Crimes digitais: como identificar riscos, prevenir ataques e agir após um incidente

O uso cotidiano de aplicativos bancários, redes sociais, serviços em nuvem, lojas virtuais e plataformas de comunicação ampliou as possibilidades de interação e de realização de negócios. Ao mesmo tempo, aumentou a exposição de pessoas e empresas a fraudes, invasões, ameaças e outras condutas ilícitas praticadas por meios digitais.

Os chamados crimes digitais podem causar prejuízos financeiros, perda de dados, interrupção de atividades, exposição de informações privadas e danos à reputação. A prevenção depende da combinação entre segurança tecnológica, cuidado no uso da internet, organização interna e conhecimento das medidas jurídicas disponíveis.

O que são crimes digitais?

Crimes digitais ou crimes cibernéticos são infrações praticadas por meio da internet, de dispositivos eletrônicos ou de sistemas informatizados. Em algumas situações, a tecnologia é o alvo principal da conduta, como ocorre na invasão de um computador. Em outras, ela funciona como instrumento para a prática de um delito já conhecido, como fraude, ameaça ou extorsão.

A expressão abrange condutas bastante diferentes, entre elas:

• invasão de celulares, computadores, servidores e contas online;
• fraudes bancárias e comerciais realizadas pela internet;
• criação de páginas, perfis e centrais de atendimento falsas;
• subtração ou divulgação indevida de dados;
• ameaças e perseguição por meios digitais;
• extorsão mediante bloqueio ou exposição de informações;
• divulgação não autorizada de imagens íntimas;
• ataques destinados a interromper sites e sistemas;
• uso indevido de identidade, marcas ou perfis de terceiros.

Nem todo problema ocorrido na internet é necessariamente um crime. Falhas contratuais, cobranças indevidas, descumprimento de termos de uso e incidentes técnicos podem gerar consequências civis ou administrativas sem, obrigatoriamente, apresentar relevância penal.

Quais são os crimes digitais mais comuns?

Fraudes eletrônicas

As fraudes eletrônicas utilizam mensagens, telefonemas, redes sociais, sites falsos e aplicativos para induzir a vítima a fornecer dados, autorizar operações ou realizar pagamentos.

O Código Penal prevê tratamento específico para o estelionato praticado mediante fraude eletrônica. O enquadramento pode ocorrer quando o criminoso utiliza informações fornecidas pela vítima ou por terceiro enganado por meio de redes sociais, contatos telefônicos, mensagens eletrônicas, e-mails fraudulentos ou meios semelhantes.

Entre os exemplos mais frequentes estão o falso funcionário de banco, o perfil clonado, a falsa venda, o boleto adulterado, o falso investimento e o golpe praticado por link de pagamento.

Invasão de dispositivo informático

O artigo 154-A do Código Penal criminaliza a invasão de dispositivo informático de uso alheio com a finalidade de obter, adulterar ou destruir dados sem autorização ou de instalar vulnerabilidades para obter vantagem ilícita.

A conduta pode atingir computadores, celulares, servidores, contas em nuvem e outros ambientes digitais. Dependendo das circunstâncias, a divulgação, comercialização ou transmissão dos dados obtidos também pode produzir consequências penais.

Ameaças, perseguição e ofensas online

Mensagens ofensivas, campanhas de intimidação e ataques repetidos podem envolver crimes contra a honra, ameaça ou perseguição. O termo cyberbullying, utilizado para descrever agressões reiteradas no ambiente digital, não deve ser tratado como um único enquadramento aplicável a todos os casos.

É necessário examinar o conteúdo, a frequência das condutas, a identidade dos envolvidos e os efeitos produzidos. Quando crianças ou adolescentes estiverem envolvidos, também devem ser consideradas as normas específicas de proteção desse público.

Ransomware e extorsão digital

Ransomware é um programa malicioso utilizado para bloquear ou criptografar arquivos. Após o ataque, o criminoso exige pagamento para fornecer uma suposta chave de recuperação ou para não divulgar os dados copiados.

A situação pode envolver invasão de dispositivo, extorsão, dano a dados e outras infrações. O pagamento exigido não garante a recuperação dos arquivos nem a eliminação das informações obtidas.

Divulgação de conteúdo íntimo

A divulgação, sem consentimento, de fotografia, vídeo ou outro registro com conteúdo sexual pode caracterizar o crime previsto no artigo 218-C do Código Penal, observadas as circunstâncias legais.

Também existem casos de sextorsão, nos quais o criminoso ameaça publicar conteúdos íntimos para exigir dinheiro, novos arquivos ou determinada conduta da vítima.

Quais leis podem ser aplicadas?

O tratamento jurídico dos crimes digitais não está concentrado em uma única lei. O enquadramento depende da conduta praticada e pode envolver diferentes normas.

