Município de Jaguari alegou invasão de hackers e pediu ressarcimento; Justiça Federal concluiu que servidores foram vítimas de phishing e que as transações utilizaram credenciais válidas
A Justiça Federal negou o pedido da Prefeitura de Jaguari, no Rio Grande do Sul, para que a Caixa Econômica Federal ressarcisse R$ 200 mil desviados da conta do município. A decisão foi tomada pela 2ª Vara Federal de Uruguaiana e envolve um episódio ocorrido em agosto de 2023.
O município sustentava que sua conta bancária havia sido alvo de uma suposta invasão de hackers, resultando em quatro transferências de R$ 50 mil cada para contas que não estavam cadastradas.
A prefeitura argumentou que o banco deveria responder pelos prejuízos por uma suposta falha na segurança do sistema.
A Justiça, entretanto, chegou a uma conclusão diferente após analisar os registros bancários e o histórico dos computadores utilizados pelos servidores municipais.
Como ocorreu o desvio dos R$ 200 mil
Segundo o processo, as transferências ocorreram em agosto de 2023 e totalizaram R$ 200 mil.
Foram realizadas quatro operações, cada uma no valor de R$ 50 mil, direcionadas a contas que não faziam parte do cadastro habitual do município.
A prefeitura afirmou que as operações foram realizadas sem autorização e em horário considerado atípico.
A administração municipal, por isso, atribuiu à Caixa responsabilidade objetiva pelo prejuízo e pediu o ressarcimento dos valores.
A instituição financeira contestou a versão e apresentou registros que indicavam que as operações haviam sido realizadas utilizando credenciais válidas de servidores municipais.
Caixa alegou golpe de phishing
Na defesa apresentada à Justiça, a Caixa afirmou que seus sistemas estavam funcionando normalmente.
Segundo o banco, os servidores municipais foram vítimas de um golpe conhecido como phishing, uma modalidade de engenharia social utilizada para induzir a vítima a fornecer informações sigilosas a criminosos.
O histórico analisado no processo mostrou que servidores da prefeitura acessaram um endereço diferente do site oficial da Caixa e forneceram informações de acesso.
Posteriormente, um novo dispositivo foi validado a partir de um computador pertencente à própria prefeitura.
Para a instituição financeira, portanto, não houve uma invasão dos sistemas do banco, mas utilização indevida de credenciais que haviam sido obtidas por meio do golpe.
Senhas do prefeito e da tesoureira foram utilizadas
Um dos elementos considerados pelo juiz Carlos Alberto Sousa foi o registro das credenciais utilizadas nas operações.
A análise dos dados bancários mostrou que as transferências foram realizadas com as senhas eletrônicas da tesoureira e do prefeito.
Esse ponto contrariou a alegação inicial do município de que as operações teriam ocorrido sem qualquer utilização de credenciais autorizadas.
A investigação dos registros digitais também indicou que os servidores haviam sido induzidos pelos criminosos a acessar uma página diferente do endereço oficial da Caixa e fornecer dados sigilosos.
Transferências foram agendadas antes do horário do desvio
Outro elemento considerado pela Justiça foi o horário das movimentações.
As transferências apareceram como realizadas por volta das 6h de um feriado local, circunstância apontada pelo município como indicativo de irregularidade.
Entretanto, a análise dos registros mostrou que as operações haviam sido agendadas na tarde do dia anterior.
Para o juiz, esse dado afastou a interpretação de que o horário da execução representaria, por si só, uma falha de segurança da Caixa.
Na avaliação judicial, o banco apenas cumpriu ordens que haviam sido emitidas anteriormente utilizando credenciais consideradas válidas pelo sistema.
Justiça entendeu que houve culpa das vítimas ou de terceiros
Na sentença, o magistrado analisou as regras de responsabilidade aplicáveis às instituições financeiras.
Embora bancos possam responder objetivamente por determinados danos causados aos clientes, essa responsabilidade pode ser afastada quando fica demonstrada culpa exclusiva da vítima ou de terceiros ou quando não é constatada falha na prestação do serviço.
No caso de Jaguari, o juiz entendeu que o golpe ocorreu fora do ambiente bancário.
A decisão classificou o episódio como hipótese de fortuito externo, considerando que a atuação dos criminosos foi facilitada pela conduta dos próprios usuários, ainda que eles tenham sido induzidos ao erro.
Na prática, a Justiça entendeu que não ficou demonstrado um defeito de segurança atribuível à Caixa que justificasse a obrigação de ressarcir o município.
Município também havia concluído pela ausência de responsabilidade da Caixa
Outro ponto destacado na decisão foi um processo administrativo realizado pelo próprio município.
Segundo a defesa apresentada pela Caixa e considerada na análise judicial, a prefeitura havia realizado um procedimento administrativo especial que não apontou responsabilidade da instituição financeira pelo ocorrido.
Esse elemento foi considerado junto com os demais registros eletrônicos e bancários utilizados para reconstruir a sequência dos acontecimentos.
Pedido de indenização foi rejeitado
Diante das provas analisadas, a 2ª Vara Federal de Uruguaiana julgou improcedente a ação movida pelo município de Jaguari.
Além de negar o ressarcimento dos R$ 200 mil, a decisão também rejeitou o pedido de indenização por danos morais e materiais apresentado pela prefeitura.
A sentença foi proferida na semana passada e ainda não é definitiva.
O município pode recorrer ao Tribunal Regional Federal da 4ª Região (TRF4).
Caso chama atenção para golpes contra contas públicas
Embora o processo envolva especificamente a Prefeitura de Jaguari, o caso evidencia um problema mais amplo: criminosos podem utilizar técnicas de engenharia social para obter credenciais legítimas e, posteriormente, realizar operações financeiras.
Nesse tipo de fraude, o criminoso não necessariamente precisa invadir diretamente os sistemas da instituição financeira.
A estratégia pode começar com uma mensagem, site falso ou outra forma de contato destinada a convencer a vítima a fornecer informações confidenciais.
No caso analisado pela Justiça Federal, os registros utilizados no processo apontaram justamente para essa dinâmica.
A decisão, portanto, não afirmou que não houve crime. O que a Justiça decidiu foi que não ficou demonstrada responsabilidade da Caixa pelo prejuízo sofrido pelo município, diante das circunstâncias comprovadas no processo.
Decisão ainda pode ser contestada
A sentença da 2ª Vara Federal de Uruguaiana encerra apenas uma etapa do processo.
Como ainda cabe recurso ao TRF4, o município de Jaguari poderá contestar a decisão e buscar uma nova análise do caso.
Até que haja eventual modificação da sentença, permanece o entendimento de primeira instância de que a Caixa não deve ressarcir os R$ 200 mil desviados da conta municipal.
O caso também reforça a importância de mecanismos de segurança para acesso a contas públicas, especialmente porque uma operação realizada com credenciais válidas pode dificultar a distinção entre uma invasão dos sistemas bancários e uma fraude decorrente de engenharia social.
