Blog

Imagine estar na sala, à noite, e ouvir uma voz estranha saindo do robô aspirador. Em seguida, ele começa a se mover sozinho, segue o cachorro pela casa e grita ofensas. Não é roteiro de filme: aconteceu com famílias nos Estados Unidos em 2024, e voltou a viralizar nas redes neste ano.

O susto, porém, é o de menos. O problema real é que um aparelho com câmera, microfone, alto-falante e mapa da sua casa pode virar os olhos e os ouvidos de um criminoso. Nesta postagem, explico o conceito, como a invasão acontece, quais crimes ela permite e quais crimes ela própria configura, com casos reais e fictícios, e o que fazer para se proteger ou reagir.

Resumo em 30 segundos

Aparelhos “inteligentes” da casa — robô aspirador, câmera de segurança, babá eletrônica, TV, lâmpada, fechadura — estão ligados à internet. Se tiverem senha de fábrica, falha do fabricante ou conta mal protegida, alguém de fora pode assumir o controle, assistir ao que acontece dentro da casa e usar isso para espionar, perseguir, extorquir, furtar ou invadir outros aparelhos da rede. No Brasil, isso é crime (art. 154-A do Código Penal) e, conforme o uso que se faz do acesso, abre caminho para outros crimes bem mais graves.

Conceito: o que é a invasão de aparelhos conectados

Internet das Coisas (IoT, do inglês Internet of Things) é o nome dado aos objetos do dia a dia que se conectam à internet para serem controlados pelo celular: o robô que limpa a casa enquanto você está no trabalho, a câmera que mostra o bebê no berço, a fechadura que abre por aplicativo.

A invasão de dispositivo IoT ocorre quando uma pessoa não autorizada passa a acessar ou comandar esse aparelho. Para o Direito Penal, o robô aspirador é um “dispositivo informático”: tem processador, programa (firmware), armazena dados e se comunica pela rede. Por isso, quem o invade comete o crime do art. 154-A do Código Penal, como explico adiante.

O ponto que poucos percebem: um robô aspirador moderno não é só uma vassoura com rodas. Ele desenha a planta da casa, sabe em que cômodo está e a que horas limpa, e muitos modelos têm câmera e microfone. É um sensor ambulante dentro do seu lar.

Modus operandi: como o criminoso entra

Sem entrar em detalhes técnicos que ajudem alguém a repetir a conduta, as portas de entrada mais comuns são estas:

1. Senha de fábrica ou senha fraca. Muitos aparelhos saem da caixa com usuário e senha padrão, facilmente encontrados na internet. Quem nunca troca deixa a porta destrancada.
2. Falha do próprio fabricante. Às vezes o dono fez tudo certo, mas o sistema da empresa (aplicativo ou servidor na nuvem) tem uma brecha. Foi o que ocorreu nos casos Ecovacs e DJI, relatados abaixo.
3. Conta do aplicativo invadida. Se a senha do app foi vazada em outro site e é a mesma usada em vários serviços, o criminoso entra pela conta, sem precisar “hackear” o aparelho.
4. Acesso que nunca foi retirado. Técnico instalador, ex-companheiro, ex-funcionário ou antigo inquilino que continua com login no app. É a porta mais silenciosa — e muito comum em casos de violência doméstica.
5. Aparelho sem atualização. Firmware antigo mantém falhas já conhecidas e corrigidas pelo fabricante.

A partir daí, a dinâmica costuma seguir quatro fases:

• 1. Varredura: o criminoso procura, de forma automatizada, aparelhos expostos ou vulneráveis — ele não escolhe você; escolhe o aparelho mais fácil.
• 2. Acesso: entra pela senha padrão, pela falha do fabricante ou pela conta do app.
• 3. Observação silenciosa: assiste, ouve, aprende a rotina, descobre quem mora na casa, quando ela fica vazia e onde ficam os objetos de valor. Em alguns modelos, o aviso de “câmera ativa” pode ser desligado à distância.
• 4. Exploração: extorsão, venda de imagens ou de acessos, furto, perseguição, ou uso do aparelho como “trampolim” para atacar celulares e computadores da mesma rede.

