Capítulo 102: Vazamentos de dados e proteção da identidade digital — A fortaleza invadida por dentro

No velho mundo, se você quisesse roubar a identidade de alguém, teria que se esforçar. Teria que invadir sua casa, vasculhar suas gavetas, encontrar seu documento de identidade físico ou, talvez, interceptar sua correspondência em uma manhã chuvosa. Hoje, a nossa identidade não é um pedaço de plástico no bolso de trás da carteira. Ela é um mosaico infinito de fragmentos digitais espalhados por vários servidores ao redor do mundo: o número de telefone no site de compras, o endereço residencial no aplicativo de entregas, os detalhes do cartão de crédito no site de hotéis e nossos hábitos de consumo nas redes sociais. Cada um desses fragmentos é uma porta, e cada uma dessas portas pode ser aberta.

Vazamentos de dados não são mais um evento raro que acontece aos "outros". Eles se tornaram o pulso da era digital. Toda vez que uma empresa, grande ou pequena, é invadida, parte da nossa essência é despejada na Dark Web, o mercado negro de informações. Neste capítulo, baseado na vasta experiência profissional acumulada ao longo dos anos, mergulharemos nas profundezas do significado da perda de controle sobre informações pessoais, entenderemos como um pequeno vazamento pode se transformar em uma bola de neve e examinaremos as ferramentas jurídicas e tecnológicas que podem estar à nossa disposição quando nossas paredes digitais começam a desmoronar.

A sombra longa dos dados: quando você se torna o alvo

O erro mais comum é o pensamento de que "não tenho nada a esconder". Mas a fraude não trata de segredos de Estado; ela trata de acessibilidade. Um vazamento de dados não é apenas a exposição de uma senha. É a exposição do contexto de sua vida. Quando um invasor sabe onde seus filhos estudam (por uma invasão ao sistema de uma prefeitura), que tipo de veículo você possui (por uma invasão ao banco de dados de uma oficina) e qual é o seu número de documento (por uma invasão a um site de seguros), ele não precisa de uma chave para sua casa. Ele simplesmente pode tentar se passar por você.

Nossa identidade digital é um ativo valioso, mas também é vulnerável. Ao contrário de um cartão de crédito que pode ser cancelado, o número do documento ou a data de nascimento não podem ser alterados. Uma vez que essas informações vazaram, elas podem permanecer expostas permanentemente. O jogo jurídico e tecnológico muda aqui: muitas vezes, não se trata apenas de analisar opções para a recuperação de fundos, mas de uma tentativa de retomar o controle sobre as informações pessoais.

O cenário a seguir é um exemplo educacional baseado em padrões comuns de fraude. Os personagens e os eventos destinam-se apenas à ilustração.

A história de Alon: quando a fortaleza pessoal se transforma em armadilha

Alon era um arquiteto na casa dos quarenta anos, um homem que se considerava tecnologicamente consciente. Ele usava a autenticação de dois fatores (MFA) no banco, alterava senhas ocasionalmente e nunca clicava em links suspeitos via SMS. Mas, neste cenário educacional, o perigo não veio da linha de frente, mas do quintal — de um evento ocorrido três anos antes.

Tudo começou em uma terça-feira rotineira. Alon estava em seu escritório, quando seu telefone vibrou. Uma mensagem de e-mail do "serviço de atendimento ao cliente da Apple" informava que uma compra de um iPhone havia sido realizada em Madri. Alon pensou que se tratava de uma tentativa de phishing e não abriu o e-mail.

Uma hora depois, seu telefone perdeu o sinal. Dez minutos depois, ele recebeu outro e-mail em seu endereço de e-mail secundário: "Sua senha bancária foi alterada com sucesso".

