Entenda os reflexos penais dos ataques cibernéticos

A nossa atual sociedade da informação, na qual dados digitais chegam a sobrepor os meios de produção, as relações interpessoais e empresariais são facilitadas pelo acesso irrestrito à internet. No entanto, a mesma trivialização da programação de dados que abriu as portas do mundo virtual visando a facilitar a realização de negócios também criou um mundo cibercriminoso extremamente complexo.

O expressivo aumento dos índices de ataques cibernéticos acompanha o crescimento do número de participantes dos mundos virtuais e das inovações tecnológicas. Mundos virtuais esses que provocam e sofrem efeitos do mundo real, como, por exemplo, do seu ordenamento jurídico.

Exemplo de novas modalidades criminosas é o ransonware, um tipo de ataque cibernético através do qual criminosos, por meio de vírus, sequestram e bloqueiam dados de empresas e órgãos públicos e exigem altos valores como resgate.

JBS, Fleyry, Natura e Honda são exemplos de empresas que sofreram esses ataques e tiveram suas operações parcialmente interrompidas.

Em agosto, um ataque cibernético fez com que os sistemas da Prefeitura da Cidade do Rio de Janeiro ficassem inoperantes por vários dias.

Dados do relatório semestral da Checkpoint Research mostram que a média de ataques cibernéticos no segundo trimestre de 2022 no Brasil teve aumento de 46%, uma diferença de 14% da média global, de 32%. Os dados revelam que o país tem em média 1.540 incidentes de cibersegurança por semana. O número é bem superior à média global de 1.200 ataques. [1]

Um recente estudo da IBM revelou que o ransomware foi o ataque mais comum na América Latina em 2021. E alguns especialistas comparam essa atividade criminosa ao novo petróleo devido à alta lucratividade. [2]

Do ponto de vista penal, a invasão de dispositivo e a difusão de vírus informático que propicie o bloqueio de dados já são tipificadas como crime pelo art. 154-A do Código Penal, com pena de reclusão de um a quatro anos:

“Art. 154-A. Invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita: 

Pena – reclusão, de 1 (um) a 4 (quatro) anos, e multa.”

Já o fato de se exigir valores como resgate, ainda que tal quantia não seja paga, se adequa ao crime de extorsão, previsto no art. 158 do Código Penal, com pena mais grave, que varia de quatro a dez anos de reclusão:

“Art. 158 - Constranger alguém, mediante violência ou grave ameaça, e com o intuito de obter para si ou para outrem indevida vantagem econômica, a fazer, tolerar que se faça ou deixar de fazer alguma coisa:

Pena - reclusão, de quatro a dez anos, e multa.”

Como o Código Penal brasileiro, através de seu art. 6º, adota a teoria da ubiquidade para definir o lugar do delito, considerando-se praticado o crime no lugar em que ocorreu a ação, bem como onde se produziu o resultado, ainda que tais ataques tenham partido do exterior, a lei brasileira pode ser aplicada.

Importante lembrar que o Brasil, desde dezembro de 2021, é signatário da Convenção de Budapeste sobre o Crime Cibernético, que é um tratado internacional que traz diversas medidas para acelerar a persecução penal nesses tipos de crimes, inclusive a criação de uma rede com funcionamento 24/7 para assegurar a assistência imediata às investigações tornando-as mais ágeis.

Em que pese, porém, haver previsão legal para a punição desses tipos de crime e ferramentas de cooperação para o combate aos cibercrimes, é certo que identificar a autoria é tarefa árdua e, às vezes, até impossível, diante da altíssima especialização dos desenvolvedores envolvidos, que detêm as melhores técnicas de ocultação e anonimato nas redes.

O fato de os Estados Unidos terem chegado a oferecer recompensa de US$15 milhões por informações que levassem à identificação e localização de membros do Conti, grupo russo de hackers especializado em ransonware, dá a dimensão do grau de complexidade da persecução penal de fatos dessa natureza. [3]

Além disso, ainda que definidas autoria e materialidade, nosso sistema de justiça penal e seus atores não estão preparados para as especificidades que eventual dilação probatória desses delitos pressupõem.

Isso porque esses crimes são executados e seus efeitos se protraem em territórios sujeitos a diversas jurisdições, muitas vezes com discrepâncias legislativas e entraves burocráticos, o que demanda uma difícil cooperação entre autoridades e estados que não consegue alcançar a velocidade do desenvolvimento tecnológico.

Todas essas circunstâncias nos revelam, portanto, que a intervenção estatal por meio do direito penal não é a ferramenta mais adequada para sanar o problema da criminalidade cibernética.

Nesse sentido, melhor do rediscutir legislação penal e processual penal, buscando o agravamento de penas e a criação de novos tipos penais, deve-se buscar tutelar a garantia da prevenção.

Por Caio Padilha, Advogado criminalista e professor universitário. Mestre e especialista em Direito e Processo Penal.

[1] Disponível em: https://pages.checkpoint.com/cyber-attack-2022-trends.html

[2] Disponível em: https://www.ibm.com/reports/threat-intelligence/

[3] https://oglobo.globo.com/mundo/epoca/eua-oferecem-recompensa-de-us-15-milhoes-por-informacoes-sobre-grupo-de-hackers-russos-1-25503203