Phishing bancário: link falso, dados capturados e transações indevidas
Uma mensagem por SMS ou e-mail avisa sobre um problema urgente na sua conta e traz um link. A página que abre é idêntica à do banco, e ali você digita agência, senha e o código do token. Só que a página é clonada, e nesse instante suas credenciais foram capturadas por criminosos, que passam a movimentar a conta de um dispositivo estranho. Este guia mostra por que a prova de que o acesso veio de outro aparelho e local é o eixo da defesa, e como a responsabilidade do banco se articula nesse tipo de fraude.
A página clonada que captura a sua senha e o seu token
O phishing bancário vive da imitação. O link leva a uma cópia fiel do site ou do aplicativo do banco, muitas vezes com endereço parecido com o oficial, para colher em tempo real os dados digitados, inclusive o código temporário do token. De posse dessas credenciais, o criminoso acessa a conta a partir do próprio equipamento e realiza transferências e pagamentos.
O primeiro movimento é trocar imediatamente as senhas, comunicar o banco, pedir o bloqueio e registrar boletim de ocorrência. Guarde a mensagem recebida, o link e as capturas de tela, porque eles documentam a origem da fraude.
Dispositivo e geolocalização diferentes como prova da fraude
O que distingue esse golpe do acesso remoto é que, aqui, as operações partem de um equipamento que não é o seu. Isso deixa rastro: registros de acesso a partir de dispositivo desconhecido, endereço de conexão e localização incompatíveis com os seus. Solicite ao banco os logs de acesso e preserve seus próprios registros, pois a divergência de aparelho e de geolocalização é a demonstração mais forte de que não foi você quem operou.
Essa prova costuma ser decisiva. Um acesso originado de outra cidade ou de um aparelho jamais usado por você, coincidindo com as transações contestadas, pesa a favor da sua versão.
A Súmula 479 e o defeito do serviço bancário no phishing
Fraudes que exploram o ambiente digital do banco encaixam-se no conceito de fortuito interno, risco inerente a atividade. A esse respeito, a Súmula 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias, em diálogo com a regra do serviço defeituoso trazida pelo art. 14 da Lei 8.078/1990.
Existe o contraponto: quando o banco comprova que a vítima entregou as credenciais de forma negligente, pode-se discutir a redução da responsabilidade. Ainda assim, a demonstração de acesso por dispositivo estranho e a falta de travas diante de operações atípicas mantêm a instituição no centro da discussão. Reunidos os logs, a mensagem de phishing e o extrato, um advogado pode avaliar à distância a força do caso e conduzir a contestação das transações de forma inteiramente online.
Devolução no arranjo do Pix e a recusa em bloco do banco
Formalizada a comunicação inicial, transforme cada operação fraudulenta em contestação individual, por escrito, e exija a apreciação da instituição. Nas transferências via Pix, o pedido de devolução por fraude deve ser registrado logo, respeitado o prazo regulamentar de 80 dias; a recuperação depende do saldo remanescente na conta receptora, e criminosos pulverizam valores em horas. Para cartão e boleto gerados pelos invasores, a impugnação segue o procedimento de cada produto.
Se o banco rejeitar tudo em bloco, sem enfrentar os logs pedidos, leve a recusa à ouvidoria e ao canal do cidadão do Banco Central; a resposta padronizada, confrontada com os registros, costuma ruir em juízo.
Quanto custa esperar: prazos e um caso hipotético de link falso
Um estudante hipotético recebeu SMS sobre "pontos do cartão expirando hoje", clicou, digitou os dados na página clonada e, em duas horas, viu R$ 3.200 saírem em transferências para contas desconhecidas, feitas de um aparelho que ele nunca usou. O caso dele é favorável justamente pela prova de dispositivo estranho; ainda assim, ele só reuniu os logs porque os pediu em uma semana, antes do descarte dos registros mais antigos.
A pretensão de reparação contra a instituição prescreve em três anos, contados da ciência das movimentações. Vale repetir o contrapeso: se ficar demonstrado que o próprio cliente entregou senha e token em circunstância que nenhum sistema detectaria, a responsabilidade pode ser afastada ou reduzida, e cada caso se decide pela qualidade da prova.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.