E a senha do Wi-Fi? O criminoso controla meu celular e notebook?

Não automaticamente. Estar dentro da rede não é o mesmo que controlar celular ou notebook atualizados e protegidos por senha — para isso, o criminoso ainda precisaria explorar outra falha ou enganar o usuário (um link, um arquivo, um app falso). Mas o aparelho invadido funciona como um pé dentro de casa: dali o criminoso pode procurar o próximo alvo fraco (roteador com senha de fábrica, outra câmera, pasta compartilhada sem senha). Por isso a separação de redes, explicada na prevenção, é tão importante.

Por que isso dá dinheiro ao criminoso

• Furto e roubo planejados: a planta da casa, os horários em que ela fica vazia e a localização de objetos valem ouro para quem planeja entrar.
• Extorsão e sextorsão: imagens de banho, troca de roupa ou intimidade do casal viram instrumento de chantagem.
• Venda de imagens e de acessos: há sites e grupos que compram vídeos captados de câmeras domésticas e “pacotes” de acesso a aparelhos.
• Porta para fraude bancária: a partir da rede doméstica, o criminoso busca chegar ao computador ou ao celular, onde estão senhas e aplicativos de banco.
• Exército de robôs (botnet): milhares de aparelhos invadidos são usados em conjunto para derrubar sites ou atacar empresas, serviço que também é vendido.

Os crimes: para obter o acesso e resultantes do acesso

Crimes praticados para obter o acesso

• Invasão de dispositivo informático (art. 154-A, caput, CP): invadir aparelho alheio para obter, alterar ou destruir dados, ou instalar vulnerabilidades para obter vantagem ilícita. Pena: reclusão de 1 a 4 anos e multa (redação da Lei 14.155/2021).
• Produzir, vender ou distribuir ferramenta para invasão (art. 154-A, § 1º): alcança quem fornece programas ou dispositivos destinados a permitir a invasão — inclusive quem comercializa “kits” e acessos.
• Interceptação clandestina de comunicações telemáticas (art. 10 da Lei 9.296/1996): captar, sem autorização judicial, o fluxo de dados transmitido pelo aparelho. Pena: reclusão de 2 a 4 anos e multa.
• Associação criminosa (art. 288, CP) ou organização criminosa (Lei 12.850/2013), quando há grupo estruturado explorando aparelhos em série.

Formas qualificadas e majorantes da própria invasão

• Controle remoto não autorizado (art. 154-A, § 3º): se da invasão resulta o controle remoto do aparelho — exatamente o caso do robô que passa a andar e falar sob comando do criminoso — ou a obtenção de comunicações privadas ou informações sigilosas, a pena sobe para reclusão de 2 a 5 anos e multa.
• Prejuízo econômico (§ 2º): aumento de 1/3 a 2/3.
• Divulgação, venda ou transmissão a terceiros (§ 4º): aumento de 1/3 a 2/3 na hipótese do § 3º.
• Atenção — ação penal (art. 154-B): em regra, depende de representação da vítima, ou seja, a vítima precisa manifestar formalmente que deseja ver o autor processado (prazo de 6 meses a partir de quando souber quem é o autor).

