Capítulo 65: Verificação de identidade na era digital: quando suspeitar e quando confirmar

Ao longo dos meus anos de trabalho profissional como advogado e tabelião, deparei-me com muitos casos em que o chão sob os pés das pessoas se desfez. Vi aposentados que perderam as suas poupanças e executivos que descobriram que a empresa que construíram foi vítima de uma fraude sofisticada. No entanto, se existe um fio condutor que percorre todos estes casos, não é necessariamente uma fraqueza tecnológica ou uma falha de segurança nos servidores. Essa linha é a confiança. A confiança humana básica, aquela que nos permite manter uma sociedade, uma família e uma economia, tornou-se na era digital a nossa vulnerabilidade mais letal.

Outrora, no mundo físico, a "verificação de identidade" era uma questão simples. Víamos o rosto da pessoa à nossa frente, ouvíamos o som da sua voz familiar, reconhecíamos o aperto de mão único. Como tabelião, parte da minha função profissional é verificar, por meio de documento de identidade e presença física, que a pessoa que assina é realmente quem afirma ser. Contudo, no espaço virtual, todos estes sinais de identidade desintegraram-se. A fotografia é um arquivo de pixels, a voz é uma amostra digital e o texto é uma linha de código. Neste capítulo, analisaremos a crise de identidade digital, aprenderemos a identificar as fissuras nas máscaras dos golpistas e entenderemos como o Direito israelense lida com um mundo onde "ver" já não é, há muito tempo, o mesmo que "crer".

O cenário a seguir é um exemplo didático baseado em padrões de fraude comuns. As personagens e os eventos destinam-se apenas à ilustração.

A tempestade perfeita de Dalia: quando a voz do sangue se torna uma armadilha

Dalia (nome fictício), de 68 anos, era uma mulher que conhecia bem o mundo financeiro. Como ex-diretora financeira, conhecia os padrões de trabalho com fornecedores e estava ciente das tentativas de fraude. Vivia no seu apartamento e a sua relação mais próxima era com a sua filha, Maya, que trabalhava como jornalista no estrangeiro naquela época.

Terça-feira, 14:00. Dalia estava sentada na varanda quando o seu WhatsApp vibrou. Uma mensagem de Maya. Mas algo estava diferente. "Mãe, este é o meu número temporário. O meu telemóvel foi roubado junto com a bolsa. Estou sob uma pressão terrível, por favor, atende".

Dalia sentiu o coração acelerar. Tentou ligar para o número habitual de Maya, mas estava desligado. Enviou uma mensagem para o novo número: "Maya? Estás bem?". Imediatamente chegou uma mensagem de áudio. Dalia pressionou o botão de reprodução. Era a voz de Maya. Exatamente a sua voz – a ligeira rouquidão, o tom rápido quando está sob pressão, até a alcunha especial com que a trata.

"Mãe, estou numa esquadra de polícia. Fiquei sem nada. Roubaram-me o passaporte e a carteira. Preciso pagar uma multa urgente e uma fiança para não ser presa esta noite. Por favor, estou enviando-te os detalhes para uma transferência rápida. Não sei o que fazer".

Dalia não hesitou. O instinto materno superou qualquer crítica interna. Tentou fazer perguntas, mas a "filha" do outro lado respondeu com impaciência, chorando, enquanto incluía detalhes que Dalia sabia serem verdadeiros – o fato de Maya estar no estrangeiro e o nome do cão da família. O que Dalia não sabia é que toda essa informação pode estar exposta em perfis de redes sociais e que a voz que ouviu pode ter sido produzida através de inteligência artificial (Clonagem de Voz) com base em vídeos existentes na rede.

Dalia entrou na aplicação do banco. O montante necessário era muito elevado – "para um advogado local e fiança para o tribunal", disseram-lhe. Efetuou a transferência para uma conta num banco estrangeiro, conforme instruída. Quando o funcionário do banco ligou para verificar a transferência invulgar, Dalia, sob pressão emocional e seguindo as instruções da "filha" ("não lhes digas que é para mim, eles vão bloquear tudo devido às normas de branqueamento de capitais"), autorizou a operação com total confiança.

Uma hora depois, o telefone habitual de Maya tocou. "Olá mãe, como estás? Acabei de sair de uma entrevista". Dalia sentiu o sangue fugir-lhe do rosto. "Maya? Tu... não estás na polícia? Não te roubaram o telemóvel?". O silêncio do outro lado da linha foi a resposta mais amarga de todas. O dinheiro já estava a caminho de um destino desconhecido. A fortaleza de Dalia foi invadida através de uma imitação da pessoa mais querida da sua vida.

