Have you been a victim of banking fraud? The bank must refund you immediately. Only then can it address who may be liable.

We are, without exaggeration, living in the age of scams. Many now have their own names, coined by the authorities in the warnings they issue. The “Hi Dad, Hi Mom” scam, where someone sends a WhatsApp message pretending to be a child who has changed their number and urgently needs money. The “fake official” scam, where the fraudster poses as a bank employee, a police officer, or a telecommunications provider’s representative. The MB WAY scam, often linked to sales on online platforms. The fake “parcel held” text message demanding payment of outstanding fees. The “fake loan” scam, which requires advance payment of supposed charges. And bogus debts supposedly owed to electricity providers, toll operators, or Portugal’s National Health Service. Almost all of us know someone—a parent, a grandmother, a friend—who has fallen victim to one of these schemes. Many of us have also come within a click of doing so ourselves.

It happens even to attentive, cautious people, because scammers are professionals and fake websites often look identical to genuine ones. Reports to the authorities of scams involving access to bank accounts, payment authorization, and the execution of banking transactions have been increasing. There is good reason to take action. When money leaves an account without the customer having authorized the transaction, the bank must return it—and quickly. The question of who was at fault comes later.

What the Court of Justice of the European Union decided

On October 15, 2026, the Court of Justice of the European Union ruled on a case that could just as easily have happened in Portugal. A customer of a Polish bank listed an item for sale online and received a link from a fake buyer to “confirm the sale.” The link opened a page identical to her bank’s website, where she entered her login credentials. The scammer transferred approximately €705 and confirmed the transaction using an SMS code obtained from the customer herself. The following day, the customer notified the bank and the police, but the bank refused to return the money, claiming that she had been grossly negligent.

The Court ruled in the customer’s favor. When a customer has not authorized a payment, the bank must refund the amount immediately and, at the latest, by the end of the business day following the day on which it was notified. It may withhold the refund only if it has reasonable grounds to suspect that the customer committed fraud and reports those grounds to the authorities in writing.

An allegation that the customer was negligent—even grossly negligent—does not justify withholding the money. If the bank considers the customer to have been at fault, it may seek to recover the amount later, but it must prove its case. If the customer does not repay voluntarily, the bank must bring court proceedings. The burden of litigation therefore shifts to the party better equipped to bear it.

What about Portugal?

This approach is already familiar to Portuguese law. The Legal Framework for Payment Services and Electronic Money already requires banks to provide an immediate refund and provides for increased interest, at the statutory rate plus 10 percentage points, where a bank fails to refund the money without justification. The law also makes clear that a record showing that the customer’s credentials or codes were used is not, on its own, sufficient to prove that the customer authorized the payment or acted with gross negligence.

Banks are also required to use what is known as strong customer authentication: verification through at least two independent elements, such as a password and a code sent to a mobile phone, whenever a customer accesses an account online or makes an electronic payment. In the case decided by the Court, that safeguard was in place but was circumvented because the victim was tricked into providing the code. Even so, this did not entitle the bank to refuse an immediate refund.

Portugal’s Supreme Court of Justice has also held that payment system risk generally rests with the bank, which must prove fraud, intentional misconduct, or gross negligence on the customer’s part. Falling victim to phishing does not automatically mean that a person was negligent, and each case must be assessed in light of its particular circumstances. The European ruling reinforces this approach and is binding on Portuguese courts.

An important distinction must, however, be made. This protection applies to transactions that the customer did not authorize, such as when a scammer uses stolen credentials to move money out of an account. When customers make the transfer themselves after being persuaded by a scammer, as typically happens in the “Hi Dad, Hi Mom” scam, the situation is different and recovering the money requires another strategy.

What to do, step by step

When reporting fraud, customers are not asking their bank for a favor. They are exercising a right arising from their contractual relationship, based on the account-opening agreement and the payment services agreement, which impose obligations on both parties. The customer must notify the bank without delay, and the bank must return the money. The order and timing of the response therefore matter—a great deal.

IMMEDIATELY
Block access
Contact the bank’s helpline and request that the card, app, or online access be blocked.

STRAIGHT AFTERWARD
File a criminal complaint or report
Report the facts to the police or the Public Prosecutor’s Office. In cases of basic fraud, criminal proceedings require a formal complaint, which must be filed within six months. Where the loss exceeds 50 Portuguese units of account, the offense constitutes aggravated fraud and is prosecutable without a formal complaint, so reporting it is sufficient.

THE SAME DAY
Demand a refund
Notify the bank in writing, retaining proof of notification, that you did not authorize the transaction, and demand repayment. The law requires notification without undue delay and, in any event, no later than 13 months after the debit date.

BY THE END OF THE NEXT BUSINESS DAY
The bank must return the money
This is the maximum deadline for the bank to restore the amount to the account. If it fails to do so without valid justification, interest at the increased rate begins to accrue in the customer’s favor.

IF THE BANK DOES NOT REFUND THE MONEY
Submit a complaint
Submit a complaint through Portugal’s Electronic Complaints Book, identifying the bank concerned, and to Banco de Portugal, the banking sector’s regulator and supervisor.

IF THE REFUSAL CONTINUES
Take the matter to court
Bring the appropriate civil action against the bank, based on the contract and payment services law. This is a separate action, because the bank cannot be sued within the criminal proceedings against the scammer.

In short, victims of banking scams should not treat the bank’s first refusal as its final answer. The law and the courts support those who act promptly and properly. A timely, well-founded notification, supported by a criminal complaint or report, can make the difference between recovering the money within days and waiting for months.

This article is for general information only and does not constitute legal advice or replace legal advice tailored to the particular circumstances of each case.