Seção: Tutoriais Banda Larga
|
|
||
De logo, queremos afastar a responsabilidade do provedor de serviços de hospedagem ou de acesso à Internet, pelos prejuízos decorrentes de phishing e outras fraudes do gênero. Como os perpetradores diretos das fraudes (phishers) não são facilmente identificáveis, pela razão de que utilizam técnicas de “anonimização” e como regra estão situados em território não submetidos à jurisdição do país da vítima[18], discute-se a possibilidade da responsabilização de outros intermediários da cadeia informática, a exemplo dos provedores de hospedagem de conteúdo na Internet (sites e páginas eletrônicas). Embora não sendo o executante primário e direto da fraude, poderia o provedor que hospeda o site falso (spoofed webpage)[19] ser responsabilizado pelos danos financeiros sofridos pela vítima (cliente do banco) do phishing?
A resposta é negativa (embora não totalmente incontroversa[20]). É certo que a página eletrônica utilizada na fraude (spoofed webpage) é hospedada com o concurso do sistema informático do provedor. Se não pratica ou executa o ilícito, nem por isso deixa de fornecer os meios materiais e físicos (tecnológicos) para a hospedagem. Embora não seja o responsável pela fraude, é no seu sistema que o conteúdo do fake site é armazenado, o que, de certo modo e em certa extensão, pode relacioná-lo com ou vinculá-lo ao autor direto do ato.
Essa relação que o provedor pode ter com alguém que eventualmente contrata seus serviços para hospedar o site que serve de instrumento para a fraude, contudo, não é suficiente, por si só, para acarretar sua responsabilização. O princípio geral que se tem consagrado em torno da atividade dos provedores de Internet é o da não responsabilização por material informacional ilícito colocado por terceiro.
O provedor não tem uma "obrigação geral de vigilância" sobre as informações que os usuários do sistema transmitem ou armazenam, bem como não tem uma "obrigação geral de procurar ativamente fatos ou circunstâncias que indiciem ilicitudes". Simplesmente atua provendo a infra-estrutura técnica para acesso à rede de comunicação, serviço que não acarreta uma co-obrigação de controle de conteúdo, de zoneamento visando à exclusão de informação ou material ilícito. Assim, prevalece um princípio geral de irresponsabilidade do provedor por material ilícito, depositado pelos usuários ou que de qualquer forma transita em seu sistema informático.
Esse princípio da irresponsabilidade do provedor sustenta-se em uma constatação de ordem prática: de que em razão das enormes quantidades de material informacional que abriga em seu sistema, o provedor não tem como fiscalizar o seu conteúdo. A grande massa de informações que transita no sistema informático de um provedor decorre da circunstância de que qualquer usuário da rede pode atuar como um emitente da informação, aumentando numa quantidade extraordinária o volume de mensagens circulantes e impedindo, com isso, o controle sobre o manancial informativo.
Em relação à divulgação de conteúdo difamatório ou ofensivo em páginas na Internet, ainda existe um grau de responsabilização do provedor. De fato, considera-se que o provedor de hospedagem é responsável pelo conteúdo ilegal de websites hospedados em seu sistema, quando tem prévio conhecimento da ilicitude do material informacional e não toma qualquer providência no sentido de fazer cessá-la (retirando a página ou site que contenha esse material).
Mas em relação às fraudes e ataques de phishing, na prática nem esse resíduo de responsabilidade (da omissão por inércia na retirada do site), pode ser atribuído ao provedor. É que em regra os phishers não deixam as spoofed webpages hospedadas por longo tempo; é somente o suficiente para aplicar o golpe em algumas vítimas, o que pode ser questão de dias ou de horas[21]. Assim, o provedor, em se tratando desse tipo de golpe, na prática nem sequer pode ser acusado de inércia na remoção do conteúdo ilícito (site), pois são os próprios criminosos quem toma a iniciativa de remover o material, logo após a execução das tentativas do golpe.
Como se vê, em relação ao phishing e outros tipos de fraudes, o provedor de Internet não tem o mesmo grau de controle sobre a ação dos causadores diretos do dano. O contexto em que se posiciona o provedor é largamente distinto do que ocorre em relação aos crimes cometidos simplesmente pela distribuição de conteúdo ilícito (assim genericamente considerados os casos de difamação). Nos casos mais comuns de difamação, que ocorrem através da transmissão de informações prejudiciais à imagem ou nome de um indivíduo qualquer, o provedor tem as condições técnicas para, por exemplo, remover a página eletrônica onde foram publicadas as notícias ilícitas.
