Seus dados não estão seguros: saiba como se proteger

Por: Bruno Stocco, Felipe Regal e Miguel Santiago

Os dados pessoais são qualquer informação que possa identificar um cidadão, como o Cadastro de Pessoa Física (CPF), ou indiretamente, como o endereço e a profissão. Essa definição encontra-se na Lei Geral de Proteção de Dados (LGPD). Ela, que entrou em vigor em 2018, tem o objetivo de oferecer uma segurança quanto ao uso dos dados. A fiscalização faz parte do trabalho da Autoridade Nacional de Proteção de Dados Pessoais (ANPD). 

Arthur Felipe Lopes e Pamela Leite, alunos do curso de Engenharia Eletrônica de Telecomunicações na Universidade Federal de Uberlândia (UFU), desconheciam as formas como os comerciantes podem usar os dados pessoais deles por meio do CPF. Assim como  os universitários, várias pessoas não se atentam aos riscos que podem existir ao entregar uma informação como essa. 

Dados fornecidos em estabelecimentos comerciais ou consultórios podem ser repassados para outros sistemas e dessa forma os anúncios que aparecem no celular do cliente podem ser relacionados à compra que ele realizou em algum desses locais. A forma como as informações pessoais de cada cliente são utilizadas devem ser explicadas no momento em que são fornecidas pelo consumidor, mas nem sempre isso ocorre. 

Pamela Leite é recém ingressante na Universidade e diz que costumeiramente  fornece o número do CPF para o atendente em farmácias para receber descontos nas compras, mas que não sabia quais eram os possíveis riscos. “Eu acho que é uma coisa muito íntima, sabe? Então, pode ser que eu queira pesquisar, mas não que eu tenha ido atrás ainda”. Pamela afirma ainda que não sabia que é possível pedir a remoção de seus dados dos sistemas dessas lojas. 

Arthur Felipe Lopes também é recém ingressante no curso de Engenharia Eletrônica de Telecomunicações e assim como Pamela costuma passar seu CPF em lojas e farmácias em troca de descontos. Segundo o estudante, ele  não se sente seguro e tem a sensação de estar sempre sendo vigiado. 

Uma pesquisa realizada pela KPMG apontou que 85% dos brasileiros estão dispostos a ceder dados em troca de descontos. Na maioria das vezes, o lojista não informa o que vai fazer com as informações do cliente, o que contraria as regras da LGPD. 

Alguns dados pessoais também podem ser vazados de outras formas, como na Internet, por exemplo. De acordo com um levantamento realizado pelo grupo Axur, no primeiro quadrimestre de 2023, mais de 5 milhões de cartões de crédito tiveram informações vazadas no Brasil. O número representa um aumento de 767% em relação ao ano anterior. 

O Observatório de Crimes Cibernéticos, portal de informações sobre possíveis ocorrências no mundo digital, destaca algumas precauções que podem ser levadas em consideração pelo usuário para que ele evite problemas com relação a sua segurança. Entre elas, a utilização de um antivírus, o que aumentaria a proteção ao navegar pela Internet, trocas de senhas frequentes também seriam uma estratégia para complicar o acesso de um terceiro a uma conta, assim como cuidados com Wi-fi público. 

A partir da criação da LGPD houve uma necessidade de adequação por parte dos estabelecimentos. Em um estudo realizado pelo Fórum Empresarial LGPD em 2021, centenas de empresas foram consultadas e responderam sobre a situação atual da lei e possíveis entraves. De acordo com a pesquisa, 73% desses estabelecimentos  adotaram todas as medidas técnicas e administrativas para evitar incidentes envolvendo dados. Ainda assim, 11% dos entrevistados tiveram problemas relacionados à segurança, na maioria dos casos, envolvendo a interrupção dos serviços e  vazamento de informações pessoais dos clientes. 

O que diz a lei 

A Lei Geral de Proteção de Dados (LGPD), atualmente, é a principal legislação vigente que diz respeito sobre tratamento, coleta, armazenamento e privacidade de dados no Brasil. Entrou em vigor em 2018, após o escândalo da Cambridge Analytica nos EUA. A lei tem como alguns de seus objetivos conceituar o que são dados sensíveis como biometria, dados que revelem origem étnica, religiosa, política e também como devem ser tratados. Além disso, a LGPD busca a criação de um cenário de segurança jurídica, com a padronização de regulamentos e práticas para promover a proteção aos dados pessoais de todo cidadão que esteja no Brasil, de acordo com os parâmetros internacionais existentes. 

Segundo a  especialista em privacidade e proteção de dados e diretora de Inovação, Tecnologia e Compliance da OAB de Uberlândia, Juliana Borges, os estabelecimentos comerciais devem sempre informar o que vão fazer com as informações do cliente. “Imagina só, a farmácia pega seu CPF e não explica onde e como vai usar esses dados. Quando você descobre que, na verdade, a farmácia está vendendo esses dados para um convênio médico que, com base nesse histórico de medicação, aumenta ou diminui o valor do convênio". 

Ainda de acordo com a advogada, muitos dos problemas que envolvem o desrespeito a LGPD cometidos, atualmente, mesclam vazamentos de dados com o uso de engenharia social (técnica usada por criminosos virtuais para induzir usuários a enviar suas informações pessoais, abrir sites maliciosos e infectar computadores com vírus). Os mais comuns atualmente são o “golpe do Pix” e a elaboração de boletos falsos. “Já aconteceu de uma empresa sofrer uma invasão [cibernética], ter sua base de dados sequestrada e utilizarem os dados dos clientes para aplicar golpes. Eles [os criminosos] enviaram boletos de um serviço que o consumidor já estava acostumado, que aparentava ser da empresa, inclusive, com uma retrospectiva das cobranças, porém, na verdade, após o pagamento o dinheiro ia para outro lugar, e não para a empresa”.

