Acesso remoto: quando o fraudador assume o controle da tela

Sua tela é a última fortaleza. Em muitos aspectos, é a extensão moderna do seu cérebro e da sua privacidade. Sobre esse vidro iluminado, você gerencia sua vida amorosa, o contato com seus filhos, sua saúde e, claro, toda a sua estrutura financeira. Quando permitimos que outra pessoa "entre" em nossa tela, não estamos apenas dando a ela acesso a arquivos; estamos entregando a chave mestra da nossa alma digital. Nos capítulos anteriores, tratamos de chamadas telefônicas e mensagens SMS sofisticadas, mas aqui, no capítulo 14, passamos para outro nível de intrusão: o acesso remoto. É a fase em que o fraudador para de pedir que você execute ações e começa a executá-las sozinho, diante de seus olhos perplexos.

O acesso remoto é o "cavalo de Troia" da era digital. Ele não explora uma vulnerabilidade nos servidores do banco ou uma falha nos sistemas da empresa de cartão de crédito. Ele explora a disposição humana mais básica: a confiança em uma figura de autoridade que oferece ajuda técnica. Neste capítulo, entenderemos como essa magia negra funciona, por que é tão eficaz e o que a lei diz sobre o momento em que você clicou no botão "Permitir" (Allow).

O cenário a seguir é um exemplo didático baseado em padrões de fraude comuns. Os personagens e eventos destinam-se apenas à ilustração.

O pesadelo de Yoram: quando o cursor começa a se mover sozinho

Yoram, um engenheiro mecânico aposentado de 67 anos de Givatayim, sempre foi considerado o "tecnológico" da turma. Ele é quem configura o roteador para todos, sabe usar os aplicativos do banco e nunca caiu em mensagens de phishing simples. Mas, em uma terça-feira, às 16h30, seu telefone tocou. No visor, apareceu o número conhecido da central de atendimento ao cliente do seu banco.

"Olá Yoram, aqui é Assaf, do departamento de segurança da informação do banco", disse a voz do outro lado da linha. A voz era autoritária, calma, mas com um toque de urgência profissional. "Estamos identificando agora uma tentativa de transferência de 14.500 NIS da sua conta para uma conta no exterior. Você realizou essa operação?"

O coração de Yoram disparou. "De jeito nenhum! Estou em casa, não toquei na conta."

"Imaginei", respondeu Assaf com uma calma tranquilizadora. "Os criminosos instalaram um vírus do tipo 'troiano' no seu computador. Para que possamos impedir a transferência e limpar a conta, preciso que você ligue o computador. Vou acompanhá-lo na instalação de um 'software de proteção temporária' que nos permitirá bloquear o atacante em tempo real."

Yoram correu para o escritório. "O que preciso fazer?"

"Entre no site chamado AnyDesk", instruiu Assaf. "É uma ferramenta de trabalho segura do banco. Baixe o arquivo pequeno e me diga qual número aparece na sua tela."

Yoram conhecia o nome AnyDesk. Ele sabia que era um software legítimo usado por técnicos. Isso o tranquilizou. Ele baixou o software, leu os nove dígitos e clicou em "Permitir" quando o alerta apareceu. Nesse momento, Assaf – ou quem quer que se passasse por ele – obteve controle total sobre o computador de Yoram.

"Agora, Yoram, não toque no mouse. Estou escaneando o sistema", disse Assaf. Yoram sentou-se diante da tela e observou o milagre. O cursor do mouse começou a se mover rapidamente. Janelas abriam e fechavam. Assaf entrou no site do banco e pediu a Yoram que digitasse sua senha "para que possamos entrar no ambiente seguro do banco". Yoram, que tinha certeza de que estava dentro de um incidente de segurança gerenciado, digitou a senha.

"Estou vendo a tentativa de invasão", disse Assaf dramaticamente. "Eles estão tentando sacar o dinheiro. Preciso transferir seu saldo para uma 'conta de proteção' temporária do banco até que o incidente termine. Você verá agora uma transferência de 50.000 NIS. Não se assuste, isso vai para uma conta de propriedade do banco em seu nome."

Yoram viu a tela de transferência ser preenchida. Ele viu os dados do beneficiário – um nome que não conhecia, mas Assaf explicou que era o "custodiante de segurança do banco". Ele recebeu um código por SMS e o leu para Assaf, porque "é assim que o sistema confirma que a operação é realizada pelo cliente e não pelo invasor".

