Extorsão cibernética: o que é, como agir e quais são as consequências legais

A ampliação do uso de sistemas digitais, aplicativos, serviços em nuvem e plataformas de comunicação trouxe benefícios importantes para pessoas e empresas. Ao mesmo tempo, criou novas oportunidades para criminosos que utilizam ameaças, invasões e vazamentos de dados para exigir dinheiro ou outras vantagens.

Uma dessas práticas é conhecida como extorsão cibernética. Ela pode envolver o bloqueio de arquivos por ransomware, a ameaça de divulgação de imagens íntimas, a exposição de dados empresariais ou a promessa de interromper sistemas e serviços digitais.

A reação exige cautela. Além da contenção técnica, podem ser necessárias preservação de provas, comunicação às autoridades, avaliação das obrigações previstas na legislação de proteção de dados e adoção de medidas judiciais.

O que é extorsão cibernética?

Extorsão cibernética é uma expressão utilizada para descrever situações em que alguém emprega meios digitais para constranger uma pessoa ou empresa a realizar um pagamento, entregar informações, praticar determinada conduta ou deixar de fazer algo, sob ameaça de causar um prejuízo.

A ameaça pode consistir em:

• divulgar dados pessoais ou documentos sigilosos;
• publicar imagens íntimas ou conteúdos privados;
• apagar, criptografar ou tornar inacessíveis arquivos;
• interromper o funcionamento de sistemas, sites ou servidores;
• vender informações empresariais ou bases de dados;
• expor supostas irregularidades ou informações constrangedoras;
• continuar ataques digitais até que determinada exigência seja atendida.

A expressão não corresponde, necessariamente, a um crime autônomo com esse nome no Código Penal. O enquadramento jurídico depende da forma de execução, da ameaça realizada, da vantagem exigida, da eventual invasão de dispositivos e de outras circunstâncias do caso.

Em muitas situações, a conduta pode ser examinada como extorsão, prevista no artigo 158 do Código Penal. Outras infrações também podem estar presentes, como invasão de dispositivo informático, ameaça, perseguição, divulgação não autorizada de conteúdo íntimo e delitos relacionados ao tratamento indevido de dados.

Quais são as formas mais comuns de extorsão digital?

Ransomware

Ransomware é um tipo de programa malicioso que bloqueia ou criptografa os dados armazenados em um dispositivo ou sistema. Depois do ataque, os responsáveis exigem pagamento para fornecer uma possível chave de recuperação ou interromper a ameaça.

Em ataques mais recentes, a criptografia pode ser acompanhada da cópia das informações. O criminoso passa a exercer uma dupla pressão: exige pagamento para restabelecer o acesso e também para não divulgar os dados extraídos.

Sextorsão

A sextorsão ocorre quando alguém ameaça divulgar imagens íntimas, vídeos, conversas ou outros conteúdos privados para exigir dinheiro, novos materiais, encontros ou qualquer outra vantagem.

O conteúdo pode ter sido obtido por invasão de conta, acesso indevido ao dispositivo, relacionamento virtual, perfil falso ou manipulação tecnológica. Também existem golpes nos quais o criminoso afirma possuir imagens que, na realidade, nunca foram obtidas.

Ameaça de ataque de negação de serviço

Em ataques de negação de serviço, conhecidos pela sigla DDoS, diversos acessos são direcionados simultaneamente a um site ou sistema para torná-lo lento ou indisponível. O criminoso pode ameaçar iniciar ou prolongar o ataque caso não receba o valor exigido.

Esse tipo de conduta pode afetar lojas virtuais, instituições financeiras, serviços públicos e empresas que dependem da disponibilidade contínua de seus sistemas.

Ameaça de vazamento de dados empresariais

Após invadir uma rede, o responsável pode copiar informações de clientes, contratos, documentos internos, dados financeiros ou segredos comerciais. Em seguida, exige pagamento para não divulgar, vender ou entregar o material a concorrentes.

