A evolução da internet trouxe consigo um aumento expressivo nos crimes cibernéticos, tornando-se um desafio constante para o Direito Digital. Dentre os métodos mais comuns e perigosos, destacam-se o Phishing e a Engenharia Social, que exploram vulnerabilidades humanas para obter informações confidenciais e lesar vítimas. Este artigo abordará os aspectos legais, a jurisprudência e as medidas preventivas relacionadas a essas práticas, oferecendo um guia prático para advogados que atuam na área.
O Que São Phishing e Engenharia Social?
O Phishing, termo derivado do inglês "fishing" (pescar), é uma técnica que visa "pescar" informações confidenciais de usuários por meio de mensagens falsas, como e-mails, SMS, ligações telefônicas ou mensagens em redes sociais. Essas mensagens, geralmente disfarçadas de comunicações legítimas de instituições financeiras, empresas ou órgãos governamentais, induzem a vítima a clicar em links maliciosos, baixar arquivos infectados ou fornecer dados pessoais, como senhas, números de cartão de crédito e informações bancárias.
A Engenharia Social, por sua vez, é um conceito mais amplo que engloba o Phishing e outras técnicas que exploram a psicologia humana para manipular vítimas. Os criminosos utilizam táticas como persuasão, intimidação, urgência ou falsas promessas para convencer as vítimas a agir de forma prejudicial a si mesmas, como revelar informações confidenciais, realizar transferências financeiras ou conceder acesso a sistemas protegidos.
A Interação Entre Phishing e Engenharia Social
O Phishing é frequentemente utilizado como uma ferramenta de Engenharia Social. Ao criar mensagens falsas que parecem autênticas e urgentes, os criminosos exploram a confiança, a curiosidade ou o medo das vítimas, induzindo-as a tomar ações que não tomariam em situações normais. A Engenharia Social, por sua vez, potencializa o Phishing, tornando-o mais sofisticado e eficaz.
Fundamentação Legal: Crimes Cibernéticos no Brasil
O ordenamento jurídico brasileiro tem se adaptado para lidar com os crimes cibernéticos, incluindo o Phishing e a Engenharia Social. Diversas leis e dispositivos legais podem ser aplicados a essas práticas, dependendo da conduta e dos resultados obtidos.
O Código Penal e os Crimes Contra o Patrimônio
O Código Penal Brasileiro (Decreto-Lei nº 2.848/1940) prevê diversos crimes que podem ser aplicados a casos de Phishing e Engenharia Social, como estelionato (art. 171), furto mediante fraude (art. 155, § 4º, II) e extorsão (art. 158).
No caso do estelionato, o criminoso obtém vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil ou qualquer outro meio fraudulento. Essa tipificação é frequentemente utilizada em casos de Phishing, onde a vítima é induzida a fornecer informações confidenciais ou realizar transferências financeiras.
O furto mediante fraude ocorre quando o criminoso utiliza fraude para subtrair coisa alheia móvel, para si ou para outrem. Essa tipificação pode ser aplicada em casos de Phishing onde o criminoso obtém acesso a contas bancárias ou sistemas protegidos e realiza transferências financeiras sem o consentimento da vítima.
A extorsão, por sua vez, ocorre quando o criminoso constrange alguém, mediante violência ou grave ameaça, com o intuito de obter para si ou para outrem indevida vantagem econômica. Essa tipificação pode ser aplicada em casos de Engenharia Social onde o criminoso ameaça a vítima com a divulgação de informações confidenciais ou a prática de outros atos prejudiciais, caso a vítima não realize pagamentos ou atenda a outras exigências.
A Lei Carolina Dieckmann (Lei nº 12.737/2012)
A Lei Carolina Dieckmann (Lei nº 12.737/2012) introduziu alterações no Código Penal para tipificar crimes cibernéticos, como a invasão de dispositivo informático (art. 154-A) e a interrupção ou perturbação de serviço telemático ou de utilidade pública (art. 266).
A invasão de dispositivo informático ocorre quando o criminoso invade dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo, ou instalar vulnerabilidades para obter vantagem ilícita. Essa tipificação pode ser aplicada em casos de Phishing onde o criminoso obtém acesso a dispositivos informáticos da vítima por meio de links maliciosos ou arquivos infectados.
O Marco Civil da Internet (Lei nº 12.965/2014)
O Marco Civil da Internet (Lei nº 12.965/2014) estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil, incluindo a proteção aos dados pessoais e à privacidade dos usuários.