Daí a efetividade e plausibilidade de se construir teoria de responsabilização para eles, caso se mostrem negligentes na remoção desse material, quando tenham conhecimento de forma apropriada do ilícito e são solicitados a produzir a remoção. Se a página eletrônica está hospedada no seu sistema informático, e o provedor permanece inerte, mesmo depois de solicitado a retirá-la, assume comportamento capaz de ensejar sua condenação à reparação dos danos produzidos à vítima. Nessa hipótese, o provedor, que tem as condições técnicas de prevenir o ato criminoso ou ao menos fazer cessar seus efeitos, mas se mantém em inércia, pode ser responsabilizado solidariamente.
Quanto aos ataques de phishing e outras fraudes do gênero os provedores de Internet não têm o mesmo poder de controle sobre a conduta dos internautas ou capacidade para fazer cessar os efeitos do ato ilícito. Em se tratando de ataques que exploram falhas de segurança, categoria em que podem ser incluídos os golpes de phishing, o grau de influência que o provedor tem sobre a ação do internauta (agente criminoso) ou aptidão para eliminar os efeitos dos seus atos é imensamente menor. Em regra, os praticantes dessa categoria de atos ilícitos são muito mais sofisticados, em termos de técnicas empregadas. Qualquer pessoa pode difamar outra na Internet, bastando que tenha conta em provedor, através do qual possa hospedar uma página eletrônica ou enviar mensagem de e-mail.
Já os golpes de phishing envolvem um maior refinamento técnico e, por isso, são praticados por agentes com maiores conhecimentos de informática, os quais se valem de meios para encobrir sua identidade e evitar a repressão sobre suas ações. Além disso, a própria natureza do ato de difamação pressupõe a continuidade do ato ilícito, através da permanência da divulgação da ofensa (conteúdo) na página eletrônica. Daí o domínio que o provedor exerce sobre o autor da difamação, podendo refrear sua conduta e conter os efeitos de sua ação através simplesmente da retirada do material ou conteúdo informacional ofensivo (retirada do site ou página da Internet).
O provedor não tem, todavia, essa mesma aptidão ou poder para conter as investidas de phishing, uma vez que os sites falseados (quando utilizados como instrumento ou meio para execução do golpe) ficam hospedados apenas pelo intervalo de tempo suficiente (em regra muito curto) para o logro da vítima (coleta de suas informações pessoais). Nesse contexto, o provedor não exerce o mesmo papel ou poder de controle sobre a atividade do agente criminoso; situa-se em posição diferente da que assume em relação aos ilícitos realizados mediantes simples disseminação de conteúdo, quando tem condições de reprimir a ação criminosa ou eliminar seus efeitos.
Essa observação da diferença de contexto quanto à prevenção de certos ilícitos e condutas é feita por Ronald J. Mann e Seth Belzley. Esses autores agrupam os casos de pornografia, difamação e pirataria sob a rubrica genérica de ilícitos realizados mediante a disseminação de conteúdo (dissemination of content), enquanto que os tipos e condutas ilícitas que são perpetrados mediante vírus, spam, phishing e hacking são classificados e incluídos na categoria de falhas de segurança (breaches of security). Em relação a essa última categoria de ilícitos, os provedores de Internet não têm o mesmo poder de controle sobre a conduta dos internautas. Considera-se que eles não têm como controlar e prevenir esses tipos de fraudes, pois lhes faltam condições técnicas para tanto:
É tecnologicamente difícil para os provedores de Internet filtrar o tráfego de informações para prevenir as fraudes e ataques que exploram falhas de segurança (vírus, spam, phishing e hacking) nos computadores dos internautas. Embora seja certo que certas modalidades de phishing scams requeiram o uso de um provedor para hospedar o spoofed site, este tem pouca duração e o provedor não tem controle sobre ele.
Em sendo diferente o contexto e o modo como são praticados os ataques que exploram falhas de segurança e a posição em que se coloca o provedor diante desses tipos de ilícitos, o esquema de atribuição de responsabilidades não pode ser o mesmo aplicado aos ilícitos praticados mediante simples disseminação de conteúdo (ofensas contra a honra e nome das pessoas). Diferentes tipos de esquemas de responsabilização devem ser aplicados a diferentes e específicos tipos de conduta. Se o contexto dos ataques de phishing é diferente daquele encontrado nos ilícitos praticados por disseminação de conteúdo ofensivo, o esquema de atribuição de responsabilidades também deve ser diferente.
A aplicação da teoria da responsabilização dos intermediários somente pode ser viável para alguns tipos específicos de conduta, parecendo-nos não ser aceitável tomá-la de empréstimo para responsabilizar o provedor por fraudes (phishing e outras do gênero) e ataques que exploram falhas de segurança[23], cometidas por terceiros não identificáveis.
