A transformação digital trouxe agilidade e novas oportunidades às empresas, mas também ampliou sua exposição a ameaças cibernéticas. Fraudes eletrônicas, invasões de sistemas e sequestros de dados deixaram de ser problemas exclusivamente tecnológicos e passaram a representar riscos jurídicos, financeiros e reputacionais para as organizações.
Entre essas ameaças, destaca-se o ransomware: modalidade de ataque em que criminosos invadem sistemas, criptografam ou bloqueiam o acesso a arquivos e exigem o pagamento de um resgate, geralmente em criptoativos, para restabelecê-lo. Na chamada dupla extorsão, os autores também ameaçam divulgar informações confidenciais ou dados de clientes, o que amplia os danos. Nesses casos, a empresa não enfrenta apenas uma falha técnica, mas um crime.
Não há, no ordenamento brasileiro, um tipo penal específico para o ransomware. A conduta, contudo, costuma reunir diferentes crimes previstos no Código Penal (Decreto-Lei nº 2.848/1940).
O primeiro é a invasão de dispositivo informático (art. 154-A), incluída pela Lei nº 12.737/2012 e agravada pela Lei nº 14.155/2021. O dispositivo pune com reclusão de um a quatro anos, e multa, quem invade dispositivo alheio para obter, adulterar ou destruir dados sem autorização, ou para instalar vulnerabilidades com o fim de obter vantagem ilícita. A pena é aumentada de um a dois terços se a invasão causar prejuízo econômico (§ 2º) e passa a ser de dois a cinco anos de reclusão quando resultar na obtenção de segredos comerciais ou industriais, de informações sigilosas ou no controle remoto não autorizado do dispositivo (§ 3º).
Quando há exigência de resgate mediante ameaça, a conduta pode configurar extorsão (art. 158), punida com reclusão de quatro a dez anos, e multa. Se o ataque paralisar serviços telemáticos ou de informação de utilidade pública, como ocorre com hospitais e prestadores de serviços essenciais, incide ainda o art. 266, § 1º.
Já as fraudes praticadas por meios eletrônicos, como o phishing, a alteração de boletos e os golpes do falso fornecedor, podem caracterizar fraude eletrônica (art. 171, § 2º-A), com pena de reclusão de quatro a oito anos, e multa, aumentada de um terço a dois terços se cometida por meio de servidor mantido no exterior (§ 2º-B).
Para a empresa vítima, porém, as consequências não se limitam à esfera penal nem à interrupção das operações. Se o ataque comprometer dados pessoais, a Lei Geral de Proteção de Dados Pessoais (LGPD) obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares o incidente que possa acarretar risco ou dano relevante (Lei nº 13.709/2018, art. 48). O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis para essa comunicação, contados do conhecimento de que o incidente afetou dados pessoais. Falhas nessa etapa podem gerar sanções administrativas, somadas à eventual responsabilidade civil por prejuízos a clientes e terceiros: a empresa é vítima do crime, mas pode ser cobrada pela forma como protegia os dados.
Como se vê, um ataque cibernético envolve, a um só tempo, o direito penal, a proteção de dados e a responsabilidade civil. Para Jorge Luiz, sócio e CEO do Vigna Advogados Associados, compreender a dimensão penal das fraudes digitais é fundamental para orientar as empresas na proteção de seus interesses, na gestão de riscos e na adoção de medidas adequadas diante de possíveis violações.
Diante de um ataque, é fundamental agir com rapidez: acionar as equipes de tecnologia e segurança da informação para conter o incidente; preservar os registros de acesso e de atividade dos sistemas e demais evidências digitais, evitando formatar ou restaurar equipamentos antes da coleta; documentar cronologicamente os fatos; e buscar orientação jurídica especializada desde o primeiro momento. O registro de boletim de ocorrência, preferencialmente em delegacia especializada em crimes cibernéticos, viabiliza a investigação e a responsabilização dos envolvidos. Como o pagamento do resgate não garante a devolução dos dados, eventual negociação deve ser avaliada com apoio jurídico.
Mais do que reagir, porém, é preciso prevenir. Políticas de segurança da informação, controle de acessos, treinamento de colaboradores, backups periódicos mantidos fora da rede principal, planos de resposta a incidentes e programas de compliance digital reduzem vulnerabilidades e demonstram diligência perante autoridades e parceiros.
A segurança digital é, portanto, também uma questão jurídica: prevenir e agir corretamente diante de incidentes é indispensável para proteger o patrimônio, as informações e a continuidade dos negócios.
