Capítulo 11: A ligação do banco: quando o interlocutor sabe tudo sobre você

Bem-vindo à segunda parte do livro. Se na primeira parte tratamos dos fundamentos — da psicologia do golpista, de seus métodos de caça e de como ele tece suas teias digitais — aqui mergulhamos no coração das trevas. Entramos no santuário, no lugar onde a maioria de nós se sente mais segura, mas onde, na verdade, estamos mais expostos: o nosso relacionamento com o banco e com as administradoras de cartão de crédito.

Para o cidadão comum, o banco não é apenas uma instituição financeira. É a fortaleza que protege o fruto de toda uma vida de trabalho. É o lugar onde o salário é depositado, onde o dinheiro é poupado para a casa dos filhos e onde é gerida a previdência que nos permitirá envelhecer com dignidade. A reputação dos bancos é construída sobre confiança, sigilo bancário e uma sensação de segurança absoluta. É exatamente nessa confiança que os golpistas mais sofisticados montam seus golpes. Nesta parte, analisaremos como a personificação de uma autoridade se torna a arma mais letal no arsenal das fraudes financeiras cibernéticas.

O cenário: a fortaleza que caiu por dentro

O cenário a seguir é um exemplo didático baseado em padrões de fraude comuns. Os personagens e os eventos servem apenas para fins ilustrativos.

Era uma tarde de terça-feira, daquele tipo em que a rotina assume o controle do pensamento. Mordechai, um contador aposentado, homem que durante toda a vida lidou com números e precisão, estava sentado na varanda de sua casa. Seu telefone celular vibrou. No visor, apareceu um número que lhe era muito familiar — um número que terminava nos dígitos reconhecíveis da central de atendimento ao cliente do seu banco.

"Olá, aqui é a Liron, do departamento de segurança do banco", disse uma voz feminina, profissional, objetiva, quase fria. Não havia ali qualquer sinal de urgência excessiva que despertasse suspeitas, apenas o tom de uma funcionária cumprindo seu trabalho. "Estou falando com o Mordechai?"

"Sim, sou eu", respondeu Mordechai, sentindo uma leve pontada de preocupação no estômago. "Algo está errado?"

"Estamos detectando agora uma tentativa de transferência suspeita da sua conta no valor de 12.000 NIS para um beneficiário no exterior. O senhor realizou tal operação nos últimos minutos?"

"De jeito nenhum!", exclamou Mordechai. "Estou em casa, não toquei no computador."

"Eu temia por isso", respondeu Liron com uma calma irritante. "Não se preocupe, nosso sistema bloqueou a operação temporariamente, mas parece que houve uma invasão na sua pasta de cliente. Preciso confirmar alguns detalhes para reassegurar a conta. Apenas para verificar que estou falando com a pessoa certa, os quatro últimos dígitos do seu cartão de crédito são 4482?"

Mordechai ficou pasmo. "Sim, exatamente."

"E o endereço residencial atualizado conosco é a Rua Herzl 14, correto? E o senhor também possui uma pequena conta poupança aberta há dois meses?"

Nesse estágio, todas as muralhas de defesa de Mordechai desmoronaram. A interlocutora não lhe pediu nada naquele momento, ela apenas apresentou informações a ele. Ela sabia tudo. Ela sabia seu endereço, o tipo de cartão de crédito e até detalhes sobre as transações recentes. Em sua mente, não havia sombra de dúvida: ele estava falando com o banco. O pensamento de que se tratava de um golpista sentado em um esconderijo com listas vazadas da dark web sequer passou pela sua cabeça.

"Sr. Mordechai, para interromper a invasão e cancelar o acesso não autorizado, estou enviando agora um código de verificação do banco para o seu telefone. Por favor, leia-o para mim para que eu possa acessar as configurações de segurança da sua conta e bloquear o invasor."

O código chegou. Na mensagem SMS estava escrito claramente: "Seu código para realizar a operação é...". Mordechai, que estava sob intensa pressão psicológica e acreditando piamente que estava cooperando com as autoridades, leu o código. Ele não sabia que naqueles mesmos instantes, a "funcionária" usava aquele código para autorizar uma transferência bancária real para a conta de um "laranja" ou para alterar o número de telefone associado à conta, assumindo assim o controle total sobre ela.

