Ransomware: O Que É, Tipificação Penal e Obrigações das Empresas Vítimas
O ransomware é um tipo de malware que sequestra dados de um sistema, criptografando arquivos e exigindo pagamento (geralmente em criptomoedas) para sua lib...
O ransomware é um tipo de malware que sequestra dados de um sistema, criptografando arquivos e exigindo pagamento (geralmente em criptomoedas) para sua liberação. No Brasil, o ransomware combina aspectos penais (extorsão, invasão de sistemas) e obrigações de compliance (notificação à ANPD pela LGPD). Por isso, advogados que atuam em Direito Penal, Empresarial e Digital precisam compreender as responsabilidades jurídicas decorrentes de ataques de ransomware tanto para empresas vítimas quanto para investigações criminais.
Além disso, ataques de ransomware a hospitais, empresas de infraestrutura crítica e órgãos públicos demonstram a gravidade crescente dessas ameaças no Brasil.
O Que É Ransomware?
Ransomware é um software malicioso que, ao infectar um sistema, criptografa arquivos e exige o pagamento de resgate para fornecer a chave de descriptografia. Os vetores mais comuns de infecção incluem phishing por e-mail, exploração de vulnerabilidades em sistemas desatualizados e acesso remoto comprometido (RDP). O pagamento do resgate em criptomoedas (bitcoin, monero) dificulta o rastreamento dos criminosos. Portanto, a prevenção técnica e os planos de resposta a incidentes são mais eficazes do que a tentativa de recuperação posterior.
Base Legal
O ransomware pode ser tipificado como extorsão mediante sequestro (art. 158, parágrafo 3°, CP), invasão de dispositivo informático (art. 154-A do CP), dano qualificado (art. 163, parágrafo único, II, CP) e, conforme a extensão do prejuízo, organização criminosa (Lei 12.850/2013). Além disso, a Lei 14.155/2021 agravou as penas para crimes cibernéticos que causem prejuízo expressivo. No âmbito da LGPD, a empresa vítima tem obrigação de notificar a ANPD e os titulares afetados em caso de incidente com dados pessoais.
Aplicação Prática no Direito Digital
Na prática, quando uma empresa é vítima de ransomware, o advogado deve orientá-la a: (1) registrar boletim de ocorrência na delegacia de crimes cibernéticos; (2) preservar logs e evidências antes de qualquer restauração; (3) notificar a ANPD em até 72 horas se dados pessoais foram comprometidos; (4) acionar o seguro cibernético se existente; (5) comunicar clientes e parceiros afetados. Além disso, o pagamento do resgate é juridicamente controverso, pois pode configurar financiamento a organização criminosa.
Perguntas Frequentes sobre Ransomware
1. Pagar o resgate de um ataque de ransomware é crime?
Não existe lei brasileira que proíba expressamente o pagamento. Contudo, especialistas e autoridades desaconselham o pagamento, pois não garante a recuperação dos dados, estimula novos ataques e pode ser questionado como financiamento de atividade criminosa.
2. A empresa vítima de ransomware é obrigada a notificar a ANPD?
Sim, se o ataque resultou em acesso, modificação, destruição ou vazamento de dados pessoais. A Resolução CD/ANPD 15/2023 exige comunicação preliminar em 72 horas e relatório completo em até 3 dias úteis para incidentes com risco relevante.
3. Qual é a pena para quem pratica ransomware no Brasil?
Extorsão qualificada por restrição de acesso a sistema (art. 158-A do CP) tem pena de reclusão de 4 a 10 anos. Quando praticada em concurso de agentes ou contra vítima vulnerável, as penas são aumentadas.
4. A empresa pode processar o fabricante do software que permitiu o ataque?
Pode, se houver vulnerabilidade conhecida e não corrigida no software que facilitou o ataque. Contudo, é necessário demonstrar o nexo causal entre a falha do software e o dano sofrido, o que exige perícia técnica especializada.
5. Seguro cibernético cobre ataques de ransomware?
Depende da apólice. Apólices de cyber seguro geralmente cobrem custos de resposta ao incidente, extorsão cibernética e responsabilidade por vazamento de dados de terceiros. Contudo, exclusões por negligência na segurança são comuns.
6. Como a empresa deve reagir nas primeiras horas após um ataque de ransomware?
Deve isolar sistemas afetados da rede, preservar logs sem apagá-los, acionar a equipe de resposta a incidentes, registrar a ocorrência policial, contatar o seguro cibernético e iniciar o processo de notificação à ANPD conforme os prazos regulatórios.
Conheça os cursos da Faculdade i9 Educação e aprofunde seus conhecimentos em Direito Digital: https://i9educacao.edu.br