Crimes digitais: invasão de dispositivos, vazamento de dados e fraudes virtuais

Incidente digital é, ao mesmo tempo, um problema técnico, regulatório e penal. Empresas costumam tratar o primeiro, cumprir parcialmente o segundo e descobrir o terceiro tarde demais — quando a prova já se perdeu ou quando a comunicação feita às pressas passou a ser usada contra elas.

Este artigo reúne o que a legislação brasileira já pune em ambiente digital, como se preserva prova eletrônica com validade processual e quais decisões precisam ser tomadas nas primeiras horas.

O que a lei brasileira já pune

A ideia de que o ambiente digital é área sem lei não se sustenta. Os principais dispositivos em uso são:

• Invasão de dispositivo informático, prevista no artigo 154-A do Código Penal, com redação ampliada pela Lei nº 14.155/2021, que aumentou penas e alcançou a invasão independentemente de violação de mecanismo de segurança em determinadas hipóteses; - Furto mediante fraude eletrônica, no artigo 155, parágrafo 4º-B, aplicável a subtrações praticadas por dispositivo eletrônico com uso de servidor mantido fora do território nacional como causa de aumento; - Estelionato praticado por meio eletrônico, no artigo 171, parágrafo 2º-A, típico de golpes de transferência instantânea e de perfis falsos; - Extorsão em casos de ransomware, quando há exigência de vantagem para restituir acesso a dados; - Divulgação de segredo e violação de sigilo, além dos crimes contra a honra praticados em rede; - Marco Civil da Internet, Lei nº 12.965/2014, que disciplina guarda de registros de conexão e de acesso a aplicações e o regime de remoção de conteúdo; - Lei Geral de Proteção de Dados, com deveres autônomos de segurança, comunicação e resposta que existem mesmo quando não há crime imputável a ninguém da empresa.

Vazamento de dados: três frentes simultâneas

Um vazamento aciona três obrigações distintas, com prazos e destinatários diferentes.

A frente penal cuida da identificação da conduta criminosa, da preservação de vestígios e da representação adequada. A frente regulatória envolve avaliação de risco relevante, comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados, e registro documentado das medidas adotadas. A frente civil e contratual trata de notificações a clientes, operadores e seguradoras, e de contenção de responsabilidade em cadeia.

Tratar as três como uma só produz erro previsível: comunicados escritos para tranquilizar clientes que se tornam confissão técnica em processo, ou apuração penal iniciada depois que os logs já expiraram.

Preservação de prova eletrônica

Prova digital é frágil e contestável. Alguns cuidados alteram materialmente o valor do que se produz:

• Não desligar nem restaurar máquinas comprometidas antes da coleta; preferir imagem forense e cálculo de hash; - Preservar registros de conexão e de acesso a aplicações dentro dos prazos legais, solicitando preservação a provedores por via adequada; - Documentar cadeia de custódia conforme os artigos 158-A a 158-F do Código de Processo Penal, incluídos pela Lei nº 13.964/2019; - Registrar conteúdo público por ata notarial, e não apenas por captura de tela; - Formalizar pedidos judiciais de dados quando a informação depender de provedor, inclusive estrangeiro.

Screenshot solto raramente sustenta uma acusação. Hash, ata notarial e logs preservados sustentam.

Se a empresa é vítima

A sequência que funciona nas primeiras horas: acionar resposta a incidentes e conter o vetor; preservar evidência antes de remediar; mapear dados afetados e titulares; avaliar comunicação à autoridade e aos titulares; representar criminalmente com material técnico organizado; e só então comunicar mercado, clientes e imprensa com texto revisado juridicamente.

Pagamento de resgate merece análise específica. Além de não garantir restituição, pode gerar exposição regulatória e discussão sobre destino dos valores, inclusive em matéria de prevenção à lavagem.

Se alguém da empresa é investigado

Investigações digitais frequentemente atingem quem apenas administrava sistemas, tinha credencial privilegiada ou recebeu arquivos sem saber a origem. Nesses casos, a defesa técnica trabalha em três eixos: contestar a atribuição de autoria — endereço de rede não identifica pessoa —, verificar a licitude e a integridade da coleta, e reconstituir o contexto de acesso legítimo.

Colaborador que sai da empresa levando base de clientes, prestador que mantém acesso após o fim do contrato e disputa societária com acusação recíproca de acesso indevido são os cenários mais comuns em que a instrução técnica define o resultado.

Assistência técnica à acusação

Quando o Ministério Público conduz a ação penal, a vítima pode atuar como assistente de acusação. Em crimes digitais, isso é especialmente útil: permite requerer diligências, indicar assistente técnico, questionar laudos e acompanhar a produção de prova sem depender exclusivamente da capacidade técnica do órgão de investigação.

Prevenção: o que reduz risco e exposição

• Política de acesso com revisão periódica de credenciais e revogação imediata no desligamento; - Registro de logs com retenção compatível com prazos legais e investigativos; - Contratos com fornecedores prevendo notificação de incidente, prazos e cooperação em apuração; - Plano de resposta testado, com papéis definidos e porta-voz único; - Classificação de dados e cifragem do que é sensível; - Treinamento contra engenharia social, ainda o vetor mais eficiente das fraudes.

Segurança da informação e defesa penal trabalham com o mesmo insumo: registro confiável. Quem organiza isso antes do incidente decide como a própria história será contada depois dele.