clientes.

PP) O acesso ao CA Online Empresas é facultativo, conferido a Clientes que pretendam subscrever este serviço.

QQ) E deve ser realizado através do endereço www.creditoagricola.pt ou, quando se pretenda aceder com recurso a dispositivos móveis com sistemas iOS ou Android, através da Aplicação CA Mobile.

RR) No caso das pessoas coletivas, por conta das limitações inerentes à qualidade, são nomeados pelo Cliente, para aceder à adesão ao CA Online Empresas, Utilizadores, isto é, “Pessoa(s) Singular(es) designada(s) pelo Cliente, na Proposta de Adesão ou, posteriormente e por escrito, após a sua adesão, a quem fica atribuída a possibilidade de, em representação do Cliente, aceder ao Serviço CA Online Empresas, efetuar consultas, realizar operações financeiras, sobre as contas de que o Cliente seja titular na Caixa Agrícola onde efetuou a adesão e de acordo com um dos perfis de acesso definidos”.

SS) Para o acesso ao serviço CA Online Empresas é atribuído ao Cliente um número de adesão, que consiste num código numérico de oito posições, gerado pelo sistema após ser efetuado, com sucesso, um Pedido de Adesão ao serviço.

TT) Por sua vez, a chave multicanal, é um elemento necessário para concretizar o acesso ao serviço CA Online Empresas, que consiste num código numérico de 8 posições e que permite, em conjunto com o número de adesão, identificar inequivocamente o Cliente apenas para a realização de Consultas.

UU) A Autora é Cliente, e o seu gerente é o único Autorizador/Utilizador, detendo um n.º de adesão e uma chave multicanal, simultaneamente únicos, pessoais e intransmissíveis.

VV) Como medida de segurança, estabeleceu-se que, aquando do primeiro acesso ao CA Online Empresas, o Utilizador tinha de alterar, obrigatoriamente, a chave multicanal atribuída no momento da ativação do serviço, sob pena de bloqueio técnico que inviabiliza a utilização do serviço.

WW) A Ré não conhece, nem tem como conhecer, a chave multicanal, dado que a validação da chave multicanal é feita com base numa chave encriptada, a partir da chave multicanal definida pelo Cliente aquando do primeiro acesso ao CA Online Empresas, pelo que somente o gerente, enquanto utilizador registado para acesso à conta titulada pela Autora no CA Online Empresas que recebeu as credenciais de segurança personalizadas desse serviço, deveria conhecer quer o número de adesão, quer a chave multicanal associados à adesão titulada pela Autora e atribuída ao seu gerente.

XX) A chave multicanal é equiparada ao código PIN ou ao código de acesso que outras instituições bancárias solicitam aquando do acesso aos seus sistemas de homebanking.

YY) No caso do Crédito Agrícola, o PIN corresponde a um código numérico de quatro posições, definido pelo Cliente no momento de adesão ao CA Mobile, e que permite, em conjunto com o número de adesão, identificar inequivocamente o Cliente para o acesso ao serviço CA Mobile, bem como realizar consultas.

ZZ) Até 13 de Setembro de 2019, o acesso ao CA Online Empresas era efetuado com a introdução do número de adesão e da chave multicanal.

AAA) A partir de 14 de setembro de 2019 e até 24 de outubro de 2022, isto é, à data da burla, no acesso ao CA Online Empresas exigia-se, a cada 90 dias, para além da sempre necessária introdução do número de adesão e da chave multicanal, a introdução de uma OTP de acesso ou de login enviada por SMS para o número de telemóvel associado à adesão ao CA Online Empresas titulada pela Autora e atribuída ao gerente.

BBB) Para realizar a consulta de informação considerada sensível, aceder a documentos digitais e realizar transações de cariz financeiro, é necessário introduzir três dígitos, solicitados de forma aleatória, de entre os 8 a 12 dígitos que compõem a password.

CCC) Para validação de toda e qualquer operação ordenada no CA Online Empresas, exige-se, desde 14 de setembro de 2019, a introdução de três dígitos aleatórios da password e de uma OTP de autorização, o que corresponde à aplicação do SAFE, sigla que abrevia “Sistema de Autenticação Forte” (doravante “SAFE”), que sujeita a utilização deste serviço a “uma autenticação baseada na utilização de dois ou mais elementos pertencentes às categorias conhecimento (algo que só o utilizador conhece), posse (algo que só o utilizador possui) e inerência (algo que o utilizador é), os quais são independentes, na medida em que a violação de um deles não compromete a fiabilidade dos outros, e que é concebida de modo a proteger a confidencialidade dos dados de autenticação”.

DDD) Esta OTP de autorização, é solicitada e válida apenas para confirmar a transação a que respeita, e que poderá ser a realização de uma transferência, de um pagamento de serviços, ou o carregamento de telemóveis, sendo de utilização única.

EEE) O SAFe está, assim, em conformidade com o disposto no artigo 2.º, alínea d), do Decreto-Lei n.º 91/2018, de 12 de novembro (“Decreto-Lei n.º 91/2018”), que define “autenticação forte” como a “autenticação baseada na utilização de dois ou mais elementos pertencentes às categorias conhecimento (algo que só o utilizador conhece), posse (algo que só o utilizador possui) e inerência (algo que o utilizador é), os quais são independentes, na medida em que a violação de um deles não compromete a fiabilidade dos outros, e que é concebida de modo a proteger a confidencialidade dos dados de autenticação”.

