Supremo condena BPI em caso de phishing avançado

Hoje em dia os riscos para quem utiliza a internet para realizar operações bancárias são mais que muitos, com scammers e hackers a usarem todos os truques possíveis para se apoderarem dos dados pessoais dos utilizadores e conseguirem o acesso às contas. Agora, uma decisão do Supremo Tribunal poderá vir a dar algum descanso aos utilizadores... e causar enormes complicações aos bancos.

O Supremo condenou o BPI num caso de uma pequena empresa que viu 13 mil euros voarem da sua conta depois de ter sido alvo de pharming. Se a maioria das pessoas já está familiarizada com o termo "phishing" - os emails que se fazem passar por empresas legítimas e que tentam direccionar as pessoas para sites falsos com aspecto idêntico à do serviço original, e pedindo para que façam coisas como verificar os seus dados para efeitos de segurança, etc. - no caso deste pharming o que se passa é que o computador (ou router), por acção de malware ou outra vulnerabilidade, passa a redireccionar as visitas a um site legítimo para um site "aldabrado".

Ou seja, quando escrevem manualmente um endereço no vosso browser, isso não irá fazer com que visitem o site correcto - mas sim o site falsificado sob controlo dos atacantes, e onde os vossos dados serão captados, e que em muitos casos pode estar a servir de intermediário para o site real, servindo de "man-in-the middle", e permitindo que a pessoa faça as operações habituais sem se dar conta de algo anormal.

Só que depois, ao pensar que já saiu do site, os hackers continuarão a ter acesso e a poder fazer operações no mesmo - como aqui terá acontecido.


A decisão do Supremo não deixará de levantar polémica, uma vez que não se tratou de nenhuma vulnerabilidade no sistema de banca online, mas sim de uma falha que ocorreu no computador do cliente - mas os juízes entenderam que "os riscos da falha do sistema informático, bem como dos ataques cibernautas ao mesmo, têm de correr por conta dos bancos, pelo menos nos casos em que não se provou ter havido qualquer culpa por parte do cliente, como aqui".

É uma decisão que - mesmo não querendo fazer o papel de advogado do diabo - me faz interrogar se os juízes terão realmente noção do que se terá passado. Se os bancos passarem a ser responsabilizados pelas falhas dos seus utilizadores no acesso aos seus serviços... suspeito que muitos deles simplesmente optem por deixar de os fornecer. De certo modo, acabará por ser como se imputasse a responsabilidade de um furto ao fabricante da fechadura da porta, pelo legítimo dono ter permitido que um ladrão fizesse uma réplica da chave.

Por outro lado, será da forma que os bancos serão pressionados a encontrar formas mais seguras e que evitam este tipo de possibilidades: se bem que... não estou bem a ver como é que será possível evitarem algo deste tipo.

Sabendo que aqui estamos num ambiente com leitores mais tecnológicos e informados sobre estes temas: que vos parece? Será que o Supremo esteve bem ao condenar o BPI por um caso de "pharming" de um dos seus cliente?