leadership

LEADERSHIP

negociacao-2

NEGOCIACAO

gestao-3

GESTAO

consultoria-2

CONSULTORIA

falandobem

FALANDOBEM

financasessenciais

FINANCASESSENCIAIS

Seja Premium e tenha acesso ao nosso arsenal de cursos

Administradores PREMIUM

As fraudes envolvendo adulteração de boletos estão em franco crescimento. Este tipo de fraude apareceu há diversos anos, depois teve um período de baixa frequência, e voltou com força a partir de 2012, com algumas novas modalidades.
Existem essencialmente duas grandes famílias de fraudes com boletos hoje em circulação no mercado: 1) fraudes realizadas através de “bolware”, e 2) fraudes com adulteração do boleto “na origem”. Outras variantes também podem ser encontradas, mas, atualmente, têm pouca relevância numérica.
As fraudes realizadas através de “bolware” são conceitualmente similares aos golpes que afetam sistemas de internet banking usando trojans. Ou seja, se trata de fraudes que acontecem devido a vulnerabilidades (normalmente a invasão por parte de pequenos programas tipo trojan ou vírus, chamados, neste caso, de “bolwares”) presentes nos computadores dos usuários e que, portanto, não dizem respeito a problemas ou falhas junto à empresa emissora dos boletos.
Normalmente, são vítimas os usuários que emitem segundas vias de boletos, por terem perdido ou deixado vencer a via original que receberam corretamente. Este tipo de fraude se combate, sobretudo, educando e deixando precavidos os usuários. De toda forma é responsabilidade do usuário manter seu computador seguro, e a empresa que emitiu originalmente o boleto (que era valido e correto) dificilmente poderá ser responsabilizada.
Um tipo de fraude muito mais insidiosa e perigosa é aquela que adultera boletos diretamente na origem. Ou seja, o boleto que sai da empresa ou, mais genericamente, que é originalmente recebido pelo cliente, já é adulterado (podendo facilmente configurar uma responsabilidade da empresa). Neste caso o que normalmente acontece é que algum colaborador infiel permitiu a adulteração do software que emite/imprime os boletos na empresa ou, em alternativa, extraiu os dados necessários para imprimir boletos adulterados (com os valores esperados e corretos, mas direcionados a contas diferentes das devidas) e depois substituiu, de alguma maneira, os boletos originais com os boletos adulterados.
Em ambos os casos, para a fraude acontecer, é necessária a ocorrência de algum tipo de ação ilícita sobre os sistemas informáticos da empresa (ou adulteração de códigos e programas, ou roubo/desvio de dados e informações).
Esta última modalidade de golpe foi registrada com frequência, sobretudo em empresas que emitem costumeiramente boletos com valores elevados (construtoras, concessionárias de veiculos, atacadistas etc&#8230;). Verificamos diversos casos onde, em uma única tornada de emissão de boletos, foram realizadas fraudes envolvendo valores de sete dígitos. 
Todas as investigações que fizemos, em casos deste tipo, levaram sempre a duas conclusões:
1) Havia a participação de elementos internos e externos a empresa, onde pelo menos um dos elementos internos trabalhava na área de TI ou tinha algum tipo de acesso privilegiado a esta área. Os elementos externos cuidavam, normalmente, da organização operacional do golpe, criação de contas e escoamento rápido e seguro dos recursos desviados (usando técnicas clássicas e sofisticadas de lavagem de dinheiro).
2) Os processos relativos à segurança da informação (tanto digital quanto física), quando revisados, mostraram ter numerosas e graves falhas e vulnerabilidades, que permitiam tanto o roubo/desvio de informações confidenciais quanto, em alguns casos, a adulteração de programas e códigos fontes usados pela empresa, inclusive aplicações web usadas pela emissão online de boletos originais por parte de clientes.
Isso reforça a inderrogável necessidade, por parte das empresas, de implantar adequadas medidas de segurança da informação e de colocar em pratica todas as melhores praticas neste sentido, tanto no que diz respeito à segurança digital quanto à segurança física. Este tipo de medidas, juntamente com uma detida analise dos processos envolvidos, devem, sem dúvida alguma, fazer parte de qualquer plano de prevenção de fraudes corporativas.
Perdas como as que fraudes deste tipo podem causar, têm valores que justificam facilmente investimentos relevantes no incremento da segurança da informação.