Mesmo quando os arquivos não são criptografados, a simples ameaça de exposição pode causar impactos jurídicos, operacionais e reputacionais relevantes.

Como a extorsão cibernética é tratada pela legislação brasileira?

O artigo 158 do Código Penal define a extorsão como o ato de constranger alguém, mediante violência ou grave ameaça, com a finalidade de obter vantagem econômica indevida, fazendo com que a vítima realize, tolere ou deixe de realizar alguma conduta.

A pena básica atualmente prevista é de reclusão de quatro a dez anos e multa. Circunstâncias específicas podem alterar o enquadramento ou aumentar as consequências penais.

Quando o criminoso acessa indevidamente um computador, celular, servidor ou outro dispositivo para obter, alterar ou destruir dados, também pode estar presente o crime de invasão de dispositivo informático, previsto no artigo 154-A do Código Penal.

Nos casos de sextorsão, a ameaça de divulgação pode integrar o crime de extorsão. Se o conteúdo íntimo for efetivamente divulgado sem consentimento, poderá ser analisada também a incidência do artigo 218-C do Código Penal, sem prejuízo de outras infrações aplicáveis.

O Marco Civil da Internet não cria uma figura penal específica de extorsão digital. Sua importância está, entre outros aspectos, nas regras sobre guarda de registros, proteção da privacidade e fornecimento judicial de dados que possam contribuir para a identificação dos responsáveis.

A definição jurídica não deve ser feita apenas pelo nome popular do ataque. Um mesmo incidente pode reunir diversos crimes e produzir consequências civis, administrativas e contratuais.

O que fazer ao receber uma ameaça digital?

A vítima não deve agir impulsivamente. O contato com o criminoso pode envolver risco de perda de provas, aumento das exigências ou agravamento da exposição. As primeiras medidas devem buscar preservar informações e impedir a continuidade do ataque.

Em linhas gerais, é recomendável:

1. não apagar mensagens, e-mails, perfis ou arquivos relacionados à ameaça;
2. registrar imagens das conversas, exigências e dados utilizados pelo criminoso;
3. guardar endereços eletrônicos, números de telefone, chaves de pagamento e carteiras digitais;
4. anotar as datas e os horários dos contatos;
5. alterar senhas por meio de um dispositivo considerado seguro;
6. ativar autenticação em dois fatores nas contas relevantes;
7. encerrar sessões desconhecidas e revisar dispositivos conectados;
8. comunicar o fato às autoridades policiais;
9. buscar suporte técnico quando houver invasão ou comprometimento de sistemas;
10. evitar enviar novos conteúdos ou realizar outras exigências do criminoso.

Em casos de sextorsão, a vítima não deve produzir ou encaminhar novas imagens para tentar encerrar a ameaça. Também é importante preservar os dados antes de bloquear o perfil, pois a exclusão imediata da conversa pode dificultar a documentação do ocorrido.

Quando houver risco concreto à integridade física da vítima ou de terceiros, a comunicação às autoridades deve ser imediata.

O pagamento do resgate é recomendado?

O pagamento não garante que os arquivos serão recuperados, que os dados serão excluídos ou que a ameaça será encerrada. O responsável pode exigir novas quantias, manter cópias das informações ou voltar a atacar a mesma vítima.

Órgãos de segurança e especialistas em resposta a incidentes geralmente desaconselham o pagamento, pois ele pode financiar novas práticas criminosas e não oferece garantia de cumprimento da promessa.

Em incidentes empresariais complexos, a decisão não deve ser tomada isoladamente por um funcionário ou administrador. É necessário reunir as áreas de tecnologia, segurança da informação, jurídico, proteção de dados, gestão de riscos e direção da organização.

Também devem ser avaliados os aspectos legais e regulatórios envolvidos, especialmente quando o pagamento solicitado utiliza ativos digitais, intermediários estrangeiros ou beneficiários sujeitos a restrições.

