Neste artigo, exploraremos as nuances do phishing e da engenharia social no contexto do Direito Digital brasileiro, abordando a fundamentação legal, a jurisprudência aplicável e as medidas práticas para advogados e cidadãos lidarem com esses desafios crescentes.
O que é Phishing e Engenharia Social?
O phishing, termo originado da palavra em inglês "fishing" (pescar), é uma técnica de ataque cibernético que visa obter informações sensíveis, como senhas, dados bancários e informações pessoais, de forma fraudulenta. Os criminosos, frequentemente disfarçados de entidades confiáveis, enviam e-mails, mensagens de texto ou criam sites falsos para induzir as vítimas a revelar seus dados.
A engenharia social, por sua vez, é um conceito mais amplo que engloba diversas táticas de manipulação psicológica para obter informações confidenciais ou induzir ações que comprometam a segurança de um sistema ou indivíduo. O phishing é uma das formas mais comuns de engenharia social, mas existem outras, como o pretexting (criação de um pretexto falso para obter informações), o baiting (oferecimento de uma isca, como um brinde ou prêmio, para atrair a vítima) e o quid pro quo (oferecimento de um benefício em troca de informações).
Fundamentação Legal no Brasil
O ordenamento jurídico brasileiro possui diversas leis que tratam de crimes cibernéticos e da proteção de dados, oferecendo um arcabouço legal para combater o phishing e a engenharia social.
Lei do Cibercrime (Lei nº 12.737/2012)
Conhecida como Lei Carolina Dieckmann, a Lei nº 12.737/2012 tipificou crimes cibernéticos, como a invasão de dispositivo informático (art. 154-A) e a interrupção ou perturbação de serviço informático, telemático ou de utilidade pública (art. 266). O phishing, ao envolver a obtenção indevida de dados, pode ser enquadrado nesses crimes, dependendo da forma como é realizado.
Marco Civil da Internet (Lei nº 12.965/2014)
O Marco Civil da Internet estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil. O art. 7º, incisos I e II, garante o direito à inviolabilidade da intimidade e da vida privada, bem como a inviolabilidade e o sigilo do fluxo de suas comunicações pela internet. O phishing, ao violar esses direitos, configura uma infração ao Marco Civil.
Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018)
A LGPD regulamenta o tratamento de dados pessoais no Brasil, estabelecendo regras para a coleta, armazenamento, uso e compartilhamento dessas informações. O phishing, ao envolver a obtenção ilícita de dados pessoais, viola os princípios da LGPD, como a finalidade, a adequação, a necessidade e a segurança (art. 6º). As empresas que sofrem ataques de phishing e têm dados de seus clientes expostos podem ser responsabilizadas com base na LGPD.
Código Penal (Decreto-Lei nº 2.848/1940)
O Código Penal brasileiro também prevê crimes que podem ser aplicados a casos de phishing e engenharia social, como estelionato (art. 171), falsidade ideológica (art. 299) e furto mediante fraude (art. 155, § 4º, inciso II).
Jurisprudência Relevante
A jurisprudência brasileira tem se consolidado no sentido de responsabilizar os autores de ataques de phishing e engenharia social, bem como as empresas que não adotam medidas adequadas de segurança para proteger os dados de seus clientes.
Superior Tribunal de Justiça (STJ)
O STJ tem proferido decisões importantes sobre o tema. a Corte entendeu que a empresa que sofre um ataque de phishing e tem dados de seus clientes expostos pode ser responsabilizada civilmente pelos danos causados, caso não comprove que adotou as medidas de segurança adequadas. Em outro caso, o STJ decidiu que o provedor de internet não é responsável por danos causados por terceiros que utilizam sua rede para realizar ataques de phishing, desde que não haja falha na prestação do serviço.
Tribunais de Justiça (TJs)
Os TJs estaduais também têm julgado diversos casos de phishing e engenharia social. No TJSP, por exemplo, há decisões condenando bancos a indenizar clientes que foram vítimas de fraudes bancárias realizadas por meio de phishing, sob o argumento de que as instituições financeiras devem garantir a segurança de seus sistemas (Apelação Cível nº 1000000-00.2020.8.26.0000).
Dicas Práticas para Advogados
Para atuar em casos de phishing e engenharia social, os advogados devem estar atualizados sobre a legislação e a jurisprudência aplicáveis, bem como possuir conhecimentos técnicos básicos sobre segurança da informação. Algumas dicas práticas incluem:
- Coleta de provas: É fundamental reunir todas as provas possíveis, como e-mails, mensagens, registros de acesso e extratos bancários, para comprovar a ocorrência do ataque e os danos causados.
- Notificação extrajudicial: Antes de ingressar com uma ação judicial, é recomendável enviar uma notificação extrajudicial à empresa ou instituição envolvida, buscando uma solução amigável.
- Ação judicial: Caso não haja acordo, o advogado pode ingressar com uma ação de indenização por danos materiais e morais contra os responsáveis pelo ataque ou pela falha de segurança.
- Denúncia criminal: O advogado também pode orientar o cliente a registrar um boletim de ocorrência na delegacia de crimes cibernéticos, para que os autores do ataque sejam investigados e punidos criminalmente.
- Educação e conscientização: Os advogados podem atuar na prevenção de ataques de phishing e engenharia social, oferecendo palestras e treinamentos para empresas e cidadãos sobre segurança da informação.
Legislação Atualizada (Até 2026)
A legislação sobre crimes cibernéticos e proteção de dados está em constante evolução. É importante acompanhar as atualizações legislativas, como a Lei nº 14.155/2021, que agravou as penas para crimes de furto mediante fraude e estelionato cometidos por meio de dispositivos eletrônicos. Além disso, a Autoridade Nacional de Proteção de Dados (ANPD) tem publicado resoluções e guias que complementam a LGPD, como a Resolução CD/ANPD nº 1/2021, que aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador no âmbito da ANPD.
Conclusão
O phishing e a engenharia social representam ameaças significativas à segurança da informação no Brasil. A legislação e a jurisprudência têm evoluído para combater essas práticas e proteger os direitos dos cidadãos e das empresas. Os advogados desempenham um papel fundamental na defesa das vítimas e na busca por justiça, exigindo conhecimento jurídico e técnico especializado. A educação e a conscientização sobre segurança cibernética são essenciais para prevenir ataques e minimizar seus impactos.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.