O cibercrime já fez mais de vinte e sete por cento de vítimas alemãs que usam a internet. As fraudes cibernéticas mais comuns afetam compras e o acesso a online banking, além de acessos indevidos a contas online e ataques de phishing. Quase todos que já sofreram fraude tiveram perdas, e na sua maioria os danos foram financeiros.

O roubo de identidade costuma estar ligado de forma direta ao cenário maior de fraude online. Leia o artigo para saber o que é roubo de identidade, as formas de atuação e como funciona a responsabilidade diante dessa ação, além de ver como as empresas podem reduzir os riscos de fraude.

Principais conclusões

• O roubo de identidade não é considerado um crime distinto na Alemanha. No entanto, as ações para roubar a identidade de alguém muitas vezes se qualificam como uma série de outros crimes.
  
• O roubo de identidade é o ato de usar a informação pessoal de alguém, sem permissão, de forma fraudulenta ou para enganar outras pessoas.
  
• As identidades roubadas são usadas para gerar pagamentos indevidos, fechar contratos ou acessar contas.
  
• Normalmente, a vítima não assume os danos, exceto quando o ato foi causado por negligência.
  
• As soluções modernas, como o Stripe Radar, ajudam a identificar as transações suspeitas e reduzir os riscos de fraude de forma antecipada com processos seguros, proteção de dados eficaz e controles técnicos.
  

O que é roubo de identidade?

O roubo de identidade acontece quando algum fraudador usa uma informação pessoal de alguém, sem o consentimento da pessoa, na tentativa de levar vantagem ou de repassar os benefícios a terceiros. Esse malfeitor tenta agir de forma fraudulenta usando dados como o nome, a data de nascimento, o endereço ou o login digital da vítima. A intenção muitas vezes é de se passar por alguém ou agir no lugar dessa pessoa.

O roubo de identidade acaba afetando bastante os indivíduos que tiveram as informações pessoais sendo usadas de forma ilícita. E as consequências variam desde perdas financeiras a problemas por anos para acessar serviços, além da dificuldade em comprovar e de retificar uma informação pessoal.

As empresas muitas vezes são as partes afetadas, especialmente de forma indireta, quando um fraudador faz uso de uma identidade roubada para agir e fazer compras ou fechar contratos no nome de uma outra pessoa. Com isso as empresas envolvidas podem sofrer as perdas financeiras e despender mais tempo para revisar e processar transações. Assim como manchar a imagem da empresa e reduzir a confiança depositada pelos clientes e os sócios.

Quais são os tipos de roubo de identidade?

O roubo de identidade assume formas diferentes. Os métodos variam de acordo com o contexto e o objetivo do criminoso, e variam da típica fraude digital a cenários menos comuns e mais complexos.

• Fraude de pagamento: agentes mal-intencionados usam dados de pagamento ou login em um serviço de pagamento de terceiros para realizar transações não autorizadas.
  
• Falsificação de identidade para fechar contratos e fazer pedidos: agentes fraudulentos fingem ser outra pessoa para fechar acordos de compra, aluguel ou serviço, ou para pedir mercadorias.
  
• Fraude de invasão de conta (ATO): agentes mal-intencionados obtêm acesso a contas online existentes, as quais usam sem permissão. Eles podem usar essas contas para fazer pedidos, visualizar dados ou se comunicar em nome do titular da conta.
  
• Fraude de nova conta: criminosos podem usar identidades roubadas para abrir novas contas em bancos ou serviços online. Essas contas são usadas para empréstimos, assinaturas ou outras obrigações financeiras que são atribuídas à pessoa cuja identidade foi roubada.
  
• Falsificação de identidade ao interagir com autoridades públicas: em casos raros, as identidades roubadas são usadas para provar a identidade de uma pessoa a um órgão público ou para solicitar benefícios do estado.
  
• Troca do Subscriber Identity Module (SIM): agentes fraudulentos assumem o controle do número de celular de alguém transferindo seu número para um novo chip. Em seguida, eles podem interceptar senhas de segurança e obter acesso a outras contas.
  
• Falsificação de identidade em rede social: agentes mal-intencionados copiam ou assumem os perfis de rede social das pessoas para compartilhar conteúdo em seu nome ou enganar terceiros.
  

Como agentes fraudulentos acessam dados de identificação?