FFF) Este tipo de autenticação e a implementação do SAFe visam “incrementar o nível de segurança na utilização do Serviço On-Line através da utilização de passwords únicas (OTP – One Time Password) enviadas por SMS para validar transações financeiras”.

GGG) Apesar de, desde 14 de setembro de 2019, a adesão ao SAFe ser obrigatória para a utilização do CA Online Empresas e exigida aquando do primeiro login, até então era voluntária, tendo a Autora, voluntariamente, aderido ao SAFe aquando da adesão ao CA Online Empresas, isto é, a 23 de janeiro de 2013.

HHH) O CA Online Empresas estava, à data da burla, dotado da autenticação forte legalmente exigida, dado que exige uma combinação de elementos pertencentes às categorias de conhecimento e posse para a realização de operações ordenadas através daquele canal.

III) Como elementos pertencentes à categoria “conhecimento”, o CA Online Empresas exige a introdução do número de adesão e da chave multicanal para o acesso ao serviço, bem como a introdução de três dígitos aleatórios da password para a realização de toda e qualquer operação bancária.

JJJ) Já como elemento da categoria “posse”, o CA Online Empresas exigia, à data da burla, a introdução de uma OTP de acesso ou login a cada 90 dias e de uma OTP de autorização para a realização de cada uma das operações ordenadas, independentemente de ter sido ou não previamente exigida naquela sessão a OTP de acesso ou login.

KKK) Cabe à instituição de crédito responsável pelo serviço manter, sob rigorosa confidencialidade, os códigos de acesso e a informação constante nos mesmos.

LLL) Cabe ao Cliente o especial dever de não revelar, nem por qualquer forma tornar acessível ao conhecimento de terceiros, os seus elementos de identificação e os códigos de acesso, seja o número de adesão, seja a chave multicanal, seja a password, sejam as OTP de acesso ao serviço ou de autorização de operações, dados que são pessoais, confidenciais e intransmissíveis.

MMM) Durante o período compreendido entre o dia 01 de junho de 2022 e 12 de Setembro de 2022, o gerente da Autora acedeu ao CA Online Empresas 90 vezes.

NNN) À data da burla, o gerente da Autora era utilizador frequente do CA Online Empresas há aproximadamente dez anos.

OOO) Eliminado.

PPP) Imediatamente antes dessa chamada telefónica, às 12:25:34 do dia 13 de setembro de 2022, o terceiro burlão introduziu o número de adesão e chave multicanal da adesão titulada pela Autora no CA Online Empresas e atribuída ao gerente da mesma.

QQQ) O gerente da Autora recebeu sete OTP de autorização – referentes a três tentativas de transferência falhadas e às quatro transferências efetuadas – às 13:01:52, 13:05:44, 13:07:33 e 13:10:12, conforme resulta do comprovativo de envio de SMS com OTP de autorização que se dá por integralmente reproduzido para todos os devidos e legais efeitos (Doc. n.º 8).

RRR) As SMS com as OTP remetidas e recebidas pelo gerente da Autora, a 13 de setembro de 2022, seguem o modelo de todas as OTP de autorização de transferências remetidas pelo Crédito Agrícola, indicando (i) o seu propósito, (ii) a conta a debitar, (iii) o IBAN a creditar, (iv) o montante da transferência e, por fim, (v) o código de autorização.

SSS) O modus operandi usual nestas burlas consiste na criação de páginas web semelhantes às das entidades bancárias, às quais os utilizadores acedem, porque, contrariando o disposto no contrato e nas regras de segurança que lhes são transmitidas, tentam aceder ao seu homebanking através de pesquisas que fazem nos motores de busca da internet, ao invés de digitarem o endereço de URL integral de acesso ao serviço.

TTT) Subsequentemente inserem nessas páginas web fraudulentas os seus dados pessoais, secretos e intransmissíveis de acesso ao homebanking, no caso, ao CA Online Empresas – número de adesão e chave multicanal.

UUU) A transmissão destes dados de acesso e utilização pode ser feita diretamente, por telefone, ou por introdução numa página web falsa, a que o utilizador acede por acionamento de um link contido num email remetido pelo burlão que encaminha o utilizador para uma página falsa, que permite ao burlão ver e ou guardar tudo o que o utilizador nela digita.

VVV) Isto mesmo tem sido relatado pela comunicação social, como se pode constatar na notícia publicada no site Observador, datada de 05 de Maio de 2022, cujo excerto se transcreve para facilidade de entendimento: “As pessoas teriam então de aceder a uma ligação que recriava os ‘sites’ dos bancos, onde eram solicitadas as credenciais de acesso ou dados pessoais. Com essas informações, os arguidos acediam às contas das vítimas e, para concretizarem operações com vista a apoderarem-se do dinheiro, ainda contactavam por telemóvel sob o pretexto de evitar uma tentativa de fraude. (…) Os arguidos contactavam os ofendidos, identificavam-se como funcionários do banco, e alegando falsamente que importava cancelar operação fraudulenta detetada, conseguiam que os ofendidos, crendo assim estar a bloquear essa operação, os informassem dos códigos de segurança gerados pelas ordens de transferência que, na pendência desse telefonema, recebiam no telemóvel e que mais não eram que os códigos de segurança para concretizar operações a débito nas suas contas”, explica a nota divulgada.”