Crimes resultantes do acesso (o que o invasor faz depois)

• Registro não autorizado da intimidade sexual (art. 216-B, CP): gravar cenas de nudez ou ato sexual sem autorização.
• Divulgação de cena de nudez ou sexo (art. 218-C, CP): compartilhar ou vender essas imagens. Reclusão de 1 a 5 anos.
• Extorsão (art. 158, CP): exigir dinheiro sob ameaça de divulgar imagens (sextorsão). Reclusão de 4 a 10 anos e multa.
• Perseguição — stalking (art. 147-A, CP) e violência psicológica contra a mulher (art. 147-B, CP): monitorar a rotina da vítima de forma reiterada, muito comum por ex-companheiros.
• Ameaça (art. 147, CP) e injúria (art. 140, CP); se as ofensas forem racistas, injúria racial (art. 2º-A da Lei 7.716/1989, reclusão de 2 a 5 anos).
• Furto qualificado (art. 155, § 4º, CP) ou roubo (art. 157, CP), quando as informações servem para planejar a entrada na casa.
• Fraude eletrônica (art. 171, § 2º-A, CP) e furto mediante fraude eletrônica (art. 155, § 4º-B), se o invasor chega aos dados bancários.
• Interrupção de serviço telemático (art. 266, § 1º, CP), quando o aparelho é usado em ataques que derrubam sites.
• Crimes do ECA (arts. 240, 241-A e 241-B, Lei 8.069/1990), se houver registro, divulgação ou armazenamento de cenas envolvendo crianças ou adolescentes — penas severas, que chegam a 8 anos de reclusão.

E o fabricante? Não comete crime pela falha, mas pode responder no plano civil e administrativo: o Código de Defesa do Consumidor trata como defeituoso o produto que não oferece a segurança esperada, e a LGPD exige medidas de proteção de dados e comunicação de incidentes à ANPD e aos titulares.

Por que tantas pessoas ficam expostas

• Falsa sensação de segurança: “ninguém vai querer invadir o meu aspirador”. O criminoso não escolhe a pessoa; escolhe o aparelho vulnerável.
• Comodidade: trocar senha e atualizar o aparelho parece perda de tempo.
• Confiança na marca: marcas conhecidas também erram, como mostram os casos abaixo.
• Medo e vergonha (na fase da extorsão): o criminoso aposta que a vítima pagará em silêncio para evitar exposição.

Casos reais

1. Robôs Ecovacs nos EUA (2024): xingamentos e perseguição ao cachorro

Em outubro de 2024, donos do modelo Deebot X2, da fabricante chinesa Ecovacs, relataram em diferentes cidades americanas que estranhos assumiram o controle dos robôs. Um advogado de Minnesota ouviu ruídos e uma voz saindo do aparelho e, pelo aplicativo, viu que alguém acessava a câmera e o controle remoto. Em Los Angeles, um robô perseguiu o cachorro da família enquanto emitia ofensas; em El Paso, outro repetiu insultos racistas durante a noite. Pesquisadores já haviam demonstrado meses antes que o PIN que deveria proteger a câmera era verificado apenas no aplicativo, e não no servidor ou no robô, e que o aviso sonoro de câmera ativa podia ser desligado à distância.

2. DJI Romo (2026): quase 7 mil robôs expostos em 24 países

Em fevereiro de 2026, um engenheiro que só queria comandar seu próprio DJI Romo com um controle de videogame percebeu que a chave digital do seu robô dava acesso aos dados de praticamente todos os aparelhos ligados aos servidores da empresa: cerca de 7 mil robôs em 24 países. Era possível ver vídeo ao vivo, ouvir pelo microfone, acompanhar o cômodo onde o robô estava e gerar a planta de casas que ele nunca visitou. A falha estava na validação de permissões do servidor da DJI, que a corrigiu após ser alertada. O caso mostra que, às vezes, o consumidor fez tudo certo e o risco está na nuvem do fabricante.

3. Polícia Federal: babás eletrônicas e câmeras invadidas em 35 cidades (2020)

Durante o isolamento da pandemia, a unidade da PF especializada em crimes de ódio e pornografia infantil identificou a invasão de 141 equipamentos — babás eletrônicas e câmeras IP — em residências de 35 municípios brasileiros. Segundo a investigação, os criminosos acompanhavam a rotina das famílias em tempo real, o que abria espaço para outros crimes, como extorsão. A apuração envolveu cooperação com agências estrangeiras.

