IA e Direito: Phishing e Engenharia Social

A ascensão vertiginosa da Inteligência Artificial (IA) tem transformado o cenário da cibersegurança, introduzindo novas camadas de complexidade aos crimes cibernéticos tradicionais. Entre essas ameaças, o phishing e a engenharia social, outrora caracterizados por e-mails mal redigidos e abordagens genéricas, ganharam contornos sofisticados, impulsionados pela capacidade da IA de gerar conteúdos altamente persuasivos e personalizados. Este artigo analisa as implicações jurídicas dessa evolução, explorando a interseção entre IA, phishing e engenharia social no contexto do Direito Digital brasileiro.

A Sofisticação do Phishing e da Engenharia Social Impulsionada pela IA

O phishing e a engenharia social são táticas de manipulação psicológica que visam induzir indivíduos a revelar informações confidenciais, como senhas, dados bancários e informações corporativas sensíveis. A IA revolucionou essas práticas de diversas maneiras.

Geração de Conteúdo Altamente Persuasivo

A IA generativa, como o ChatGPT, permite a criação de e-mails, mensagens de texto e até mesmo vozes sintéticas ( deepfakes) que imitam perfeitamente a linguagem e o tom de autoridades, colegas de trabalho ou instituições confiáveis. Essa capacidade de gerar conteúdos autênticos e convincentes dificulta a identificação de ataques de phishing e engenharia social, tornando-os mais eficazes e perigosos.

Personalização em Larga Escala

A IA permite a análise de grandes volumes de dados ( Big Data), incluindo informações públicas em redes sociais, vazamentos de dados e histórico de navegação, para criar perfis detalhados das vítimas. Com base nesses perfis, os ataques de phishing e engenharia social podem ser personalizados, utilizando informações específicas sobre a vítima para aumentar a credibilidade da abordagem.

Automação de Ataques

A IA automatiza diversas etapas de um ataque de phishing e engenharia social, desde a coleta de informações até a execução do ataque, permitindo que os criminosos lancem campanhas em larga escala com um mínimo de esforço. Essa automação reduz os custos e aumenta a eficiência dos ataques, tornando-os mais acessíveis a criminosos com menos conhecimento técnico.

Fundamentação Legal: O Combate aos Crimes Cibernéticos no Brasil

O ordenamento jurídico brasileiro tem se adaptado para lidar com os desafios impostos pela IA e pelos crimes cibernéticos, estabelecendo um arcabouço legal robusto para a proteção de dados e a punição de infrações.

Código Penal Brasileiro

O Código Penal Brasileiro (CPB) prevê diversos crimes que podem ser aplicados a casos de phishing e engenharia social, dependendo da conduta e do resultado do ataque:

• Estelionato (Art. 171): A obtenção de vantagem ilícita em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento. O phishing e a engenharia social frequentemente se enquadram nesse crime, especialmente quando resultam em perdas financeiras para a vítima.
• Invasão de Dispositivo Informático (Art. 154-A): A invasão de dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita. A obtenção de senhas por meio de phishing para acessar sistemas ou dispositivos pode configurar esse crime.
• Falsidade Ideológica (Art. 299): A omissão, em documento público ou particular, de declaração que dele devia constar, ou a inserção ou fazer inserir declaração falsa ou diversa da que devia ser escrita, com o fim de prejudicar direito, criar obrigação ou alterar a verdade sobre fato juridicamente relevante. A criação de identidades falsas ou a utilização de deepfakes para enganar vítimas pode ser enquadrada nesse crime.

Lei Geral de Proteção de Dados (LGPD)

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, estabelece regras para o tratamento de dados pessoais no Brasil, incluindo a coleta, o armazenamento, o uso e o compartilhamento de informações. A LGPD exige que as organizações adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito (Art. 46). O não cumprimento dessas obrigações pode resultar em sanções administrativas e civis para as organizações que sofrem vazamentos de dados devido a ataques de phishing ou engenharia social.

