Ransomware: tipificação penal e como agir após um ataque

O que é ransomware

Ransomware é um tipo de software malicioso que, após infectar um dispositivo eletrônico, bloqueia o acesso a arquivos ou ao próprio sistema e exige pagamento de resgate, em geral em criptomoedas, para liberar o acesso da vítima. O termo vem do inglês “ransom”, que significa resgate, e “software”, programa de computador.

A lógica do ataque é simples do ponto de vista criminal, mas devastadora na prática. O invasor sequestra dados digitais e cobra para devolvê-los. Empresas inteiras podem parar de funcionar, hospitais podem perder acesso a prontuários, órgãos públicos podem ter sistemas fora do ar, e cidadãos comuns podem perder fotos, documentos fiscais e informações bancárias armazenadas em computadores e smartphones.

O ransomware não é novidade, mas ganhou escala impressionante nas últimas décadas. Entre as variantes mais conhecidas estão o WannaCry (2017), o NotPetya (2017), o Ryuk (2018) e o Conti (2020). Mais recentemente, grupos criminosos passaram a adotar a tática de dupla extorsão, em que, além de criptografar os arquivos, eles ameaçam publicar dados sensíveis caso a vítima não pague o valor exigido. Há ainda a chamada tríplice extorsão, em que parceiros comerciais e clientes da vítima também são pressionados.

Como o ransomware age na prática

O ataque geralmente começa com um vetor de infecção. Os mais comuns são:, Phishing por e-mail, com anexos ou links falsos que induzem o usuário a clicar;, Exploração de vulnerabilidades em sistemas desatualizados, sem os devidos patches de segurança;, Acesso remoto desprotegido, como protocolos RDP mal configurados ou sem senha forte;, Download de programas aparentemente legítimos, mas contaminados com o código malicioso;, Dispositivos USB infectados, entregues em locais públicos ou enviados como brindes;, Comprometimento da cadeia de fornecedores, em que um parceiro comercial é infectado e contamina a rede da empresa principal.

Após a infecção, o malware executa a criptografia dos arquivos e exibe uma mensagem de resgate. A mensagem costuma ter tom intimidador, com prazo curto para pagamento, instruções detalhadas, em geral envolvendo carteiras digitais de criptomoedas, e, em alguns casos, identidade visual falsa de órgãos públicos para aumentar a pressão psicológica sobre a vítima. Há casos, ainda, em que os criminosos ligam diretamente para a empresa, simulando ser um órgão de investigação, para pressionar o pagamento.

Tipificação penal do ransomware no Brasil

A legislação brasileira não possui, até o momento, um tipo penal específico batizado de ransomware, mas a prática é enquadrada em diversos dispositivos do Código Penal e de leis especiais. A depender do modo de execução e do resultado, o agente pode responder por mais de um crime, em concurso material ou formal. A análise é sempre feita caso a caso, observando-se as circunstâncias concretas da invasão, da criptografia e da ameaça.

Invasão de dispositivo informático (Art. 154-A do Código Penal)

O Art. 154-A foi incluído pela Lei 12.737/2012, conhecida como Lei Carolina Dieckmann. O dispositivo prevê pena de detenção de três meses a um ano, e multa, para quem invade dispositivo informático alheio, conectado ou não à rede de computadores, com o objetivo de obter, adulterar ou destruir dados ou informações sem autorização do titular, ou ainda instalar vulnerabilidades para uso futuro.

O ransomware, em sua etapa inicial de infecção, inevitavelmente invade o dispositivo. Por isso, esse tipo penal sempre se configura na maioria dos casos de ataque. A jurisprudência brasileira tem aplicado o Art. 154-A de forma ampla, abrangendo computadores, smartphones, tablets, servidores e até dispositivos de Internet das Coisas.

Dano (Art. 163 do Código Penal)

O Art. 163 do Código Penal prevê pena de detenção de seis meses a três anos, e multa, para quem apaga, destrói, deteriora ou inutiliza coisa alheia. Quando o ransomware apaga, corrompe ou torna inacessíveis arquivos do usuário, há também o crime de dano, em sua forma qualificada, prevista no parágrafo único do artigo, com pena de detenção de seis meses a três anos, e multa, na hipótese de emprego de violência à pessoa ou grave ameaça.