Entre os principais diplomas estão:

• Código Penal, que disciplina crimes como estelionato, invasão de dispositivo, ameaça, perseguição, extorsão e divulgação de conteúdo íntimo;
• Lei nº 14.155/2021, que agravou penas relacionadas à invasão de dispositivos, furto e estelionato praticados por meios eletrônicos;
• Marco Civil da Internet, que estabelece direitos, deveres e regras sobre guarda e fornecimento de registros;
• Lei Geral de Proteção de Dados, aplicável ao tratamento e à segurança de dados pessoais;
• Código Civil e Código de Defesa do Consumidor, que podem fundamentar pedidos de reparação e responsabilização por falhas na prestação de serviços.

A LGPD não cria, por si só, um crime genérico de vazamento de dados. Um incidente de segurança pode gerar obrigações administrativas e civis e, ao mesmo tempo, estar relacionado a crimes previstos em outras normas.

A responsabilidade de plataformas, bancos, empresas de tecnologia ou outros prestadores também não é automática. É necessário verificar se houve falha de segurança, descumprimento de dever legal ou contribuição efetiva para o dano.

Como se proteger de crimes digitais?

A prevenção começa com medidas simples de segurança, mas deve ser ajustada ao grau de exposição de cada pessoa ou organização.

Entre as práticas recomendadas estão:

• utilizar senhas longas e diferentes em cada serviço;
• ativar autenticação em dois fatores;
• manter sistemas, aplicativos e antivírus atualizados;
• não fornecer códigos recebidos por SMS ou aplicativo;
• verificar o endereço de sites antes de inserir dados;
• evitar links e anexos enviados por desconhecidos;
• confirmar pedidos de pagamento por outro canal;
• revisar dispositivos conectados às contas;
• limitar a exposição de informações pessoais em redes sociais;
• manter backups protegidos e testados;
• acompanhar extratos bancários e notificações de acesso;
• utilizar redes seguras para operações sensíveis.

Mensagens que criam urgência, medo ou promessa de vantagem incomum devem ser analisadas com cautela. Golpistas frequentemente pressionam a vítima para que ela não tenha tempo de confirmar a informação.

Antes de transferir valores, é recomendável conferir o nome do destinatário, a instituição recebedora e a origem da solicitação. No caso de familiares ou colegas, o pedido deve ser confirmado por ligação ou contato já conhecido.

Quais medidas preventivas devem ser adotadas pelas empresas?

Empresas tratam dados de clientes, colaboradores, fornecedores e parceiros. Também dependem de sistemas cuja interrupção pode afetar contratos, atendimento, produção e faturamento.

Uma estrutura preventiva pode incluir:

• política interna de segurança da informação;
• controle de acessos conforme a função de cada usuário;
• autenticação multifator em contas administrativas;
• atualização e correção periódica dos sistemas;
• backups separados do ambiente principal;
• treinamento contra phishing e engenharia social;
• avaliação de fornecedores de tecnologia;
• plano de resposta a incidentes;
• procedimentos para desligamento de colaboradores;
• monitoramento de acessos e movimentações incomuns;
• registro das decisões adotadas durante incidentes.

A conformidade jurídica não substitui a atuação técnica. Da mesma forma, ferramentas de segurança não eliminam a necessidade de contratos, políticas internas e definição de responsabilidades.

Os documentos devem refletir a realidade da operação. Uma política de segurança não é suficiente quando não existem controles efetivos, treinamento ou acompanhamento do cumprimento das regras.

O que fazer após uma fraude, invasão ou ataque?

A reação deve buscar impedir novos prejuízos e preservar as informações necessárias à investigação. Algumas providências dependem do tipo de ocorrência, mas podem incluir:

1. interromper o contato com o criminoso sem apagar as mensagens;
2. alterar senhas por meio de um dispositivo considerado seguro;
3. encerrar sessões e remover acessos desconhecidos;
4. comunicar imediatamente o banco em caso de prejuízo financeiro;
5. bloquear cartões, contas e credenciais comprometidas;
6. registrar boletim de ocorrência;
7. denunciar perfis, anúncios e páginas às plataformas;
8. preservar comprovantes, e-mails, arquivos e registros;
9. acionar suporte técnico quando houver comprometimento de sistemas;
10. avaliar medidas judiciais de preservação e fornecimento de dados.

Nos golpes envolvendo Pix, a vítima deve comunicar rapidamente sua instituição financeira e solicitar a análise pelo Mecanismo Especial de Devolução quando o procedimento for aplicável.

Em ataques empresariais, não é recomendável formatar equipamentos ou restaurar todos os sistemas antes da preservação técnica das evidências. Essas ações podem eliminar registros importantes sobre a origem e a extensão da invasão.

Como preservar provas digitais?

A prova digital pode ser apagada ou modificada com facilidade. Por isso, a vítima deve conservar o conteúdo completo e os elementos que permitam compreender o contexto.