Marco Civil da Internet

O Marco Civil da Internet, Lei nº 12.965/2014, estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil. A lei prevê a responsabilidade civil de provedores de conexão e de aplicações de internet por danos decorrentes de conteúdo gerado por terceiros, caso não tomem as medidas necessárias para remover o conteúdo ilícito após notificação judicial (Art. 19). Essa previsão é relevante em casos de phishing e engenharia social que utilizam plataformas online para disseminar conteúdos fraudulentos.

Jurisprudência Relevante: O Entendimento dos Tribunais

A jurisprudência brasileira tem se consolidado no sentido de reconhecer a gravidade dos crimes cibernéticos e a necessidade de punição rigorosa. O Superior Tribunal de Justiça (STJ) tem firmado entendimento de que a fraude bancária realizada por meio da internet, como o phishing, configura o crime de furto qualificado mediante fraude (Art. 155, § 4º, II, do CPB), e não estelionato, uma vez que a vítima não entrega voluntariamente o bem, mas sim tem seus dados subtraídos para a realização da fraude (CC 166.456/SP, Rel. Ministro Joel Ilan Paciornik, Terceira Seção, julgado em 28/08/2019, DJe 02/09/2019).

Os Tribunais de Justiça (TJs) também têm proferido decisões que reconhecem a responsabilidade civil de instituições financeiras e empresas de comércio eletrônico por falhas de segurança que permitem a ocorrência de fraudes, incluindo ataques de phishing e engenharia social, com base no Código de Defesa do Consumidor (CDC) (Súmula 479 do STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias").

Dicas Práticas para Advogados na Era da IA e dos Crimes Cibernéticos

Para atuar de forma eficaz na defesa de vítimas de phishing e engenharia social e na assessoria a empresas na prevenção de ataques, os advogados devem adotar as seguintes práticas:

1. Atualização Constante: Mantenha-se atualizado sobre as novas tecnologias, táticas e tendências de crimes cibernéticos, especialmente no contexto da IA.
2. Educação e Conscientização: Promova programas de educação e conscientização sobre segurança da informação para clientes e colaboradores, enfatizando a importância de identificar e denunciar ataques de phishing e engenharia social.
3. Análise de Risco: Realize análises de risco regulares para identificar vulnerabilidades e implementar medidas de segurança adequadas, incluindo a adoção de tecnologias de detecção de ameaças e a implementação de políticas de segurança rigorosas.
4. Resposta a Incidentes: Desenvolva planos de resposta a incidentes para garantir uma ação rápida e eficaz em caso de ataques de phishing e engenharia social, minimizando os danos e preservando as evidências.
5. Cooperação e Compartilhamento de Informações: Colabore com autoridades policiais, instituições financeiras e outras organizações para compartilhar informações sobre ameaças e investigar crimes cibernéticos.
6. Assessoria na Conformidade com a LGPD: Auxilie as empresas na implementação de medidas de segurança e privacidade para garantir a conformidade com a LGPD e evitar sanções administrativas e civis em caso de vazamento de dados.

Conclusão

A integração da Inteligência Artificial em táticas de phishing e engenharia social representa um desafio significativo para a segurança da informação e para o sistema jurídico. A sofisticação e a personalização dos ataques exigem uma resposta proativa e multifacetada, que inclua a adoção de tecnologias de defesa avançadas, a conscientização dos usuários e a aplicação rigorosa da legislação vigente. Advogados e profissionais do Direito devem estar preparados para lidar com as complexidades desses crimes, buscando constantemente atualização e aprimoramento de suas habilidades para garantir a proteção de seus clientes e a eficácia do sistema de justiça. A evolução contínua da IA exigirá uma adaptação constante do arcabouço legal e da atuação profissional, garantindo que o Direito acompanhe as transformações tecnológicas e continue a promover a segurança e a justiça na era digital.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.