4. Coreia do Sul: 120 mil câmeras invadidas e vídeos íntimos vendidos (2025)

Em dezembro de 2025, a polícia sul-coreana anunciou a prisão de quatro pessoas, que agiam de forma independente, por invadir cerca de 120 mil câmeras instaladas em casas, empresas e outros locais, muitas usadas para vigiar crianças e animais. As imagens foram usadas para produzir e vender conteúdo sexual a um site estrangeiro; um dos presos teria lucrado cerca de US$ 12 mil e outro, o dobro. A porta de entrada, segundo a polícia, foram senhas fracas, como números em sequência ou caracteres repetidos.

5. Goiás: instalador mantinha acesso às câmeras da cliente (2026)

Em fevereiro de 2026, a Polícia Civil de Goiás prendeu, em Pires do Rio, um homem que, ao instalar câmeras na casa de uma cliente, continuou acessando remotamente as imagens e gravou momentos de nudez dela e da filha adolescente. Ele passou a ser investigado por interceptação clandestina (art. 10 da Lei 9.296/1996), registro não autorizado da intimidade (art. 216-B do CP) e registro de cena de nudez de adolescente (art. 240 do ECA). É o exemplo clássico da porta “acesso que nunca foi retirado”.

Casos fictícios para entender melhor

Os casos a seguir são inventados, com finalidade exclusivamente didática. Qualquer semelhança com fatos reais é coincidência.

Caso fictício 1 — “A planta da casa”. Carla instala um robô aspirador e nunca troca a senha do aplicativo, a mesma de outros sites que já vazaram. Um criminoso acessa a conta, vê o mapa do apartamento, descobre que o robô limpa todo dia às 9h, quando ninguém está em casa, e enxerga um cofre no closet. Dias depois, o apartamento é furtado. Crimes: invasão de dispositivo (art. 154-A) e furto qualificado (art. 155, § 4º), em concurso. O que teria evitado: senha única e verificação em duas etapas no app.

Caso fictício 2 — “A câmera do quarto”. Um casal deixa o robô com câmera no quarto. O invasor grava cenas íntimas e envia mensagem exigindo R$ 5 mil em PIX para não publicar os vídeos. Crimes: invasão com obtenção de conteúdo privado (art. 154-A, § 3º), registro não autorizado da intimidade (art. 216-B) e extorsão (art. 158); se publicar, também art. 218-C. Reação correta: não pagar, preservar as mensagens e procurar a polícia.

Caso fictício 3 — “O ex que nunca saiu do app”. Após a separação, Rafael continua logado no aplicativo das câmeras e do robô da casa onde vive a ex-companheira. Passa a comentar com ela onde esteve e com quem conversou. Crimes: invasão de dispositivo, perseguição (art. 147-A, com aumento por ser contra mulher em razão da condição de sexo feminino) e violência psicológica (art. 147-B), com medidas protetivas da Lei Maria da Penha. O que teria evitado: revisar usuários e aparelhos conectados e trocar todas as senhas após a separação.

Caso fictício 4 — “O consultório”. Uma pequena clínica liga a câmera da recepção na mesma rede dos computadores. Pela câmera com senha de fábrica, o invasor chega a um computador desatualizado, altera boletos enviados aos pacientes e desvia pagamentos. Crimes: invasão de dispositivo e fraude eletrônica (art. 171, § 2º-A). O que teria evitado: rede separada para câmeras e aparelhos IoT, e computadores atualizados.

Sinais de alerta

• O robô se move, liga ou emite sons fora dos horários programados.
• Vozes, chiados ou ruídos estranhos saindo do aparelho.
• Luz da câmera acesa sem que ninguém da casa esteja usando.
• Aviso de login novo, de outro país ou de aparelho desconhecido no aplicativo.
• Mapas, limpezas ou configurações alteradas que você não fez.
• Aparelhos desconhecidos na lista de dispositivos do roteador.
• Internet lenta sem explicação ou bateria do aparelho descarregando rápido demais.