WWW) O e-mail que recebeu foi enviado por um endereço que não pertence à Ré – …@creditoagricola-suporte.site nem tampouco tem o “domínio da Caixa de Crédito Agrícola”.

XXX) Ao longo dos anos de 2021 e 2022, o Crédito Agrícola remeteu por SMS vários alertas dando conta das tentativas de phishing que estavam a ser perpetradas.

YYY) Tais mensagens de texto foram rececionadas pelo número de telemóvel associado à adesão da Autora, nas datas de envio das mesmas.

ZZZ) Destaca-se a mensagem remetida a 25 de fevereiro de 2022, que alertava os Clientes da Ré “para possíveis tentativas de fraude ou burla. Não aceda a links e nunca forneça por telefone os seus códigos de acesso aos canais se for contactado”.

AAAA) No dia 31 de agosto de 2022, a Ré remeteu mensagem para o número de telemóvel associado à adesão da Autora e titulada pelo seu gerente, que continha o seguinte teor: “O Crédito Agrícola não telefona para cancelar transferências. É Burla/Fraude. Desligue e contacte-nos de imediato para o balcão ou Linha Directa».

BBBB) A Ré mantém um banner de alerta na página de acesso / login ao CA Online Empresas que continha a seguinte mensagem “O Crédito Agrícola, alerta que nunca contacta telefonicamente para cancelar transferências, nem solicita códigos de acesso aos serviços – são pessoais e intransmissíveis”.

CCCC) A Ré publicou, ao longo dos anos de 2021 e 2022, alertas de fraude na sua página web, dos quais se destaca o alerta de uma tentativa de phishing, publicado em fevereiro de 2022 no qual fez constar: “o Crédito Agrícola: Nunca envia links por e-mail, nem mensagens para o telemóvel com sugestões de downloads para reforço de segurança;

Nunca solicita os códigos confidenciais do Cliente, utilizados nos canais CA Online ou CA Mobile – Password e SMS Token – os quais são apenas inseridos para confirmar operações financeiras, iniciadas pelos Clientes dentro de cada serviço e que deverão ser única e exclusivamente do conhecimento do Cliente”.

DDDD) O próprio Banco de Portugal lançou uma campanha, designada “#ficaadica: Fraude financeira digital: também caía nesta?” para alertar para este problema, com o seguinte teor: “Recebe um e-mail ou uma mensagem do seu banco ou outro prestador de serviços de pagamento ou de uma entidade com a qual contratou um serviço. Dizem que a sua conta pode estar comprometida ou bloqueada e pedem que faça login para recuperar o acesso. Clica no link e insere as suas credenciais ou transmite-as por telefone, sem pensar duas vezes? É provável que esteja perante uma forma comum de phishing, isto é, um ataque destinado a captar os seus dados pessoais. E há outras técnicas fraudulentas, aparentemente inofensivas e igualmente eficazes, que são usadas por pessoas que, em qualquer parte do mundo, se podem apropriar dos seus dados. Muitas vezes os piratas informáticos utilizam informação que obtêm nas redes sociais e utilizam a manipulação psicológica para ganhar a confiança da vítima e, assim, obter informações confidenciais».

EEEE) O gerente da Autora, de alguma forma, tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa.

FFFF) Inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas.

II.4.2.

Reapreciação do mérito da decisão
A sentença sob recurso julgou a ação totalmente improcedente, absolvendo a Ré do pedido que consistia na sua condenação da ré no pagamento à Autora da quantia global de € 39.904,93, acrescida dos juros de mora respetivos, e da qual a segunda se viu desembolsada em consequência do acesso, por terceiro, e através do serviço de homebanking, às duas contas de depósito que tem junto da Ré.

O tribunal recorrido considerou ter-se demonstrado que as operações de transferência de fundos da Autora depositados nas duas contas abertas por esta junto do Banco Réu não foram por esta autorizadas, pelo que para o Banco se eximir da responsabilidade de ressarcir aquela dos danos que lhe foram causados tinha de provar que as referidas operações foram autenticadas, devidamente registadas e contabilizadas e que o ordenante agiu com dolo ou negligência grosseira.

O Tribunal a quo entendeu que o Banco réu logrou provar:

i. a autenticação das operações (embora no seu entendimento não se tenha provado «como foi efetuada essa autenticação» na medida em que não se provou que a Autora tenha inserido os 3 dígitos solicitados de forma aleatória de entre os 8 a 12 dígitos que compõem a password que permite realizar transações de cariz financeiro de forma remota através do homebanking); e que

ii. a Autora «atuou com inobservância das mais elementares regras de prudência e da não adoção do esforço e diligência minimamente exigíveis nas circunstâncias concretas», isto é, considerando «os alertas prévios da Ré, o teor do contacto efetuado e email recebido (linguagem utilizada e com link para acesso)» as quais impunham que a Autora «desconfiasse da legitimidade desse contacto e se abstivesse de prosseguir, contactando de imediato os serviços da Ré» como teria sido o comportamento do comum das pessoas perante aquelas circunstâncias, ademais sendo a Autora gestora de uma empresa e utilizadora habitual do sistema».