Segurança da informação como arma para evitar fraudes em boletos

Uma razão a mais para cuidar com particular atenção da segurança da informação (tanto digital quanto física), para evitar vultosas fraudes com boletos bancários

Segurança da informação como arma para evitar fraudes em boletos | Administradores

Home

Artigos

Informação e Educação para líderes e suas equipes. Notícias, artigos, cursos, palestrantes, mentorias e treinamentos personalizados para profissionais e empresas

Administradores

https://cdn.administradores.com.br/app/uploads/2023/06/06200454/Logo-administradores.png

Administradores | Conhecimento para Resultados

O advento da Lei 11.419/2006, que instituiu o processo eletrônico nos tribunais brasileiros, e, mais ainda, a difusão universal dos sistemas informáticos como meios de gestão, escritura e comunicação, resultaram numa explosão de documentos em formato digital (entendendo como tais tanto arquivos eletrônicos quanto documentos em geral, integralmente impressos a partir de computadores) utilizados como provas em processos tanto cíveis quanto penais.
O conceito de prova pode ser resumido, em termos gerais, como a demonstração da existência e veracidade dos fatos alegados pela parte no processo. Destarte, como base para esta discussão, é necessário salientar os princípios da “livre admissibilidade das provas” e do “livre convencimento motivado do Juiz” (consubstanciado por quanto disposto pelo art. 93, IX CF/88 combinado com os Art. 155 CPP e Art. 371 NCPC).
Neste sentido, a prova pode ser representada por qualquer meio legal (e moralmente legitimo) apto a demonstrar a verdade dos fatos alegados e a e influir eficazmente na convicção do juiz (Art. 369 NCPC). Em força de quanto acima, qualquer documento pode ser utilizado como prova (Artigos 231 e 232 CPP), inclusive documentos em formato exclusivamente digital.
Por outro lado, porém, é oportuno registrar que não é admissível a prova ilícita, assim entendida aquela obtida em violação a normas constitucionais ou legais (Art. 157 CPP e Art. 5, LVI CF/88). Ademais é importante sublinhar outro princípio fundamental, que deve nortear a condução de qualquer processo assim como a valoração das provas apresentadas, a “busca da verdade real”.
Por estas razões um documento falsificado certamente não poderia ser admitido como prova.
Postas estas premissas, vamos analisar alguns casos típicos de provas em formato digital apresentadas comumente em processos cíveis e penais:
<ol><li style="text-align:justify;">Arquivos contendo textos, planilhas ou bases de dados, criados através de softwares comerciais (como o MS Word, MS Excel ou MS Access), ou suas versões impressas.</li>
<li style="text-align:justify;">Arquivos em formato “puro texto”, criados com editores de texto ou capturados a partir de algum outro software, eventualmente organizados em algum formato.</li>
<li style="text-align:justify;">Telas de computador “capturadas” contendo imagens, telas de web sites, telas de softwares variados (inclusive clientes de e-mail) etc.</li>
<li style="text-align:justify;">Documentos de qualquer tipo (recibos, contratos, contas, cheques, etc.), inclusive manuscritos ou parcialmente manuscritos, contendo ou não assinaturas, escaneados ou fotografados supostamente a partir de originais.</li>
<li style="text-align:justify;">Arquivos em formato PDF representando a impressão de todos os documentos acima descritos ou de outros ainda quais, por exemplo, e-mails, extratos bancários (impressos a partir de internet banking) etc.</li>
</ol>É necessário sublinhar que tais documentos têm características profundamente diferentes dos tradicionais documentos cartáceos, sendo, de forma geral, muito mais fáceis de falsificar em seu teor e conteúdo e sendo sensivelmente mais difícil comprovar sua real origem e autoria (que também pode ser simulada ou falsificada com grande facilidade).
Ocorre que para cada uma das categorias acima é perfeitamente possível (às vezes de forma extremamente simples, como no caso de arquivos de texto ou planilhas) realizar falsificações, na forma de montagens, alterações ou adulterações, que sejam virtualmente imperceptíveis a qualquer análise não especializada e que, em diversos casos, podem não ser comprováveis nem com uma análise profissional e profunda. Na maioria dos casos, tais falsificações não requerem um grau de especialização particularmente elevado por parte dos falsários. Constituem uma exceção, entre outras, os documentos que podem ser validados online (todos aqueles que têm indicação de um código de validação utilizável em algum site público) e aqueles assinados pelas partes utilizando um certificado digital (normalmente, também verificáveis online).
Isso quer dizer que grande parte dos documentos em formato digital, assim como apresentados normalmente nos processos, poderia muito bem ser falsa em tudo ou em parte, sem que fosse possível detectar ou avaliar tal eventual falsidade com uma análise não profissional, ou seja, existe a possibilidade (bastante real e consistente) que processos estejam sendo julgados com base em documentos digitais falsos, que foram aceitos como provas válidas sem as devidas precauções. Penso, por exemplo, na esfera cível, aos processos “massificados” contra bancos, operadoras e outras empresas de grande porte, que, pelo volume de ações, frequentemente não têm condições de analisar todos os documentos juntados e arguir falsidade quando necessário, e, na esfera penal, a processos baseados em delações que “requerem” a apresentação de documentos de respaldo.
Por estas razões entendo que a admissibilidade e validade de um documento em formato digital, como meio de prova em um processo judicial, deveria depender da prévia garantia e inequivocidade de sua autoria e origem e da certeza de sua integridade (ou seja, a garantia que não foi alterado desde sua origem até chegar no processo). É importante sublinhar que, como já exposto anteriormente, nem todo tipo de documento em formato digital pode oferecer tais certezas e garantias, mesmo após uma análise profissional.
No processo penal, havendo documentos utilizados como provas, estes passam a integrar o corpo do delito e, em força do Art. 158 CPP, deveriam sempre ser objeto de exame pericial antes de serem admitidos como provas válidas. Nem sempre isso acontece.
No processo civil cabe à parte interessada, normalmente, a eventual arguição de falsidade e o pedido para que seja realizada perícia sobre o documento contestado (obviamente o Juiz é também livre de pedir autonomamente uma perícia, caso tenha dúvidas). Em tese, de acordo com o Art. 432 NCPC, uma vez arguida a falsidade, deveria sempre ser realizada a perícia (salvo o caso em que parte que produziu o documento concordar em retirá-lo). Na realidade não é incomum que juízes, sobretudo na esfera trabalhista, ignorem tal determinação e julguem o processo sem realizar a perícia sobre o documento contestado (utilizando para tanto, frequentemente, o disposto pelo Art. 472 NCPC).
Apesar de reconhecer a necessidade de tutelar a absoluta independência e livre convencimento dos juízes, como perito e pesquisador, com ampla experiência em documentos em formato digital, considero a admissão e valoração como provas de documentos em formato digital ou de impressos criados a partir de computadores, sem uma prévia análise e perícia profissional, como uma postura extremamente arriscada, que desrespeita e pode facilmente lesar os princípios fundamentais da “busca pela verdade real”, do “devido processo legal” e da “ampla defesa”.
Evidente que não quero, com tudo isso, sustentar que deve ser negado o documento em formato digital como meio de prova. Se trata de uma tendência inevitável em decorrência da inarrestável evolução tecnológica e da informatização da sociedade em geral. Desejo somente chamar a atenção sobre a necessidade de se estabelecerem, no judiciário, novos e diferentes procedimentos padronizados e sistematizados para admissão e valoração de tais documentos, de forma a preservar princípios fundamentais do direito pátrio.
* Artigo publicado originalmente na revista Consultor Jurídico.

