Source: https://www.lexmachinae.com/2017/10/29/bombardeios-ciberneticos-no-mercosul-uma-analise-da-tipicidade-das-logic-bombs-atraves-otica-do-direito-penal-argentino-e-brasileiro/
Timestamp: 2018-11-15 19:56:27+00:00

Document:
LEX MACHINÆ | Cyber Security | Bombardeios cibernéticos no Mercosul: uma análise da tipicidade das logic bombs através da ótica do direito penal argentino e brasileiro
Bombardeios cibernéticos no Mercosul: uma análise da tipicidade das logic bombs através da ótica do direito penal argentino e brasileiro
LEX MACHINÆ 29/10/2017 0
Daniel Becker e Fernando Borguy
“Vivemos numa sociedade extremamente dependente de ciência e tecnologia, na qual pouquíssimas pessoas conhecem alguma coisa sobre ciência e tecnologia.”
A quantidade cada vez maior de dados lançados em sistemas informáticos traz consigo riscos até então inexistentes[1]. Sistemas inteiros de instituições financeiras, hospitais, empresas e usinas nucleares hoje são controlados de forma eletrônica. Entretanto, como se sabe, o Poder Legislativo nem sempre é capaz de acompanhar as mudanças de paradigma na sociedade e, com isso, surgem vácuos legais que podem deixar desprotegidos bens jurídicos de grande relevância.
Em abril de 2017, o tribunal de apelação criminal da cidade de Buenos Aires julgou recurso contra sentença condenatória de dois funcionários do Banco Itaú por crime de dano em sua modalidade “interferência em sistema computacional” (Código Penal Argentino, artigo 184, VI[2]). Segundo a acusação, os funcionários inseriram logic bombs no sistema de internet banking da instituição financeira.[3]
Logic bombs são expressões maliciosas inseridas furtivamente nos códigos-fonte de sistemas informáticos para causar-lhes dano num momento pré-determinado e de livre escolha do criador. O gatilho pode ser a termo, disparado em um horário ou data escolhidos, ou condicional, ativado no instante em que certa circunstância ocorra, e.g. um número “X” de entradas de dados no sistema.[4]
Aparentemente, o objetivo desse tipo de inserção é simplesmente causar dano puro e simples ao sistema, prejudicando-lhe o funcionamento ou até mesmo deletando dados num momento de vulnerabilidade. Entretanto, no caso julgado pelo tribunal argentino, não se pode dizer com certeza quais eram os fins perseguidos pelos acusados.
Nas razões de seu recurso, a defesa buscou o reconhecimento da nulidade da sentença por meio de três argumentos principais. Em primeiro lugar, haveria impossibilidade fática de confirmar a autoria do crime apenas com base no endereço IP e nos perfis de usuário de onde partiu o ataque. Isto, pois a identificação do computador usado não tem por consequência imediata a identificação da pessoa que o usou. Em segundo lugar, a defesa arguiu que a prova da materialidade do delito ficou sob guarda da própria vítima – o Banco Itaú – por dois anos. Ou seja, a prova seria unilateral e inapta a influenciar a decisão do magistrado. Por fim, os advogados defenderam a tese de que os policiais que colheram as provas teriam uma relação íntima com a empresa de segurança que descobriu as “bombas” em procedimento de auditoria.
Por maioria, os desembargadores do tribunal portenho afastaram as duas primeiras alegações. Contudo, deram provimento ao pedido de nulidade das provas colhidas pelos policiais ligados à empresa de segurança que descobriu as vulnerabilidades. Segundo a corte, os policiais participaram da auditoria feita sobre o sistema do banco como peritos auxiliares e, consequentemente, não poderiam ter participado do inquérito, no qual as mesmas provas foram colhidas. Ao influenciar o Ministério Público argentino com informações que precediam à atuação policial, o devido processo legal foi violado, assim como a ampla defesa e o contraditório. Consequentemente, a sentença foi anulada e o processo aguarda novo julgamento em primeira instância.
