Hacker Invade Sistemas do Governo: Entenda o Crime Cibernético

1. O que aconteceu

A Polícia Federal prendeu, em outubro de 2022, na cidade de Feira de Santana (BA), um jovem apontado como principal articulador, no Brasil, de um grupo cibercriminoso internacional conhecido por invadir e derrubar sistemas de órgãos públicos e de empresas privadas. Entre os alvos atribuídos ao grupo estão plataformas ligadas à saúde pública, à administração federal e a outros órgãos e empresas de grande porte.

Após a prisão, a investigação avançou para o rastreamento financeiro do suspeito: foram identificados registros de milhões de reais em criptoativos e um imóvel rural de alto valor em seu nome, além de indícios de que parte desses recursos teria origem na venda de bancos de dados obtidos de forma ilícita. Novos mandados de busca foram cumpridos em outros estados para localizar equipamentos, documentos e possíveis financiadores ou compradores das informações supostamente subtraídas.

Até o momento, o caso está em fase de investigação e apuração de responsabilidades, cabendo à Justiça, ao final do processo, decidir sobre eventual condenação.

Fonte: Folha de S.Paulo (Folhapress), outubro de 2022.

2. Classificação jurídica do fato

O caso, tal como relatado, pode envolver, em concurso material (art. 69 do Código Penal), três núcleos de crimes distintos:

Invasão de dispositivo informático (art. 154-A do Código Penal): invadir dispositivo alheio, conectado ou não à rede, mediante violação indevida de mecanismo de segurança, para obter, adulterar ou destruir dados ou informações. A pena-base é de reclusão de 1 a 4 anos e multa, mas se sobem qualificadoras quando há obtenção de conteúdo sigiloso, controle remoto do dispositivo ou divulgação/comercialização dos dados obtidos — hipótese que se amolda à venda de bancos de dados mencionada na apuração.
Organização criminosa (art. 2º da Lei nº 12.850/2013): promover, constituir, financiar ou integrar organização estruturada de quatro ou mais pessoas com divisão de tarefas para obter vantagem por meio da prática de infrações penais. Pena de reclusão de 3 a 8 anos e multa, com causas de aumento de 1/6 a 2/3 quando presentes hipóteses como conexão internacional ou transnacionalidade da atuação do grupo.
Lavagem de capitais (art. 1º da Lei nº 9.613/1998): ocultar ou dissimular a origem, natureza ou propriedade de bens provenientes, direta ou indiretamente, de infração penal — o que se discute em relação à conversão dos valores obtidos em criptoativos e à aquisição de bens em nome do investigado. Pena de reclusão de 3 a 10 anos e multa.

Como ainda não há decisão judicial definitiva, o tratamento correto do investigado, neste momento processual, é o de suspeito — nunca de condenado.

3. Como o golpe funciona

Grupos cibercriminosos com esse perfil de atuação costumam seguir um padrão estratégico, sem que isso signifique um roteiro replicável: exploram falhas de segurança ou credenciais comprometidas para obter acesso não autorizado a sistemas de órgãos públicos ou empresas; uma vez dentro, extraem grandes volumes de dados e, em muitos casos, tornam os sistemas indisponíveis como forma de pressão. A partir daí, o material é usado de duas formas — extorsão direta da vítima (exigindo pagamento para não divulgar ou para devolver o acesso) ou venda dos dados a terceiros interessados, o que costuma alimentar outros golpes, como fraudes de identidade. Os valores movimentados tendem a ser convertidos em criptoativos, dificultando o rastreamento pela origem descentralizada dessas transações.

4. Sinais de alerta

Indisponibilidade repentina e não explicada de sistemas ou plataformas institucionais.
Mensagens de extorsão recebidas por canais oficiais de comunicação, exigindo pagamento para restabelecer acesso ou não divulgar dados.
Notificações de acesso a contas ou sistemas em horários ou locais incomuns.
Vazamento de dados pessoais (CPF, e-mail, senhas) aparecendo à venda em fóruns ou grupos de mensagens.
Tentativas de uso indevido do CPF ou de dados cadastrais da própria pessoa em serviços que ela não contratou.

5. Como se prevenir

Órgãos e empresas devem adotar autenticação multifator, atualização constante de sistemas e monitoramento contínuo de acessos privilegiados.
Ter um plano de resposta a incidentes cibernéticos testado, com contato direto com equipes de segurança da informação e, quando cabível, com a autoridade policial especializada.
Investir em treinamento de servidores e colaboradores para reconhecer tentativas de engenharia social, phishing e comprometimento de credenciais.
Para o cidadão comum, verificar periodicamente se o próprio CPF consta em vazamentos públicos e evitar reutilizar a mesma senha em diferentes serviços.
Restringir o compartilhamento de dados sensíveis a plataformas que demonstrem práticas efetivas de segurança da informação.

6. Se você já caiu no golpe

Preserve todas as evidências digitais disponíveis (prints, e-mails, notificações, extratos), sem alterá-las.
Registre boletim de ocorrência o quanto antes, relatando com precisão datas, valores e canais utilizados.
Comunique imediatamente a instituição financeira ou a plataforma afetada, solicitando bloqueio preventivo quando aplicável.
Procure uma delegacia especializada em crimes cibernéticos para dar andamento formal à apuração.
Monitore o uso do próprio CPF e de contas pessoais nos meses seguintes, para identificar tentativas de fraude decorrentes do vazamento.

7. O que a lei prevê para o autor

Como visto, a depender do enquadramento definitivo, a pena pode somar as reprimendas da invasão de dispositivo informático (potencialmente qualificada), da organização criminosa e da lavagem de capitais, em concurso material — o que eleva substancialmente a resposta penal cabível em relação a um crime cibernético isolado.

Para dar a dimensão dessa resposta penal em casos concretos, tramita hoje, na Justiça da Paraíba, uma ação penal contra outros integrantes do mesmo grupo cibercriminoso internacional mencionado nesta reportagem, denunciados pelo Ministério Público por organização criminosa qualificada (art. 2º, § 4º, da Lei 12.850/2013) em concurso material com invasão de dispositivo informático qualificada (art. 154-A, §§ 1º a 4º, do Código Penal), reiterada por pelo menos vinte vezes. O caso ilustra como a Justiça brasileira já vem tratando, de forma técnica e articulada, condutas dessa natureza.

Reforça-se: até que sobrevenha decisão judicial transitada em julgado, qualquer pessoa mencionada em apurações desse tipo deve ser tratada como investigada ou suspeita, jamais como culpada.

8. Aviso editorial

Este conteúdo tem finalidade exclusivamente educativa e preventiva, elaborado a partir de informações públicas amplamente divulgadas pela imprensa. Nenhum dado que possa identificar vítimas foi reproduzido, e o(s) investigado(s) é(são) tratado(s) sob presunção de inocência, nos termos da Constituição Federal, até eventual decisão judicial definitiva.