A anatomia do roubo de identidade: por que podemos cair no golpe?

Casos deste tipo não decorrem de falta de entendimento, mas de engenharia social (Social Engineering). Para compreender como verificar uma identidade, devemos primeiro compreender como os golpistas tentam "roubá-la" aos nossos olhos. A verificação digital baseia-se em três pilares, e os golpistas tentam contornar todos eles:

1. Algo que você sabe (Something you know)

Antigamente, uma senha ou "pergunta secreta" constituía uma proteção suficiente. Hoje, na era das invasões a bases de dados e redes sociais, muitas informações pessoais podem estar acessíveis. Um golpista pode saber detalhes sobre férias, nomes de familiares e outros dados pessoais publicados na rede.

2. Algo que você tem (Something you have)

Um telemóvel ou um número de telefone específico. Com técnicas de "Spoofing" (falsificação de identificador de chamadas), os golpistas podem fazer com que o telefone mostre o nome de uma entidade reconhecida ou de um contato. Quando uma pessoa vê o nome familiar, o cérebro reconhece o contexto lógico e projeta-o na identidade física.

3. Algo que você é (Something you are)

Aqui entra a tecnologia de Deepfake. Não se trata apenas de imagens, mas da imitação de voz e vídeo em tempo real. Existem tecnologias que amostram ondas sonoras e geram uma nova saída com as mesmas frequências e entonações. Para o cérebro humano, habituado a confiar na audição como indicador de identidade, trata-se de uma manipulação à qual é difícil resistir.

Aspectos jurídicos: entre a responsabilidade da instituição financeira e a do cliente

Nesses cenários, a questão central que surge é se a instituição financeira deveria ter impedido a operação. O Direito israelense discute a questão das fraudes digitais e a resposta depende das circunstâncias específicas de cada caso.

Lei de Serviços de Pagamento, 5779-2019

Esta é a lei principal que regula as relações entre o cliente e a instituição financeira em caso de "uso indevido" de meios de pagamento. A lei estabelece, como regra geral, que o cliente pode não ser responsável pelo uso feito do meio de pagamento sem o seu consentimento. Contudo, existe uma exceção: se o cliente agiu com "intenção fraudulenta" ou se forneceu os dados do meio de pagamento ou a autorização de execução "em circunstâncias de negligência grave".

Ao analisar cenários semelhantes, pode surgir uma disputa jurídica. Por um lado, o cliente foi quem realizou e autorizou a operação. Por outro lado, pode-se avaliar se, em circunstâncias em que um cliente realiza uma transferência extremamente invulgar para um destino no estrangeiro, demonstrando sinais de stress, recai sobre a instituição financeira um "dever de cuidado" acrescido.

Dever de lealdade e cuidado dos bancos

A jurisprudência em Israel discute os deveres de lealdade e cuidado dos bancos para com os seus clientes. Numa análise jurídica geral, pode-se dizer que quando existem "sinais de alerta" (Red Flags) claros, pode surgir a exigência de que o banco realize uma verificação mais aprofundada. Se for constatado que um banco não agiu de acordo com os procedimentos ou ignorou um padrão de fraude conhecido, pode-se avaliar as possibilidades de reembolso de acordo com as circunstâncias.

É importante enfatizar: os tribunais analisam cada caso individualmente. Examina-se a questão de saber se o cliente deveria ter suspeitado e se os meios tecnológicos utilizados pelo golpista eram tão avançados que até uma pessoa razoável poderia ter cometido um erro. Quanto mais sofisticado for o roubo de identidade, mais a análise da responsabilidade das partes pode variar.

Quando suspeitar? Sinais de alerta de uma identidade falsa

Num mundo em que o digital pode distorcer a realidade, convém desenvolver uma maior consciência. Eis situações em que se recomenda aumentar o estado de alerta:

1. Canal de comunicação novo e inesperado

Se uma pessoa próxima, que sempre escreve por um canal específico, envia de repente uma mensagem a partir de um "número temporário" ou de um novo perfil, isso é motivo de suspeita. As explicações podem parecer lógicas (telefone perdido ou roubado), mas este é um momento que exige verificação adicional.

2. Urgência extrema e pressão emocional

Esta é uma ferramenta comum entre impostores. Criar pressão destina-se, por vezes, a impedir uma análise racional do pedido. Quanto mais urgente o pedido é apresentado, mais se recomenda reduzir o ritmo e verificar.

