Sumário: 1- Introdução. 2- Definições.2.1 – Definição de phishing.2.2- Definição de pharming. 2.3- Definição de DNS poisoning. 3- Inviabilidade de se responsabilizar o provedor de acesso à Internet ou de hospedagem. 4- Inviabilidade de se responsabilizar os provedores de serviços de e-mail.5- Insuficiência das leis que criminalizam a conduta do ofensor direto (phisher).6. Teoria da responsabilidade dos bancos prestadores de serviços de Internetbanking.a) argumento de ordem econômica.. b) incentivo ao desenvolvimento de ferramentas tecnológicas. c) argumento da possibilidade técnica de evitar a fraude 6.1. Adequação do novo padrão de responsabilidade à legislação existente. 6.1.1 Responsabilidade contratual regida pelo CDC. 7. Soluções tecnológicas empregadas pelos bancos para evitar fraudes eletrônicas. a) Firewall. b) Criptografia de dados (SSL). c) Teclado Virtual. d) Certificado Digital. 8. Proporção entre adoção de práticas seguras pelos bancos e a diminuição do grau de responsabilização. 9. Conclusões
1- Introdução
O desenvolvimento do comércio eletrônico está intimamente relacionado com as medidas que os legisladores e juízes adotam em respeito a certos temas que assomam no ciberespaço. O incremento dos negócios e a evolução da própria rede dependem de como os legisladores e as cortes judiciárias se posicionam em relação a conflitos que surgem a cada dia. Um exemplo de decisão judicial que certamente tem impacto no mundo dos negócios na rede mundial é aquela relacionada com a responsabilidade civil dos bancos por ataques de phishing [01]. Dependendo de como os tribunais e juízes passem a decidir essa questão, responsabilizando (ou não) os bancos pela reparação dos seus clientes, vítimas desse tipo de fraude tecnológica, pode haver alteração no modelo de negócios hoje estabelecido e disseminado na rede. Não é difícil, por exemplo, prever uma diminuição da utilização dos serviços bancários on line, se os clientes de banco perderem a certeza quanto a uma reparação completa dos danos financeiros decorrentes do phishing. Por outro lado, os bancos certamente procederão a modificações no modelo de relacionamento bancário na Internet, se a Justiça se inclinar a responsabilizá-los de forma objetiva por toda e qualquer fraude financeira.
Como se vê, o tema da responsabilidade dos bancos no ressarcimento dos prejuízos causados pelos ataques de phishing é realmente delicado, e de interesse de todo o conjunto da sociedade, em razão da disseminação dos serviços de Internetbanking [02], já tão incorporados ao nosso dia-a-dia e sem os quais não mais seria possível o atendimento bancário de forma eficiente. Sem o uso das tecnologias da informação, sobretudo a utilização da rede mundial de comunicação (Internet), na prestação dos serviços bancários, é certo dizer que seria impraticável o fornecimento desses serviços de forma massificada, conveniente e eficiente, tal qual são prestados atualmente. O maior desafio nessa área, no entanto, é superar os problemas de segurança e definir responsabilidades pelas conseqüências de ataques e invasões de sistemas informáticos. Definir, com precisão, as responsabilidades dos prestadores dos serviços bancários on line ajuda a impulsionar o desenvolvimento desse mercado, já que elimina as incertezas quanto a quem deve e em quais circunstâncias arcar com os prejuízos do phishing e outras práticas tecnológicas fraudulentas.
Acontece que estabelecer esquemas de atribuiçãio de responsabilidade civil nesse contexto não é tão fácil, dada a intricada cadeia de papéis e funções que cada um dos atores da comunicação informática assume. Para propiciar a comunicação na prestação do serviço de Internetbanking, exige-se algum tipo de envolvimento ou participação do provedor de Internet, do fabricante do programa gerenciador de e-mail, do fabricante dos softwares e soluções de segurança, do fabricante do software de navegação, da instituição bancária, da pessoa que desenvolve e dá manutenção ao sistema (de Internetbanking) e do próprio internauta (cliente do banco). É justamente a participação e o envolvimento desses diversos atores da comunicação informática que faz com que se torne difícil definir qual deles e em quais circunstâncias pode ser responsabilizado a reparar os prejuízos financeiros resultantes de fraudes tecnológicas como o phishing. Isso faz com que esse tema se torne pouco explorado e dos mais complexos.