Extorsão (Art. 158 do Código Penal)

O Art. 158 do Código Penal define extorsão como obter, para si ou para outrem, vantagem econômica, mediante ameaça de constranger alguém a fazer, tolerar que se faça ou deixar de fazer alguma coisa. A pena é de reclusão de quatro a dez anos, e multa.

Esse é, na prática, o enquadramento que mais se aproxima da conduta do ransomware. O criminoso ameaça manter os dados bloqueados, ou expô-los publicamente, caso a vítima não pague o resgate. É, em essência, uma extorsão informatizada. Diversas decisões recentes no Brasil têm reconhecido a aplicação do Art. 158 a casos de ransomware, especialmente quando há ameaça de divulgação de dados sensíveis.

Estelionato (Art. 171 do Código Penal)

Quando a fraude é praticada por meio de manipulação de sistemas informatizados, com o uso de engenharia social, e a vítima é induzida a realizar pagamentos por acreditação falsa, há espaço para a aplicação do Art. 171 do Código Penal, com pena de reclusão de um a cinco anos, e multa, podendo o juiz aumentar a pena de um terço até a metade se o crime é praticado mediante utilização de informações obtainedas por meio da violação de sigilo funcional, ou em razão do cargo, conforme previsão do §2º-A do dispositivo.

Associação criminosa e organização criminosa

Grupos organizados que praticam ataques em escala, exigindo resgates de múltiplas vítimas, podem responder por associação criminosa, conforme o Art. 288 do Código Penal, com pena de reclusão de um a três anos, ou até mesmo por organização criminosa, conforme a Lei 12.850/2013, com pena de reclusão de três a oito anos, e multa.

Na prática, a maioria dos grandes ataques de ransomware no Brasil é conduzida por grupos estruturados, com divisão de tarefas, infraestrutura própria e atendimento ao cliente para negociação do resgate. Nesses casos, a competência para investigar e processar é, em regra, da Polícia Federal e da Justiça Federal, por envolver, muitas vezes, infrações interestaduais e internacionais.

Quadro comparativo dos principais enquadramentos

A tabela abaixo resume os principais tipos penais aplicáveis a casos de ransomware no Brasil.

O papel do Marco Civil da Internet e da LGPD

O Marco Civil da Internet, instituído pela Lei 12.965/2014, disciplina o uso da rede no Brasil e estabelece princípios como a proteção da privacidade e dos dados pessoais, a inviolabilidade da intimidade e da vida privada, e a responsabilidade dos agentes. Embora não crie tipos penais específicos, a lei é usada como base para a responsabilização civil de provedores e para a interpretação de condutas digitais em processos judiciais.

A Lei Geral de Proteção de Dados, instituída pela Lei 13.709/2018, impõe obrigações importantes às empresas que sofrem ataques de ransomware. Sempre que houver comprometimento de dados pessoais, o controlador deve comunicar o fato à Autoridade Nacional de Proteção de Dados, a ANPD, e aos titulares afetados, em prazo razoável, conforme o Art. 48 da LGPD.

O descumprimento dessas obrigações pode gerar sanções administrativas severas, conforme o Art. 52 da LGPD, que vão de advertência a multa de até dois por cento do faturamento da empresa, limitada a R$ 50.000.000,00 por infração. As sanções podem incluir, ainda, bloqueio ou eliminação dos dados pessoais envolvidos, proibição de tratamento e publicização da infração.

O que fazer ao ser vítima de ransomware

1. Isole os dispositivos afetados

O primeiro passo é desconectar da rede os equipamentos comprometidos, evitando que o malware se espalhe para outros sistemas. Essa medida é técnica, mas também tem importância jurídica, pois demonstra boa-fé e reduz a extensão do dano, o que pode influenciar eventual apuração de responsabilidade civil.

2. Preserve as evidências

Mensagens de resgate, capturas de tela, logs de acesso, registros de firewall e qualquer comunicação com o criminoso devem ser preservados integralmente. Apagar arquivos, reinstalar sistemas sem registro adequado ou tentar negociar com o invasor sem guardar provas pode prejudicar futuras investigações e a responsabilização dos autores.