A negociação direta e improvisada pode comprometer a investigação e criar riscos adicionais. A prioridade deve ser conter o incidente, preservar evidências, avaliar os sistemas afetados e acionar os profissionais e autoridades competentes.

Quais providências uma empresa deve adotar após o ataque?

A empresa vítima de extorsão cibernética deve acionar seu plano de resposta a incidentes. Quando não houver procedimento previamente estruturado, as ações devem ser coordenadas para evitar alterações desnecessárias nos sistemas e perda de informações técnicas.

Entre as medidas que podem ser necessárias estão:

• isolar os equipamentos ou segmentos de rede afetados;
• preservar registros de acesso, arquivos de eventos e mensagens;
• identificar os sistemas, contas e dados comprometidos;
• acionar a equipe técnica responsável pela resposta;
• verificar a integridade e a disponibilidade dos backups;
• comunicar a seguradora, quando houver cobertura aplicável;
• avaliar obrigações contratuais perante clientes e parceiros;
• documentar as decisões e medidas adotadas;
• registrar a ocorrência e colaborar com a investigação;
• avaliar a necessidade de comunicação aos titulares e à ANPD.

Formatar equipamentos, restaurar sistemas ou excluir arquivos antes da preservação técnica pode comprometer a identificação da origem, da extensão e do método utilizado no ataque.

A retomada das operações deve ser acompanhada de verificação das vulnerabilidades exploradas. Restaurar os arquivos sem corrigir a causa do incidente pode permitir uma nova invasão.

Quando o incidente deve ser comunicado à ANPD?

Se o ataque atingir dados pessoais, a empresa deve verificar suas obrigações perante a Agência Nacional de Proteção de Dados.

De acordo com o artigo 48 da Lei Geral de Proteção de Dados e com a regulamentação da ANPD, o controlador deve comunicar o incidente quando estiverem presentes, de forma cumulativa, os seguintes elementos:

• ocorrência confirmada do incidente;
• envolvimento de dados pessoais sujeitos à LGPD;
• possibilidade de risco ou dano relevante aos titulares.

Quando a comunicação for obrigatória, ela deverá ser realizada à ANPD e aos titulares afetados no prazo de três dias úteis, contado do conhecimento de que o incidente atingiu dados pessoais, ressalvada a existência de prazo específico previsto em outra legislação.

A comunicação não deve ser realizada de forma automática em qualquer falha de segurança. A empresa precisa avaliar a natureza dos dados, a quantidade de pessoas afetadas, a possibilidade de fraudes, o risco de exposição, as medidas de proteção existentes e os impactos prováveis.

A ausência de todas as informações dentro do prazo não impede a comunicação preliminar. A regulamentação permite complementação posterior, desde que a impossibilidade seja justificada e os prazos aplicáveis sejam observados.

Além da LGPD, determinados setores podem estar sujeitos a normas específicas de comunicação a agências reguladoras, autoridades financeiras, entidades fiscalizadoras, parceiros contratuais ou seguradoras.

Como preservar as provas da extorsão?

A prova digital pode ser modificada, excluída ou transferida com facilidade. Por isso, é importante documentar não apenas o conteúdo da ameaça, mas também sua origem aparente e o contexto em que ocorreu.

Podem ser preservados:

• mensagens e conversas completas;
• cabeçalhos de e-mails;
• nomes de usuários e endereços dos perfis;
• URLs e páginas utilizadas na ameaça;
• números de telefone e endereços de e-mail;
• comprovantes ou instruções de pagamento;
• endereços de carteiras de ativos digitais;
• arquivos maliciosos recebidos;
• registros de acesso e eventos dos sistemas;
• relatórios produzidos pela equipe técnica.

A captura de tela pode ser útil, mas nem sempre é suficiente de forma isolada. Dependendo da gravidade do caso, podem ser avaliadas ata notarial, perícia técnica, preservação forense dos dispositivos e pedidos judiciais para conservação ou fornecimento de registros.