Concluindo, assim que cabe à Autora «suportar a perda resultante da operação levada a cabo por terceiro, ao abrigo do disposto no artigo 115.º, n.º 4, do D/L n.º 91/2018, de 12 de Novembro, o que também já se verificava à luz do disposto no artigo 72.º, n.º 3, do D/L n.º 317/2009, de 30 de outubro».

A apelante/Autora insurge-se contra o assim decidido, argumentando que:

i. Incumbia à Ré – prestadora do serviço de homebanking – nos termos do disposto no artigo 113.º, n.º 1, do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica demonstrar que as operações foram devidamente autenticadas, corretamente registadas e contabilizadas, bem como não ocorreu qualquer avaria técnica ou outra deficiência do serviço, o que não logrou fazer porque o próprio tribunal recorrido reconheceu que não ficou provado o modo concreto como foram autenticadas as operações de pagamento em causa;

ii. Provou-se que alguém acedeu ao sistema informático da recorrida e às contas bancárias tituladas pela Recorrente junto da Ré ainda antes do contacto telefónico estabelecido entre o desconhecido e o gerente da Ré, que há lacunas nos registos técnicos apresentados pela recorrida e que houve um bloqueio do acesso ao serviço de homebanking no dia imediatamente seguinte ao dia dos factos o que inviabiliza a demonstração da integral regularidade do processo de autenticação, registo e contabilização das operações, bem como da inexistência de avaria técnica ou outra deficiência do serviço;

iii. O incumprimento pela Ré do ónus probatório que sobre si impende, à luz do artigo 113.º, n.º 1, do RJSPME impunha desde logo a aplicação do regime regra previsto no artigo 114.º do mesmo diploma legal.

iv. No pressuposto de se considerar preenchido o ónus probatório previsto no artigo 113.º, n.º 1, do RJSPME, poderia ser equacionada a eventual imputação de negligência grosseira à Autora, nos termos do disposto no artigo 115.º, n.º 4, do RJSPME; porém, para além de o único dos elementos funcional e tecnicamente aptos à concretização das operações de pagamento realizadas revelados pelo gerente da Autora, a saber, os códigos OTP não permitirem isoladamente a realização de transferências bancárias, o gerente da Autora facultou aqueles códigos OTP «sob convicção induzida de cancelamento de uma operação», ou seja, o gerente da Autora revelou os códigos OTP num contexto de fraude, urgência e convencimento de que estava a atuar para cancelar uma operação apresentada como fraudulenta, não podendo, por isso, considerar-se que aquele agiu com negligência grosseira assente na existência de alertas de segurança enviados por SMS, banners informativos, campanhas públicas de prevenção de fraude ou no simples acesso a email ou link recebido por correio eletrónico.

Na sua resposta às alegações de recurso, a apelada, para além de declinar qualquer responsabilidade pelas perdas monetárias sofridas pela Autora, atribuindo o sucedido a uma negligência grosseira do sócio gerente da Autora, impugna a qualificação das operações executadas pelo Banco Réu como operações não autorizadas pela cliente, in casu, pela Autora, sustentando que:

i. Nos termos do artigo 103.º, n.ºs 1 e 3, do RJSPME uma operação considera-se autorizada se o ordenante consentir na sua execução, na forma acordada entre este e o prestador de serviços de pagamento, pelo que a contrario, uma operação não se considera autorizada se tiver sido realizada sem ser mediante a execução dos passos acordados entre o ordenante e o prestador de serviços de pagamento;

ii. Nos termos dos contratos que regem a relação contratual entre as Partes, a autorização da realização das operações de pagamento efetuadas mediante a introdução no CA On Line Empresas do número de adesão, da chave multicanal, de três dígitos da password aleatoriamente solicitados pelo sistema aquando da realização da operação e da OTP de autorização;

iii. Está provado que as quatro operações de pagamento executadas foram realizadas através da introdução de três posições da password aleatoriamente solicitadas pelo sistema aquando da realização de cada uma das operações e que das respetivas OTP de autorização constantes das mensagens recebidas pelo legal representante da Autora identificavam expressamente a conta a debitar, a conta a creditar e o montante a transferir, para além do respetivo código de autorização, pelo que as operações foram autorizadas nos termos contratuais, devendo considerar-se autorizadas para os efeitos do disposto no artigo 103.º, n.ºs 1 e 3, do RJSPME.

iv. Acresce que foram ainda previamente introduzidas no CA On Line Empresas o número de adesão e a chave multicanal de modo a permitir o início da sessão, sendo que a chave multicanal, a password e os códigos de autorização apenas são, ou devem ser, conhecidos pelo legal representante da Autora, o qual facultou estas credenciais em manifesta violação das regras de acesso e utilização do serviço, sem que o Banco conhecesse, então, ou pudesse conhecer, que não era o legal representante da Autora que as pretendia realizar.

Apreciando, pois.

No presente recurso não vem posto em causa que entre a autora e o réu foram celebrados dois contratos de abertura de conta. O contrato de abertura de conta constitui um negócio bancário nuclear ao abrigo do qual se vão realizando outros contratos entre o banco e os seus clientes. Com o contrato de abertura de conta é atribuído ao cliente o número da conta de pagamento (IBAN) a qual pode ser mobilizada ou através de assinatura ou através de mecanismos de acesso eletrónico (os códigos e as palavras passe).