Apenas uma hora após o término da ligação, quando o silêncio retornou ao escritório, Yoram sentiu que algo estava errado. Ele ligou para o número do banco – desta vez por iniciativa própria. A atendente real do departamento de segurança informou que não houve nenhuma tentativa de invasão anterior e que, há pouco tempo, foi realizada uma transferência de 50.000 NIS da conta dele.

Yoram sentiu náuseas. Ele não apenas perdeu seu dinheiro; ele permitiu uma invasão em seu espaço pessoal, observou o que acontecia e até forneceu os códigos necessários para concluir a operação.

Mecanismo da fraude: a psicologia por trás do controle remoto

A fraude de acesso remoto (Remote Access Scam) é uma das mais complexas, pois elimina a distância digital entre a vítima e o atacante. Ela se baseia em três pilares centrais: uso de ferramentas legítimas, criação de autoridade tecnológica e exploração da pressão psicológica.

Primeiro, os atacantes usam softwares como AnyDesk, TeamViewer ou Zoho. Estes não são softwares maliciosos (Malware) no sentido clássico. São ferramentas de trabalho totalmente legais usadas por muitos profissionais. Este fato permite que os fraudadores contornem a maioria dos antivírus, já que o software em si é "limpo". O problema não está no software, mas em quem está no controle.

Segundo, existe o elemento do "show". Quando o fraudador controla a tela, ele realiza ações que parecem extremamente complexas para o espectador leigo. Ele abre o "Prompt de Comando" (a tela preta com letras brancas), executa comandos inúteis como "tree" ou "dir", que exibem longas listas de arquivos na tela, e explica à vítima que esses são sinais de vírus. A vítima, que não entende de código, pode ficar impressionada com o "profissionalismo" e a gravidade aparente da situação.

A etapa crucial é a "distração visual". Enquanto o fraudador realiza a transferência de dinheiro no site do banco em uma janela, ele pode escurecer a tela da vítima ou abrir uma janela grande que oculta a atividade. Às vezes, ele convence a vítima de que as ações observadas fazem parte de um processo de segurança. O abismo entre o que o olho vê e o que o cérebro interpreta é o lugar onde o dinheiro pode desaparecer.

Por que isso funciona até em pessoas inteligentes?

Durante seus anos de trabalho profissional, o advogado Behlul encontrou muitas consultas nas quais surge a pergunta: "Como ele não viu que estavam transferindo dinheiro?". A resposta geralmente está ligada ao conceito de "cegueira atencional". Quando uma pessoa está em um estado de pressão devido a uma ameaça ao seu dinheiro, sua atenção se estreita. Ela pode ouvir as instruções da voz autoritária no telefone e ignorar os sinais de alerta. O fraudador atua como um mediador dentro do caos que ele mesmo criou.

Aspectos jurídicos: trata-se de uma "operação não autorizada"?

Aqui chegamos ao cerne da disputa jurídica que ocupa o sistema legal. A Lei de Serviços de Pagamento, de 2019, é o nosso ponto de partida. A lei estabelece que, em caso de "operação de pagamento devido ao uso indevido", a responsabilidade do cliente é muito limitada e, na maioria das vezes, a instituição financeira é obrigada a examinar o reembolso dos fundos.

No entanto, em casos de acesso remoto, às vezes ouvem-se argumentos de que não se trata de um "uso indevido" clássico, mas de uma situação em que o cliente autorizou a operação. A análise jurídica foca às vezes na questão da existência de "negligência grave" ou no grau de envolvimento do cliente.

Definição de "uso indevido" na Lei de Serviços de Pagamento

A lei define uso indevido como o uso de um meio de pagamento por quem não tem direito a ele. Quando um cliente fornece um código de acesso ou código SMS sob falsa pretensão, surge a pergunta se a ação é considerada uma autorização válida. A análise jurídica geral sugere que uma autorização obtida por fraude e em circunstâncias de engano extremo pode não ser considerada uma autorização válida, embora o exame das possibilidades de reembolso nesses casos possa ser complexo.

A questão da negligência grave

Ao examinar a isenção de responsabilidade, avalia-se se o cliente agiu com "negligência grave". Existe uma compreensão crescente sobre a sofisticação dos métodos de "engenharia social". A negligência grave é avaliada como um desprezo flagrante pelas regras básicas de cautela, mas quando são utilizadas tecnologias que enganam o cliente sobre a identidade do interlocutor, os limites podem ficar borrados.

Como parte do exame do caso, pode-se verificar se a instituição financeira detectou atividade incomum, como acesso a partir de um novo dispositivo ou endereço IP desconhecido. A questão jurídica pode focar no dever de cuidado da instituição e na pergunta se os sistemas de monitoramento deveriam ter interrompido a operação.