Apesar do argumento estritamente processual que levou a cassação da sentença, a lei penal argentina, desde as alterações introduzidas pela Lei argentina nº 26.388/08[5], mostra-se apta a perseguir hackers que “alterarem, destruírem, ou inutilizarem sistemas informativos”. No caso em questão, a imputação feita pelo Ministério Público foi pela forma qualificada dessa espécie de crime de dano, em virtude da natureza de serviço público da vítima (instituição financeira).
E no Brasil, como poderia agir o Parquet? O tipo do crime de dano previsto no Código Penal brasileiro é praticamente idêntico ao argentino, no entanto, não contém o mesmo nível de especificação em relação aos danos em sistemas eletrônicos. Isso não significa, porém, que a conduta é atípica. A redação do artigo 163, caput, do Código Penal Brasileiro já traz elementos suficientes para tipificar a conduta de causar dano a um sistema informacional por meio da inserção de uma logic bomb. O dispositivo define como crime o ato de “destruir, inutilizar ou deteriorar coisa alheia”. Trata-se de um crime material (que exige um resultado) e de execução livre (cujo resultado pode ser alcançado por qualquer meio).
A principal discussão recairia sobre o conceito da elementar típica “coisa”. Segundo Rogério Greco[6], apoiado nas lições de Orlando Gomes e Caio Mario[7], apenas bens corpóreos podem ser objeto material do crime de dano, enquanto os bens incorpóreos seriam tutelados por outros instrumentos, como os crimes contra a propriedade intelectual. Por sua vez, Damásio de Jesus[8] e Guilherme Nucci[9] não defendem essa exigência para o crime de dano, qualificando a coisa apenas como bem móvel ou imóvel – características também presentes em bens incorpóreos. Considera-se que, embora seja incorpóreo, um software não deixa de ser uma coisa (gênero), assim como qualquer bem (espécie), segundo as classificações de Silvio Rodrigues, Maria Helena Diniz e Francisco Amaral[10].
Essa conclusão parece ser a mais acertada, pois, mesmo adotando-se aquela corrente civilista, é possível perceber que a natureza de coisa de um software não se confunde com a natureza de bem dos direitos autorais de seu desenvolvedor, tutelados pela Lei Federal nº 9.609/98. Um programa de computador também é incorpóreo, mas existe na medida em que seu código-fonte se encontra gravado de forma magnética em um disco rígido, o qual pode ser danificado tanto em seu corpo quanto em seu conteúdo, mediante violência física ou pela corrupção de seus dados. A circunstância não é diferente de um livro. Ao apagarem-se as palavras nele gravadas, não há dano em sua modalidade “inutilizar”?[11]
O item 59 da Exposição de Motivos do Código Penal[12] expressamente confirma que o legislador pretendeu usar uma fórmula genérica no tipo do crime de dano. Com efeito, em que pese a controvérsia, se um programa – ou um sistema informático – for destruído, inutilizado ou deteriorado, o espírito de garantia da incolumidade de um bem de propriedade alheia impõe o reconhecimento do crime do artigo 163, caput, do Código Penal, na hipótese em análise.
Não obstante, a Lei nº 12.737/12, denominada “Lei Carolina Dieckmann”, inseriu uma série de dispositivos no Código Penal, que tratam de invasões de sistemas. O crime de invasão de dispositivo informático do artigo 154-A tipifica a conduta de invadir dispositivo por meio de violação de mecanismo de segurança com o fim de obter, adulterar ou destruir dados ou informações, ou ainda, instalar vulnerabilidades para obter vantagens ilícitas.
Já o delito de interrupção ou perturbação de serviço telegráfico, telefônico, informático, telemático ou de informação de utilidade púbica do artigo 266, §1º, tem por fim punir aquele que efetivamente perturbar tais sistemas, seja por meio de violência contra as instalações ou contra o pessoal que o opera[13]. Trata-se de crime de perigo, pois não exige o dolo de dano contra o sistema. Basta a sua perturbação ou interrupção. Curiosamente, apesar de o novo nomen iuris dado ao crime conter o termo “serviço informático”, no parágrafo inserido pela nova lei, o qual contém o preceito primário da regra penal, não consta a proteção expressa de serviços informáticos, mas apenas daqueles telemáticos[14].