Quando a ligação terminou, Liron prometeu que tudo estava sob controle e que ele receberia uma ligação de conclusão em uma hora. A ligação nunca ocorreu. Duas horas depois, quando Mordechai tentou entrar no aplicativo para se acalmar, descobriu que seu acesso estava bloqueado. Quando foi à agência na manhã seguinte, descobriu o amargo fato: dezenas de milhares de shekels — todo o seu saldo disponível — haviam desaparecido em três transferências rápidas realizadas logo após aquela ligação.

A ilusão do onisciente: como eles realmente sabem?

O componente central que faz com que pessoas instruídas, calculistas e cautelosas caiam nessa armadilha é o "efeito da autoridade informativa". Quando um estranho liga para você e sabe detalhes pessoais que apenas um órgão oficial deveria saber, seu cérebro toma um atalho cognitivo. Ele conclui que se ele conhece meus segredos, ele deve ser quem alega ser.

Mas a realidade na era digital é muito mais sombria. As informações sobre nós não estão guardadas em cofres de aço. Ao longo dos anos, ocorreram inúmeras invasões a bancos de dados de companhias de seguro, sites de compras, ministérios do governo e empresas de comunicação. Seus detalhes — nome completo, CPF, endereço, número de telefone e, por vezes, os quatro últimos dígitos do cartão de crédito — são vendidos em pacotes de registros massivos em fóruns de hackers por somas vultosas ou quantias insignificantes, dependendo da frescura da informação.

O golpista não precisa de uma invasão direta ao seu banco. Ele só precisa do fragmento inicial de informação que lhe comprará sua confiança. No momento em que ele diz o seu número de documento de identidade, ele já percorreu a maior parte do caminho até o seu bolso. O uso da tecnologia de "Spoofing" (falsificação do número de origem) completa o quadro: não só o interlocutor sabe tudo sobre você, como o seu telefone testemunha a favor dele e exibe o nome de uma instituição bancária conhecida.

É importante entender essa dinâmica: a informação prévia é a isca. A conversa é a armadilha. O código que você fornecer é a chave. Sem o seu código, a maioria dos golpistas ainda careceria do último elo da corrente — a aprovação final para executar a transação ou alterar as configurações da conta. Por isso, investem tanto esforço na construção de uma figura confiável e profissional.

O triângulo jurídico: o cliente, o banco e a lei

Quando surge para discussão um caso de uma pessoa que foi vítima de tal cenário, a primeira pergunta feita é: "Como o banco permitiu que isso acontecesse? Onde está a responsabilidade deles?". A resposta jurídica é complexa e se baseia, em grande medida, na Lei de Serviços de Pagamento.

A lei moderna criou uma mudança significativa no campo da defesa do consumidor financeiro. Atualmente, o ponto de partida é que, se foi realizada uma "operação de pagamento não autorizada" (ou seja, o cliente não deu seu consentimento consciente e livre para a realização da operação em favor do beneficiário específico), pode-se analisar o dever do banco de restituir o dinheiro.

No entanto, aqui entram as letras miúdas e as batalhas jurídicas. Os bancos podem fazer uso de alegações de "fraude" ou "negligência grave". A alegação do banco em casos semelhantes será geralmente: "Nós enviamos uma mensagem de aviso explícita junto com o código. O cliente forneceu o código por sua livre e espontânea vontade a um estranho. Isso é uma negligência grave que exclui a nossa responsabilidade".

Ao longo de anos de trabalho profissional, surge o argumento repetidamente de que não se deve considerar o fornecimento de um código sob manipulação psicológica sofisticada como "negligência grave". Quando um golpista usa informações privilegiadas (ou informações que parecem sê-lo), falsifica um número de telefone e cria um clima de emergência, ele realiza uma "engenharia social" que neutraliza o discernimento da pessoa comum. Pode-se analisar se é razoável esperar que uma pessoa comum resista a um ataque psicológico tão bem orquestrado.

Pode-se observar na abordagem jurídica uma crescente consideração pelas disparidades de poder. O banco, como "evitador de danos mais barato", possui sistemas de monitoramento sofisticados. Se um cliente nunca realizou uma transferência para o exterior, ou se de repente o número de telefone na conta é alterado e logo em seguida são realizadas transferências em valores atípicos — é possível que o banco devesse ter identificado isso. Pode-se argumentar que o dever de cautela do banco não termina com o envio de um SMS, mas também inclui a identificação de padrões anômalos (Anomaly Detection) e a interrupção de operações "em tempo real" até a obtenção de uma confirmação segura.

