Seção: Tutoriais Banda Larga

Antes de passar a examinar propriamente as teorias da responsabilidade civil, salientamos a importância da compreensão dos fenômenos ocorrentes no campo das comunicações informáticas, sem a qual não seria possível o desenvolvimento de raciocínio jurídico para identificar os sujeitos responsáveis pela reparação dos prejuízos econômicos.

É preciso, antes de mais nada, saber diferenciar cada um dos aspectos técnicos das diversas modalidades de golpes e truques informáticos com objetivo de furto de informações pessoais, para identificar quem, entre os diversos atores da comunicação informática, pode ser responsabilizado pelos danos causados à vítima (o sujeito que tem os dados pessoais furtados).

A primeira etapa do phishing consiste na apropriação de informações de outra pessoa (como nome, informações de conta e senha bancária), para serem utilizadas fraudulentamente nas fases seguintes da trama (transferências de numerários de contas correntes e aplicações financeiras). É um ato de “impersonificação” (numa incorporação para o português do termo inglês impersonation), consistente na apropriação de informações pessoais do cliente do banco com finalidades ilegais.

O criminoso se apodera da informação de outra pessoa, sem o conhecimento desta, que é enganada de forma fraudulenta. Nesse sentido, o phishing pode ser enquadrado na rubrica do “furto de identidade” (identity theft), que é a expressão utilizada para denominar de forma genérica o crime de maior tendência ao crescimento nos tempos atuais[9].

O furto de informações pessoais pode ser realizado com as mais diversas finalidades, tanto para imigração ilegal, espionagem, terrorismo ou mesmo para fins aparentemente menos ilícitos, como o marketing e publicidade dirigida. As estratégias para a apropriação dos dados pessoais também podem variar, com a utilização de meios tecnológicos ou não. Os dados podem ser obtidos em sites e bancos de dados informáticos ou em qualquer arquivo físico ou fichário. Mas consiste sempre numa exploração dos meios de identificação de uma pessoa para finalidades ilegais.

O phishing, como espécie de furto de identidade, apenas tem a peculiaridade de ser realizado em ambientes de redes informáticas (Internet) e objetivar o furto de informações específicas (dados bancários), para finalidades também específicas (transferência de numerário existente em contas bancárias)[10]. Não deixa, no entanto, de ser uma exploração ilegal de informações pessoais alheias e, como tal, forma específica do crime de “furto de identidade”.

Como diversos esquemas inteligentes são empregados para burlar a vítima do phishing (e se apoderar de suas informações bancárias) - que pode ter seu computador invadido, ser levada a ingressar em site falseado através de link em mensagem eletrônica recebida ou ter seu programa navegador infectado (levando-a a um endereço diverso do site legítimo, mesmo sem receber qualquer tipo de e-mail), é imprescindível a visualização e conhecimento das diversas técnicas fraudulentas, para compreender a participação do prestador dos serviços bancários online e dos demais atores da comunicação informática e, dessa forma, poder apontar em quais situações uma determinada conduta justifica a imposição de responsabilização.

Relacionando e compreendendo os mecanismos e objetos necessários à realização de cada ação ou operação fraudulenta, podemos definir responsabilidades na órbita civil, daí a importância da compreensão de conceitos fundamentais como phishing, pharming e DNS poisoning, que são fornecidos nos itens seguintes.

Phishing

A palavra phishing, uma corruptela do verbo inglês fishing (pescar, em português), é utilizada para designar alguns tipos de condutas fraudulentas que são cometidas na rede. São muito comuns as mensagens eletrônicas (e-mails) onde são feitas propagandas de pechinchas comerciais, são solicitadas renovações de cadastro, são feitos convites para visitação a sites pornográficos, são ofertadas gratuitamente soluções técnicas para vírus, entre outras. Não sabe a pessoa que recebe tais tipos de e-mail que as mensagens são falsas, enviadas por alguém disposto a aplicar um golpe[11].

Geralmente, o destinatário é convidado a clicar sobre um link que aparece no corpo da mensagem ou abrir um arquivo anexo e, ao fazê-lo, aciona o download de um programa malicioso que vai penetrar no seu computador e capturar informações sensíveis. Também ocorre de, ao clicar no link sugerido, ser enviado a um site falso, com as mesmas características de apresentação gráfica de um site popularmente conhecido (a exemplo do site um grande banco ou um site de comércio eletrônico)[12]. Ao chegar no site falseado, a pessoa é instada a inserir informações pessoais (número de cartão de crédito ou de conta bancária) e, uma vez de posse dessas informações, o fraudador as utiliza para fazer saques e movimentações bancárias ou outras operações (em nome da vítima).

A categoria delituosa em questão consiste exatamente nisso: em "pescar" ou "fisgar" qualquer incauto ou pessoa desavisada, não acostumada com esse tipo de fraude, servindo a mensagem de e-mail como uma isca, uma forma de atrair a vítima para o site falso (onde será perpetrado o golpe, de furto de suas informações pessoais). O phishing, portanto, é uma modalidade de spam, em que a mensagem além de indesejada é também fraudulenta (scam).