A complexidade e a importância do tema nos instigou a incursionar na matéria, para colaborar na tarefa de definir esquemas de imputação de responsabilidade aos prestadores de serviços bancários on line. O aumento gradativo dos ataques de phishing nos últimos anos [03], e a apreensão que isso tem causado ao comércio eletrônico, também nos estimulou a escolher esse tema como foco de nossa investigação científica. A falta de trabalhos doutrinários sobre a matéria da mesma forma funcionou como fator decisivo na escolha da definição do campo de pesquisa. Pelo menos até onde sabemos, não há registro na doutrina brasileira de qualquer trabalho sobre a questão da responsabilidade civil dos bancos pelas conseqüências dos ataques de phishing. Mesmo na doutrina alienígena (de acordo com pesquisa que fizemos na Internet) [04], não encontramos referência a qualquer artigo ou ensaio científico sobre esse assunto. Alguns autores estrangeiros escreveram sobre a possibilidade da responsabilização dos intermediários da comunicação eletrônica (como os provedores de acesso à Internet) [05], mas não especificamente sobre a responsabilidade civil dos bancos diante desse tipo de fraude financeira.
No nosso trabalho, procuraremos identificar o esquema de imputação de responsabilidade - se baseado na culpa, fundado no dever objetivo de reparar o dano (responsabilidade objetiva) ou apoiado na noção de vício (do serviço) - que melhor se enquadra aos bancos, em face dessas situações (ataques fraudulentos). Em outro trecho, mostraremos a inviabilidade de se responsabilizar o provedor de acesso à Internet pelos prejuízos decorrentes do phishing.
É importante esclarecer que só iremos tratar da responsabilização do banco pelos tipos primitivos (e mais conhecido) de phishing, aqueles que pressupõem sempre o logro ao destinatário de uma mensagem eletrônica (e-mail), que o faz repassar suas informações pessoais (bancárias) ao criminoso (fraudador), seja clicando num link (que descarrega o vírus), abrindo arquivo anexo (que contém o vírus) ou inserindo manualmente informações em um site falso. Em ambas essas situações, o indivíduo recebe previamente a mensagem de e-mail enganosa, induzindo-o a abrir o arquivo anexo contendo vírus ou a clicar em um link que descarrega o vírus ou o leva para um site falso.
Esses são os casos mais comuns de "identity theft" (furto de identidade, traduzido para o português) cometidos com uso de comunicações eletrônicas, em que o primeiro estágio da fraude consiste no logro do usuário do serviço de Internetbanking, levando-o a pensar que está fornecendo suas informações pessoais à instituição confiável, com quem mantém relação contratual, quando na verdade está repassando seus dados bancários ao phisher (agente do crime de phishing). O destinatário da mensagem também é enganado quando é induzido a clicar sobre um link (no corpo da própria mensagem) ou abrir arquivo anexado a ela, ação que descarrega um programa malicioso (malware) que se apodera de seu computador e repassa as informações nele contidas ao phisher, ou intercepta as comunicações feitas pelo terminal infectado com os sites de bancos [06], capturando informações como número de contas e senhas.
Esses tipos de fraudes, portanto, compreendem sempre esse elemento, da burla, do ato ou efeito de enganar a pessoa para que forneça seus dados pessoais. Isso ocorre tanto quando um indivíduo preenche um formulário em um spoofing site (site falso estruturado com a aparência do site legítimo) ou quando abre um arquivo que contém vírus, o qual é ativado e, apropriando-se de sua máquina (da vítima), funciona repassando os dados contidos no computador para o fraudador (hacker ou criminoso cibernético). Em ambas essas situações, o indivíduo recebe previamente a mensagem de e-mail enganosa, induzindo-o a abrir o arquivo anexo contendo vírus ou clicar em um link que descarrega o vírus ou o leva para um site falso.
Faremos uma exceção para incluir em nosso trabalho um único tipo de fraude que não pressupõe necessariamente, no seu iter criminoso, a remessa prévia de uma mensagem de e-mail para o sujeito vítima da trama. Trata-se da fraude conhecida como pharming, procedimento que redireciona os programas de navegação (browsers) dos internautas para sites falsos. Podemos explicar a razão dessa inclusão. Mesmo essa espécie pressupõe um ataque dirigido à pessoa do usuário (cliente) dos serviços bancários, para captura de informações. Mesmo aí ainda há o elemento do logro ao usuário, o qual, apesar de não ter recebido uma mensagem prévia de e-mail [07], teve seu browser direcionado para um site falso. O engano corresponde a encarar o site falso como legítimo, e por conta desse engano, entrega suas informações pessoais ao criminoso, pensando estar diante do operador do site legítimo. O alvo primário do criminoso, mesmo nesse caso de pharming, é sempre o cliente bancário (ou seu computador pessoal).
