Hacking e Invasão de Sistemas: Tipificação Penal e Responsabilidade Jurídica

O hacking e a invasão de sistemas informáticos são condutas que envolvem o acesso não autorizado a dispositivos, redes ou sistemas de computador. No Brasil, a Lei 12.737/2012 (Lei Carolina Dieckmann) foi o marco legal que introduziu tipos penais específicos para essas condutas no Código Penal. Por isso, advogados criminalistas e profissionais do Direito Digital precisam compreender as nuances da tipificação de invasão de sistemas informáticos para atuar com eficiência em defesas penais e representações de vítimas.

Além disso, o aumento exponencial de ataques cibernéticos a empresas e órgãos públicos tornou esse tema central na pauta jurídica nacional.

O Que É Hacking no Contexto Jurídico?

No contexto jurídico, hacking refere-se ao acesso não autorizado a dispositivos, sistemas ou redes de computadores, podendo ou não envolver o uso de malware, exploração de vulnerabilidades ou engenharia social. O artigo 154-A do Código Penal tipifica a invasão de dispositivo informático alheio, conectado ou não à internet, sem autorização expressa ou tácita do titular, e com o fim de obter, adulterar ou destruir dados ou informações, instalar vulnerabilidades ou obter vantagem ilícita.

Base Legal

O artigo 154-A do CP, incluído pela Lei 12.737/2012, estabelece pena de detenção de 3 meses a 1 ano e multa para a invasão simples. As figuras qualificadas preveem penas maiores: reclusão de 6 meses a 2 anos se houver instalação de vulnerabilidade para obtenção de vantagem ilícita; reclusão de 2 a 5 anos se o agente obtiver conteúdo de comunicações privadas ou segredos comerciais. Além disso, a Lei 14.155/2021 agravou penas quando o crime é praticado em escala ampla ou gera prejuízo expressivo.

Aplicação Prática no Direito Digital

Na prática, advogados que representam empresas vítimas de ataques cibernéticos orientam na preservação de logs e evidências digitais, no registro de boletim de ocorrência em delegacias especializadas e no acionamento de peritos forenses. Profissionais que representam acusados de hacking trabalham com o conceito de autorização implícita (no caso de pesquisadores de segurança) e com a distinção entre acesso não autorizado e acesso indevido por funcionário com credenciais legítimas. Ademais, empresas de pentest (teste de invasão) precisam de contratos robustos que autorizem expressamente as atividades de segurança ofensiva.

Perguntas Frequentes sobre Hacking e Invasão de Sistemas

1. Pentest (teste de invasão contratado) é crime?
Não, quando realizado com autorização expressa do titular do sistema. O artigo 154-A exige que a invasão seja “sem autorização expressa ou tácita do titular”. Portanto, contratos de pentest que delimitam escopo, prazo e autorização são indispensáveis.

2. Funcionário que acessa pasta de colega no servidor comete crime?
Pode. Se o acesso for a área restrita sem autorização, configura a invasão do artigo 154-A do CP. O contexto corporativo não afasta a aplicação do tipo penal quando há ausência de autorização.

3. Qual é o prazo prescricional para o crime de invasão de sistemas?
Para a invasão simples (pena máxima de 1 ano), a prescrição é de 4 anos. Para as figuras qualificadas com pena de até 5 anos, o prazo é de 12 anos, conforme o artigo 109 do Código Penal.

4. A empresa pode ser responsabilizada civilmente por ataque hacker a terceiros?
Se o atacante utilizou a infraestrutura da empresa (que não a protegeu adequadamente) para atacar terceiros, pode haver responsabilidade civil por negligência na segurança da informação, com fundamento no artigo 927 do CC e no artigo 46 da LGPD.

5. É possível rastrear e identificar hackers no Brasil?
Sim. Mediante ordem judicial, provedores de internet são obrigados a fornecer registros de conexão (IP e data/hora) que podem identificar o agressor, conforme os artigos 13 e 15 do Marco Civil da Internet.

6. Hacking ético tem reconhecimento jurídico no Brasil?
Não existe regulação específica no Brasil para bug bounty e pesquisa de segurança. Contudo, programas estruturados com autorização formal do alvo reduzem o risco de responsabilização penal, sendo indispensável a formalização contratual de todo escopo autorizado.

Conheça os cursos da Faculdade i9 Educação e aprofunde seus conhecimentos em Direito Digital: https://i9educacao.edu.br