No caso não vem posto em causa que a partir daqueles dois contratos de abertura de crédito a autora e o Banco Réu convencionaram negócios jurídicos ulteriores, designadamente contratos de depósito e a prestação do serviço de homebanking. Efetivamente está demonstrado que, em 23 de janeiro de 2013, foi celebrado entre a Autora e a Ré um contrato de depósito, subjacente à abertura da conta de depósito à ordem n.º (…), e que na sequência desse contrato as partes celebraram, na mesma data, um contrato de adesão ao CA Online Empresas, o qual permitia à Autora, na pessoa do seu sócio gerente, consultar e movimentar a conta de depósito à ordem acima mencionada, através da internet acedendo ao CA Online Empresas ou através de dispositivos móveis, acedendo ao CA Mobile.

Mais se provou que, a 8 de novembro de 2021, foi celebrado entre a Autora e a Ré um outro contrato de depósito, subjacente à abertura da conta de depósito à ordem n.º (…), sendo que a este contrato também era aplicável o Contrato de Adesão ao CA Online Empresas celebrado em 23 de janeiro de 2013. Por conseguinte, e para o que ora releva, está demonstrado que a Autora aderiu a um serviço prestado pelo Banco Réu o qual lhe permitia, remotamente, através de uma plataforma eletrónica, realizar operações de pagamento. Esta possibilidade é característica do chamado homebanking, que, nas palavras do Acórdão do Supremo Tribunal de Justiça de 18.12.2013[1], «se concretiza pela possibilidade conferida pela entidade bancária aos seus clientes, mediante a aceitação de determinados condicionalismos, de utilizar uma panóplia de operações bancárias, on line, relativamente às contas de que sejam titulares, utilizando para o efeito, canais telemáticos que conjugam os meios informáticos com os meios de comunicação à distância (canais de telecomunicação), por meio de uma página segura do banco».

Atualmente tal contrato de homebanking está regulado pelo D/L n.º 91/2018, de 12.11, que entrou em vigor em 13/11/2018 e que transpôs para a ordem jurídica nacional a Diretiva 2015/2366, do Parlamento Europeu e do Conselho, de 25/11/2015[2] relativa aos serviços de pagamento no mercado interno (segunda Diretiva dos serviços de pagamento – DSP 2).

A Diretiva 2015/2366 revogou a Diretiva 2007/64/CE do Parlamento Europeu e do Conselho de 13 de novembro (primeira Diretiva dos serviços de pagamento – DSP 1) que havia sido transposta para o ordenamento jurídico nacional pelo D/L n.º 317/2009, de 30.10[3], o qual foi revogado pelo D/L n.º 91/2018, de 12.11.

O contrato de adesão ao CA Online Empresas celebrado entre a Autora e Ré foi-o em 2013, pelo que se lhe aplica o regime previsto no D/L n.º 317/2009, de 30 de outubro, sem prejuízo da aplicação ao mesmo das disposições constante do D/L n.º 91/2018 que se mostrem mais favoráveis aos utilizadores de serviços de pagamento, como resulta do disposto no artigo 159.º deste último diploma legal.

Nos termos do disposto no artigo 67.º, n.º 1, alíneas a) e b), do D/L n.º 317/2009, de 30.10, o utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento[4] tem a obrigação de utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização [alínea a)] e a obrigação de comunicar, sem atrasos injustificados, ao prestador de serviços de pagamento ou à entidade designada por este último, logo que deles tenha conhecimento, a perda, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento [alínea b)]. E dispõe o n.º 2 do mesmo artigo que «Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial ao receber um instrumento de pagamento, para preservar a eficácia dos seus dispositivos de segurança personalizados.»

Por sua vez, o artigo 68.º, n.º 1, alínea a), do mesmo diploma normativo dispõe que o prestador de serviços de pagamento que emite um instrumento de pagamento tem a obrigação de assegurar que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior»[5] .

O prestador de serviços de pagamento só pode executar uma operação que tenha sido autorizada.

Dispõe o artigo 65.º do D/L n.º 317/2009, de 30.10[6], epigrafado de Consentimento e retirada do consentimento, o seguinte:

«1 – Uma operação de pagamento ou um conjunto de operações de pagamento só se consideram autorizadas se o ordenante consentir na sua execução.

2 – O consentimento deve ser dado previamente à execução da operação, salvo se for acordado entre o ordenante e o respetivo prestador do serviço de pagamento que o mesmo seja prestado em momento posterior.

3 – O consentimento referido nos números anteriores deve ser dado na forma acordada entre o ordenante e o respetivo prestador do serviço de pagamento, sendo que, em caso de inobservância da forma acordada, se considera que a operação de pagamento não foi autorizada.

4 – (…)

5 – (…)

6 – Os procedimentos de comunicação e de retirada do consentimento são acordados entre o ordenante e o prestador de serviço de pagamentos.»

Em síntese, o consentimento para a execução de uma operação de pagamento tem de ser dado pelo ordenante nos termos acordados e terá que ser prévio à operação, salvo convenção em contrário entre as partes. Não tendo sido prestado nos termos referidos, a operação considera-se não autorizada.

Incumbe ao prestador de serviços de pagamento o ónus de provar que todas as transações que executou foram devidamente autorizadas.