Não se pode esquecer que a recente Lei Antiterrorismo (Lei nº 13.260/16) classificou, como ato terrorista, a sabotagem do funcionamento ou a apoderação do controle de diversos sistemas essenciais ao Estado e à sociedade, por meio de mecanismos cibernéticos. Contudo, este crime é reservado para condutas movidas por duplo especial fim de agir[15]. O ato será punido se a conduta for praticada em razão de xenofobia, discriminação ou preconceito de raça, cor, etnia ou religião, com a finalidade de provocar terror social ou generalizado, e, simultaneamente, expondo a perigo pessoa, patrimônio, a paz ou a incolumidade pública. A pena é severa: doze a trinta anos de reclusão, além das sanções correspondentes à ameaça ou à violência. Contudo, a hipótese foge ao caso concreto em análise e merece um estudo à parte.
É esse o arsenal jurídico de que dispõe o Brasil para coibir as logic bombs. Percebe-se que o legislador brasileiro se antecipou ao dano efetivo aos sistemas, ao contrário do legislador argentino. O artigo 154-A, caput, do Código Penal, fixa o momento de consumação do delito num ponto anterior à ocorrência do dano, pois pune, desde logo, a invasão com esse objetivo. Trata-se de crime formal, ou de consumação antecipada, que não exige a ocorrência do resultado previsto[16]. Por outro lado, a necessidade de inexistência de autorização para o ato prolongaria a discussão num caso concreto similar àquele argentino, tendo em vista que os funcionários estavam autorizados para acessar o sistema.
Já o crime do artigo 266, §1°, do Código Penal, em sendo de perigo abstrato, não exige dolo algum de causar dano efetivo. Basta a vontade conscientemente dirigida de interromper ou perturbar o serviço telemático/informático com o fim de colocar em risco bens jurídicos de terceiros. Por ser crime de perigo abstrato, nem mesmo é necessário provar que a conduta causou um risco concreto a pessoas determináveis. Também aqui, o legislador optou por antecipar a punição penal, pretendendo evitar assim que o agente, mesmo sem vontade de causar dano, mantivesse uma conduta apta a originar ofensa ainda mais grave[17].
Para o crime de invasão do artigo 154-A, caput, a pena é de três meses a um ano de detenção, acrescida de multa. É, portanto, crime de menor potencial ofensivo que se submete à competência do juizado especial criminal e ao rito sumaríssimo da Lei Federal nº 9.099/95. Consequentemente, o acusado por esse crime goza dos benefícios de composição civil de danos, transação penal e suspensão condicional do processo. Já para o crime de interrupção ou perturbação de sistema do artigo 266, §1°, a pena é de detenção de um a três anos e multa.
O crime de dano do artigo 163, por sua vez, se qualificado, acarreta em pena de seis meses a três anos de detenção e multa, sem prejuízo da pena pela violência. Dito de outra forma, em função do princípio da consunção[18], o crime de dano absorverá o de interrupção, mas a invasão não seria abarcada. Em caso de dano qualificado, as penas deverão ser cumuladas por ordem legal expressa. Ressalta-se, todavia, que a redação “além da pena correspondente à violência” certamente tem nuances a serem discutidas pela doutrina sobre o conceito de violência aqui adotado pelo legislador – da mesma forma como ocorre em relação à aplicação das espécies de violência da Lei Maria da Penha[19].
A lei penal argentina é mais benéfica ao agente nesse ponto, pois traz uma pena mínima de três meses e uma pena máxima de quatro anos para o crime pelo qual os acusados foram processados, sem que haja qualquer acréscimo em virtude de outros crimes praticados até a ocorrência do resultado.