Juliana Borges, advogada especialista em privacidade e proteção de dados

Borges alerta para os cuidados que as empresas devem ter, como: além de não compartilhar os dados pessoais do titular de dados sem que o mesmo tenha conhecimento, também não se deve partilhar essas informações sem algum objetivo específico. Outra cautela que as empresas devem ter é em relação a forma como contactam os clientes, seja por Whatsapp, e-mail ou boletim informativo, durante esses contatos, é imprescindível ter uma opção para que o cliente sinalize que não quer mais receber essas mensagens (Opt Out). 

Alternativas para evitar o vazamento de dados

A partir da criação da LGPD houve um grande avanço nas formas de lidar com a falta de privacidade nos meios digitais. Em 2021 cerca de 94% das empresas entrevistadas pelo Fórum Empresarial LGPD já tinham começado a se adequar às leis. Apesar disso, ainda existem outras formas de amparar a proteção on-line. 

Segundo o professor doutor e pesquisador em segurança digital, Rodrigo Miani, mesmo com a legislação, as soluções são complexas. Um dos motivos é a dificuldade de lidar com os “atacantes”, nome dado aos que estão tentando invadir e se apropriar das informações da vítima através dos meios digitais, o que inclui de hackers a golpistas. 

Uma das possíveis medidas tomadas por quem deseja se preservar é o cuidado com os locais acessados no meio digital. Segundo dados do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT BR), de janeiro até agosto de 2023 foram feitos mais de 440 mil registros de ataques on-line no Brasil. Sendo que quase 100 mil casos foram realizados por sites que tentam roubar informações dos usuários. Este número não representa a totalidade do que ocorreu no país devido ao fato de serem os casos reportados voluntariamente ao portal. 

Os atacantes, normalmente, fazem armadilhas para obter o maior número de acessos. Dessa forma, o pesquisador recomenda apenas inserir os dados em  portais que são conhecidos. “Se tem um site esquisito, mas parece que é de verdade e o preço está muito baixo, a chance é altíssima de aquilo ser golpe para você colocar os seus dados lá. Os dados vão parar no banco de dados deles”.

A Ecommerce Brasil estima que, em 2022, mais de 551 milhões de reais tenham sido roubados por sites do gênero, seja por compras falsas, ou por consequência de vazamento de dados. Nesses casos, os criminosos ainda podem obter dados pessoais como CPF, endereço e números do cartão.

Além de evitar entrar em links desconhecidos ou duvidosos, o professor ainda dá outras recomendações, como a verificação do protocolo HTTPS. “A letra S indica que aquele site tem um protocolo criptográfico rodando, ou seja, a comunicação entre o seu computador e aquele servidor está cifrada”. A presença da criptografia é o que impede que os atacantes consigam entender o que é compartilhado com os sites. “Se o site não tiver o S ou o cadeado, e se aquele site tiver pedindo dados, não acesse”, orienta Miani. 

Já para a proteção direta dos usuários, as medidas são outras. “A ferramenta mais comum, hoje em dia, ainda são os antivírus”, disse Miani. Eles são uma primeira camada de proteção individual que avisa e protege os dados de eventuais tentativas de ataque. Mas para que sejam mais eficazes é necessário ter outras ferramentas  de proteção. 

Segundo Miani, nas redes sociais, quando se trata das informações compartilhadas, o tema é ainda mais perigoso. Quando é feita uma postagem nesses meios, ele deixa de ser algo individual e se torna parte do domínio dessa rede. A responsabilidade, então, se transmite para eles. Caso uma informação pessoal seja compartilhada nessas mídias, é recomendado que se abra um boletim de ocorrência e, em casos graves, deve-se entrar com um processo judicial para tentar retirar o conteúdo vazado. 

Números compartilhados pelo escritório Opice Blum e Bruno e divulgados pela CNN, revelam que em 2022 o Tribunal Superior de Justiça recebeu 465 processos sobre a LGPD em seis estados e no Distrito Federal. Desse montante, apenas 200 conseguiram a vitória na corte. Mesmo obtendo sentença favorável à retirada do conteúdo, isso não impede que um printscreen esteja salvo. 

As nuvens públicas, como Google Drive ou OneDrive, possuem um bom nível de segurança, mas não são perfeitas. A invasão pode ocorrer devido a um vírus ou ataque. E mesmo que o usuário evite compartilhar com terceiros, caso ele mande o link para um de seus conhecidos, isso pode desencadear em um ataque porque não se sabe o nível de segurança e proteção da outra pessoa. Por isso, o professor recomenda não guardar dados importantes, como senhas, em uma nuvem. 

A melhor opção seria investir em dispositivos digitais não conectados à internet. Mas, isso é algo longe da realidade financeira da maioria das pessoas.Uma outra forma de salvar as informações é através de um HD externo. Ele não pode ser violado, a menos que seja fisicamente roubado de seu dono, ou seja colocado em um computador público observado por atacantes.

Para saber mais sobre ataques e segurança online, o site da CERT Brasil possui diversas cartilhas com recomendações detalhadas de como lidar com os perigos digitais.