O art. 7º do Marco Civil da Internet garante aos usuários o direito à inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação. Esse dispositivo pode ser invocado em casos de Phishing e Engenharia Social onde há violação da privacidade ou dos dados pessoais da vítima.
A Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018)
A LGPD (Lei nº 13.709/2018) dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
A LGPD estabelece princípios, direitos e obrigações para o tratamento de dados pessoais, incluindo a obrigação de adotar medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito (art. 46).
Em casos de Phishing e Engenharia Social que envolvam o vazamento ou o tratamento inadequado de dados pessoais, a LGPD pode ser aplicada para responsabilizar as empresas ou instituições que não adotaram medidas de segurança adequadas para proteger os dados de seus clientes ou usuários.
Jurisprudência: A Visão dos Tribunais sobre Phishing e Engenharia Social
A jurisprudência brasileira tem se consolidado no sentido de reconhecer a gravidade dos crimes cibernéticos, incluindo o Phishing e a Engenharia Social, e a necessidade de responsabilizar os criminosos e as empresas que não adotam medidas de segurança adequadas.
O Superior Tribunal de Justiça (STJ)
O STJ tem proferido decisões importantes sobre a responsabilidade civil e criminal em casos de Phishing e Engenharia Social. Em diversos julgados, o STJ tem reconhecido a responsabilidade objetiva das instituições financeiras por fraudes praticadas por terceiros contra seus clientes, com base no Código de Defesa do Consumidor (CDC) e na Súmula 479 do STJ, que estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
No entanto, o STJ também tem reconhecido a culpa exclusiva da vítima em casos onde a fraude ocorre por negligência ou imprudência do cliente, como o fornecimento de senhas ou informações confidenciais a terceiros.
Os Tribunais de Justiça (TJs)
Os TJs têm julgado diversos casos de Phishing e Engenharia Social, aplicando as leis e a jurisprudência consolidada do STJ. Em muitos casos, os TJs têm condenado as instituições financeiras a indenizar as vítimas por danos materiais e morais, reconhecendo a falha na prestação de serviços e a responsabilidade objetiva pelas fraudes.
Dicas Práticas para Advogados
A atuação em casos de Phishing e Engenharia Social exige conhecimentos específicos sobre Direito Digital, crimes cibernéticos e as leis e jurisprudência aplicáveis. A seguir, algumas dicas práticas para advogados que atuam na área:
-
Investigação Detalhada: A investigação de casos de Phishing e Engenharia Social exige a coleta de provas robustas, como e-mails, mensagens, registros de ligações, extratos bancários e outras informações relevantes. É fundamental analisar cuidadosamente essas provas para identificar a autoria da fraude, os métodos utilizados e os danos causados à vítima.
-
Atuação Multidisciplinar: A atuação em casos de crimes cibernéticos frequentemente exige a colaboração de profissionais de outras áreas, como peritos em informática, especialistas em segurança da informação e investigadores particulares. É importante formar uma equipe multidisciplinar para garantir uma investigação completa e eficaz.
-
Conhecimento da Legislação e Jurisprudência: É fundamental estar atualizado sobre as leis e a jurisprudência aplicáveis aos crimes cibernéticos, incluindo o Código Penal, a Lei Carolina Dieckmann, o Marco Civil da Internet e a LGPD. Acompanhar as decisões do STJ e dos TJs é essencial para construir argumentos sólidos e defender os interesses dos clientes.
-
Orientação Preventiva: Além de atuar em casos de fraudes já ocorridas, os advogados podem oferecer orientação preventiva aos seus clientes, auxiliando-os a adotar medidas de segurança adequadas para proteger seus dados e sistemas contra Phishing e Engenharia Social.
Conclusão
O Phishing e a Engenharia Social representam desafios significativos para a segurança da informação e o Direito Digital. A legislação brasileira, em constante evolução, oferece instrumentos para combater essas práticas e proteger as vítimas. A jurisprudência, por sua vez, tem se consolidado no sentido de responsabilizar os criminosos e as empresas que não adotam medidas de segurança adequadas. Para os advogados, a atuação nessa área exige conhecimentos específicos, investigação detalhada e uma abordagem multidisciplinar, além da busca constante por atualização sobre as leis e a jurisprudência aplicáveis.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.