3. Registre o Boletim de Ocorrência

O registro de Boletim de Ocorrência pode ser feito na Polícia Civil do estado ou, em casos de maior repercussão, na Polícia Federal, por meio da Delegacia de Repressão a Crimes Cibernéticos. Ataques contra infraestruturas críticas, órgãos públicos, empresas de grande porte ou que envolvam dados sensíveis de muitos titulares atraem, em regra, a competência federal.

4. Notifique a ANPD e os titulares dos dados

Se a vítima for uma empresa que trata dados pessoais, há obrigação legal de comunicar o incidente à ANPD e aos titulares afetados, conforme o Art. 48 da LGPD. A comunicação deve descrever a natureza do incidente, as categorias de dados afetados, os riscos envolvidos e as medidas adotadas para mitigar os danos.

5. Não pague o resgate, em regra

Especialistas em segurança e órgãos internacionais de aplicação da lei recomendam não pagar o resgate, pois não há garantia de devolução dos dados e o pagamento incentiva a continuidade das atividades criminosas. No Brasil, a decisão envolve análise de viabilidade técnica e jurídica, mas, em termos legais, o pagamento do resgate não impede a persecução penal e pode, em tese, configurar colaboração com organização criminosa, conforme a Lei 12.850/2013.

6. Busque orientação jurídica especializada

A complexidade do caso exige avaliação por advogada ou advogado habilitado, que poderá orientar sobre a comunicação com autoridades, a preservação de provas, a eventual responsabilização civil de terceiros e o cumprimento das obrigações previstas na LGPD.

Responsabilidade civil em caso de ransomware

Empresas que armazenam dados de clientes podem ser responsabilizadas civilmente por falhas de segurança, mesmo que o ataque seja obra de terceiros. O Superior Tribunal de Justiça tem consolidado o entendimento de que o fornecedor de serviços responde objetivamente por danos causados por defeitos na prestação do serviço, conforme o Art. 14 do Código de Defesa do Consumidor.

No caso de empresas de pequeno e médio porte, é importante destacar que a falta de investimento em segurança pode ser considerada negligência, agravando a responsabilidade e aumentando o risco de condenação em ações judiciais. A jurisprudência tem reconhecido, ainda, o dever de indenizar por danos morais em casos de vazamento de dados, mesmo quando não há prova de prejuízo financeiro direto ao titular.

Prevenção: cuidados essenciais

A prevenção é a melhor estratégia. Algumas medidas recomendadas incluem:, Manter sistemas e softwares sempre atualizados, com instalação imediata de patches de segurança;, Utilizar autenticação em dois fatores em todas as contas e sistemas críticos;, Realizar backups regulares, com cópia off-line, em ambientes isolados, testando periodicamente a restauração;, Treinar colaboradores para reconhecer tentativas de phishing e engenharia social;, Segmentar redes e limitar privilégios de acesso, aplicando o princípio do menor privilégio;, Contar com plano de resposta a incidentes documentado e testado periodicamente;, Adotar soluções de EDR, Endpoint Detection and Response, para detecção comportamental;, Monitorar acessos remotos e desativar protocolos que não estejam em uso;, Revisar contratos com fornecedores, exigindo padrões mínimos de segurança.

Consequências para empresas e gestores

Além das sanções penais aplicáveis aos autores do ataque, empresas e seus gestores podem enfrentar consequências administrativas e civis. A ANPD tem poder de fiscalização e pode aplicar multas, além de determinar o bloqueio de operações de tratamento de dados. O Ministério Público pode, ainda, instaurar inquérito civil para apurar responsabilidades e firmar Termos de Ajustamento de Conduta com empresas negligentes.

Empresas estatais e órgãos públicos podem responder, ainda, por improbidade administrativa, nos termos da Lei 8.429/1992, quando a falha de segurança decorrer de conduta omissiva de gestor. A responsabilização política, em casos de vazamento massivo de dados, é cada vez mais frequente no debate público.