3. Pedido de sigilo

A tentativa de isolar a pessoa e pedir-lhe que não partilhe o pedido com terceiros pode indicar uma tentativa de fraude, motivada pelo desejo de evitar que outra pessoa aponte as contradições na história.

4. Falta de correspondência nos pequenos detalhes

Mesmo a tecnologia avançada pode errar. Linguagem que não é característica, erros ortográficos invulgares ou esquivar-se de responder a perguntas pessoais devem levantar pontos de interrogação.

Protocolo de verificação: como confirmar a identidade de verdade?

Para se proteger, podem adotar-se métodos que combinam o bom senso. Se surgir uma dúvida, recomenda-se não continuar a conversa no mesmo canal. Eis passos possíveis:

Método do "canal paralelo" (Out-of-Band Verification)

Se foi recebida uma mensagem de um novo número, convém tentar estabelecer contato pelo canal conhecido e antigo, ou contatar outras pessoas próximas da pessoa em questão. Se um órgão oficial ligar, recomenda-se desligar e iniciar uma chamada para o número oficial desse órgão tal como aparece no seu site na internet.

A pergunta do "segredo oculto"

Pode-se definir antecipadamente com os membros da família uma pergunta cuja resposta apenas os familiares conheçam, algo que não tenha sido publicado numa rede social. Se a outra parte se esquivar da resposta – há lugar para uma suspeita grave.

Exigência de videochamada em tempo real

Pode-se pedir à pessoa que realize uma ação física específica diante da câmara. Algumas tecnologias podem ter dificuldade em acompanhar movimentos rápidos e complexos, o que pode expor a falsificação. No entanto, deve-se recordar que a tecnologia continua a evoluir.

Falsificação de autoridades

Outro tipo de roubo de identidade é o que se faz passar por órgãos de fiscalização ou autoridades oficiais. Nestes casos, utiliza-se a ameaça de sanções ou pressão legal.

É importante saber: as autoridades policiais em Israel não costumam pedir transferências bancárias para contas no estrangeiro ou o fornecimento de códigos de acesso ao banco por telefone. Pedidos oficiais de pagamento são geralmente enviados por meios regulados. Atividades financeiras urgentes solicitadas por telefone por quem alega ser uma autoridade devem ser verificadas com muito cuidado.

Aspectos jurídicos adicionais: proteção de privacidade e fraude

Para além da Lei de Serviços de Pagamento, existem fundamentos jurídicos adicionais que podem ser avaliados. A Lei de Proteção de Privacidade trata do uso de informações pessoais. Nos casos em que informações vazaram de bases de dados, pode-se avaliar a responsabilidade da entidade que detinha os dados. Além disso, existe o "ilícito de fraude" de acordo com a Portaria de Danos, que exige a prova de uma falsa declaração feita com conhecimento e intenção de enganar. Nestes casos, muitas vezes o esforço jurídico concentra-se em examinar a responsabilidade de entidades intermediárias na cadeia de pagamento.

Passos recomendados em caso de suspeita ou prejuízo:

• Parar: Evitar realizar ações adicionais apesar da pressão.
• Documentar: Guardar capturas de ecrã, gravações e números de telefone.
• Denunciar à instituição financeira: Entrar em contato imediato com a central de segurança do banco.
• Recorrer à polícia: Apresentar uma queixa é um passo importante para o exercício de direitos futuros.
• Segurança das contas: Alterar senhas e dados de acesso se estes tiverem sido expostos.
• Análise jurídica: Consulta com um profissional para avaliar opções de ação junto das entidades relevantes.

Sinais de alerta (resumo)

• Mudança súbita nos dados de contato de uma pessoa conhecida.
• Pedido financeiro urgente sob histórias de pressão extrema.
• Esquiva de verificação de identidade por meios diretos.
• Pedido de transferência de fundos por canais não convencionais.

Aspecto jurídico (resumo)

A responsabilidade dos bancos e instituições financeiras é avaliada de acordo com critérios de cuidado e lealdade. A Lei de Serviços de Pagamento pode oferecer proteção ao cliente, sujeita a uma avaliação da sua conduta. A tendência jurídica analisa os casos de acordo com a evolução tecnológica e as circunstâncias únicas de cada evento. Quanto mais sofisticada for a fraude, mais isso pode afetar a distribuição da responsabilidade jurídica.

No mundo digital, a consciência e uma desconfiança saudável são ferramentas importantes para a autodefesa. Uma verificação de identidade rigorosa pode prevenir danos graves, sendo importante lembrar que solicitar uma verificação não deve causar qualquer desconforto perante a outra parte.