Para cometer fraude de identidade, os criminosos primeiro precisam obter acesso a dados pessoais. Muitas dessas informações vêm de fontes disponíveis publicamente, como redes sociais ou perfis online. Agentes fraudulentos também podem usar informações obtidas em violações de dados ou bancos de dados hackeados.

No entanto, muitas vezes, as próprias vítimas entregam seus dados a agentes mal-intencionados sem nem perceber. Vítimas de ataques de phishing, por exemplo, inserem dados do cartão de crédito, senhas ou códigos de segurança em sites falsos. Esses ataques geralmente começam como e-mails ou mensagens de texto que parecem comunicações oficiais de bancos, provedores de serviços de pagamento (PSPs) ou empresas conhecidas. Eles costumam conter um link que leva a um site de aparência enganosamente autêntica, que solicita que os usuários insiram seus dados.

Se você foi vítima de roubo de identidade, o Escritório Federal de Segurança da Informação (BSI) fornece um checklist de primeiros socorros.

Quem é o responsável em caso de roubo de identidade?

Com fraudes online, a principal dúvida de empresas e varejistas na Alemanha, bem como de pessoas físicas, é quem é o responsável em caso de roubo de identidade. A resposta depende dos detalhes de cada caso. Basicamente, trata-se de quais deveres de cuidado foram violados.

Princípio: vítimas não são responsáveis

Em princípio, as vítimas de roubo de identidade não são pessoalmente responsáveis por quaisquer danos causados pelo uso de sua identidade roubada. Isso ocorre porque, legalmente falando, a responsabilidade é das pessoas que usam essa identidade ilegalmente para fechar contratos, fazer pagamentos ou realizar outros atos. Consequentemente, a vítima de roubo de identidade não é parte de nenhuma obrigação contratual assumida com o uso de sua identidade.

Exceção: negligência contributiva

Esse princípio não se aplica se a própria má conduta da vítima contribuiu para o roubo de sua identidade. Qualquer pessoa que seja imprudente com dados confidenciais ou que não observe medidas básicas de segurança pode, em alguns casos, assumir pelo menos uma responsabilidade parcial. O fator decisivo é sempre se um dever de cuidado foi violado.

Online banking e serviços de pagamento

No online banking, os usuários têm uma responsabilidade significativa de manter a segurança de seus dados de login e processos de segurança. Em muitos casos, os bancos compensarão quaisquer perdas sofridas como resultado de pagamentos não autorizados. No entanto, uma franquia também pode ser aplicada. A lei geralmente limita essa franquia a € 50 se o instrumento de pagamento for perdido ou mal utilizado, e as perdas não puderem ser evitadas a tempo. Em determinados casos, essa franquia pode ser totalmente isenta, como se o usuário não pudesse ter percebido a perda ou o próprio banco fosse o responsável.

No entanto, não há limitação de responsabilidade se a pessoa agiu com intenção fraudulenta ou negligência grave. A negligência grave inclui compartilhar dados de login ou não armazená-los com segurança. A Seção 675v, Parágrafo 3 do Código Civil Alemão (BGB) estipula que o usuário pode ser pessoalmente responsável pelas perdas nesses casos.

Em geral, os clientes não são responsáveis por quaisquer perdas incorridas se os bancos ou provedores de serviços de pagamento (PSPs) não empregarem a autenticação forte de cliente (SCA) exigida por lei. Eles também não são obrigados a compensar quaisquer perdas que ocorram após relatarem seu cartão como roubado ou desaparecido, desde que tenham feito isso com rapidez suficiente.

Phishing e engano intencional

Aos olhos da lei, inserir ativamente dados confidenciais em sites falsos ou mensagens fraudulentas pode ser visto como um ato de negligência grave. Nesses casos, a vítima pode ser pelo menos parcialmente responsável por quaisquer perdas incorridas.

No entanto, a avaliação legal do phishing sempre depende dos detalhes de cada caso. Em particular, os tribunais levam em consideração o quão profissional era a aparência do golpe e se havia sinais claros de alerta para a vítima. Os golpes modernos costumam usar canais de comunicação enganosamente autênticos e sabem muitos detalhes sobre suas vítimas, dando a impressão de que estão agindo legitimamente em nome de um banco, órgão público ou outro órgão confiável.

