Capítulo 12: Falsificação de identificador de chamadas: O número que parece real

Vivemos em uma era em que nossos olhos são a principal porta de entrada para a confiança. Quando vemos o logotipo do banco no aplicativo, confiamos nele. Quando recebemos uma mensagem SMS que entra no tópico oficial das mensagens da administradora do cartão de crédito, presumimos que ela seja autêntica. Mas a armadilha mais sofisticada, aquela que derruba até mesmo os mais desconfiados entre nós, está na tela do nosso telefone no momento em que o aparelho começa a vibrar. Na tela aparece um número conhecido. Às vezes é o número exato da nossa agência bancária, e às vezes é a central nacional de atendimento ao cliente. O nome "Bank Leumi", "Bank Hapoalim" ou "Mizrahi Tefahot" brilha em letras garrafais.

Neste estágio, nosso cérebro faz um atalho cognitivo perigoso. Ele nos diz: "Se o número está correto, então a pessoa do outro lado é quem ela diz ser". Esta é a essência da tecnologia de Spoofing (falsificação de identificador de chamadas), e esta é a ferramenta mais poderosa no arsenal do golpista moderno. Neste capítulo, analisaremos como essa tecnologia puxa o tapete debaixo dos pés dos consumidores, e como o sistema jurídico e bancário lida com a realidade em que a realidade digital é uma mentira absoluta.

O cenário a seguir é um exemplo educacional baseado em padrões comuns de fraude. Os personagens e os eventos destinam-se apenas à ilustração.

Miriam (nome fictício), professora aposentada de Haifa, nunca se considerou uma "presa fácil". Ela usa aplicativos, faz compras online em sites seguros, e até seus netos a consultam às vezes sobre questões básicas de tecnologia. Naquela terça-feira, às quatro da tarde, Miriam estava sentada na varanda com uma xícara de chá quando seu celular tocou. Na tela apareceu um número identificado com a central de segurança do banco.

"Alô, quem fala é Miriam", ela respondeu educadamente.

"Olá Miriam, aqui é Daniel do departamento de segurança e fraudes do banco", respondeu uma voz masculina, autoritária, incrivelmente calma. "Lamento incomodá-la, mas nosso sistema detectou agora uma tentativa de saque incomum em sua conta na agência de Haifa. A senhora realizou nos últimos minutos uma transferência de 12.000 shekels?"

O coração de Miriam falhou uma batida. "O quê? De jeito nenhum! Estou em casa, não mexi na conta."

"Eu temia por isso", respondeu Daniel com um suspiro profissional. "Parece que há uma invasão ativa em sua conta através de um aplicativo instalado em outro dispositivo. Não se preocupe, Miriam, estou com você. Vamos bloquear o acesso e transferir o dinheiro para uma conta de proteção temporária até que emitamos novos códigos para a senhora. A senhora está vendo o número de onde estou ligando, certo? A senhora o identifica como a central de atendimento do banco?"

Miriam olhou novamente para a tela. O número parecia perfeitamente correto. "Sim, estou vendo. É o número de vocês."

Naquele momento, as últimas barreiras de defesa de Miriam desmoronaram. Ela não sabia que Daniel não estava sentado em um escritório climatizado, mas usando uma tecnologia que lhe permite inserir qualquer número que deseje como "número identificado". Para Miriam, o número na tela era prova suficiente. Durante a meia hora seguinte, Daniel a instruiu a "proteger" seu dinheiro. Ele pediu que ela lesse para ele códigos que chegaram via SMS – códigos que eram, na verdade, as chaves para autorizar transferências bancárias em tempo real. Miriam, confiante de que estava salvando suas economias, leu os números um após o outro.

Quando a conversa terminou, Daniel prometeu a ela que "tudo está sendo cuidado" e que um representante retornaria a ela na manhã seguinte. Miriam suspirou aliviada. Apenas uma hora depois, quando tentou entrar na conta para ver se estava tudo bem e descobriu que estava bloqueada, começou a entender que algo não estava certo. Ela ligou para o número que aparecia na tela – o número real do banco – e lá, a representante real lhe deu a notícia amarga: "Sra. Miriam, não ligamos para a senhora hoje. Sua conta foi esvaziada."

