Se, anos atrás, uma pessoa se passar por outra para abrir uma conta bancária no nome dela demandava certa perícia manual para fraudar documentos físicos, hoje, com o uso de sistemas de automação sofisticados e de inteligência artificial (IA) generativa, esse crime não só se tornou corriqueiro como, também, mais difícil de ser detectado.
Com acesso facilitado a dados sensíveis de milhares de pessoas aleatórias, seja por meio de vazamentos, de informações compartilhadas pelas próprias vítimas ou de golpes de "phishing", criminosos conseguem se municiar para criar contas falsas e fazer transações fraudulentas, como o esquema detalhado pelo Diário do Nordeste nesta segunda-feira (27), que se valeu de uma técnica conhecida como "deepfake" para manipular fotos de pessoas reais e burlar sistemas de biometria facial de bancos digitais para abrir contas.
E, se é difícil identificar e investigar, ainda mais custoso é atualizar a legislação penal com a agilidade necessária para acompanhar a evolução tecnológica do crime cibernético. O que ocorre, atualmente, segundo fontes ouvidas pela reportagem, é a utilização de uma "colcha de retalhos" legislativa para tipificar as condutas ilícitas e aplicar penalidades.
"É uma disputa que se intensifica dos dois lados. A mesma inteligência artificial usada para fraudar também está sendo desenvolvida para detectar essas fraudes. Uma corrida armamentista e tecnológica que não vai parar tão cedo. Não dá para depender só da lei, embora ela seja extremamente necessária. Depende, também, de exigir dos bancos a autenticação em camadas como padrão mínimo, e não como diferencial, depende da fiscalização efetiva do Banco Central sobre a robustez desses sistemas e depende da educação digital da população. A própria imagem, hoje, é um dado biométrico tão sensível quanto uma senha, e precisa ser tratada com esse cuidado", observa Iago Capistrano, 2º vice-presidente da Comissão de Direito Digital, Inovação, Inteligência Artificial e Startups da Ordem dos Advogados do Brasil no Ceará (OAB-CE).
Legislação não acompanha avanço tecnológico
Segundo Capistrano, o Brasil ainda enquadra o crime cibernético em tipos penais pensados em outro contexto tecnológico. "Crimes de estelionato, por exemplo, o [artigo] 271 do Código Penal continua servindo, porque o núcleo desse crime é induzir alguém a erro para obter vantagem indevida, seja a fraude com documento falso físico ou com foto manipulada por IA. O problema é que tudo isso foi pensado num contexto que não o de inteligência artificial, e é aplicado por analogia. Ninguém ainda parou para escrever um tipo penal pensado em fraude por 'deepfake'", diferencia o especialista.
O problema também é que, sem lei específica, dificulta a produção de prova pericial e a caracterização da autoria do crime. "Até mesmo na hora de definir a Justiça competente para julgar aquele caso, porque esses grupos costumam agir contra vários bancos ao mesmo tempo e em estados diferentes. Onde fica a competência jurídica?", provoca Capistrano.
O Projeto de Lei (PL) 2338/2023, que trata do Marco Legal da Inteligência Artificial, ainda está em análise na Câmara dos Deputados. Se aprovado, estabelecerá direitos, deveres, princípios, mecanismos de governança e normas de transparência civil e penal para o uso e desenvolvimento da IA no País. Mas, por ora, permanece no papel.
Na prática, a gente segue com essa 'colcha de retalhos' legislativa, tentando aplicar o que já tem de outros contextos para dar conta de um problema que efetivamente evolui muito mais rápido do que o processo legislativo".