Prevenção: o checklist da casa conectada

• Troque a senha de fábrica do aparelho, do roteador e do aplicativo. Use senhas longas e diferentes para cada serviço.
• Ative a verificação em duas etapas na conta do aplicativo, de preferência por app autenticador.
• Atualize o firmware do robô, das câmeras e do roteador; ative a atualização automática quando houver.
• Separe as redes: coloque robôs, câmeras, TVs e lâmpadas na “rede de convidados” ou numa rede própria, longe do celular e do computador onde você usa banco.
• Desligue o que não usa: se o robô não precisa de câmera ou microfone, desative nas configurações; se não houver opção, cubra a câmera quando não estiver em uso.
• Não deixe câmeras em quarto e banheiro. Defina zonas proibidas no mapa do robô para esses cômodos.
• Revise quem tem acesso: remova técnicos, ex-moradores e familiares que não precisam mais do login; confira os aparelhos conectados à conta.
• Pesquise antes de comprar: veja se a marca tem histórico de falhas e se oferece atualizações de segurança por vários anos.
• Antes de vender ou descartar o aparelho, faça a restauração de fábrica e remova-o da sua conta.

Já fui vítima: o que fazer

1. Documente antes de mexer: faça prints e vídeos do aplicativo mostrando acessos estranhos, histórico de uso, data e hora. Grave o aparelho emitindo sons, se for o caso. Não apague mensagens de chantagem.
2. Isole o aparelho: desligue-o da tomada ou da internet. Evite restaurar de fábrica antes de registrar as provas — a restauração pode apagar vestígios úteis à perícia.
3. Retome o controle a partir de outro aparelho: troque as senhas do app, do roteador e do e-mail ligado à conta; encerre todas as sessões; ative a verificação em duas etapas.
4. Comunique o fabricante pelo canal oficial e guarde o número do protocolo.
5. Registre boletim de ocorrência, de preferência em delegacia especializada em crimes cibernéticos ou pela delegacia virtual do seu estado, e manifeste o desejo de representar contra o autor.
6. Se houver extorsão, não pague. Pagar raramente encerra a chantagem e costuma gerar novas exigências.
7. Se imagens íntimas foram divulgadas: notifique as plataformas pedindo a remoção — pelo art. 21 do Marco Civil da Internet, o provedor que não retirar o conteúdo após notificação da vítima pode responder — e procure o canal de ajuda da SaferNet.
8. Se envolver criança ou adolescente: procure a polícia imediatamente e denuncie também pelo Disque 100.
9. Se suspeitar que o invasor chegou ao celular ou ao computador: avise o banco, troque as senhas bancárias, acompanhe o extrato e consulte o Registrato, do Banco Central, para checar contas e empréstimos em seu nome.

Repressão: como a polícia chega ao invasor

Esse tipo de crime deixa rastros. A investigação costuma partir das provas preservadas pela vítima e avança com pedidos aos fabricantes e provedores. Com base no Marco Civil da Internet (Lei 12.965/2014), a autoridade policial pode requisitar dados cadastrais e representar ao juiz pelo fornecimento dos registros de acesso (data, hora e IP de quem entrou na conta). Como os provedores de aplicação só são obrigados a guardar esses registros por seis meses, a rapidez da vítima em registrar a ocorrência faz diferença.

Muitos fabricantes e servidores estão no exterior. Nesses casos, entram em cena a cooperação jurídica internacional e a Convenção de Budapeste sobre o Cibercrime, promulgada no Brasil pelo Decreto 11.491/2023, que agiliza a preservação de dados entre países. Na outra ponta, a perícia nos aparelhos apreendidos do suspeito costuma revelar listas de dispositivos acessados, imagens armazenadas e conversas de venda — material que precisa respeitar a cadeia de custódia para valer como prova.