A anatomia da ilusão: como funciona o Spoofing?

Para entender a complexidade do assunto, devemos primeiro entender a tecnologia. No passado, as redes de telefonia eram fechadas e seguras. Quando um número de telefone passava de central para central, estava sujeito ao controle das grandes operadoras de comunicação. Hoje, com a transição para a tecnologia VoIP (Voice over IP) – chamadas transmitidas pela rede da Internet – as regras mudaram. O protocolo de comunicação permite que o remetente da chamada defina manualmente o "ID" do chamador. Este é um campo de dados que pode ser editado facilmente.

O problema central é que nossos smartphones são programados para dar confiança a este campo de dados. Se o dado que chega da rede é um número de telefone que está na nossa lista de contatos, ou um associado no banco de dados a uma empresa conhecida, o telefone exibirá o nome explícito da empresa. O golpista não precisa invadir a central do banco; ele simplesmente transmite para a rede um dado falso.

Do ponto de vista jurídico, aqui começa o grande drama. Os bancos podem alegar que não são responsáveis pelo fato de um terceiro ter falsificado seu número, já que se trata de uma falha na tecnologia de telefonia. Por outro lado, o cliente fica impotente diante das informações apresentadas a ele no dispositivo. A questão da responsabilidade em caso de falsificação de número é uma das questões profissionais mais complexas no direito bancário hoje.

A luta jurídica: a responsabilidade entre o cliente e o banco

Quando um caso como este é examinado do ponto de vista jurídico, a primeira pergunta que surge é se se trata de uma "transação não autorizada" conforme o significado na Lei de Serviços de Pagamento, 2019. De acordo com a lei, se foi realizada uma transação na conta sem a autorização do cliente, é possível examinar a obrigação do banco de restituir-lhe o dinheiro, a menos que tenha sido provada "negligência grave".

As instituições financeiras podem alegar que a entrega de um código de uso único (OTP) a um estranho constitui negligência grave. No entanto, o caso de falsificação de número (Spoofing) altera a equação da negligência. É possível definir como "negligência grave" o fato de uma pessoa confiar no número de telefone oficial do seu banco? Em uma análise jurídica profissional, existe o entendimento de que um engano tecnológico sofisticado pode reduzir o nível de culpa do cliente.

Ao examinarmos a responsabilidade do banco, devemos verificar vários parâmetros:

• Dever de diligência e monitoramento: O sistema detectou um padrão de operação incomum? Se um cliente que não costuma realizar transferências altas faz subitamente uma série de transferências para novas contas, pode-se examinar se o sistema bancário deveria ter interrompido a atividade.
• Consciência do perigo: O banco estava ciente de que estavam ocorrendo fraudes de Spoofing usando seu número de telefone e não tomou medidas de precaução ou aviso suficientes?
• Apresentação das informações no SMS: A lei de serviços de pagamento estabelece requisitos para a clareza das mensagens de confirmação. Se a mensagem é vaga e não deixa claro que se trata da confirmação de uma transferência financeira, pode-se argumentar que o cliente foi enganado ao pensar que se tratava de uma operação de segurança.

Fissuras no muro de defesa bancário

Ao longo dos anos, durante o trabalho profissional do advogado Zion Behalul, foram observados casos em que existe uma lacuna entre a capacidade tecnológica da instituição financeira e a defesa real do "fator humano". Os golpistas investem em "engenharia social" (Social Engineering) em alto nível, aproveitando a reputação da instituição.

Do ponto de vista jurídico, é possível examinar o argumento de que recai sobre os bancos um dever acrescido de proteger seus clientes contra a falsificação de seus números oficiais, por exemplo, usando tecnologias avançadas de verificação de chamadas. O dever de fidelidade do banco para com o cliente é um princípio fundamental, e é possível analisar se um banco que permite a um terceiro usar sua identidade digital arca com a responsabilidade pelos danos causados.

O ponto de ruptura: o aspecto pessoal das vítimas

Muitas vítimas descrevem que a parte mais dolorosa não é apenas a perda do dinheiro, mas o sentimento de perda de confiança. Quando uma pessoa vê o número do banco na tela, ela presume que a instituição responsável pelo seu dinheiro está entrando em contato com ela para sua proteção. Essa perda de confiança é um dano significativo que acompanha as vítimas por muito tempo.

