Inteligência artificial e fraudes online

Há um gesto que repetimos constantemente: pegar no telemóvel por um momento para verificar uma mensagem, pesquisar algo na Internet ou interagir nas redes sociais. Mas a verdade é que esse momento muitas vezes se prolonga, interrompendo a conversa, e, de repente, a pessoa com quem estamos a falar fica a falar sozinha. Este é o fenómeno conhecido como «phubbing» (uma combinação das palavras «phone» e «snubbing»), e os terapeutas descrevem-no como uma fonte de conflito cada vez mais comum, uma vez que se tornou uma forma quotidiana de desconexão emocional.

O que é preocupante é que esta cena aparentemente inofensiva explica muito melhor do que qualquer gráfico por que razão os esquemas fraudulentos digitais estão a viver uma época dourada. O problema não é a tecnologia em si, mas o hábito: aprendemos a reagir a uma notificação como um reflexo condicionado, a confiar no que aparece no ecrã, a aceitar como válido tudo o que nos soa familiar e a responder rapidamente quando alguém nos pressiona. E é aqui que os cibercriminosos encontraram a sua galinha dos ovos de ouro.

É importante referir que o nível de sofisticação tecnológica dos cibercriminosos é verdadeiramente de vanguarda, como demonstrado pelo «EncroChat», um sistema de comunicação encriptada utilizado pelo crime organizado para atividades criminosas, com servidores em França e dispositivos modificados que dificultavam a intervenção tradicional.

Este sistema acabou por ser desativado graças a uma investigação complexa que envolveu a instalação — com autorização judicial francesa — de uma aplicação do tipo «trojan» através de uma atualização simulada, que afetou dezenas de milhares de utilizadores em vários países, e cujos resultados foram partilhados entre os Estados através da cooperação internacional; o que exigiu a confirmação da legalidade das medidas tomadas, tal como analisado pela Secção Penal do Supremo Tribunal no Acórdão (Plenário) n.º 854/2025, de 16 de outubro.

Neste contexto, a inteligência artificial (IA) tem ajudado a aperfeiçoar estas fraudes; embora a IA não tenha inventado o fraude, torna-o mais barato, amplia-o e torna-o mais credível, de modo que o esquema deixa de ser uma atividade manual e passa a ser um processo automatizado que permite que os esquemas sejam levados a cabo à escala industrial. O que antes exigia tempo e um certo grau de habilidade para imitar, elaborar e manipular pode agora ser feito com a IA num espaço de tempo muito curto e com tal realismo que a vítima, muitas vezes, não consegue suspeitar a tempo.

Uma das técnicas comuns utilizadas pelos cibercriminosos é o «voice hacking», que envolve a clonagem da voz de uma pessoa a partir de pequenos excertos de áudio, gerando mensagens tão realistas que a vítima acredita que provêm de alguém que conhece (um familiar, um chefe, etc.), pedindo-lhe que efetue um pagamento urgente ou forneça informações confidenciais, apelando às emoções associadas a um ente querido ou à autoridade de um superior. E ninguém está imune, como demonstrado pelo que aconteceu em fevereiro de 2025, quando vários padres em Segóvia foram alvo de uma tentativa de burla através da imitação da voz do novo bispo, que lhes pediu que efetuassem uma transferência de 2 200 euros para terem acesso a uma suposta herança de 40 000 euros que uma mulher pretendia doar à paróquia.

Embora os casos de phishing existam há muito tempo, o advento da IA acrescentou uma nova dimensão, uma vez que permite o processamento de dados roubados (nome, número de telefone, data de nascimento, morada, números de conta, etc.) para conceber campanhas de phishing personalizadas e lançar ondas massivas de e-mails de spam e chamadas fraudulentas.

E, embora isto tenha sido sempre motivo de preocupação, este novo cenário significa que acontecimentos como a notícia que surgiu nos meios de comunicação social em abril de 2025 (posteriormente desmentida) sobre uma possível fuga da lista Robinson (uma lista de pessoas que optaram por não receber publicidade) — o que significaria que os dados de mais de 600 000 pessoas poderiam ter estado na dark web —, suscita grande alarme.

Outra tática especialmente prejudicial envolve tentar enganar a partir de um canal que a vítima considerava fiável. Um exemplo recorrente é o «spoofing de SMS», que consiste no envio de mensagens de texto falsas em que o identificador do remetente foi falsificado, de modo a que a mensagem apareça no mesmo fio de conversa que as mensagens de texto legítimas, levando a vítima a acreditar que se encontra num ambiente de confiança.

O Acórdão n.º 142/2024, de 21 de março, do Tribunal Provincial das Astúrias, pronunciou-se sobre esta matéria, declarando um banco responsável por ordens de pagamento não autorizadas efetuadas através de «SMS spoofing» e ordenando a devolução do montante debitado. A decisão baseou-se no facto de o banco não ter conseguido provar que tivesse havido negligência grave por parte do cliente; nas deficiências do sistema de segurança do banco para prevenir este tipo de ataque, especialmente tendo em conta que se trata de um método comum; e no facto de existirem sinais de alerta que deveriam ter suscitado suspeitas, tais como a transferência ter sido instantânea, de montante considerável, efetuada a partir de um dispositivo recentemente associado e para um destino invulgar (uma instituição de moeda eletrónica estrangeira).

Mas, o que acontece quando a fraude já ocorreu e é impossível recuperar o dinheiro? O montante defraudado pode ser declarado como perda de capital para efeitos do imposto sobre o rendimento das pessoas singulares? A Resolução Vinculativa V0625-24, de 11 de abril de 2024, emitida pela Subdireção-Geral do Imposto sobre o Rendimento das Pessoas Singulares, aborda um caso de fraude bancária («phishing») e conclui que o montante retirado pode constituir uma perda de capital para efeitos do imposto sobre o rendimento das pessoas singulares, uma vez que se enquadra no âmbito do artigo 33.º, n.º 1, da Lei n.º 35/2006, de 28 de novembro, relativa ao imposto sobre o rendimento das pessoas singulares e à alteração parcial das leis relativas ao imposto sobre o rendimento das pessoas coletivas, aos rendimentos de não residentes e ao património (LIRPF), desde que devidamente justificado com provas admissíveis em direito (relatórios policiais, queixas, documentação, etc.).

No entanto, há que ter em conta dois aspetos importantes: (i) a perda é imputada ao ano fiscal em que a fraude ocorreu, de acordo com a regra geral estabelecida no artigo 14.º, n.º 1, alínea c), da LIRPF; e (ii) uma vez que não decorre de uma transferência de ativos, é tratada como rendimento geral, sujeita às regras de compensação e aos prazos aplicáveis (quatro anos); e, caso o montante venha a ser recuperado, essa recuperação terá implicações fiscais, uma vez que restabelece o equilíbrio.

Leia o artigo completo publicado na Lawyerpress.