Source: https://michelaneizzoadv.com/2017/12/11/sequestros-digitais/
Timestamp: 2019-02-20 21:48:30+00:00

Document:
Sequestros Digitais – Michelan & Izzo Advogados
Os dados divulgados recentemente são alarmantes: os “sequestros” cibernéticos tiveram um aumento anual de 30% entre 2014 e 2017 na América Latina. O Brasil lidera a lista de países com maior número de sequestro de dados: são 55% dos ataques relatados, seguido do México com 23,40% e da Colômbia com 5%[1].
Trata-se de golpe virtual, em que o hacker acessa o ambiente virtual da vítima e retém seus dados – vídeos, planilhas, fotos, áudios, balanços patrimoniais, textos e etc. –, requerendo resgate em dinheiro para liberar o que foi capturado. Os criminosos criptografam os dados das vítimas, ou seja, embaralham o caminho até eles.
Diferentemente das fraudes digitais até então praticadas, que visavam ao roubo de senhas, números de cartões de crédito, ou demais informações sigilosas, nestes casos a intenção dos criminosos é impedir o acesso da vítima aos seus próprios dados, exigindo um resgate para os liberar.
Reportagem do G1 explica esta prática criminosa de maneira bastante didática: “É como se, para chantagear alguém, criminosos alterassem a fechadura de uma casa. A vítima não consegue entrar, porque a chave não funciona. Mas isso não quer dizer que os criminosos tenham roubado o que estava lá dentro.[2]”
O sequestro dos arquivos é feito por um vírus conhecido por “ransomware”, em referência à ransom (“resgate”, em inglês). Quando instalado, o vírus faz uma varredura no disco rígido a fim de localizar arquivos importantes e os codifica, através de técnicas de criptografia. Ou seja, os arquivos não são danificados, tão somente ficam inacessíveis à vítima, vez que apenas o hacker possui a chave de segurança que os libera.
Reportagem da Revista Exame[3] afirma que apenas duas variedades de ransomware arrecadaram 343 milhões de dólares em todo o mundo de 01/2015 até 12/2016, e não podemos deixar de considerar que o pagamento do resgate é desencorajado pelos especialistas em segurança digital, porque incentivam este tipo de crime, e mais, porque mesmo mediante pagamento do resgate não há garantias de que os arquivos serão devolvidos. Outra importante ressalva é que muitas empresas não chegam a reportar a violação por temer a perda de confiança dos clientes, o que faz do ransomware mais um crime digital subnotificado[4].
A dificuldade em punir os criminosos está na escassez de vestígios deixados. Os hackers não entram em contato diretamente com a vítima, “mascaram” o IP utilizado a fim de confundir e despistar sua real localização, bem como, a forma de pagamento utilizada nos regates é a moeda virtual bitcoin, que permite transferências anônimas.
Isso significa que a proteção a este tipo de ataque concentra-se principalmente na postura das próprias vítimas. Normalmente tais vírus entram em suas máquinas através de e-mails e spams, ou por endereços eletrônicos infectados, ou seja, a conduta mais segura é evitar abrir e-mails de remetentes desconhecidos, evitar clicar em links não seguros ou fazer downloads de softwares desconhecidos, procurar manter um antivírus de confiança instalado na máquina e devidamente atualizado, e mais, manter os backups sempre em dia.
Quando se tratar de ambiente corporativo, com vários usuários em rede, não se olvidar de orientar toda a equipe, até porque o ato de um único usuário pode infectar a rede inteira.
Não obstante a dificuldade em conseguir rastrear os infratores, do ponto de vista jurídico, a depender dos desdobramentos do caso concreto, o “sequestro” de dados incorre em ao menos três tipos penais:
– Extorsão, prevista pelo artigo 158 do Código Penal:
– Ameaça, prevista pelo artigo 147 do Código Penal:
– Invasão de dispositivo informático, prevista pelo artigo 154-A do Código Penal:
III – Presidente da Câmara dos Deputados, do Senado Federal, de Assembleia Legislativa de Estado, da Câmara Legislativa do Distrito Federal ou de Câmara Municipal;
IV – dirigente máximo da administração direta e indireta federal, estadual, municipal ou do Distrito Federal
No caso do delito de invasão de dispositivo informático, trata-se de crime condicionado à representação, exceto quando cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios ou contra empresas concessionárias de serviços públicos (ressalva do artigo 154-B do Código Penal).
Por fim, vale ressaltar que a previsão do artigo 148 do Código Penal (sequestro e cárcere privado) não se aplica ao caso em comento, isso a considerar a própria redação do artigo (“privar alguém de sua liberdade”), bem como, artigo 159 do Código Penal (extorsão mediante sequestro), que define por crime “sequestrar pessoa”.
[1] Fonte: https://www.kaspersky.com.br/about/press-releases/2017_kaspersky-lab-digital-kidnappings-in-latin-america
[2] Reportagem de 18/05/2017. Disponível em: https://g1.globo.com/tecnologia/noticia/sequestro-digital-entenda-o-que-e-isso-e-o-que-acontece-quando-um-computador-e-afetado.ghtml
[3] Edição 1126, ano 50, nº 22, 23/11/2016, p. 76.
[4] Disponível em: https://www.istoedinheiro.com.br/sequestro-digital/
Post anterior Bacen altera os parâmetros das penalidades administrativas na PLD
Próximo post Indústria 4.0

References: artigo 158
 artigo 147
 artigo 154
 artigo 154
 artigo 148
 artigo 159