Idec aponta fragilidades na segurança de aplicativos de bancos

O Instituto Brasileiro de Defesa do Consumidor (Idec) divulgou nesta segunda-feira (2) um relatório em que critica a facilidade com que se pode acessar a conta bancária de alguém por aplicativo de celular, por meio de golpes. A entidade analisou, no documento Golpe do Celular Invadido, se os bancos Nubank, Bradesco, Itaú e Santander dispõem de mecanismos para reduzir as chances de os golpistas conseguirem ter sucesso ao tentar tirar dinheiro dos clientes.

Na primeira etapa do processo, que durou, ao todo, seis meses, o Idec levantou quantas reclamações os clientes registraram em 2022 contra cada banco pelo site Reclame Aqui. O Nubank foi o que teve mais queixas. Embora muitas dessas reclamações fossem sobre celulares roubados, algumas delas tinham a ver com o golpe do acesso remoto, inclusive com relatos espalhados por redes sociais.

Golpe

Conforme explica o instituto, o golpe acontece quando um criminoso se passa por atendente de um dos bancos e entra em contato com a vítima, seja por Whatsapp, SMS, e-mail ou mesmo por ligação telefônica. O golpista informa alguns dados pessoais do cliente para transmitir credibilidade, mantendo o tom formal e semelhante ao que usaria um atendente do banco. Assim, ganha a confiança da vítima, que, quando solicitado, baixa um aplicativo no celular, que, na realidade, se trata de um programa que permite o acesso remoto, controlado pelos criminosos. Desse modo, torna-se possível fazer transferências de dinheiro, empréstimos, compras e outros tipos de movimentações na conta bancária.

Após questionar o Nubank sobre as reclamações, o Idec foi atrás dos três maiores bancos privados do país: Bradesco, Itaú e Santander questionando sobre se já tiveram clientes que caíram em golpes e qual a atitude da instituição. Um deles respondeu que conseguia barrar completamente o acesso remoto ao aplicativo, o que fez com que o instituto perguntasse aos outros bancos por que não têm ainda essa ferramenta disponível.

Testes

Depois de um mês, o Idec testou o acesso remoto aos aplicativos das instituições financeiras para saber se haviam avançado no desenvolvimento de mecanismos capazes de impedir o acesso às contas dos clientes. Apenas um dos bancos testados foi capaz de bloquear o acesso e, na perspectiva do instituto, foi mencionado pelo Idec como referência aos demais. Os outros dois bancos foram notificados sobre os resultados.

O Idec decidiu preservar os detalhes dos testes, inclusive o nome do banco que foi bem sucessido, para evitar a disseminação de falhas e facilitação de uso indevido do acesso remoto como prática criminosa. Por isso, esses detalhes não estão presentes no relatório divulgado pelo Instituto

Diretos

O relatório evoca o Artigo 14 do Código de Defesa do Consumidor e a Súmula 479 do Superior Tribunal de Justiça (STJ) para lembrar que as vítimas de golpes como esse têm direitos que podem reivindicar. Quando o banco causar danos aos clientes por falhas de segurança que sejam comprovadas tem o dever de reparar tais danos a quem foi prejudicado. Além do relatório, o Idec também disponibilizou um modelo de petição para quem precisar acionar a Justiça para buscar reparação ao dano sofrido.

A Agência Brasil procurou Nubank, Bradesco, Itaú e Santander para se posicionarem sobre o levantamento. O Bradesco ainda não se manifestou.

Em nota, o Santander afirma ter “eficazes mecanismos de proteção para segurança da operacionalização do seu aplicativo pelos clientes”. “Esses mecanismos possuem, inclusive, diversas tecnologias capazes de identificar situações de risco e, assim, atuar na prevenção efetiva de golpes e fraudes por terceiros. A Instituição ressalta sua confiança na integridade e eficiência de seus mecanismos e sistemas de proteção, bem como na segurança operacional de seus canais, produtos e serviços, proporcionando proteção e segurança aos clientes”, acrescenta.

Já o Nubank informou que a situação em que o teste do Idec ocorreu difere, em uma série de fatores, de uma situação real de tentativa de golpe. A instituição diz ainda que é importante que o cliente mantenha seu aplicativo de celular atualizado. “Clientes que estão com seus aplicativos atualizados já contam com camadas adicionais de proteção, incluindo mecanismos que efetivamente bloqueiam o uso do aplicativo do Nubank por acesso remoto”, diz nota do banco.

Por fim, o Nubank reforça que, desde que foi criado, há dez anos, investe constantemente em segurança: “Esse trabalho contínuo de aprimoramento abrange ferramentas preventivas que dão mais controle aos clientes sobre seu uso do app; mecanismos internos de detecção de operações suspeitas; e campanhas com dicas e orientações sobre como identificar e se proteger de tentativas de golpes”.

O Itaú Unibanco destacou, também em nota, que toma a segurança como uma de suas prioridades e que “investe continuamente em sistemas e medidas para a proteção dos seus clientes, além de realizar comunicações e campanhas de prevenção a golpes direcionadas a eles”.

“O Itaú reforça, ainda, que os dispositivos do banco utilizados por seus clientes possuem mecanismos de segurança que impedem o acesso externo por terceiros”, adiciona na mensagem encaminhada à reportagem.