A execução da ordem exige, também, que o cliente tenha sido autenticado pelo prestador do serviço através de um procedimento que lhe permite verificar a identidade de um utilizador de serviços de pagamento ou a validade da utilização de um instrumento de pagamento específico, incluindo a utilização das credenciais de segurança personalizadas do utilizador – cfr. artigo 2.º, alínea c), do D/L n.º 91/2018, de 12.11.

A lei exige em certos casos que o prestador de serviço recorra a uma “autenticação forte” do cliente – cfr. artigo 2.º, alínea d), do D/L n.º 91/2018, de 12.11 – a qual exige a utilização de dois ou mais elementos pertencentes às categorias “conhecimento” (algo que só o utilizador conhece), “posse” (algo que só o utilizador possui) e “inerência” (algo que o utilizador é). Esta autenticação é exigida justamente nos casos, como o nosso, em que o ordenante acede à sua conta de pagamento através de homebanking. E quando se trate de uma operação de pagamento remota a autenticação forte do cliente deve incluir elementos que associem de forma dinâmica a operação a um montante específico e a um beneficiário específico – cfr. artigo 2.º, alínea c), do D/L n.º 91/2018.

De relevo para o caso concreto, importa chamar à colação o disposto no artigo 70.º do D/L n.º 317/2009, de 30.10, epigrafado Prova de autenticação e execução das operações de pagamento, o qual estatui o seguinte:

«1 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respetivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência. 2 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do artigo 67.º».

Por sua vez, o artigo 113.º do D/L n.º 91/2018, sob a epígrafe Prova de autenticação e execução da operação de pagamento, dispõe o seguinte:

«1. Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respetivo prestador do serviço de pagamento fornecer a prova de que a operação foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento.

2. (…)

3. Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, incluindo o prestador do serviço de iniciação do pagamento, se for caso disso, não é necessariamente suficiente, por si só, para provar, que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º.

4. Nas situações a que se refere o número anterior, o prestador de serviços de pagamento, incluindo, se for caso disso, o prestador do serviço de iniciação do pagamento, deve apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizar de serviços de pagamento.»

Resulta do disposto no artigo 113.º, nºs 1, 3 e 4, do D/L n.º 91/2018 que a prova da simples utilização do instrumento de pagamento registada pelo prestador de serviços (incluindo o prestador do serviço de iniciação do pagamento, quando for o caso) não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º (artigo 113.º, n.º 2, RSP). Para afastar a sua responsabilidade, o prestador de serviços terá de apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento (artigo 113.º, n.º 4, RSP).

Do confronto entre o artigo 70.º do D/L n.º 317/2009 e o artigo 113.º do D/L n.º 91/2018 resulta que este último reforça as exigências probatórias impostas ao prestador de serviços de pagamento: ou o prestador de serviços consegue demonstrar a existência de uma fraude, recorrendo aos meios técnicos à sua disposição para o efeito, onde se incluem evidentemente aqueles destinados a esse fim, ou então terá de demonstrar o dolo ou negligência grosseira.

Volvendo a caso dos autos está em causa a subtração de quantias de contas bancárias tituladas pela Autora, através de operações de transferências efetuadas de forma fraudulenta por terceiro, com utilização do serviço de homebanking disponibilizado pelo Banco Réu.

Está demonstrado que todas as (quatro) transferências que o Banco Réu executou e que estão em causa nos autos foram realizadas com as credenciais da autora e que foi o sócio gerente da Autora que introduziu os códigos de autorização respetivos que foram enviados por SMS para o respetivo telemóvel, após o que o sistema do Banco – que não foi acometido de qualquer avaria técnica – deu cumprimento às instruções do ordenante.

Pese embora esteja demonstrado que: i. o sócio gerente da Autora partilhou com o terceiro burlão o seu n.º de adesão ao serviço de homebanking, bem como a sua chave multicanal; ii. de alguma forma, aquele tornou acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa; e iii. foi também ele que introduziu os OTP de autorização, possibilitando dessa forma que terceiro acedesse às suas duas contas e delas retirasse fundos, resulta igualmente da factualidade provada que o sócio gerente da Autora o fez numa simulação de página para onde foi conduzido por via de um erro e engano em que foi induzido por terceiro, julgando ele estar numa página web do Banco Réu. Ou seja, estamos perante um consentimento viciado por erro em que o legal representante da Autora foi induzido por terceiro mal-intencionado. A própria Ré/Apelada o reconheceu na sua Contestação, dizendo que «o gerente da Autora transmitiu a terceiro burlão mal -intencionado todos os dados pessoais, secretos e intransmissíveis necessários para a realização das quatro transferências. Fê-lo, caindo no logro que lhe foi montado (…)».

Pelo que, e ao contrário do que sustenta a apelada na sua ampliação de recurso, não se pode considerar que as operações em causa tivessem sido autorizadas pelo legal representante da Autora para os efeitos previstos no artigo 65.º do D/L n.º 317/2009, de 30.10.

Argumenta a Autora/apelante que «ficou por demonstrar, de forma positiva e inequívoca, que a autenticação ocorreu, no caso concreto, sem qualquer deficiência do serviço ou lacuna relevante nos mecanismos de registo».

Mas sem razão.

No caso, e por imposição legal, o Banco Réu recorreu a uma “autenticação forte” que exigia a introdução do número de adesão e da chave multicanal para o acesso ao serviço, bem como a introdução de três dígitos aleatórios da password para a realização de toda e qualquer operação bancária.

