ARQC (Authorization Request Cryptogram) é o registro criptográfico gerado pelo chip do cartão em cada transação EMV (chip e senha), enviado ao banco emissor para autorizar a operação. Sua presença, ou ausência, nos registros do banco costuma ser o elemento técnico central para provar ou refutar fraude em disputas sobre transações não reconhecidas.
O que é tecnicamente o ARQC
Toda transação feita com cartão de chip gera um criptograma exclusivo, calculado a partir de uma chave secreta embutida no próprio chip, que nunca é transmitida nem pode ser extraída por engenharia reversa viável. Esse criptograma, o ARQC, é enviado ao emissor durante a autorização; o banco responde com outro criptograma, o ARPC, e a operação é registrada com esses dados técnicos associados à transação.
Na prática, um ARQC validado corretamente é uma evidência forte de que o chip físico genuíno esteve presente no terminal no momento da transação, algo que a clonagem tradicional de tarja magnética não consegue reproduzir. É por isso que esse dado se tornou central em disputas sobre transações contestadas: ele ajuda a distinguir entre uma transação genuína (feita com o cartão físico do titular) e uma fraude por outros meios.
Por que a ausência desses registros pode inverter o ônus da prova
Quando o titular do cartão contesta uma transação alegando não tê-la realizado, a instituição financeira normalmente afirma que a operação foi validada tecnicamente (chip presente, senha correta) e que, portanto, a responsabilidade seria do cliente. Mas essa afirmação só tem valor probatório real se acompanhada dos registros técnicos que a sustentam: o próprio ARQC, o resultado da verificação do método de confirmação do portador (CVM), e os logs de autorização da transação.
Quando o banco não apresenta esses registros, ou apresenta apenas telas de sistema sem lastro técnico verificável, a relação de consumo (regida pelo Código de Defesa do Consumidor) autoriza o juízo a inverter o ônus da prova: em vez de o cliente ter que provar que não fez a transação, cabe ao banco provar tecnicamente que fez, com segurança adequada.
O banco é obrigado a fornecer dados técnicos da transação?
Em regra sim, especialmente quando alega que a transação foi segura para afastar sua responsabilidade. Como fornecedor em uma relação de consumo, é do banco o dever de comprovar tecnicamente o que afirma, e a recusa ou a apresentação de documentação incompleta costuma pesar contra a instituição na análise judicial.
O que é inversão do ônus da prova no CDC?
É a regra que transfere para quem tem mais capacidade técnica e informacional de provar um fato, geralmente o fornecedor, o dever de demonstrá-lo, quando o consumidor está em posição de hipossuficiência para produzir essa prova sozinho. Em disputas de cartão, isso normalmente significa que cabe ao banco demonstrar tecnicamente a autenticidade e a segurança da transação contestada, não ao cliente provar uma ausência (que ele não fez a operação).
Por que a análise desses registros não é trivial
Ter acesso a uma tela de extrato ou a um comprovante de transação não é o mesmo que ter acesso aos dados técnicos que comprovam a validação criptográfica. Analisar se um ARQC foi de fato gerado e validado corretamente exige examinar os logs de autorização em formato bruto, identificar se a transação ocorreu em modalidade chip e senha ou em contingência (fallback para tarja, comum em terminais com falha de leitura, e tecnicamente mais vulnerável), e verificar se os dados apresentados pelo banco realmente correspondem ao padrão esperado para uma autorização EMV completa. Bancos nem sempre disponibilizam esses dados de forma espontânea ou compreensível, e reconhecer o que está faltando exige familiaridade com o padrão técnico, não apenas com o extrato da transação.
Para uma visão mais ampla sobre perícia em fraudes eletrônicas, veja a página de investigação de fraudes e de cyber forensics e crimes virtuais. Dúvidas gerais sobre perícia digital estão no Centro de Conhecimento.
Este artigo dá continuidade à série voltada a advogados criminalistas e cíveis. O próximo trata de biometria facial e análise fotogramétrica como prova em investigação criminal.