Quem corre mais risco

• Famílias com bebês e crianças que usam babá eletrônica ou câmera no quarto: cuidado redobrado com senha, atualização e posicionamento da câmera.
• Idosos que ganham aparelhos de presente já configurados por terceiros: um familiar de confiança deve revisar quem tem acesso.
• Mulheres que saíram de relacionamento abusivo: revisem todos os apps da casa (câmeras, robô, fechadura, assistente de voz) e troquem senhas.
• Pequenas empresas, consultórios e escritórios: câmeras e aparelhos IoT nunca na mesma rede dos computadores com dados de clientes — o que, além de segurança, é exigência da LGPD.
• Quem aluga imóvel por temporada ou mora de aluguel: pergunte quais aparelhos conectados existem no imóvel e quem os administra.

Fontes

• Aspiradores robôs perseguiram pets nos EUA — e aqui está a explicação — Olhar Digital, 14/10/2024.
• Robôs aspiradores hackeados disparam ataques racistas a usuários — TecMundo, out/2024.
• Hackers invadem robôs aspiradores (pesquisa sobre o PIN da Ecovacs) — Tribuna Online, out/2024.
• Dono de um DJI Romo hackeou quase 7 mil robôs aspiradores por acaso — Tecnoblog, fev/2026.
• O homem que hackeou 7 mil aspiradores de pó – sem querer — Olhar Digital, 16/02/2026.
• Programador amador cria acidentalmente um exército de robôs aspiradores — Malwarebytes, 17/02/2026.
• PF descobre invasão de babás eletrônicas e câmeras residenciais em 35 cidades — IstoÉ Dinheiro/Estadão Conteúdo, 07/04/2020.
• Coreia do Sul prende quatro por hackear 120 mil câmeras e vender vídeos íntimos — Bahia Notícias, 03/12/2025.
• PCGO cumpre mandados e prende investigado por interceptação ilegal de dados telemáticos em Pires do Rio — Polícia Civil de Goiás, 20/02/2026.
• Invasão de câmeras expõe intimidade e alimenta mercado de crimes no Brasil — Band, 04/04/2026.
• Câmeras IP e senhas padrão: esteja atento aos riscos — WeLiveSecurity (ESET), 27/12/2022.
• Cartilha de Segurança para Internet — Fascículo Redes — CERT.br/NIC.br, out/2020.
• Código Penal (Decreto-Lei 2.848/1940), texto compilado — Planalto.
• Lei 14.155/2021 — Planalto.
• Lei 9.296/1996 — Planalto.
• Marco Civil da Internet (Lei 12.965/2014) — Planalto.

Leia também

• Fita na câmera do celular: paranoia ou proteção? As 6 portas que o criminoso usa para espionar você
• Senhas Seguras: como criar, guardar e escapar dos golpes que roubam seus acessos
• O que é Cyber Extorsão, como funciona e como se proteger
• “Segue o comprovante”: o arquivo disfarçado que instala um espião no seu celular e no seu computador
• Aparelhos conectados e verificação em duas etapas: o checklist de 2 minutos que blinda o seu WhatsApp
• Celular invadido, vídeo sem rastro: por que o STJ mandou retirar a prova do processo

Chamada para Mentoria

Invasão de dispositivo informático, suas qualificadoras após a Lei 14.155/2021, a ação penal condicionada do art. 154-B e o concurso com extorsão, perseguição e crimes contra a dignidade sexual são temas cada vez mais cobrados nas provas objetivas, discursivas e orais para Delegado de Polícia — inclusive em questões que pedem a representação por quebra de sigilo telemático.

Se você quer se preparar com quem vive a investigação de crimes cibernéticos na prática, conheça a Mentoria para Delegado de Polícia e construa um plano de estudos estratégico e individualizado.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá, Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.