Está demonstrado que o sócio gerente da Autora introduziu na página web falsa o seu número de adesão e a chave multicanal e que, de algum modo, tornou acessível ao terceiro burlão a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens

de transferência em causa nos autos. E está também demonstrado que introduziu na mesma página as OTP de autorização e que inexistiu qualquer avaria técnica ou deficiência do CA On Line Empresas que tenha afetado as operações de pagamento efetuadas. Por conseguinte, no caso, a autenticação ocorreu e sem qualquer deficiência do serviço ou lacuna relevante nos mecanismos de registo, tendo a apelada cumprido o ónus de prova previsto no artigo 113.º, n.º 1, do RSP. Ou seja, está provado que a autenticação da Autora ocorreu e que, nessa sequência o Banco Réu remeteu e o gerente da Autora recebeu, através de SMS, OTPs de autorização das transferências realizadas, as quais também introduziu na página web falsa. Consequentemente, para afastar a sua responsabilidade o Banco Réu tem de provar também a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento (artigo 113.º, n.º 4).

In casu, afastada a existência de fraude e de dolo, poder-se-á afirmar que a Autora atuou com negligência grosseira? O tribunal a quo assim o entendeu, cumprindo-nos aferir do acerto de tal julgamento.

A negligência implica que o agente, violando um dever objetivo de cuidado, não tenha previsto o resultado ilícito da sua conduta e, se o tiver previsto, não tenha aceite tal resultado; mesmo assim, o ato ilícito é-lhe imputável porque ele deveria ter procedido por forma a evitá-lo, usando da diligência adequada[7]. Na negligência grave há uma atuação que configura uma diligência inferior àquela que até os homens medianamente diligentes adotam[8]. A negligência grosseira significa «uma falta de cuidado extremamente grave, que só uma pessoa muito pouco cuidadosa teria»[9].

No caso em apreço está provado que, à data dos acontecimentos, o gerente da Autora era utilizador frequente do CA Online Empresas há aproximadamente dez anos e que só no período compreendido entre o dia 01 de junho de 2022 e 12 de setembro de 2022, acedera ao CA Online Empresas 90 vezes. O que demonstra, portanto, que o sócio gerente da Autora estava familiarizado com o uso do serviço de pagamento em causa.

Está igualmente demonstrado que a Autora aderiu a uma autenticação forte (SAFe) logo em janeiro de 2013, portanto ainda antes de a adesão àquele sistema de autenticação se ter tornado obrigatória (o que aconteceu com a entrada em vigor do Regulamento Delegado (EU) 2018/389 da Comissão, de 27 de novembro de 2017), pelo que, à data dos factos, tinha conhecimento não só sobre o uso do serviço de homebanking mas também sobre o processo de autenticação das operações de pagamento e sobre o procedimento de autorização de transferências bancárias. Ora tal conhecimento permitia-lhe, desde logo, entender e processar as indicações que lhe foram dadas pelo Banco Réu, ao longo dos anos de 2021 e 2022, sobre as tentativas de phishing que estavam a ser perpetradas. Note-se que está demonstrado que numa mensagem datada de 25 de fevereiro de 2022, o Banco Réu alertou os seus clientes para possíveis tentativas de fraude ou burla, avisando-os para não acederem a links e nunca fornecerem por telefone os seus códigos de acesso aos canais se fossem contactados e que no dia 31 de agosto de 2022, portanto em data muito próxima à dos acontecimentos em causa nos autos, a Ré remeteu mensagem para o número de telemóvel associado à adesão da Autora e titulada pelo seu gerente, que continha o seguinte teor: “O Crédito Agrícola não telefona para cancelar transferências. É Burla/Fraude. Desligue e contacte-nos de imediato para o balcão ou Linha Directa». Para já não falar que também se demonstrou que a Ré mantém um banner de alerta na página de acesso / login ao CA Online Empresas que continha a seguinte mensagem “O Crédito Agrícola, alerta que NUNCA contacta telefonicamente para cancelar transferências, NEM solicita códigos de acesso aos serviços – são pessoais e intransmissíveis” e que a Ré publicou, ao longo dos anos de 2021 e 2022, alertas de fraude na sua página web, dos quais se destaca o alerta de uma tentativa de phishing, publicado em fevereiro de 2022 no qual fez constar: “o Crédito Agrícola:

Nunca envia links por e-mail, nem mensagens para o telemóvel com sugestões de downloads para reforço de segurança; Nunca solicita os códigos confidenciais do Cliente, utilizados nos canais CA Online ou CA Mobile – Password e SMS Token – os quais são apenas inseridos para confirmar operações financeiras, iniciadas pelos Clientes dentro de cada serviço e que deverão ser única e exclusivamente do conhecimento do Cliente”.

Tais alertas são claros e facilmente apreensíveis. Resulta, desde logos de tais alertas que o Banco Réu nunca contacta os seus clientes por via telefónica para cancelar transferências e que semelhante contacto telefónico, a ocorrer, é fraude/burla. Donde, o facto de ter sido contactado por telefone para o cancelamento de uma alegada transferência fraudulenta deveria ter feito soar campainhas de alertas no legal representante da Autora e levado o mesmo a suspender desde logo o processo. Não o fez, tendo prosseguido e seguido os passos solicitados pelo suposto “funcionário” da Ré, tornando acessível a password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema aquando da execução de cada uma das quatro (4) ordens de transferência em causa, mais uma vez sem ponderar os prévios alertas do Banco Réu no sentido de que nunca solicita os códigos confidenciais do Cliente utilizados nos canais CA Online.