Uma modalidade de pharming não será enquadrada dentre os tipos de fraude objeto do nosso estudo, já que nessa hipótese o provedor de acesso à Internet é o juridicamente responsável (na órbita civil) pela reparação de seus efeitos. É o chamado DNS poisoning (algo próximo a "evenenamento do DNS"). Nessa modalidade também ocorre, como nos demais casos, uma ação destinada a coletar informações pessoais da vítima (para depois serem utilizadas na fase seguinte do crime). Com o servidor DNS do provedor "envenenado", e alteradas as configurações de um determinado endereço web, o internauta é direcionado para um site falso mesmo teclando o endereço correto. Nessa situação, no entanto, o ataque inicial não foi direcionado ao computador da vítima (cliente do banco), mas sim ao sistema informático do seu provedor de Internet, que pode, por essa razão, ser tido como responsável pelas conseqüências do ataque, por falha de segurança do sistema [08].
Em suma, o nosso trabalho abrange a investigação sobre responsabilização dos bancos em todos aqueles casos em que a fraude tem como alvo primário o cliente bancário. É o seu computador que é infectado por um vírus ou é a própria vítima que, induzida por uma mensagem fraudulenta, repassa as informações para o fraudador. Não se trata de invasão ou ataque direto ao próprio sistema informático do banco, nem tampouco ao do provedor de Internet ou exploração de alguma falha no software de navegação (ou qualquer outro). Todas as modalidades de phishing a serem estudadas como pressuposto para a responsabilização do banco (fornecedor do serviço de Internetbanking), têm no elemento do logro ao usuário ou infecção do seu computador a origem do procedimento criminoso. São casos em que o alvo primário da fraude é o cliente do banco, de quem (ou de seu computador) são capturadas as informações pessoais para a consecução das etapas seguintes do esquema criminoso. O sistema informático do banco não sofre propriamente um ataque em que são exploradas suas vulnerabilidades ou falhas de segurança, pois o criminoso nele ingressa como se fosse o legítimo usuário (já que se apropria previamente das informações pessoais e sigilosas deste). O acesso se dá pelos meios permitidos pelo próprio sistema, através da digitação da senha e informações do usuário.
É em face desse tipo de fraude ou ação criminosa que examinaremos a responsabilidade do banco, pelos prejuízos econômicos ao patrimônio das vítimas (clientes). Nesse esforço, investigamos se o fundamento da responsabilidade deve ser o do risco de sua atividade (responsabilidade objetiva), se deve responder com base no aspecto subjetivo de sua conduta (culpa) ou se lhe deve ser reconhecida uma responsabilidade especial (fundada na noção de vício do serviço). Uma vez definida a noção de vício como fundamento da responsabilização, procuramos apontar quais situações específicas podem denotar a imprestabilidade do serviço on line (vício de inadequação) capaz de justificar o dever do banco de reparar o dano sofrido por seus clientes.
Estamos certos de que, com esse escorço que ora apresentamos, contribuímos de forma decisiva para a evolução da teoria da responsabilidade civil em nosso país, já que, conforme antes referimos, ainda não existe na doutrina brasileira qualquer trabalho sobre a matéria objeto de nossa investigação.
2- Definições
Antes de passar a examinar propriamente as teorias da responsabilidade civil, salientamos a importância da compreensão dos fenômenos ocorrentes no campo das comunicações informáticas, sem a qual não seria possível o desenvolvimento de raciocínio jurídico para identificar os sujeitos responsáveis pela reparação dos prejuízos econômicos. É preciso, antes de mais nada, saber diferenciar cada um dos aspectos técnicos das diversas modalidades de golpes e truques informáticos com objetivo de furto de informações pessoais, para identificar quem, entre os diversos atores da comunicação informática, pode ser responsabilizado pelos danos causados à vítima (o sujeito que tem os dados pessoais furtados).