O Marco Civil da Internet permite que registros sejam solicitados judicialmente quando estiverem presentes os requisitos legais. Como os provedores não mantêm todas as informações por prazo indeterminado, a preservação deve ser analisada sem demora desnecessária.

Como prevenir ataques de extorsão cibernética?

A prevenção combina recursos tecnológicos, processos internos e capacitação das pessoas que utilizam os sistemas. Nenhuma ferramenta elimina completamente os riscos, mas uma estrutura adequada reduz a probabilidade e os impactos de um incidente.

Entre as medidas recomendadas estão:

• manter sistemas, aplicativos e equipamentos atualizados;
• utilizar autenticação multifator;
• adotar senhas fortes e diferentes para cada serviço;
• limitar privilégios administrativos;
• segmentar redes e ambientes críticos;
• manter backups protegidos, testados e separados do ambiente principal;
• monitorar acessos e movimentações incomuns;
• treinar colaboradores contra phishing e engenharia social;
• avaliar fornecedores que tratam dados ou acessam sistemas;
• estabelecer plano de resposta a incidentes;
• realizar testes periódicos de recuperação;
• revisar contratos, seguros e obrigações regulatórias.

No caso de pessoas físicas, também é importante evitar a exposição excessiva de dados pessoais, revisar as configurações de privacidade, desconfiar de pedidos de códigos de verificação e não instalar programas recebidos por mensagens.

Dúvidas frequentes sobre extorsão cibernética

Extorsão cibernética é um crime específico?

A expressão descreve diferentes práticas realizadas por meios digitais. Conforme os fatos, pode existir extorsão, invasão de dispositivo, ameaça, divulgação de conteúdo íntimo ou outros delitos.

É necessário pagar para que o crime de extorsão exista?

Não necessariamente. A análise penal não depende apenas da realização do pagamento. A formulação da ameaça e o constrangimento podem possuir relevância jurídica mesmo quando a vítima não entrega o valor exigido.

O que fazer em caso de sextorsão?

A vítima deve preservar as mensagens, não enviar novos conteúdos, evitar pagamentos impulsivos, proteger suas contas e registrar a ocorrência. Quando houver divulgação, também podem ser utilizados os canais de denúncia das plataformas.

Um ataque de ransomware sempre precisa ser comunicado à ANPD?

Não. A comunicação é exigida quando o incidente estiver confirmado, envolver dados pessoais e puder acarretar risco ou dano relevante aos titulares.

É possível identificar um criminoso que utiliza perfil falso?

Em algumas situações, registros mantidos por plataformas, provedores e instituições financeiras podem auxiliar na identificação. A obtenção de determinadas informações depende de ordem judicial e da disponibilidade técnica dos registros.

A vítima pode pedir indenização?

Quando o responsável é identificado, podem ser discutidos danos materiais e extrapatrimoniais, desde que sejam demonstrados os requisitos da responsabilidade civil. Empresas que contribuíram para o dano também podem ser examinadas, mas sua responsabilidade não é automática.

Conclusão

A extorsão cibernética pode envolver ransomware, sextorsão, vazamento de informações ou ameaças contra sistemas digitais. Embora os métodos sejam variados, a lógica costuma ser semelhante: utilizar o medo de um dano para exigir dinheiro ou outra vantagem.

A resposta deve combinar contenção técnica, preservação das provas, proteção das contas, comunicação às autoridades e análise das obrigações jurídicas. No âmbito empresarial, também é necessário avaliar o impacto sobre dados pessoais, contratos, continuidade das operações e comunicação aos titulares.

A prevenção depende de backups protegidos, autenticação multifator, atualização dos sistemas, controle de acessos, treinamento e planejamento prévio para incidentes.

Este conteúdo possui caráter exclusivamente informativo e não substitui a análise individual da ameaça, dos sistemas afetados, dos dados envolvidos e das medidas jurídicas cabíveis.