Contudo, é importante enfatizar: a lei não concede um "cheque em branco". Se ficar provado que o cliente agiu de má-fé, ou se os avisos do banco foram claros e inequívocos dadas as circunstâncias, a responsabilidade pode permanecer sobre seus ombros. Cada caso é analisado individualmente: o que foi dito na conversa? Que mensagens foram enviadas? Qual era o padrão de atividade anterior na conta?

O momento da verdade: a descoberta e o choque

A fase mais difícil nesses casos não é apenas a perda do dinheiro. É a perda da autoconfiança. Ao longo dos anos, o advogado encontrou diversos casos em que as vítimas se sentem emocionalmente destruídas e se perguntam como caíram na armadilha. O acompanhamento profissional, ainda antes da análise dos aspectos jurídicos, visa esclarecer às vítimas que elas foram vítimas de uma atividade criminosa sofisticada.

O choque inicial ocorre muitas vezes quando o banco se recusa a devolver os fundos. Este é um momento determinante em que o cliente sente que o sistema lhe dá as costas. A alegação de que o cliente forneceu seus dados de autenticação a terceiros é, frequentemente, o fator que leva as pessoas a desistir, sentindo que o sistema é maior do que elas.

Mas é exatamente aqui que começa a análise jurídica. Pode-se examinar as transcrições das chamadas (se gravadas) e exigir do banco os registros de seus sistemas de segurança — o que era conhecido e em que horário? Os sistemas do banco alertaram quando o dinheiro saiu? Por que não foi realizada uma chamada proativa ao cliente quando foi identificada uma operação atípica? Em muitos casos, é possível identificar "sinais de alerta" que poderiam levar à imputação de responsabilidade à instituição bancária.

Deve-se lembrar que o banco tem o dever de fidelidade para com o cliente. Esse dever é visto como uma obrigação fundamental. Em um mundo onde as fraudes digitais são comuns, pode-se esperar que os bancos adaptem seu nível de proteção ao nível de sofisticação dos golpistas. O Conheça seu Cliente (Know Your Customer) deve servir não apenas para fins de regulação, mas também como um meio de proteção contra fraudes.

Sinais de alerta: quando desligar imediatamente?

• Iniciativa da chamada: Os bancos, em regra, não costumam ligar pedindo um código que chegou por SMS. O código destina-se à realização de uma operação pelo cliente, não pelo funcionário em seu nome.
• Sensação de urgência artificial: Criar pressão de tempo é uma ferramenta comum para contornar o discernimento lógico.
• Pedido de detalhes confidenciais: Geralmente, não há necessidade de fornecer ao banco detalhes como número completo do cartão de crédito ou código secreto em uma chamada recebida, uma vez que a informação já consta em seus sistemas.
• Inconsistência no SMS: É importante ler atentamente o conteúdo da mensagem SMS. Se a finalidade do código indicada na mensagem for diferente do que foi dito na conversa — trata-se de um sinal de alerta significativo.
• Linguagem e redação: Convém prestar atenção a erros gramaticais, desconhecimento de termos profissionais ou ruídos de fundo atípicos.

O que fazer imediatamente se você foi vítima?

1. Desconexão e chamada ao banco: Assim que surgir uma suspeita, recomenda-se encerrar a chamada e entrar em contato proativamente com a central oficial do banco.
2. Congelamento da conta e cartões: Convém solicitar o bloqueio imediato da possibilidade de realizar transferências e o cancelamento dos cartões de crédito.
3. Documentação: Recomenda-se documentar o horário da chamada, o número, o conteúdo da conversa e tirar capturas de tela das mensagens SMS.
4. Apresentação de queixa na polícia: Apresentar uma queixa é um passo significativo no processo de averiguação junto ao banco.
5. Alteração de senhas: Recomenda-se alterar senhas de serviços financeiros a partir de um dispositivo seguro.

Aspecto jurídico: sua premissa de trabalho

Em casos de fraude, podem-se explorar opções jurídicas para a recuperação dos fundos, mas isso exige por vezes persistência. Ao avaliar as circunstâncias, deve-se verificar se o banco cumpriu as instruções regulatórias relevantes, tais como as instruções de gestão bancária adequada, e se seus sistemas de monitoramento eram razoáveis. Quanto mais atípica a operação realizada foi em relação à natureza da atividade habitual, maiores podem ser as chances de análise da responsabilidade do banco.

Lembre-se: o Direito oferece ferramentas para lidar com essas situações. Em caso de fraude, pode-se analisar se obrigações bancárias foram violadas. Se o banco falhou na identificação de sinais de alerta que deveria ter percebido, pode surgir uma responsabilidade civil pelo dano causado.