As decisões judiciais mais recentes ilustram que o simples fato de um ataque de phishing ser bem-sucedido não significa que se pode concluir automaticamente que a vítima agiu com negligência grave. Em vez disso, deve-se avaliar em cada caso se também teria sido difícil para o usuário diligente médio identificar o golpe. À medida que os ataques cibernéticos se tornam cada vez mais profissionais, esses parâmetros de referência diferenciados estão se tornando mais importantes em relação a quem é o responsável e se as vítimas podem reivindicar danos.

Pedidos e contratos fraudulentos

Uma pessoa cuja identidade é usada para pedir mercadorias ou fechar contratos sem seu envolvimento geralmente não é responsável por quaisquer danos incorridos como resultado. Faturas, cartas de cobrança ou cartas de cobrança não precisam ser pagas, desde que possa ser claramente demonstrado que ocorreu fraude de identidade. No entanto, é importante responder a essas solicitações prontamente e esclarecer o que aconteceu.

Nesses casos, a empresa afetada geralmente assume o risco financeiro em primeira instância. Se não puder ser demonstrado que um contrato foi realmente estabelecido com a pessoa em questão, então quaisquer solicitações de pagamento serão geralmente ineficazes. Portanto, as empresas devem verificar se a pessoa que faz um pedido ou fecha um contrato era, de fato, quem dizia ser.

Se uma empresa sofrer uma perda como resultado de fraude (por exemplo, porque enviou mercadorias ou prestou serviços), é improvável que recupere qualquer coisa, a menos que os verdadeiros autores possam ser identificados ou ações sejam movidas contra eles. O risco de fechar um contrato com alguém que está usando uma identidade falsa recai, portanto, sobre a empresa que não conseguiu verificar adequadamente a identidade de seu cliente antes de assinar.

Como as empresas estabelecidas na Alemanha podem reduzir os riscos de fraude?

É praticamente impossível ficar imune à fraude de identidade. Contudo, as empresas podem reduzir muito os riscos e mitigar possíveis danos com medidas técnicas, jurídicas e organizacionais adequadas.

Implemente verificações de identidade e autenticação segura

As empresas devem verificar minuciosamente a identidade de seus clientes, sobretudo em caso de transações de alto risco, como pedidos caros, contratos de longo prazo ou contas de clientes novos. Outros procedimentos de verificação, a autenticação multifator (MFA) e as verificações de viabilidade ajudam a sinalizar com antecedência possíveis usuários fraudulentos.

Sinalize as atividades suspeitas

É muito comum encontrarmos sinais de alerta de fraude sendo cometida, como alto valor dos pedidos, mudanças de última hora no endereço de entrega, vários pedidos em um curto espaço de tempo ou contradição nas informações do cliente. Para identificar atividades suspeitas antes da execução do contrato, use as avaliações de risco automáticas e o treinamento de seus funcionários.

Treinar funcionários

Os ataques de phishing e métodos de engenharia social não afetam só os clientes, mas também as empresas. Os treinamentos regulares devem ajudar seus funcionários a identificarem ligações, e-mails ou mensagens suspeitas e reagirem de forma devida. Assim as chances de dados da empresa ou do cliente caírem nas mãos de fraudadores diminuem.

Aumente a proteção de dados e a segurança da tecnologia da informação (TI)

As informações pessoalmente identificáveis em geral têm origem em vazamento de dados ou incidentes de segurança. Por isso, as empresas devem proteger todos os dados que armazenam. As empresas na Alemanha devem implementar medidas técnicas e organizacionais adequadas para proteger informações pessoalmente identificáveis, restringir direitos de acesso e verificar com regularidade possíveis lacunas de segurança.

Os princípios para gestão e armazenamento de livros contábeis, registros e documentos eletrônicos (GoBD) também contêm requisitos em relação à segurança e à rastreabilidade de processos de negócios digitais. As empresas devem garantir que as informações tributárias sejam protegidas contra perdas, manipulação e acesso indevido, e devem se manter transparentes e auditáveis o tempo todo. Assim, uma gestão eficiente de proteção e segurança da informação é muito mais do que só cumprir com as regras estatutárias. Pode até mesmo evitar roubos de identidade e perdas financeiras.