Pharming

Recentemente tem sido registrada uma nova modalidade de ataque phishing que não é perpetrada através do envio de mensagens de e-mail. Trata-se de um tipo de golpe que redireciona os programas de navegação (browsers) dos internautas para sites falsos. A essa nova categoria de crime tem sido dado o nome de pharming.

O pharming opera pelo mesmo princípio do phishing, ou seja, fazendo os internautas pensarem que estão acessando um site legítimo, quando na verdade não estão. Mas ao contrário do phishing, o qual uma pessoa mais atenta pode evitar simplesmente não respondendo ao e-mail fraudulento, o pharming é praticamente impossível de ser detectado por um usuário comum da Internet, que não tenha maiores conhecimentos técnicos.

Nesse novo tipo de fraude, os agentes criminosos se valem da disseminação de softwares maliciosos que alteram o funcionamento do programa de navegação (browser) da vítima. Quando esta tenta acessar um site de um banco, por exemplo, o navegador infectado a redireciona para o spoof site (o site falso com as mesmas características gráficas do site verdadeiro). No site falseado, então, ocorre a coleta das informações privadas e sensíveis da vítima, tais como números de cartões de crédito, contas bancárias e senhas.

No crime de pharming, como se nota, a vítima não recebe um e-mail fraudulento como passo inicial da execução, nem precisa clicar num link para ser levada ao site "clonado". Uma vez que seu computador esteja infectado pelo vírus, mesmo teclando o endereço (URL) correto do site que pretende acessar, o navegador a leva diretamente para site falseado. O pharming, portanto, é a nova geração do ataque de phishing, apenas sem o uso da "isca" (o e-mail com a mensagem enganosa).

O vírus reescreve arquivos do PC que são utilizados para converter os endereços de Internet (URL’s) em números que formam os endereços IP (números decifráveis pelo computador). Assim, um computador com esses arquivos comprometidos, leva o internauta para o site falso, mesmo que este digite corretamente o endereço do site intencionado.

DNS Poisoning

A mais preocupante forma de pharming é conhecida como "DNS poisoning" (traduzindo para o português, seria algo como "envenenamento do DNS"), por possibilitar um ataque em larga escala. Nessa modalidade, o ataque é dirigido a um servidor DNS[13], e não a um computador de um internauta isoladamente.

Como se sabe, o sistema DNS (Domain Name System) funciona como uma espécie de diretório de endereços da Internet. Toda navegação na Internet (no seu canal gráfico, a World Wide Web) tem que passar por um servidor DNS. Quando um internauta digita um determinado endereço web na barra de seu navegador (www.ibdi.org.br, por exemplo), o seu computador pessoal se comunica com o servidor do seu provedor local de acesso à Internet, em busca do número IP que corresponde àquele determinado endereço.

Se o endereço procurado estiver armazenado no cache do servidor do provedor local, então ele mesmo direciona o programa de navegação para o endereço almejado ou, caso contrário, transfere a requisição para servidor de um provedor maior, e assim por diante, até encontrar aquele que reconheça o endereço procurado e faça a correspondência[14].

Um hacker pode invadir o servidor DNS de um provedor de acesso à Internet e alterar endereços arquivados na memória cache. Se o servidor é "envenenado", alteradas as configurações relativas a um determinado endereço web, internautas podem ser direcionados para um site falso mesmo teclando o endereço (URL)[15] correto. O ataque, assim praticado, produz resultados em muito maior escala do que a outra forma de pharming, em que os "pharmers" vitimam uma pessoa de cada vez, infectando os seus PC’s com vírus. O ataque ao servidor DNS de um provedor de Internet pode atingir inúmeros usuários de uma única vez.

O fato é que, se de um ataque a um servidor DNS resultar prejuízo efetivo ao usuário do provedor, este responde pela reparação completa. Se o usuário tiver suas informações colhidas no site falso, a que foi levado em função da alteração nas configurações do servidor DNS do seu provedor de acesso à Internet, pode pedir reparação dos danos que venham a resultar do uso indevido dessas informações. Se o "phisher" fizer uso do número de sua conta bancária e senha e sacar valores depositados em sua conta, é o provedor que teve o sistema invadido que deve reparar os prejuízos. A situação aqui é diferente da modalidade simples de ataque de phishing, onde a segurança dos serviços do provedor não é comprometida.

Definimos esse tipo de ataque específico (DNS poisoning) apenas para diferenciá-lo do pharming típico, que é direcionado contra o computador pessoal da vítima, usuário de provedor de Internet e de sistema de online banking. A responsabilidade pelas conseqüências e danos materiais (ao usuário) resultantes de uma investida inicial ao sistema informático do provedor de Internet, é do próprio provedor, porque aí fica caracterizada uma falha de segurança na prestação do serviço, indicadora da culpa como fundamento da responsabilização[16].