É possível, portanto, perceber que a lei brasileira protege sistemas informáticos desde antes da ocorrência do dano. Contudo, com a informatização cada vez maior de vários aspectos da vida – de arquivos pessoais armazenados em nuvem à criptoeconomia –, as penas aplicáveis se mostram reduzidas se comparadas ao potencial de dano que o mau funcionamento de um sistema pode causar. Num cotidiano cada vez mais imaterial, já é hora de bens jurídicos ligados à segurança da informação serem alçados ao mesmo patamar de outros, como o patrimônio classicamente entendido. Dados pessoais também são um bem da vida e não há mais justificativas para que sejam tratados de forma discrepante.
[1] BECKER, Daniel; FERRARI, Isabela. A prática jurídica em tempos exponenciais. JOTA. Disponível em: https://jota.info/artigos/a-pratica-juridica-em-tempos-exponenciais-04102017 – Acesso em 13 de out. 2017.
[2] REPÚBLICA ARGENTINA. Codigo Penal de la Nación Argentina. Disponível em http://servicios.infoleg.gob.ar/infolegInternet/anexos/15000-19999/16546/texact.htm#20 – Acesso em 13 de out. 2017.
[3]GIAY, Gustavo P.; FERNÁNDEZ, Diego; O’FARRELL, Ines. Computer System Interference, Evidence and Due Process. Marval O’Farrell Mairal. Disponível em: http://www.marval.com/publicacion/delito-de-dano-informatico-prueba-y-debido-proceso-12994%26lang%3Den/ – Acesso em 13 de out. 2017.
[4] SYMANTEC. Glossary. Symantec Disponível em https://www.symantec.com/security_response/glossary/define.jsp?letter=l&word=logic-bomb – Acesso em 13 de out. 2017.
[5] REPÚBLICA ARGENTINA. Ley nº 26.388 de 4 de junio de 2008. Disponível em http://servicios.infoleg.gob.ar/infolegInternet/anexos/140000-144999/141790/norma.htm – Acesso em 26 de out. 2017.
[6] GRECO, Rogério. Curso de Direito Penal: Parte Especial, Vol. III. 5ª ed. Niterói: Impetus, 2008, p.169.
[7] DE FARIAS, Cristiano Chaves; ROSENVALD, Nelson. Curso de Direito Civil: Parte Geral e LINDB, Vol. I, 11ª ed., Salvador: JusPodivm, 2013, p.507.
[8] DE JESUS, Damásio. Direito Penal: Parte Especial, Vol.II. 33ª ed. São Paulo: Saraiva, 2013, p. 441
[9] NUCCI, Guilherme. Manual de Direito Penal. 12ª ed. Rio de Janeiro: Forense, 2016, p. 735.
[10] Apud DE FARIAS, Cristiano Chaves et al. op. cit. p. 507.
[11] HUNGRIA, Nelson apud GRECO, Rogério. Op. cít. p. 168.
[12] BRASIL. Ministério da Justiça e dos Negócios Interiores. Exposição de Motivos da Parte Especial do Código Penal. Disponível em https://www.diariodasleis.com.br/busca/exibelink.php?numlink=1-96-15-1940-12-07-2848-CP – Acesso em 26 de out. 2017.
[13] HUNGRIA apud GRECO, Rogério. Curso de Direito Penal: Parte Especial, vol. III, 14ª ed., Niterói: Impetus, 2017, p. 385.
[14] Apesar disso, Rogério Greco (id., p.386) considera serviço telemático o conjunto de serviços informáticos fornecidos através de uma rede de telecomunicação.
[15] HABIB, Gabriel. Leis Penais Especiais. 9ª ed., Salvador: JusPodivm, 2017, p. 449.
[16] GALVÃO, Fernando. Direito Penal: Parte Geral. 5ª ed., São Paulo: Saraiva, 2013, p. 1.026
[17] Id. ibid., p. 1.035.
[18] GRECO, Rogério. Curso de Direito Penal: Parte Geral, Vol. I. 8ª ed. Rio de Janeiro: Impetus, 2007, p. 31.
[19] HABIB, Gabriel. Op. Cit. p. 935.

References: artigo 184
 artigo 163
 artigo 163
 artigo 154
 artigo 266
 artigo 154
 artigo 266
 artigo 154
 artigo 266
 artigo 163