Perguntas Frequentes

1. Pagar o resgate é crime no Brasil?

O pagamento do resgate, em si, não é tipificado como crime pela legislação brasileira. No entanto, o ato pode configurar, em tese, colaboração com organização criminosa, conforme o Art. 2º da Lei 12.850/2013, especialmente se houver ciência da origem ilícita do valor exigido. A orientação geral de especialistas e órgãos de segurança é não pagar, pois não há garantia de devolução dos dados.

2. O ransomware pode ser enquadrado como terrorismo?

Não, na legislação atual. A Lei 13.260/2016 define terrorismo como prática de atos com violência ou grave ameaça, motivada por extremismo político, ideológico ou religioso. Ataques com finalidade exclusivamente financeira, embora graves, não se enquadram nesse tipo penal, salvo situações excepcionais em que há paralisia de serviços essenciais com finalidade de intimidação pública.

3. Posso processar a empresa que vazou meus dados após um ataque de ransomware?

Sim. Se a empresa não adotou medidas de segurança adequadas ou descumpriu as obrigações previstas na LGPD, o titular dos dados pode buscar reparação judicial por danos morais e materiais. A responsabilidade é objetiva, e o dever de indenizar independe de culpa em muitas situações, conforme jurisprudência do Superior Tribunal de Justiça.

4. Crianças e adolescentes vítimas de ransomware têm proteção especial?

Sim. O Estatuto da Criança e do Adolescente, Lei 8.069/1990, prevê proteção integral, e o Ministério Público pode atuar em caso de violação de direitos de menores. Em ambiente escolar, o vazamento de dados de estudantes pode gerar, ainda, responsabilização da instituição de ensino e dos gestores públicos responsáveis.

5. Existe algum convênio internacional para investigar ataques de ransomware?

Sim. O Brasil integra a Convenção de Budapeste sobre Crimes Cibernéticos, ratificada por meio do Decreto 11.491, de 18 de abril de 2023, que facilita a cooperação internacional em investigações. O acordo permite troca de informações, provas e auxílio direto entre autoridades de diferentes países, o que é fundamental em casos de ataques transnacionais.

Conclusão

O ransomware é uma ameaça crescente e complexa, que combina técnicas de invasão, criptografia e extorsão. No Brasil, embora não exista tipo penal específico, a prática é combatida por meio de diversos dispositivos legais, com destaque para a Lei Carolina Dieckmann, o Código Penal, o Marco Civil da Internet e a LGPD. A prevenção, a resposta rápida e a orientação jurídica especializada continuam sendo as melhores armas da vítima. O cenário brasileiro exige maturidade institucional, cooperação internacional e investimentos consistentes em segurança da informação.

Se você está passando por uma situação parecida, não enfrente sozinho(a). A Dra Kauane Silva atende pessoas em Porto Belo e região, com orientação personalizada pra cada caso. Entre em contato para uma consulta confidencial.

Este conteúdo tem caráter informativo e não substitui consulta com advogada habilitada. Procure profissional inscrito na OAB.

Referências consultadas

BRASIL. Decreto-Lei 2.848, de 7 de dezembro de 1940. Código Penal. Disponível em: https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm, BRASIL. Lei 12.737, de 30 de novembro de 2012. Dispõe sobre a tipificação criminal de delitos informáticos. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2012/lei/l12737.htm, BRASIL. Lei 12.965, de 23 de abril de 2014. Marco Civil da Internet. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm, BRASIL. Lei 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm, BRASIL. Lei 12.850, de 2 de agosto de 2013. Define organização criminosa. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2013/lei/l12850.htm, BRASIL. Lei 13.260, de 16 de março de 2016. Lei Antiterrorismo. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/lei/l13260.htm, BRASIL. Lei 8.069, de 13 de julho de 1990. Estatuto da Criança e do Adolescente. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8069.htm, BRASIL. Lei 8.078, de 11 de setembro de 1990. Código de Defesa do Consumidor. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078.htm, BRASIL. Lei 8.429, de 2 de junho de 1992. Lei de Improbidade Administrativa. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8429.htm, BRASIL. Decreto 11.491, de 18 de abril de 2023. Promulga a Convenção sobre Cibercrime. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2023/decreto/d11491.htm