A primeira etapa do phishing consiste na apropriação de informações de outra pessoa (como nome, informações de conta e senha bancária), para serem utilizadas fraudulentamente nas fases seguintes da trama (transferências de numerários de contas correntes e aplicações financeiras). É um ato de "impersonificação" (numa incorporação para o português do termo inglês impersonation), consistente na apropriação de informações pessoais do cliente do banco com finalidades ilegais. O criminoso se apodera da informação de outra pessoa, sem o conhecimento desta, que é enganada de forma fraudulenta. Nesse sentido, o phishing pode ser enquadrado na rubrica do "furto de identidade" (identity theft), que é a expressão utilizada para denominar de forma genérica o crime de maior tendência ao crescimento nos tempos atuais [09]. O furto de informações pessoais pode ser realizado com as mais diversas finalidades, tanto para imigração ilegal, espionagem, terrorismo ou mesmo para fins aparentemente menos ilícitos, como o marketing e publicidade dirigida. As estratégias para a apropriação dos dados pessoais também podem variar, com a utilização de meios tecnológicos ou não. Os dados podem ser obtidos em sites e bancos de dados informáticos ou em qualquer arquivo físico ou fichário. Mas consiste sempre numa exploração dos meios de identificação de uma pessoa para finalidades ilegais. O phishing, como espécie de furto de identidade, apenas tem a peculiaridade de ser realizado em ambientes de redes informáticas (Internet) e objetivar o furto de informações específicas (dados bancários), para finalidades também específicas (transferência de numerário existente em contas bancárias) [10]. Não deixa, no entanto, de ser uma exploração ilegal de informações pessoais alheias e, como tal, forma específica do crime de "furto de identidade".
Como diversos esquemas inteligentes são empregados para burlar a vítima do phishing (e se apoderar de suas informações bancárias) - que pode ter seu computador invadido, ser levada a ingressar em site falseado através de link em mensagem eletrônica recebida ou ter seu programa navegador infectado (levando-a a um endereço diverso do site legítimo, mesmo sem receber qualquer tipo de e-mail) -, é imprescindível a visualização e conhecimento das diversas técnicas fraudulentas, para compreender a participação do prestador dos serviços bancários on line e dos demais atores da comunicação informática e, dessa forma, poder apontar em quais situações uma determinada conduta justifica a imposição de responsabilização.
Relacionando e compreendendo os mecanismos e objetos necessários à realização de cada ação ou operação fraudulenta, podemos definir responsabilidades na órbita civil, daí a importância da compreensão de conceitos fundamentais como phishing, pharming e DNS poisoning, que são fornecidos nos itens seguintes.
2.1 – Definição de phishing
A palavra phishing, uma corruptela do verbo inglês fishing (pescar, em português), é utilizada para designar alguns tipos de condutas fraudulentas que são cometidas na rede. São muito comuns as mensagens eletrônicas (e-mails) onde são feitas propagandas de pechinchas comerciais, são solicitadas renovações de cadastro, são feitos convites para visitação a sites pornográficos, são ofertadas gratuitamente soluções técnicas para vírus, entre outras. Não sabe a pessoa que recebe tais tipos de e-mail que as mensagens são falsas, enviadas por alguém disposto a aplicar um golpe [11]. Geralmente, o destinatário é convidado a clicar sobre um link que aparece no corpo da mensagem ou abrir um arquivo anexo e, ao fazê-lo, aciona o download de um programa malicioso que vai penetrar no seu computador e capturar informações sensíveis. Também ocorre de, ao clicar no link sugerido, ser enviado a um site falso, com as mesmas características de apresentação gráfica de um site popularmente conhecido (a exemplo do site um grande banco ou um site de comércio eletrônico) [12]. Ao chegar no site falseado, a pessoa é instada a inserir informações pessoais (número de cartão de crédito ou de conta bancária) e, uma vez de posse dessas informações, o fraudador as utiliza para fazer saques e movimentações bancárias ou outras operações (em nome da vítima).
A categoria delituosa em questão consiste exatamente nisso: em "pescar" ou "fisgar" qualquer incauto ou pessoa desavisada, não acostumada com esse tipo de fraude, servindo a mensagem de e-mail como uma isca, uma forma de atrair a vítima para o site falso (onde será perpetrado o golpe, de furto de suas informações pessoais). O phishing, portanto, é uma modalidade de spam, em que a mensagem além de indesejada é também fraudulenta (scam).
2.2- Definição de pharming
Recentemente tem sido registrada uma nova modalidade de ataque phishing que não é perpetrada através do envio de mensagens de e-mail. Trata-se de um tipo de golpe que redireciona os programas de navegação (browsers) dos internautas para sites falsos. A essa nova categoria de crime tem sido dado o nome de pharming.