Outro ponto que depende de legislação específica e que chega a dificultar a investigação e a punição de crimes cibernéticos diz respeito à morosidade na obtenção de informações. "Alguns casos demandam ordem judicial, aí vai ter toda a demora de ajuizar uma representação para obter alguma informação. E a prova do crime cibernético é muito volátil, se esvai rapidamente. Não poder requisitar diretamente as informações acaba tornando muito morosa a investigação", ressalta o titular da Delegacia de Repressão aos Crimes Cibernéticos (DRCC) da Polícia Civil do Ceará (PC-CE), Alan Araújo.
dos brasileiros revelaram que estão preocupados com golpes, fraudes e crimes digitais com o uso de inteligência artificial, segundo dados da Federação Brasileira de Bancos (Febraban) divulgados neste mês.
Segundo o delegado da DRCC, empresas que possuem sede no Brasil e que se submetem ao Marco Civil da Internet e à Lei Geral de Proteção de Dados (LGPD) tendem a responder de maneira mais célere à Polícia, mas a dificuldade maior ainda tem sido com companhias que não têm sede no País. "A gente tem que utilizar outros caminhos, acordos de cooperação internacional, demora muito mais para conseguir essa informação, apesar de ser possível", observa o delegado.
.webp?f=4x3&h=360&w=480&$p$f$h$w=7ad9aaa)
Prevenção depende de lei, segurança, fiscalização e cultura
Para o advogado Iago Capistrano, especialista em direito digital, a prevenção contra os crimes cibernéticos depende ainda da atuação em outras frentes, além da legislação.
"Depende de as empresas investirem em segurança da informação, depende da Agência Nacional de Proteção de Dados (ANPD) ter uma estrutura de fiscalização proporcional ao volume de denúncias que recebe, porque, hoje, o órgão ainda opera com a capacidade muito aquém do tamanho do problema. E, também, depende de uma cultura de proteção de dados nas próprias pessoas, porque muitos vazamentos começam com falhas simples, senhas fracas, dados expostos sem necessidade", destaca o jurista.
A LGPD até dá um arcabouço jurídico, mas a segurança de dado é uma combinação de lei, tecnologia, comportamento e punição. Sozinha, nenhuma dessas frentes resolve o problema que a gente tem".
'A gente tem que se especializar junto com eles'
No que se refere à investigação, o delegado da DRCC, Alan Araújo, ressalta que a Polícia deve constantemente se especializar se quiser estar à frente dos criminosos.
"Os fraudadores, a cada dia, vão se especializando, vai surgindo uma nova tecnologia e eles vão usar. Vai surgindo coisa nova que não é feita para aquele crime, mas eles conseguem inverter a ordem. A gente tem que se especializar também, junto com eles", reconhece a autoridade policial.
Além das ferramentas de IA generativa, como a "deepfake", assistentes de criação de texto também têm dificultado cada vez mais o combate aos estelionatos digitais. "Antigamente, você conseguia identificar um estelionatário por erros ortográficos. Hoje, o pessoal coloca em uma inteligência artificial e conserta a ortografia para dar uma credibilidade maior ao texto da engenharia social que vai usar. Querendo ou não, dificulta", diz o delegado.
Teoria do risco e a responsabilidade dos bancos no controle das 'deepfakes'
Embora, muitas vezes, sejam as vítimas dos golpes bancários, as instituições financeiras não podem se eximir da responsabilidade sobre a segurança digital das suas plataformas. Isso porque o Código de Defesa do Consumidor prevê, no artigo 14, que o "fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos".
Segundo o advogado Iago Capistrano, esse entendimento simboliza que "não é preciso provar culpa do banco, basta provar o dano e o defeito no serviço", o que decorre da chamada "teoria do risco do empreendimento", que é a "ideia de que, quem lucra com aquela atividade, também assume o risco inerente a ela".
Portanto, as instituições só podem se eximir de responsabilidade se conseguirem comprovar a culpa exclusiva da vítima. Porém, quando o golpe aplicado explora uma fragilidade do próprio sistema de segurança da empresa, como no caso de uma biometria facial forjada, é possível indicar que a falha esteja na escolha tecnológica do banco e não no ato da vítima.