Alon tentou acessar o aplicativo do banco, mas o acesso foi bloqueado. Ele tentou ligar para o atendimento ao cliente, mas o telefone ainda estava sem sinal. Ele entrou em contato com a central de segurança do banco a partir de um telefone fixo. A atendente pediu para verificar sua identidade através do número do documento, data de nascimento e o nome de solteira de sua mãe — detalhes que Alon forneceu. "Vejo aqui que foi realizada uma transferência de uma quantia significativa há dez minutos para uma conta no exterior", foi-lhe dito. "A operação foi aprovada através do código SMS enviado para você." Alon percebeu que não recebeu nenhum SMS porque seu telefone foi desativado.

Neste cenário, descobriu-se que, três anos antes, um site de pedidos onde ele comprou apenas uma vez sofreu um vazamento. O vazamento incluía seu nome, número de telefone, endereço de e-mail e a resposta para a pergunta de segurança (nome de solteira de sua mãe). Os invasores cruzaram as informações com outro vazamento, maior, que incluía seu número de documento.

Com essas informações, o invasor ligou para a operadora de celular, passando-se por Alon, e solicitou a ativação de um novo SIM sob a alegação de que o anterior havia sido roubado. A operadora de celular, após realizar um processo de identificação baseado nas informações vazadas, desconectou o chip de Alon e ativou o chip do invasor. Esta é a fraude de "SIM Swapping".

A partir desse momento, o invasor controlou a linha telefônica, solicitou uma "recuperação de senha" ao banco, recebeu o código SMS no telefone em sua posse e acessou a conta. A fortaleza de Alon foi invadida não por causa de um erro momentâneo seu, mas porque suas informações pessoais tornaram-se acessíveis a terceiros.

Análise da falha: como um vazamento de dados se torna uma arma

O caso descrito demonstra a transformação de um vazamento de dados de uma violação de privacidade para uma fraude ativa. Na base do fenômeno, há um conceito que pode ser definido como engenharia social baseada em dados. Os invasores usam informações verificadas para gerar autoridade perante centrais de atendimento e perante a vítima.

Em Israel, a Lei de Proteção à Privacidade, de 1981, estabelece obrigações claras para os detentores de bancos de dados. O artigo 17 da lei estabelece a responsabilidade pela segurança dos dados contidos no banco. Quando dados vazam, surge a questão jurídica se a entidade que detém os dados tomou medidas razoáveis para protegê-los. Em certos casos, pode surgir uma responsabilidade civil perante as vítimas.

No entanto, provar o nexo de causalidade é um desafio jurídico. Em cenários de vazamento de dados, deve-se examinar se o dano decorreu diretamente daquele vazamento específico, especialmente em um mundo onde os dados podem vazar de múltiplas fontes. Esta é uma questão jurídica complexa que requer um exame individual das circunstâncias do caso.

Além disso, deve-se examinar o aspecto da responsabilidade da instituição financeira e da operadora de telecomunicações. Em cenários semelhantes, avalia-se o nível de habilidade e o cuidado exigidos dessas empresas ao realizar procedimentos de identificação, especialmente em uma era em que detalhes de identificação tradicionais já não são considerados totalmente confidenciais.

A anatomia de um vazamento: o caminho dos dados

Quando um banco de dados é invadido, ele geralmente passa por um processo de processamento:

• A invasão inicial: exploração de uma falha técnica e extração de dados.
• Comércio de dados: o banco de dados pode ser vendido a intermediários em fóruns dedicados.
• Cruzamento (Aggregation): combinação de diferentes bancos de dados para criar um perfil completo sobre a vítima.
• Uso direcionado: os dados são usados para realizar fraudes específicas, tais como fraudes em bancos ou roubo de identidade.

O direito à privacidade versus o dever de segurança: o aspecto jurídico

Em Israel, ao lado da supervisão da Autoridade de Proteção à Privacidade, existem várias âncoras jurídicas para examinar esses casos:

1. Lei de Proteção à Privacidade e regulamentos de segurança de dados

Os Regulamentos de Proteção à Privacidade (Segurança de Dados) de 2017 estabelecem padrões para a forma como as empresas devem proteger os dados. O descumprimento desses regulamentos pode servir de base para uma alegação de negligência ou violação de um dever estatutário, o que permite examinar um pedido de indenização por violação da privacidade e danos consequentes.