Por fim, mas não menos relevante, está provado que as SMS com as OTP remetidas e recebidas pelo gerente da Autora, a 13 de setembro de 2023, seguem o modelo de todas as OTP de autorização de transferências remetidas pelo Crédito Agrícola, indicando (i) o seu propósito, (ii) a conta a debitar, (iii) o IBAN a creditar, (iv) o montante da transferência e, por fim, (v) o código de autorização. Ou seja, em cada um dos (sete) SMS recebidos pelo legal representante da Autora, no dia 13 de setembro de 2022, as OTP de autorização recebidas eram para a execução de transferências de fundos, sendo indicados nesses SMSs a conta a debitar e a conta a creditar. Donde ainda que porventura se admita que o sócio gerente da Autora estava a agir num contexto de pressão e urgência, aquele não podia ter deixado de notar que estava a ordenar transferências de fundos para terceiros e não uma ordem de cancelamento. Ainda assim não cancelou o processo, tendo ao invés prosseguido com a introdução das OTP de autorização que permitiram ao burlão aceder às contas para delas subtrair o valor que a autora/apelante reclama na presente ação.

Ora atendendo ao modo concreto como ocorreu a subtração dos fundos – foi o próprio sócio gerente da Autora que, apesar dos alertas enviados pelo Banco Réu, forneceu, no contexto de uma chamada telefónica, ao terceiro burlão, além do mais, a sua password integral ou as quatro combinações de três (3) dígitos da password aleatoriamente solicitados pelo sistema e foi também ele quem introduziu numa página web as OTP de autorização das transferências de fundos em causa nos autos, que recebeu através de SMS no seu telemóvel, operações que estavam perfeitamente identificadas nesses SMSs como operações de transferência (e não como operação de cancelamento) – bem como ao grau de conhecimento do sócio gerente da Autora quer relativamente ao uso do sistema de homebanking quer relativamente ao processo de autenticação das transferências bancárias através daquele serviço, conclui-se que o legal representante da Autora violou, de forma ostensiva, deveres de cuidado que qualquer um, nas suas circunstâncias, teria adotado. Donde a sentença recorrida não merece censura ao julgar que a Autora «atuou com inobservância das mais elementares regras de prudência e da não adoção do esforço e diligência minimamente exigíveis nas circunstâncias concretas, o que permite enquadrar a sua conduta no erro indesculpável que integra a negligência grosseira» e, nessa medida, cabe-lhe suportar a perda resultante da operação levada a cabo por terceiro.

Assim sendo, tem de improceder a apelação.

Sumário: (…)

III.

DECISÃO

Em face do exposto acordam em julgar a apelação improcedente e, em conformidade, mantêm a sentença proferida pela primeira instância que absolveu o Banco réu do pedido contra si formulado.

As custas na presente instância são da responsabilidade da autora/recorrente por ter decaído, sendo que a esse título apenas é devido o pagamento de custas de parte porquanto a apelante procedeu ao pagamento da taxa de justiça devida pelo impulso processual.

Notifique.

DN.

Évora, 17 de setembro de 2026

Cristina Dá Mesquita

Maria Domingas Simões

José Manuel Galo Tomé de Carvalho

__________________________________________________

[1] Processo n.º 6479/09.8TBBRG.G1.S1, em www.dgsi.pt.

[2] O presente decreto-lei vem transpor para a ordem jurídica interna a Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno (segunda Diretiva de Serviços de Pagamento), que procedeu a uma revisão do enquadramento jurídico europeu em matéria de serviços de pagamento.

[3] Que foi subsequentemente alterado e republicado com a denominação regime jurídico dos serviços de pagamento e da moeda eletrónica pelo Decreto-Lei n.º 242/2012, de 7 de novembro.

[4] Um instrumento de pagamento consiste num “dispositivo personalizado ou conjunto de procedimentos acordados entre o utilizador e o prestador de serviços de pagamento e a que o utilizador de serviços de pagamento recorra para emitir uma ordem de pagamento” (artigo 2.º, alínea z), do D/L n.º 317/2009, de 30.10 e artigo 2.º, alínea aa), do D/L n.º 91/2018).

[5] O artigo 111º, n.º 1, alínea a), do D/L n.º 91/2018, epigrafado Obrigações do prestador de serviços de pagamento associadas aos instrumentos de pagamento, estatui que «O prestador de serviços de pagamento que emita um instrumento de pagamento deve assegurar que as credenciais de segurança personalizadas só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior.

[6] A redação do artigo 103.º do D/L n.º 91/2018, de 12.11 é idêntica.

[7] Inocêncio Galvão Telles, Direito das Obrigações, 5ª Edição, Coimbra Editora, Lda., págs. 315 e segts..

[8] Henrique Sousa Antunes, Comentário ao Código Civil, Direito das Obrigações, UCP Editora, 2ª Reimpressão, 2024, pág. 303.

[9] Assim, Miguel Pestana Vasconcelos, Direito Bancário, 3ª Edição, Almedina, pág. 496.