"Isso tem sido discutido há algum tempo entre quem trabalha com segurança da informação. O grande problema aqui é a prova de vida. Os sistemas mais simples pedem que a pessoa simplesmente pisque ou vire o rosto. E, hoje, já existe 'deepfake' capaz de simular esse tipo de movimento em tempo real, inclusive em chamada de vídeo ao vivo, não só em foto estática. Então, o sistema que confia só no reconhecimento facial, na verdade, está desatualizado frente à tecnologia que o próprio golpe usa", frisa o advogado.
Nesse sentido, uma segurança fortificada só seria possível com a combinação de várias camadas de segurança, como:
- Prova de vida com desafio aleatório imprevisível;
- Análise dos metadados do dispositivo que está sendo utilizado;
- Geolocalização compatível com o histórico do usuário;
- Análise comportamental;
- Autenticação multifator.
Essas estratégias se tornam ainda mais importantes, segundo Iago, quando a operação é considerada de alto risco, como uma abertura de conta ou transferência alta, por exemplo. "O reconhecimento facial, sozinho, é uma ferramenta de conveniência para o usuário, porém, isoladamente, não garante a segurança necessária frente à velocidade com que a fraude evoluiu diante de tantos mecanismos tecnológicos", acrescenta o especialista.
O titular da DRCC, Alan Araújo, concorda com a necessidade de reforço na segurança das plataformas bancárias digitais. "Os bancos têm que se adaptar. Acaba tendo que haver uma parceria entre as instituições que têm interesse que diminua esse tipo de ocorrência e a Polícia, que tem que ir evoluindo, também, as formas de investigação", reconhece.
Como se prevenir de golpes bancários digitais?
Leis devem ser aperfeiçoadas, empresas devem ser cobradas a ter sistemas seguros, o Banco Central deve fiscalizar, mas também cabe às pessoas aprender a cuidar dos próprios dados para evitar cair em golpes ou fornecer munição para fraudadores.
Medidas simples, como uso de senhas fortes e controle de exposição em redes sociais, já contribuem para minimizar os riscos. Veja as principais dicas:
- Controle a exposição nas redes sociais: evite publicar fotos e vídeos em alta resolução em perfis abertos para não dar a "matéria-prima" que criminosos utilizam para treinar as inteligências artificiais que criam as "deepfakes";
- Monitore o seu CPF no Banco Central: acompanhe as movimentações no seu CPF pela ferramenta "Registrato" do BC, que permite verificar contas e relacionamentos bancários abertos em seu nome;
- Bloqueie novas contas: ainda no sistema do Banco Central, na ferramenta "BC Protege +", bloqueie a abertura de novas contas em seu nome sem sua permissão;
- Desconfie de canais não oficiais: nenhum banco entra em contato via WhatsApp para pedir validações faciais ou dados sensíveis;
- Recuse chamadas de vídeo de supostas centrais bancárias: essas chamadas costumam servir apenas para criminosos captarem sua imagem e sua voz;
- Não instale aplicativos de terceiros: nenhum funcionário de banco pedirá que você instale aplicativos diferentes dos canais oficiais da instituição;
- Fique atento ao "phishing": evite clicar em links desconhecidos recebidos por SMS ou WhatsApp;
- Tenha múltiplas camadas de segurança: quando possível, sempre escolha a alternativa de entrar na conta por diferentes autenticações;
- Verifique a segurança do seu banco: prefira instituições que utilizem tecnologias de prova de vida robustas e que façam testes periódicos de resiliência cibernética;
- Em caso de fraude, faça B.O: se descobrir que sua imagem foi usada para abrir uma conta indevidamente, registre um Boletim de Ocorrência e notifique o banco por escrito.
Uma pesquisa da Febraban divulgada no ano passado apontou que, em 2024, o golpe do WhatsApp, o golpe das falsas vendas e o golpe da central bancária falsa foram os três crimes mais comunicados pelos clientes às instituições financeiras.
Em seguida, a publicação citou o "phishing" e o golpe do falso investimento no ranking dos cinco mais aplicados em ambiente digital, no País, naquele ano.