2. Lei de Serviços de Pagamento, de 2019

Esta lei regula a responsabilidade em caso de "uso indevido" de um meio de pagamento. No caso de uma operação não autorizada pelo cliente, pode-se examinar o dever de restituição da instituição financeira, a menos que sejam comprovadas circunstâncias excepcionais especificadas na lei. A análise jurídica concentra-se na questão de se o cliente agiu de forma que lhe atribua responsabilidade ou se permaneceu como vítima de uma fraude.

3. Possibilidade de ações coletivas

Em casos de vazamentos de dados em massa, pode-se examinar a via da ação coletiva. Ao longo dos anos, foram formulados vários acordos em tais ações, cuja importância reside na criação de um efeito dissuasório e no incentivo a padrões mais elevados de segurança de dados no mercado.

Proteção da identidade digital: a nova fortaleza

A análise de muitos casos mostra que é recomendável alterar a percepção de proteção de "passiva" para "gestão de identidade ativa":

Gestão de senhas e autenticação de vários fatores inteligente

Pode-se considerar o uso de aplicativos de autenticação ou chaves de segurança físicas, que não dependem de código SMS, e, assim, podem reduzir o risco decorrente de fraudes de SIM Swapping.

Monitoramento ativo de vazamentos

Existem serviços que permitem verificar se os detalhes de contato apareceram em vazamentos conhecidos. A conscientização sobre um vazamento permite tomar medidas preventivas, como o uso de senhas exclusivas para cada serviço e atenção a mensagens suspeitas.

Sinais de alerta (Red Flags)

O roubo de identidade pode começar com pistas sutis:

• Mensagens de confirmação inexplicáveis: recebimento de um código para alteração de senha não solicitado.
• Mudanças no desempenho do dispositivo: perda súbita de sinal sem explicação técnica.
• Alertas de login a partir de um novo dispositivo: notificações de contas de e-mail ou redes sociais sobre um login desconhecido.
• Pequenas cobranças desconhecidas: movimentos em quantias insignificantes que podem representar um "teste de pulso" do meio de pagamento.

O que pode ser feito (Plano de Ação)

Em caso de suspeita de vazamento de dados ou roubo de identidade, pode-se considerar os seguintes passos:

1. Contato com instituições financeiras: exame da possibilidade de bloqueio de contas ou substituição de meios de pagamento, exigindo identificação reforçada.
2. Atualização de senhas raiz: substituição de senhas das contas de e-mail principais vinculadas a outros serviços.
3. Relato às autoridades: a apresentação de uma queixa à polícia pode ser um documento importante em tratativas futuras com várias entidades.
4. Verificação de dados de crédito: contato com empresas de dados de crédito para verificar a abertura de processos ou novos empréstimos.
5. Alerta a contatos: atualização do seu círculo próximo para evitar o uso da sua identidade para fraudar outros.

Aspecto jurídico: resumo de opções e direitos

No plano jurídico, pode-se examinar as seguintes opções:

Contra a entidade da qual os dados vazaram: pode-se examinar causas de pedir com base na Lei de Proteção à Privacidade e na Portaria de Danos, com referência a danos patrimoniais e extrapatrimoniais.

Contra a instituição financeira: exame da responsabilidade de acordo com a Lei de Serviços de Pagamento. Como regra geral, o ônus da prova de negligência grave do cliente cabe à instituição financeira.

Contra as operadoras de telecomunicações: em certos casos, pode-se examinar a razoabilidade dos procedimentos de identificação realizados pelos representantes de atendimento.

Em suma, os vazamentos de dados são uma realidade existente na era digital, mas é possível examinar formas de lidar com eles. A combinação de vigilância, resposta rápida e exame dos direitos jurídicos pode ajudar a proteger a identidade digital e os bens pessoais.