Segurança da conta de jogo: acessos, documentos e dinheiro em nosso nome

A conta de jogo é uma conta com dinheiro dentro

Uma conta num casino online com licença tem saldo, histórico de movimentos, um IBAN associado e cópias dos nossos documentos. Quem entrar nela pode ver dados pessoais, mudar definições e tentar mexer no saldo. Faz sentido protegê-la com o mesmo cuidado com que protegemos o acesso ao banco ou ao e-mail.

A lei já faz uma parte do trabalho. O RJO obriga o operador a confirmar quem somos antes de jogarmos e a transferir o saldo apenas para uma conta bancária cujo titular sejamos nós. Isso fecha muitas portas: mesmo que alguém entre na conta, o dinheiro não deve seguir para o IBAN de outra pessoa. Mas a lei não escolhe a nossa palavra-passe, não termina a sessão num computador emprestado nem distingue um site verdadeiro de uma cópia.

Este guia junta o que depende de nós e o que podemos esperar do operador. Os factos sobre os seis casinos do mapa têm duas origens: o registo do SRIJ, consultado em 09-10-2026, e aquilo que cada operador publica no seu site; os conselhos gerais de segurança são isso mesmo — conselhos, sem números nem estatísticas.

Uma pessoa, um titular: a conta e o IBAN em nosso nome

No sistema português, cada conta de jogador corresponde a uma pessoa identificada. Enquanto o operador não verificar a identidade e não confirmar que nada nos impede de jogar, o registo fica por concluir (RJO, art. 37.º). Para isso servem a Chave Móvel Digital e, em alternativa, o próprio Cartão de Cidadão; na impossibilidade de os usar, aceita-se uma cópia de documento com fotografia.

O dinheiro segue a mesma lógica: os pagamentos ao jogador vão para uma conta de pagamento de que ele seja titular (RJO, arts. 38.º e 40.º). Emprestar a conta a um familiar, usar o cartão de outra pessoa ou indicar o IBAN de um amigo não é um favor inofensivo — vai contra as regras da conta e contra a lei.

Nas páginas que a Selvagrid leu, cada operador explica esta regra à sua maneira:

• ESC Online: antes de pagar, quer ver um comprovativo do IBAN que não tenha mais de um ano.
• Betclic: antes do primeiro levantamento, exige que se demonstre que o IBAN está em nome do titular.
• Solverde: menciona, em respostas públicas a clientes, um documento que comprove ser o titular do IBAN.
• Luckia: comprovativo do IBAN antes do primeiro levantamento, lido através do índice de pesquisa.
• 888: documento com fotografia no primeiro levantamento e transferência só para um IBAN português.
• Retabet: verificação, uma única vez, da titularidade da conta bancária de destino, segundo a página de ajuda.

Sessão aberta em dispositivos partilhados

Uma sessão iniciada continua aberta até ser terminada ou até expirar. Num computador de trabalho, num portátil da família ou num tablet emprestado, isso quer dizer que a próxima pessoa a abrir o navegador pode encontrar a nossa conta de jogo pronta a usar.

Em dispositivos que não são só nossos, o mais prudente é entrar numa janela privada, recusar que o navegador guarde a palavra-passe e terminar a sessão no botão próprio do site, em vez de fechar apenas o separador. Em redes Wi-Fi públicas, convém evitar entrar na conta ou fazer pedidos de levantamento; se não houver alternativa, confirmar o endereço do site antes de escrever seja o que for.

Há ainda uma razão que vai além da segurança informática: a lei reserva o jogo a maiores de 18 anos. Uma sessão aberta num tablet usado por crianças ou adolescentes é uma porta para quem não pode jogar. Bloquear o ecrã do dispositivo e não guardar acessos automáticos são gestos simples que fecham essa porta.

Telemóvel e aplicações: só da loja oficial e do operador com licença

Muitos de nós entramos no casino pelo telemóvel. O navegador com o endereço .pt do operador é a forma mais direta de chegar ao site licenciado. Quando o operador tem aplicação, ela deve vir da loja oficial do sistema (Google Play ou App Store) ou de uma ligação publicada no próprio site .pt — nunca de um ficheiro enviado por mensagem ou descarregado de uma página desconhecida.

Antes de instalar, vale a pena confirmar três coisas: o programador corresponde à entidade ou ao grupo do operador; a aplicação é apresentada para Portugal; e as permissões pedidas fazem sentido para um casino. Uma aplicação de jogo não precisa de aceder aos nossos contactos nem às nossas mensagens.

Os nomes de marca repetem-se entre países. Para a Retabet, por exemplo, não confirmámos uma aplicação portuguesa; uma aplicação com o mesmo nome numa loja de outro país é um produto de outro mercado e não está coberta pela licença 034 do SRIJ. Para qualquer marca, o que conta é o que o operador licenciado indica no seu site .pt.

No próprio telemóvel, ajuda ter o bloqueio do ecrã ativo e o sistema atualizado. Se o aparelho for perdido ou roubado, a conta de jogo entra na lista de acessos a mudar, ao lado do banco e do e-mail.