Obviamente que, na hipótese da spoofed webpage não ser retirada imediatamente pelo próprio phisher, e o provedor tomar conhecimento de que sua estrutura de hospedagem está sendo utilizada como meio para a prática do golpe, sua inércia diante do fato, sem tomar medidas para “derrubar” a página eletrônica falsa, constitui circunstância que pode levá-lo a ser responsabilizado secundariamente pelos resultados.
Se, comunicado (pelo ofendido ou terceiro qualquer) da existência da página ou do envio recorrente de e-mail com mensagens fraudulentas, e tendo meios para retirá-la de circulação ou bloquear a expedição de novos e-mails da mesma fonte, o provedor assim não procede, revela que endossa a atividade ilícita ou que se mostra de certa forma conivente, assumindo o risco de ser responsabilizado[24].
Mas essa circunstância exemplificada, da spoofed webpage permanecer hospedada e ser facilmente localizada e identificada como tal, não costuma ocorrer na maioria dos ataques de phishing, onde as ações se desenvolvem de maneira muito mais veloz, sem dar tempo de o provedor esboçar qualquer reação eficaz em termos de evitar a concreção de prejuízos para as vítimas da fraude. O seu domínio em relação às fraudes de phishing é simplesmente inexistente, sem qualquer influência na repercussão do ilícito. Sendo limitado o seu controle, não parece correto atribuir-lhe responsabilidade.
Refêrencias
[18] Naftali Bennett, especialista em segurança computacional, afirma que 70% dos phishers produzem ataques em vítimas de países distintos . Ele acrescenta: “É quase impossível rastrear e processar os fraudadores.... Phishers estão se tornando mais sofisticados e mascarando suas identidades e localização. Eles estão se utilizando de PC’s “zumbis” e se escondendo de forma eficiente” (Citado por Gene S. Koprowski, Tough State Laws Won’t Stop “Phishing” Scams, Experts Say, TECHNEWSWORLD, Oct. 29, 2005.
[19] O golpe de phishing típico envolve dois passos iniciais. No primeiro, o phisher obtém espaço para hospedar uma webpage junto a um provedor de serviços na Internet e, uma vez contratado isso, instala o falso website, parecido com o de um banco ou de comércio eletrônico. Somente depois, é que o phisher envia para a vítima o e-mail enganoso ou contendo vírus que se apodera de seu computador e direciona o programa de navegação na Internet (browser) para a URL onde já se encontra o spoofed website.
[20] Alguns autores estrangeiros sustentam a possiblidade de se responsabilizar civilmente o provedor, de forma solidária, pelas lesões financeiras decorrentes do phishing, É o caso, por exemplo, de Camille Calman, que sugere uma responsabilidade secundária do provedor, com fundamento na Lei Anti-Phishing da Califórnia (em Bigger Phish to Fry: California’s Antiphishing Statute and its potential imposition of secondary liability on Internet Service Providers, publicado na Richmond Journal of Law & Technology Volume XIII, Issue1.
[21] Segundo Jeordan Legon, que afirma que os phishers além de mascarar suas identidades, abrem e fecham suas operações rapidamente (em “Phishing” Scams Reel in Your Identity, CNN.COM, Jan. 26, 2004.
[22] “The Promise of Internet Intermediary Liability”, William & Mary L. Review, 47 (2005): 239.
[23] Sempre, é óbvio, quando a falha de segurança não se relacione com o próprio sistema do provedor. O alvo dos ataques de phishing, spam e disseminação de vírus em regra são os computadores dos usuários dos serviços de comunicação na Internet.
[24] Seria uma responsabilidade por ato de terceiro. Em que pese a ausência de previsão da responsabilidade dos provedores por atos de seus usuários no art. 932 do C.C., a responsabilidade dos intermediários seria mantida apoiada nos fundamentos da responsabilidade por ato alheio, sobre a base de uma culpa individual A inexistência de norma específica em relação aos provedores e operadores de sistema informáticos poderia ser explicada na circunstância de que as relações cibernéticas são um fenômeno da modernidade, não prevista pelo legislador civilista, daí porque, em nome da evolução do Direito, seria fácil sustentar a extensão da responsabilidade secundária, de forma a incluir também aqueles (provedores) como responsáveis solidários. Tal conclusão não seria destituída de razoabilidade jurídica, pois o Direito não pode tolerar que ofensas fiquem sem reparação. Se “o interesse em restabelecer o equilíbrio violado pelo dano é a fonte geradora da responsabilidade civil”, nada impede que se visualize a responsabilidade dos intermediários da comunicação eletrônica, para atender a uma necessidade moral, social e jurídica de garantir a segurança da vítima violada pelo ato lesivo. Nesse sentido, os fundamentos da responsabilidade por ato alheio, calcada na falta de um dever de vigilância, podem ser invocados de modo a justificar a obrigação indenizatória de um controlador de sistema negligente.
|
|||