O dever da instituição financeira: não apenas um canal para transferência de fundos

Nesses casos, a discussão jurídica pode migrar para a avaliação do funcionamento da instituição financeira. As instituições financeiras possuem sistemas tecnológicos avançados para identificar padrões de fraude.

Da análise jurídica de casos semelhantes, surge a possibilidade de que a responsabilidade por prevenir fraudes não recaia apenas sobre os ombros do cliente. Se for realizada uma operação extremamente atípica para um novo beneficiário imediatamente após a alteração de configurações de segurança, é possível ver isso como um "sinal vermelho". Em casos em que a operação não foi interrompida para verificação, podem ser examinadas possibilidades jurídicas relacionadas à violação do dever de cuidado da instituição para com o cliente.

Existe uma abordagem jurídica que sugere que a instituição financeira é, por vezes, o "preventor eficiente de danos", já que possui as ferramentas e o conhecimento profissional para identificar e impedir o roubo em certas circunstâncias.

Sinais de alerta: quando tirar o computador da tomada?

Para reduzir o risco, é importante conhecer as linhas vermelhas. Aqui estão sinais de alerta baseados em muitos casos examinados ao longo dos anos:

• A iniciativa vem deles: As instituições financeiras não costumam iniciar o contato solicitando a instalação de softwares de controle remoto como parte dos procedimentos de segurança.
• Solicitação de senhas ou códigos: O pedido para ler códigos SMS ou digitar senhas para um "técnico" é um sinal de alerta significativo. O código SMS é, na maioria das vezes, a etapa final na autorização de uma operação.
• Pressão e urgência: O uso de termos que causam pânico e urgência visa frequentemente impedir o bom senso.
• Ocultação: O pedido para manter a confidencialidade da operação perante familiares ou funcionários da instituição financeira deve despertar suspeita.
• "Conta segura": O conceito de "conta de proteção" ou "conta segura" não é um conceito bancário padrão para proteger fundos em caso de suspeita de invasão.

O que fazer se houver suspeita de que alguém está controlando a tela?

Em situação de suspeita de acesso remoto, qualquer ação rápida pode ser significativa:

1. Desconexão imediata: Desligar o computador da internet (desligar o Wi-Fi ou remover o cabo de rede) para interromper a conexão remota.
2. Entrar em contato com o banco: Solicitação proativa à central de emergência do banco para congelar operações e bloquear o acesso digital.
3. Cancelamento de meios de pagamento: Cancelamento de cartões de crédito cujos detalhes podem ter sido expostos.
4. Verificação técnica: Evitar usar o dispositivo para operações sensíveis até que seja verificado e limpo por um profissional.
5. Documentação: Registro dos detalhes do incidente, horários e números de telefone envolvidos para fins de processamento posterior.

Aspecto jurídico: chances de reembolso

A possibilidade de reverter a situação depende das circunstâncias específicas de cada caso. Em situações em que surge uma demanda por reembolso, os seguintes componentes são avaliados:

1. Conformidade com as normas regulatórias

Avalia-se se a instituição financeira agiu de acordo com as diretrizes bancárias adequadas, especialmente no que diz respeito aos sistemas de monitoramento e gestão de risco em tempo real. A falha na identificação de uma operação atípica pode ser um fator jurídico.

2. Engenharia social como circunstância relevante

Existe uma abordagem jurídica que reconhece que fraudes sofisticadas que utilizam tecnologia de Spoofing (falsificação de número de chamada) podem criar uma falsa aparência que engana até mesmo uma pessoa cuidadosa. Nesses casos, pode-se avaliar se o nível de responsabilidade do cliente muda de acordo com as circunstâncias.

3. Rapidez da notificação

A Lei de Serviços de Pagamento enfatiza a importância da notificação sem demora. A rapidez da notificação é um fator significativo na avaliação da posição do cliente e na análise das chances de reembolso.

Em conclusão, o acesso remoto é um fenômeno que explora o desenvolvimento da tecnologia frente à consciência humana. A análise jurídica em Israel está em um processo constante de adaptação a essa realidade. Em caso de dano por tal fraude, podem ser examinadas possibilidades jurídicas para defender os direitos como ferramenta de enfrentamento, baseando-se em conhecimento profissional e experiência na área.

No próximo capítulo, trataremos do fenômeno das transferências bancárias em sequência, examinaremos como é realizado o esvaziamento rápido de contas e quais são as possibilidades de controle nesses casos.