  PROJETO DE LEI Nº. 192/2009
    Dispõe sobre a obrigação das instituições financeiras de informar aos clientes sobre as fraudes cometidas contra a instituição, bem como sobre as medidas de prevenção contra essas fraudes.

 
A ASSEMBLEIA LEGISLATIVA DO ESTADO DO CEARÁ APROVA:
    Art. 1º. Ficam as instituições financeiras, localizadas no Estado do Ceará, obrigadas a informar aos seus clientes sobre as fraudes mais freqüentes cometidas no uso de seus serviços bancários, bem como sobre os cuidados para sua prevenção.
  Art. 2º. Para fins do disposto no art. 1º, a instituição financeira adotará um dos seguintes procedimentos:
  I - apresentar informação em destaque junto às instruções de uso de seus serviços;
II - disponibilizar informação em sua página na internet; ou
III - encaminhar correspondência à residência do cliente.

Art. 3º. O descumprimento do disposto nesta lei sujeitará o infrator às sanções previstas na Lei Federal nº. 8.078, de 11 de setembro de 1990.
  Art. 4º. Esta Lei entra em vigor na data de sua publicação, revogadas as disposições em contrário.
    SALA DAS SESSÕES DA ASSEMBLEIA LEGISLATIVA DO ESTADO DO CEARÁ, EM _____ DE AGOSTO DE 2009.
      RONALDO MARTINS
Deputado Estadual – PMDB
Ouvidor Parlamentar
    JUSTIFICAÇÃO
  Estamos vivendo em uma época cercada de fraudes de diversas origens e formas. Uma das fraudes mais comuns atualmente na Internet é a prática conhecida como Phishing Scam, que consiste basicamente no envio de e-mails fraudulentos, onde o autor, através de Engenharia Social, convence o usuário a baixar e executar um programa malicioso.
A presente propositura tem o objetivo de garantir o mínimo de esclarecimentos aos clientes da rede bancária cearense, que são vítimas de diversos tipos e formas de fraudes bancárias, sem que haja, por parte dos bancos, qualquer motivação no sentido de informar ao consumidor sobre as principais fraudes cometidas e sobre como se prevenir dessas fraudes.
  A matéria estabelece, no art. 2º, as formas de comunicação dos bancos com os seus clientes, para o fiel cumprimento do que dispõe a presente lei.
  A organização não-governamental Linha Defensiva, traça um importante perfil sobre as fraudes cometidas contra correntistas da rede bancária:
  A Fraude
O usuário recebe um email fingindo tratar-se de uma notificação de dívida, uma irregularidade em seu CPF, um álbum de fotos de uma pessoa conhecida, cartões virtuais da pessoa amada, etc. Conforme os temas vão sendo abordados na web e ficando conhecidos, os autores criam novos temas com outros apelos, utilizando, por exemplo, a curiosidade do usuário. Podemos encontrar e-mails com textos que lembram da banda da banda Mamonas Assassinas, oferecendo o download de fotos do desastre que ocorreu com seus integrantes.
Muitas vezes o email finge ser uma mensagem autêntica, proveniente de uma grande empresa, trazendo uma boa formatação, logotipos e outras características de cada empresa. Em outras ocasiões, é apenas um assunto curioso que leva a vítima a efetuar o download e executar o arquivo. Quase sempre estes arquivos ficam hospedados em servidores gratuitos ou comprometidos fora do Brasil, o que dificulta o rastreamento ou mesmo a remoção do arquivo para diminuir o número de pessoas infectadas.
O arquivo nem sempre é barrado por um antivírus, o que aumenta o poder do golpe. Como são feitas inúmeras versões dos programas, existe uma demora para que eles sejam reconhecidos pelos antivírus. Esse tempo é explorado pelos fraudadores.