O pharming opera pelo mesmo princípio do phishing, ou seja, fazendo os internautas pensarem que estão acessando um site legítimo, quando na verdade não estão. Mas ao contrário do phishing, o qual uma pessoa mais atenta pode evitar simplesmente não respondendo ao e-mail fraudulento, o pharming é praticamente impossível de ser detectado por um usuário comum da Internet, que não tenha maiores conhecimentos técnicos. Nesse novo tipo de fraude, os agentes criminosos se valem da disseminação de softwares maliciosos que alteram o funcionamento do programa de navegação (browser) da vítima. Quando esta tenta acessar um site de um banco, por exemplo, o navegador infectado a redireciona para o spoof site (o site falso com as mesmas características gráficas do site verdadeiro). No site falseado, então, ocorre a coleta das informações privadas e sensíveis da vítima, tais como números de cartões de crédito, contas bancárias e senhas.
No crime de pharming, como se nota, a vítima não recebe um e-mail fraudulento como passo inicial da execução, nem precisa clicar num link para ser levada ao site "clonado". Uma vez que seu computador esteja infectado pelo vírus, mesmo teclando o endereço (URL) correto do site que pretende acessar, o navegador a leva diretamente para site falseado. O pharming, portanto, é a nova geração do ataque de phishing, apenas sem o uso da "isca" (o e-mail com a mensagem enganosa). O vírus reescreve arquivos do PC que são utilizados para converter os endereços de Internet (URL´s) em números que formam os endereços IP (números decifráveis pelo computador). Assim, um computador com esses arquivos comprometidos, leva o internauta para o site falso, mesmo que este digite corretamente o endereço do site intencionado.
2.3- Definição de DNS poisoning
A mais preocupante forma de pharming é conhecida como "DNS poisoning" (traduzindo para o português, seria algo como "envenenamento do DNS"), por possibilitar um ataque em larga escala. Nessa modalidade, o ataque é dirigido a um servidor DNS [13], e não a um computador de um internauta isoladamente.
Como se sabe, o sistema DNS (Domain Name System) funciona como uma espécie de diretório de endereços da Internet. Toda navegação na Internet (no seu canal gráfico, a World Wide Web) tem que passar por um servidor DNS. Quando um internauta digita um determinado endereço web na barra de seu navegador (www.ibdi.org.br, por exemplo), o seu computador pessoal se comunica com o servidor do seu provedor local de acesso à Internet, em busca do número IP que corresponde àquele determinado endereço. Se o endereço procurado estiver armazenado no cache do servidor do provedor local, então ele mesmo direciona o programa de navegação para o endereço almejado ou, caso contrário, transfere a requisição para servidor de um provedor maior, e assim por diante, até encontrar aquele que reconheça o endereço procurado e faça a correspondência [14].
Um hacker pode invadir o servidor DNS de um provedor de acesso à Internet e alterar endereços arquivados na memória cache. Se o servidor é "envenenado", alteradas as configurações relativas a um determinado endereço web, internautas podem ser direcionados para um site falso mesmo teclando o endereço (URL) [15] correto. O ataque, assim praticado, produz resultados em muito maior escala do que a outra forma de pharming, em que os "pharmers" vitimam uma pessoa de cada vez, infectando os seus PC´s com vírus. O ataque ao servidor DNS de um provedor de Internet pode atingir inúmeros usuários de uma única vez.
O fato é que, se de um ataque a um servidor DNS resultar prejuízo efetivo ao usuário do provedor, este responde pela reparação completa. Se o usuário tiver suas informações colhidas no site falso, a que foi levado em função da alteração nas configurações do servidor DNS do seu provedor de acesso à Internet, pode pedir reparação dos danos que venham a resultar do uso indevido dessas informações. Se o "phisher" fizer uso do número de sua conta bancária e senha e sacar valores depositados em sua conta, é o provedor que teve o sistema invadido que deve reparar os prejuízos. A situação aqui é diferente da modalidade simples de ataque de phishing, onde a segurança dos serviços do provedor não é comprometida.
Definimos esse tipo de ataque específico (DNS poisoning) apenas para diferenciá-lo do pharming típico, que é direcionado contra o computador pessoal da vítima, usuário de provedor de Internet e de sistema de on line banking. A responsabilidade pelas conseqüências e danos materiais (ao usuário) resultantes de uma investida inicial ao sistema informático do provedor de Internet, é do próprio provedor, porque aí fica caracterizada uma falha de segurança na prestação do serviço, indicadora da culpa como fundamento da responsabilização [16]. Como são fenômenos parecidos, cuja diferenciação envolve um certo grau de conhecimento técnico, entendemos conveniente a apresentação antecipada dessas definições, de forma a propiciar ao leitor melhores condições para compreender as diversas situações de investidas fraudulentas contra sistemas informáticos e, dessa maneira, poder acompanhar o raciocínio lógico-jurídico em torno da teorização da responsabilidade pela reparação dos danos [17].