Validade da prova documental em formato digital nos processos brasileiros

Elaborando dados de 2016 relativos às denúncias recebidas pelo sistema Disque Fraude (<a href="http://www.disquefraude.com.br/">www.disquefraude.com.br</a>) se confirmaram algumas tendências já conhecidas no que diz respeito às fraudes e desvios éticos nas empresas.
Uma delas é que a categoria de desvios éticos que mais recebeu denúncias é a que reúne Corrupção Interna e Conflitos de Interesses. Esta definição abrange diversos tipos de fraudes e ilícitos, desde o recebimento de propinas, ou outros benefícios, por parte de funcionários e colaboradores em troca de vantagens indevidas em favor de alguém, até a realização de atos que favoreçam interesses (econômicos ou de outro tipo) do fraudador causando algum tipo de prejuízo a empresa. Casos clássicos desta última tipologia são a adulteração de resultados (financeiros, comerciais, operacionais etc.) para obtenção de algum bônus, e o favorecimento, em algum negócio, de parentes ou pessoas próximas.
Este é um tipo de ocorrência já bem conhecida nas corporações. Diversos dos grandes casos de fraude dos últimos anos entram nesta categoria.
Também já são conhecidas as melhores práticas e medidas preventivas para se combater este tipo de desvios éticos. Ocorre, porém, que muitas empresas, sobretudo de médio porte, mas também algumas das de grande porte, ainda não aplicam tais medidas.
 É interessante lembrar que de acordo com diversas pesquisas (ACFE, KPMG etc.) o custo da implementação de medidas preventivas efetivas é sempre diversas “vezes” menor do custo das fraudes que irão ocorrer na ausência de tais medidas, podendo até chegar a proporções na ordem de 1/100, ou seja, um excelente investimento !
Então, porque as empresas continuam a ignorar estes fatos e a sofrer fraudes conhecidas e antiga, para a quais existem medidas mitigadora igualmente conhecidas ??
Acredito que, em alguns casos, isso seja devido a uma falta de conhecimento e ausência de governança apropriada, em outros, infelizmente, se trata de relutância em implementar medidas que, devido a falta de conhecimento das diretorias, são vistas como um “gasto” sem retorno e dificilmente justificável.
A luta dos responsáveis pelas áreas de fraudes (controladoria, auditoria, compliance etc.), para demonstrar o ROI dos investimentos que solicitam, é clássica e, infelizmente, muito difícil.
Quem sabe um pouco mais de crise, balanços ruins e necessidade de cortar perdas não possam ter êxito onde muitas pesquisas, evidências e demonstrações não conseguiram até hoje ?

