A responsabilidade da empresa nos ataques de phishing: Ausência do dever de indenizar

O Phishing consiste em uma prática enganosa e manipuladora adotada por cibercriminosos com o intuito de enganar os usuários da web, levando-os a fornecer dados pessoais, além de criar páginas falsas que se assemelham às de empresas renomadas, a fim de induzir o consumidor a realizar compras e efetuar pagamentos em sites fraudulentos, aproveitando a confiança na reputação da marca.

Essa descrição refere-se ao termo "phishing" em inglês, que na área da informática é uma forma de roubo de dados online. O método mais frequente desse tipo de crime é por meio de e-mails fraudulentos ou redirecionamento para páginas falsas na internet (que são réplicas dos sites originais), seja em redes sociais ou em outros meios.

Os golpes de phishing costumam ser disfarçados como e-mails legítimos de empresas confiáveis, porém geralmente contêm links suspeitos que não correspondem aos oficiais, ignorando medidas de segurança adotadas pelas empresas para proteger seus clientes contra esse tipo de fraude.

É importante frisar que os sites fraudulentos se apropriam do design dos sites legítimos, replicando até mesmo o processo de compra: desde a seleção dos produtos, adição ao carrinho de compras, inserção dos dados do cliente e, por fim, o pagamento feito é direcionado a uma terceira pessoa ou empresa sem qualquer vínculo com alguma marca ou empresa legítima.

Ao determinar a responsabilidade civil de uma empresa em casos de phishing, é crucial examinar sua conduta em relação à proteção dos dados dos clientes. Se uma empresa negligenciar a implementação de medidas de segurança cibernética adequadas ou falhar em responder de maneira adequada a um ataque de phishing, ela pode ser considerada culpada pelos danos causados aos usuários afetados.

Por outro lado, os usuários também desempenham um papel importante na prevenção do phishing e na proteção de suas próprias informações pessoais. Embora as empresas tenham a responsabilidade de implementar medidas de segurança, os usuários também devem ser proativos na identificação de tentativas de phishing e na adoção de práticas de segurança cibernética, como verificar a autenticidade de e-mails e proteger senhas. Para que uma empresa seja responsabilizada por danos decorrentes de um ataque de phishing, é necessário estabelecer uma ligação causal direta entre a conduta negligente da empresa e o dano sofrido pela vítima.

Os consumidores também têm a responsabilidade de proteger suas informações pessoais e financeiras. Se os indivíduos negligenciarem práticas básicas de segurança cibernética, como verificar a autenticidade de sites e e-mails suspeitos e não compartilhar informações confidenciais em plataformas não verificadas, terão contribuído diretamente para o dano sofrido.

Ademais, por mais que as empresas adotem medidas de segurança, é descabido supor a aptidão dos fornecedores de fiscalizarem endereços eletrônicos de terceiros que se valem da falta de diligência dos consumidores.

A função reativa da boa-fé objetiva exige um núcleo mínimo de ética também do consumidor, que não pode se aproveitar de situação "extremamente vantajosa" para si, adquirindo um bem por preço sabidamente abaixo do valor de mercado, sem ao menos desconfiar da possibilidade de fraude.

O phishing é uma forma sofisticada de fraude online que pode enganar até mesmo os usuários mais experientes. Dada a natureza complexa e em constante evolução do phishing, é injusto responsabilizar exclusivamente as empresas por ataques bem-sucedidos, para evitar criarmos qualquer anomalia jurídica, em que a empresa seja, de forma injusta, responsabilizada por dano sofrido em relação consumerista que nem participou ou nem mesmo existiu.

Em vez disso, é necessário um esforço colaborativo entre empresas, consumidores e autoridades reguladoras para prevenir e mitigar os efeitos prejudiciais dessa fraude. Por fim, as empresas não têm o dever de indenizar a vítima do phishing, especialmente quando demonstram que implementaram medidas adequadas de segurança cibernética e que o ataque foi resultado da conduta criminosa de terceiros. No entanto, cada caso deve ser avaliado individualmente com base nas circunstâncias específicas e nas leis aplicáveis.