Depois que o usuário executa o trojan, nada acontece. Em alguns casos ocorre uma mensagem de erro, obviamente falsa, apenas para que o usuário pense que o programa não funcionou e não suspeitar da verdadeira origem do software executado. Agora este trojan vai ficar monitorando o acesso aos sites da Internet e irá “acordar” quando o usuário estiver acessando a sua conta bancária.
Como os bancos constantemente estão aumentando a segurança em seus sites, os trojans têm que se adaptar à essa situação. No passado, a técnica utilizada para adquirir os dados de correntistas era baseada na gravação das teclas digitadas e posterior envio por email. Com o advento dos teclados virtuais e outras técnicas desenvolvidas pelos bancos, os keyloggers foram substituídos por programas que alteram ou mesmo sobrepõe as telas originais dos bancos. Temos a falsa sensação de segurança quando clicamos nossas senhas ao invés de digitarmos, pois os trojans atuais imitam a tela do sistema de login do banco.
Mas atenção: o sistema de login pede apenas informações básicas para o acesso à conta. Já os trojans solicitam todos os seus dados, além da senha de acesso. É comum solicitarem CPF, data de nascimento a senha do cartão como números de seu cartão (isso pode variar em cada banco). Essa solicitação é única em uma só tela ou dividida em várias telas (normalmente seguidas). É fácil identificar que algo está errado. Se você for vítima, pare a operação e comunique o banco.
Quando o usuário coloca todas as informações de acesso completo à sua conta, normalmente o trojan exibe uma falsa informação de erro e fecha o navegador. Neste momento, o trojan envia, normalmente através de email, as informações do correntista. Em grande maioria, são utilizados emails em provedores gratuitos e quase sempre fora do Brasil. Assim como na hospedagem dos programas, isso dificulta o rastreamento e identificação dos crackers.
A mecânica destes programas é diferente de outros trojans que abrem uma BackDoor no sistema. Ao invés de termos uma porta aberta esperando que o computador seja invadido, o próprio trojan envia as informações para o destinatário (cracker).
Já de posse dos dados do correntista, o cracker vai testar as informações no própio site do banco. Ele analisa saldo e datas de eventuais recebimentos (como salários). Avalia ainda as restrições da conta, como limites de valores para transferências, DOCs, etc. Os dados serão guardados para posterior utilização de acordo com o perfil da conta.
  Retirando os valores
Os crackers subtraem valores das contas de várias formas:
·         Através de transferências para outras contas da mesma rede bancária (*)
·         Através de DOCs para outros bancos (*)
·         Efetuando pagamentos de títulos e boletos de compras efetuadas na própria internet
·         Efetuando pagamentos de boletos criados por laranjas que possuem esquemas de cobrança
·         Carregando celulares pré-pagos registrados com nomes falsos
·         Em casos de contas sem saldo, mas com crédito pré-aprovado chegam a tomar empréstimos para efetuar as transações acima.
(*) estas transações normalmente são efetuadas para contas de laranjas que possuem contas com nomes e documentos falsos e até mesmo para suas próprias contas.
Os crackers programam suas operações de forma que farão a maior quantidade de transações permitidas em um ou dois dias seguidos, sendo que quando o correntista nota o golpe, já é tarde demais. Assim que o correntista comunica o fato ao banco, normalmente o acesso à sua conta é bloqueado por vários dias, enquanto o banco pratica a perícia para comprovar se houve fraude.
Normalmente o correntista é ressarcido pelo banco, que devolve à C/C a quantia total da fraude. Entretanto, são vários dias com a conta bloqueada e sem cartão. Quem é que paga por toda essa dor de cabeça?
  O trabalho da ONG Linha Defensiva vem buscando esclarecer à população sobre como escapar dessas fraudes bancárias. Porém, consideramos que esta deve ser uma obrigação das instituições bancárias, que possuem pleno conhecimento técnico e operacional sobre as fraudes, inclusive com os procedimentos para a prevenção por parte dos consumidores.
      RONALDO MARTINS
Deputado Estadual – PMDB
Ouvidor Parlamentar