Podem ser preservados:

• conversas e mensagens completas;
• nomes de usuários e endereços dos perfis;
• links e endereços eletrônicos;
• números de telefone e e-mails utilizados;
• comprovantes de pagamento;
• dados das contas recebedoras;
• cabeçalhos de e-mails;
• arquivos recebidos;
• registros de acesso e eventos dos sistemas;
• protocolos de atendimento;
• respostas enviadas por bancos e plataformas.

Capturas de tela são úteis, mas podem não ser suficientes isoladamente. Dependendo do caso, poderão ser utilizadas ata notarial, perícia, cópia forense do dispositivo e pedidos judiciais para preservação de registros.

O Marco Civil da Internet estabelece prazos de guarda para determinados registros, mas os provedores não conservam todas as informações indefinidamente. A adoção de medidas sem demora desnecessária pode ser importante para evitar a perda de dados relevantes.

Quando um incidente deve ser comunicado à ANPD?

Se uma empresa sofrer um incidente que envolva dados pessoais, deverá avaliar as obrigações previstas na LGPD e nas normas da Autoridade Nacional de Proteção de Dados.

A comunicação é exigida quando houver incidente confirmado envolvendo dados pessoais que possa ocasionar risco ou dano relevante aos titulares. Não é qualquer falha técnica que deve ser automaticamente comunicada.

A análise pode considerar:

• a natureza e a sensibilidade dos dados;
• a quantidade de titulares afetados;
• o risco de fraude ou uso indevido;
• a possibilidade de identificação das pessoas;
• as medidas de proteção existentes;
• a extensão da exposição;
• as consequências prováveis para os titulares.

Quando a comunicação for obrigatória, o controlador deverá observar o prazo regulamentar de três dias úteis para informar a ANPD e os titulares afetados, ressalvado prazo específico previsto em outra legislação.

A organização também deve documentar a avaliação realizada, as medidas de contenção e os critérios utilizados para decidir pela comunicação ou por sua dispensa.

Como o suporte jurídico pode auxiliar?

A atuação jurídica pode ser necessária tanto na prevenção quanto depois de um incidente. O trabalho deve ser integrado às áreas técnicas, financeiras e administrativas envolvidas.

Entre as possíveis atividades estão:

• analisar o enquadramento jurídico dos fatos;
• orientar a preservação das provas;
• acompanhar o registro e a investigação da ocorrência;
• formular pedidos de preservação ou fornecimento de registros;
• avaliar a responsabilidade de bancos, plataformas e prestadores;
• examinar obrigações relacionadas à LGPD;
• revisar contratos e políticas internas;
• estruturar procedimentos de resposta a incidentes;
• avaliar pedidos de reparação de danos;
• orientar comunicações a clientes, titulares e autoridades.

A medida adequada dependerá da gravidade, da urgência, das provas disponíveis e da possibilidade de identificação dos responsáveis. Nem todo incidente exige ação judicial, e nem toda perda financeira gera responsabilidade automática de terceiros.

Dúvidas frequentes sobre crimes digitais

Cyberbullying é sempre um crime específico?

O termo descreve agressões realizadas por meios digitais. O enquadramento pode envolver intimidação sistemática, ameaça, perseguição, crimes contra a honra, discriminação ou outras condutas, conforme os fatos.

Uma captura de tela é suficiente como prova?

Ela pode ser relevante, mas sua força depende do contexto e da possibilidade de confirmar autenticidade, autoria e integridade. Outros registros podem ser necessários.

O banco sempre responde por uma fraude digital?

Não. A responsabilidade depende da existência de falha no serviço e da relação dessa falha com o prejuízo. Devem ser analisados os mecanismos de segurança e a dinâmica das operações.

A plataforma deve fornecer os dados de um perfil falso diretamente à vítima?

Dados protegidos normalmente dependem do atendimento aos requisitos legais e, em determinadas situações, de ordem judicial.

Todo vazamento precisa ser comunicado à ANPD?

Não. A comunicação é exigida quando o incidente confirmado envolver dados pessoais e puder causar risco ou dano relevante aos titulares.

É necessário apagar o perfil ou bloquear o criminoso imediatamente?

Antes do bloqueio, é recomendável preservar as mensagens, links e dados do perfil. Depois da documentação, o contato poderá ser interrompido e denunciado à plataforma.

Conclusão

Crimes digitais podem atingir patrimônio, privacidade, reputação e continuidade de atividades empresariais. Fraudes eletrônicas, invasões de dispositivos, ameaças, ransomware e divulgação de conteúdos privados exigem respostas diferentes.

A prevenção depende de senhas seguras, autenticação em dois fatores, atualização dos sistemas, backups, controle de acessos e treinamento. Quando o incidente já ocorreu, devem ser priorizadas a contenção do dano e a preservação das provas.

Empresas também precisam avaliar os reflexos contratuais, regulatórios e relacionados à proteção de dados. A atuação jurídica deve ser coordenada com a resposta técnica e adequada às particularidades do caso.

Este conteúdo possui caráter exclusivamente informativo e não substitui a análise individual dos fatos, das provas, dos sistemas afetados e das medidas juridicamente cabíveis.