Como são fenômenos parecidos, cuja diferenciação envolve um certo grau de conhecimento técnico, entendemos conveniente a apresentação antecipada dessas definições, de forma a propiciar ao leitor melhores condições para compreender as diversas situações de investidas fraudulentas contra sistemas informáticos e, dessa maneira, poder acompanhar o raciocínio lógico-jurídico em torno da teorização da responsabilidade pela reparação dos danos[17].

Refêrencias

[9] A expressão inglesa identity theft foi utilizada pela primeira vez em 1996, quando a Comissão Federal para o Comércio (Federal Trade Comission) alertou para o crescente número de utilização fraudulenta de dados de identificação de consumidores. Depois, a expressão foi incorporada na terminologia literária americana. Em verdade, não é fisicamente possível o furto da identidade de uma pessoa; o que é possível é o furto dos seus meios de identificação.

[10] O phishing na verdade tem uma acepção mais ampla, envolvendo qualquer tentativa de fraudulentamente se obter informação sensível como senhas e dados de cartões de crédito ou qualquer outro dado que permita a realização de transação em sistemas de pagamento online (nonbank payment systems, como o Pay Pal e o e-Gold), sites de leilão e de comércio eletrônico em geral. Assim, o phisherman pode ter como alvo os dados de um usuário e respectivos números da conta e senhas bancárias, para serem utilizados em sites de Internet Banking, ou pode coletar dados de cartão de crédito e senhas utilizadas em sites de comércio eletrônico ou de leilão (como o e-Bay) e de sistemas de pagamento on line. Além disso, o phishing não somente pode ser executado por meio do envio de uma mensagem de e-mail como também através de comunicação em programas de instant messaging e até mesmo por telefone.

[11] As mensagens de phishing scam geralmente aparentam provenientes de uma fonte confiável. Os fraudadores manipulam o campo do cabeçalho da mensagem (campo "de:" ou "from:") com o nome do remetente, de forma a que o destinatário pense ser de fonte legítima.

[12] Esse tipo de atividade fraudulenta, em que se usam clones de websites com a aparência de sites respeitáveis, é também chamada de spoofing.

[13] Notícia publicada na eWeek.com (www.eweek.com), no dia 29.04.05, reporta provável ataque ao servidor da Network Solutions Inc., conhecido registrador de nome de domínios, através do qual hackers podem ter alterado as informações do endereço na Web da empresa Hushmail Communications Corp, de modo a redirecionar os visitantes da URL dessa empresa – hushmail.com – para um site falso.

[14] O sistema DNS é formado por uma rede global de servidores, compreendida de 13 servidores raiz espalhados pelo mundo. O original sistema de endereços usava apenas números, de difícil utilização portanto. A partir de 1984 foi introduzido o sistema DNS, permitindo aos usuários utilizar palavras (mais fácil de memorizar) e as organizando em forma de "nomes de domínio". Assim, todo endereço na web passou a ser formado por um nome de domínio (domain name), que tem que ser registrado num sistema central, de maneira a que corresponda a um número IP (Internet Protocol) - que é o endereço que realmente os computadores se utilizam para a troca de "pacotes" de informação entre eles. Portanto, a comunicação entre computadores ainda continua a se utilizar de números. Todo website tem um número de identificação único (número IP), através do qual o sistema o reconhece e direciona para ele a informação. Mas os internautas procuram endereços na web inserindo "nomes de domínio" na barra de seus programas navegadores. O servidor DNS faz a correspondência entre o nome de domínio e o respectivo IP, repassando a informação para o computador do internauta.

[15] Uniform Resource Locator, sigla que designa o endereço de um site na Web.

[16] Sobre os fundamentos jurídicos da responsabilidade do provedor de Internet por danos resultantes ao seu usuário de ataques de DNS poisoning, sugerimos a leitura de nosso artigo “A INFECÇÃO DO SISTEMA DNS: a nova modalidade de phishing e a responsabilidade do provedor”, publicado no site Jus Navigandi - http://jus2.uol.com.br/doutrina/texto.asp?id=6978.

[17] Em notícia recente (do dia 9.8.08) publicada no site da BBC, foi divulgada a existência de falha no programa navegador que permitiria um ataque de pharming, já que haveria a possibilidade de, explorando essa falha, os criminosos redirecionarem os internautas para sites falsos, mesmo teclando endereços corretos. A notícia dá conta de que a Microsoft e outras grandes empresas que desenvolvem softwares estão distribuindo patchs para conserto do defeito de segurança nos browsers de seus usuários. Na mesma notícia, ainda é feita referência de que não se tem comprovação de que a falha tenha sido utilizada. É certo, no entanto, que, em tendo sido efetivamente explorada para a efetivação de algum ataque, o fabricante do programa poderia ser responsabilizado. A vulnerabilidade que permitiu a concretização do golpe, nesse caso, não seria da responsabilidade do provedor de Internet. A notícia, sob o título “Fix found for net security flaw”, pode ser acessada em: http://news.bbc.co.uk:80/2/hi/technology/7496735.stm