Documentos de identificação: só dentro da conta, no site .pt

A verificação de identidade é obrigatória e, por isso mesmo, é o pretexto preferido de quem quer roubar documentos. A regra que nos protege é simples: o cartão de cidadão, o comprovativo de morada ou o comprovativo do IBAN enviam-se pela área da conta, depois de entrarmos no site .pt do operador pelo endereço que conferimos no registo do SRIJ.

Cada operador licenciado tem o seu próprio canal para receber documentos e não precisa de os pedir em redes sociais, em aplicações de mensagens ou por e-mail não solicitado. Se uma mensagem pedir a fotografia do documento «para desbloquear a conta», com uma ligação incluída, o caminho certo é ignorar a ligação, abrir o site do operador à parte e ver se há algum pedido pendente na própria conta. Quando o centro de ajuda do operador indicar outro canal para um documento, confirmamo-lo nessa página do site .pt e não na mensagem recebida.

Antes de enviar uma cópia, convém verificar que está legível, completa e dentro da validade, e não enviar mais do que foi pedido. O que o operador faz com esses dados, por quanto tempo os guarda e que direitos temos sobre eles é o tema do guia Dados pessoais e documentos.

Se alguém entrou na conta: o que fazer, por esta ordem

Os sinais costumam ser discretos: um e-mail de alteração de palavra-passe que não pedimos, um início de sessão num dispositivo desconhecido, movimentos que não reconhecemos ou um IBAN diferente nas definições. Perante qualquer um deles, vale mais agir do que esperar.

• Contactar o operador pelo canal que ele publica no site .pt — chat, telefone ou e-mail indicado nas páginas de ajuda — e explicar o que aconteceu. Só o operador vê os acessos e pode travar a conta; a Selvagrid não tem acesso a contas de jogo.
• Mudar os acessos: primeiro a palavra-passe do e-mail associado, depois a da conta de jogo; se existir a opção, terminar todas as sessões abertas.
• Pedir a suspensão da conta enquanto o caso é analisado. Vários operadores do mapa descrevem nas suas páginas a suspensão ou a pausa da conta por um período.
• Falar com o banco se houver movimentos estranhos no cartão ou na conta bancária.
• Guardar provas: capturas de ecrã das mensagens e dos movimentos, com datas, ajudam o operador e, se for caso disso, as autoridades.

Travões de jogo: proteção da conta e do orçamento

Costuma falar-se dos tetos para depósitos e apostas como ferramentas de jogo responsável, e com razão. Mas também protegem a conta: se alguém usar o nosso acesso, um teto de depósito baixo reduz o que pode ser movimentado. Segundo o SRIJ, no guia que dedica ao jogo responsável, qualquer site com licença portuguesa deixa o jogador fixar um teto para os depósitos.

Um pormenor importante é a espera. Na Betclic, quem sobe o teto espera 24 horas até ele valer; na ESC Online, o aumento do limite de depósitos fica igualmente em espera durante esse dia. Na prática, essa espera dá tempo para repensar uma decisão tomada a quente.

Do que lemos: a ESC Online fala de limites para depositar e para apostar, de suspensão da conta e de autoexclusão; a 888 refere um limite aos depósitos, a suspensão e a autoexclusão; a Luckia descreve tetos, suspensão e autoexclusão, lidos através do índice de pesquisa; o site do grupo Solverde explica a autoexclusão, mas os limites e a pausa do casino online ficaram por ler; na Retabet, não conseguimos abrir a secção de jogo responsável. Nestes dois últimos casos, a resposta é «não confirmámos», e não «não existe».

Quando o pedido vai para o SRIJ, a autoexclusão cobre todos os operadores com licença e dura, no mínimo, três meses (pode também não ter prazo); quem a revogar antes do fim espera um mês até a revogação produzir efeito. Em abril de 2026, o SRIJ disponibilizou um novo formulário de autoexclusão online. A pedida no site de um operador vale apenas para esse operador. Os contactos de apoio estão em Linhas de apoio.

Verificação de segurança em 6 passos

Uma rotina curta, para fazer ao criar a conta e repetir de vez em quando:

1. 1

   Conferir o endereço

   Comparar o site aberto com o website que o registo do SRIJ indica para a marca, incluindo a terminação .pt.

2. 2

   Confirmar quem responde

   Ler no registo, ou no mapa de casinos, o número da licença e a entidade exploradora que a detém.

3. 3

   Fechar a porta do acesso

   Palavra-passe longa e única, e-mail associado protegido e verificação em dois passos ativa quando existir.

4. 4

   Pôr a conta em nosso nome

   Documento de identificação e IBAN do próprio titular, enviados só pela área da conta no site .pt.

5. 5

   Definir travões

   Tetos de depósito e de apostas à medida do orçamento, escolhidos com a cabeça fria, fora de qualquer sessão de jogo.

6. 6

   Rever de tempos a tempos

   Sessões abertas noutros dispositivos, dados de contacto, IBAN registado e histórico de movimentos — qualquer surpresa é motivo para falar com o operador.