Crie processos definidos sobre o que fazer em caso de fraude

Mesmo após tomar tantas precauções, uma fraude ainda pode ocorrer. Sendo assim, as empresas devem definir uma forma de verificar as atividades suspeitas, informar os clientes afetados e como deve ser a documentação dos danos. Os processos internos precisos simplificam uma reação mais rápida e ajudam a reduzir as perdas financeiras e possíveis problemas com a reputação da empresa.

Quais os aspectos legais as empresas estabelecidas na Alemanha devem saber?

O roubo de identidade não representa apenas um risco financeiro para as empresas estabelecidas na Alemanha, ele também pode ter implicações jurídicas. As empresas alemãs devem observar várias obrigações legais, principalmente em relação ao tratamento de informações pessoalmente identificáveis, prevenção contra fraude e reação a incidentes de segurança.

• Obrigações de proteção de dados
  As empresas que processam informações pessoalmente identificáveis devem cumprir com as regras do Regulamento Geral sobre a Proteção de Dados (GDPR), especialmente do Artigo 32, que determina que as empresas implementem medidas técnicas e organizacionais adequadas para garantir a segurança dos dados. Se ocorrer um vazamento de dados devido a medidas de segurança inadequadas, as autoridades supervisoras poderão impor multas e, em alguns casos, as pessoas afetadas poderão exigir o pagamento de indenização.

• Obrigações de notificação em caso de violação de dados pessoais
  Se um incidente de segurança causar a violação de proteção de dados pessoais, a empresa deverá notificar a autoridade de proteção de dados correspondente. A notificação deve ser preenchida em até 72 horas após a empresa tomar conhecimento da violação.

• Requisitos de responsabilidade e documentação
  Como parte das obrigações de responsabilidade, as empresas devem manter documentação transparente de suas medidas de proteção e segurança de dados. O GoBD também determina que processos digitais tributários sejam devidamente documentados e transparentes. Uma documentação completa, comprovando que a empresa cumpriu suas obrigações estatutárias, poderá ser útil em caso de contestação.

• Obrigação contratual de cuidado em relação aos clientes
  As empresas têm a obrigação de tomar as medidas adequadas para evitar fraudes e abusos. As medidas a serem adotadas dependem do modelo de negócio, do potencial de risco e dos padrões habituais do setor. As empresas que ignorarem riscos claros ou não implementarem medidas básicas de segurança podem ser responsabilizadas por eventuais danos.

• Processadores de dados e triagem de fornecedores
  Muitas empresas usam provedores de serviços externos para os sistemas de TI, o processamento de pagamentos ou para serviços em nuvem. Se esses provedores processarem informações pessoalmente identificáveis, os requisitos do GDPR em relação aos processadores deverão ser seguidos. A princípio, as empresas continuam responsáveis pelo processamento lícito desses dados. Sendo assim, elas devem revisar os padrões de segurança de seus provedores com regularidade.

• Processo jurídico por fraude de identidade
  O roubo de identidade não é considerado um crime distinto segundo a lei alemã. No entanto, os atos subjacentes muitas vezes se qualificam como outros tipos de crimes, como fraude, fraude de computador ou espionagem de dados. Portanto, as empresas devem sempre documentar incidentes suspeitos e avaliar a necessidade de abrir um processo judicial.

Como a Stripe pode ajudar você a prevenir fraudes

Hoje em dia, a prevenção eficaz de fraudes de identidade e pagamento requer sistemas automatizados que sinalizam atividades suspeitas antecipadamente e avaliam riscos em tempo real. O Stripe Radar é uma solução de prevenção a fraudes que analisa transações automaticamente e identifica fraudes em potencial. Desenvolvida com inteligência artificial (IA), a tecnologia usa dados da rede de pagamentos global da Stripe para identificar padrões de fraude conhecidos e incorporar novos sinais de risco de forma consistente.

O Radar usa diferentes fatores para avaliar transações, incluindo padrões de compra suspeitos, dados incomuns de dispositivo ou localização, e indícios de tentativas de fraude anteriores. A solução usa essas informações para produzir uma pontuação de risco em tempo real, para que pagamentos suspeitos possam ser revisados ou bloqueados com maior precisão. O objetivo do Radar é identificar usuários fraudulentos de forma precoce, sem precisar rejeitar um grande número de transações legítimas.

Perguntas frequentes sobre roubo de identidade