“Corrupção interna e conflitos de interesses”, um dos casos mais comuns.

É consenso comum que prevenir as fraudes nas empresas é muito mais efetivo e econômico em comparação a esperar conseguir detectar elas e depois investigar e reprimir.
Isso porque o prazo médio para detectar fraudes é mediamente longo (vários meses na melhor das hipóteses) e os gastos para cada investigação são relevantes e constantes, gerando perdas elevadas durante o período anterior à detecção e custos altos pelas ações de investigação e reação, normalmente em regime de emergência.
Infelizmente as medidas preventivas, muitas vezes, não são suficientes para eliminar o risco de fraudes. Isso tem especial valor no que diz respeito a fraudes no sistema financeiro e mais especificamente nos meios de pagamento, particularmente cartões.
Por esta razão é de importância crítica conseguir detectar novas ameaças e vulnerabilidades no prazo mais curto possível.
A demora causa maiores perdas, muitas vezes com crescimento exponencial, e, sobretudo, um maior risco para a imagem e credibilidade das instituições envolvidas. 
Existe, nacionalmente e internacionalmente, um “submundo” de pessoas, muitas vezes jovens hackers, outras vezes agentes mais pragmaticamente ligados ao crime organizado, que dedica boa parte de seu tempo a estudar e testar sistemas, com o intuito de encontrar falhas ou vulnerabilidades nos processos. Quando conseguem encontrar algo promissor, se concentram no desenvolvimento de conjuntos de ferramentas e/ou equipamentos que, por fim, acabam sendo distribuídos (normalmente revendidos) a diversos grupos de estelionatários.
Estes grupos, bem mais operacionais e muito menos tecnologicamente competentes, são os que exploram praticamente (ou seja, no mundo real) as vulnerabilidades encontradas. São eles que acabam presos, normalmente, após certo prazo (quando descuidados) e são eles que causam diretamente os prejuízos sofridos pelas instituições. Este tipo de formatação explica, em boa parte, o porquê este tipo de ataque costuma aparecer quase contemporaneamente em diferentes lugares e realizado por diferentes agentes.
Neste cenário a empresa da qual sou diretor iniciou a desenvolver, já há algum tempo, um projeto que visa a infiltração e integração de seus agentes no já mencionado “submundo”, com o intuito de capturar, de forma rápida e detalhada, informações sobre novos esquemas de fraude e vulnerabilidades/falhas encontradas, assim como equipamentos criados, para realizar fraudes em meios de pagamento (sobretudo cartões de crédito/débito) e no sistema financeiro em geral.
Esta iniciativa está agora iniciando a gerar resultados e, logo, esta atividade será capaz de ser transformada num serviço operacional para todos os efeitos.
O intuito é, obviamente, poder oferecer às instituições financeiras, um serviço eficiente de alerta antecipado, que permita a tomada de medidas preventivas imediatas, sem ter que esperar o moroso processo de detecção e investigação de fraudes em andamento. Com isso poderá ser grandemente reduzido o volume de perdas por fraudes e, sobretudo, será fortificada a imagem de segurança real dos sistemas de pagamentos, por passarem a ser mais raros os possíveis casos de fraudes.
Um dado interessante que conseguimos levantar até o momento: no Brasil, a maioria dos caçadores de vulnerabilidades e desenvolvedores de sistemas para realizar fraudes tem idade entre 18 e 24 anos. Idade bem menor da média dos que adquirem tais informações e sistemas e os exploram na prática, realizando fraudes no mercado.

Segurança da informação como arma para evitar fraudes em boletos

Lorenzo Parodi

Como o uso de benefícios flexíveis impacta sua marca, com Dan Josua | Café com ADM 462

Como o uso de benefícios flexíveis impacta sua marca, com Dan Josua | Café com ADM 462

Sobre o autor

Lorenzo Parodi

Comentários

Seja Premium e tenha acesso ao nosso arsenal de cursos