Ao examinar casos semelhantes, torna-se evidente que, por vezes, os golpistas possuem outras informações pessoais sobre a vítima, o que fortalece a credibilidade da apresentação falsa. Quando se combina Spoofing com informações pessoais verdadeiras, cria-se uma armadilha extremamente complexa que é difícil identificar sem conhecimento prévio.

Análise jurídica: existe fundamento para uma ação judicial?

Ao examinar a possibilidade de tomar medidas legais no caso de falsificação de identificador de chamadas, deve-se examinar o quadro factual completo. As chances jurídicas dependem das circunstâncias, mas estes são os marcos para a análise do caso:

1. O teste do "homem razoável" nas circunstâncias do caso: Um homem razoável esperaria suspeitar de uma chamada que chega do número oficial do seu banco? Em muitos casos de engano profundo, os mecanismos de controle usuais podem não funcionar.

2. Violação do dever de revelação e aviso: A instituição financeira tomou medidas ativas e claras para alertar sobre este método específico de Spoofing?

3. Falha nos sistemas de monitoramento (Anti-Fraude): Exame se os sistemas permitiram atividade incomum sem verificação adicional, o que pode estabelecer fundamento para alegação de negligência.

4. Lei de serviços de pagamento - divisão de responsabilidade: A lei estabelece a divisão de responsabilidade entre o cliente e o banco. A jurisprudência pode interpretar a entrega de um código em circunstâncias de uma falsificação sofisticada como negligência que não é "grave", o que pode impor uma parte significativa da responsabilidade ao banco.

Sinais de alerta: como identificar que se trata de Spoofing?

Embora o número pareça real, ao longo dos anos foram identificados padrões que podem indicar fraude:

• A urgência e a pressão: Criação de um sentimento de emergência que estimula a ação rápida sem pensamento.
• Pedido do código secreto: Instituições financeiras não costumam pedir ao cliente que leia um código recebido via SMS. O código destina-se apenas a inserção pessoal.
• Transferência para "conta segura": A sugestão de transferir fundos para outra conta para fins de "proteção" é um sinal de alerta claro.
• Uso de termos incomuns: Uso de linguagem ou expressões que não são aceitas no mundo bancário.

O que fazer imediatamente se surgir o medo de ser uma vítima?

O tempo é um fator crítico. É possível considerar as seguintes opções para uma ação rápida:

1. Desligar e verificar: No caso de suspeita, deve-se desligar a chamada e iniciar contato independente com o banco através de canais oficiais e conhecidos apenas.
2. Relato imediato: Contatar as centrais de fraude do banco e da administradora do cartão de crédito para verificar a possibilidade de congelar transações.
3. Documentação: Manter um diário de chamadas, mensagens SMS e qualquer outra informação relevante.
4. Relato às autoridades: Apresentar uma queixa na polícia como parte da documentação do evento.
5. Exame de opções jurídicas: Recomenda-se examinar as circunstâncias do caso em relação às disposições da lei e à jurisprudência atual.

Aspecto jurídico: resumo da responsabilidade do banco

O sistema jurídico examina cada caso individualmente, com uma tendência de proteger o consumidor como a parte mais fraca na transação. Em casos de Spoofing, é possível analisar se a instituição financeira forneceu ferramentas suficientes para a defesa contra a falsificação da sua própria identidade.

Ao longo dos anos de trabalho profissional do advogado Zion Behalul, foram observados casos em que um exame rigoroso dos sistemas de monitoramento e do perfil de atividade do cliente levaram à conclusão de que era possível evitar o dano. Em um cenário possível, após o exame das provas e a condução de um processo jurídico, as partes podem chegar a um acordo de transação que restaure parte dos fundos, dependendo das circunstâncias do caso.

Lembre-se: o número na tela é um dado digital que pode ser manipulado. Na era atual, recomenda-se confiar apenas em chamadas que você iniciou através de canais seguros. A conscientização sobre os padrões de operação é a ferramenta central para evitar cair nessas armadilhas.