Crimes eletrônicos e Fraudes digitais

Segundo pesquisas realizadas pela empresa de segurança digital McAffe, em 2018, o Brasil ocupou a 2ª posição no ranking dos países que mais sofrem com ataques virtuais. O referido estudo, divulgado pela revista Veja, demonstrou ainda que as perdas financeiras sofridas pelas empresas brasileiras com esse tipo de crime giram em torno de 10 bilhões de dólares por ano.

Vale lembrar que, além dos prejuízos financeiros imediatos, os crimes virtuais afetam a imagem da instituição empresarial no mercado, seja perante os fornecedores, seja os clientes. Justamente por isso, é indispensável que as empresas adotem medidas de segurança eficazes contra a ação dos hackers, o que pode ser feito, por exemplo, com o auxílio de uma assessoria jurídica para crimes eletrônicos.

Pensando nisso, preparamos este guia com tudo que você precisa saber acerca dos delitos virtuais. Nele, você também encontrará dicas para proteger o seu negócio de ações criminosas. Confira!

1. O que são crimes eletrônicos?

Também conhecidos como cibercrimes, crimes virtuais ou digitais, os delitos eletrônicos são todos aqueles em que o indivíduo utiliza de dispositivos digitais para a execução da conduta criminosa.

Cabe ressaltar que para a configuração de um crime eletrônico não se faz necessário que o dispositivo digital esteja conectado à rede mundial de computadores. É o que ocorre, por exemplo, nos casos de invasão de dispositivo informático alheio, crime previsto no artigo 154-A do Código Penal (CP), que pode ou não ser cometido por intermédio da internet.

Desse modo, existem inúmeros tipos de delitos digitais, haja vista a grande variedade de condutas criminosas que podem ser praticadas por meio de instrumentos informáticos, sobretudo aqueles que estão conectados à rede mundial de computadores. Continue a leitura e entenda melhor!

1.1. Conheça quais são os crimes eletrônicos

Antes de conhecer os delitos que só são praticados por intermédio de dispositivos digitais, você precisa saber que alguns crimes comuns podem ser cometidos tanto no mundo real quanto no virtual. Veja quais são os mais comuns que quando forem praticados no ciberespaço serão considerados crimes eletrônicos:

• calúnia (artigo 138 do CP);
• difamação (artigo 139 do CP);
• injúria (artigo 140 do CP);
• ameaça (artigo 147 do CP);
• estelionato (artigo 170 do CP);
• falsa identidade (artigo 307 do CP).

Como você pôde perceber, os delitos mencionados acima não abarcam toda as práticas lesivas aos direitos de terceiro que podem ser praticadas no espaço virtual, sobretudo porque eles não penalizam as condutas relativas à violação de dados e informações. Justamente por isso, foi editada e promulgada a Lei 12.737/12 (Lei dos Crimes Cibernéticos).

Também conhecida como lei Carolina Dieckmann, a Lei 12.737/12 promoveu alterações no Código Penal brasileiro. Entre elas, destaca-se a inclusão do artigo 154-A no referido texto normativo, o qual tornam típicas, ou seja, criminaliza, as seguintes condutas:

• invasão de dispositivo informático alheio, conectado ou não à rede mundial de computadores, mediante violação de mecanismo de segurança, com a finalidade de violar dados e informações ou instalar vulnerabilidades para obtenção de vantagens ilícitas. Cabe ressaltar que o CP prevê punição mais severa se da invasão resultar prejuízo econômico ou a obtenção de conteúdo de segredos industriais ou comerciais, comunicações eletrônicas privadas e informações sigilosas;
• produção, distribuição, venda, oferecimento ou difusão de programas de computadores que têm como finalidade a violação de dispositivos informáticos alheios;
• falsificação de cartão de crédito.

Agora que você já conhece quais são os crimes eletrônicos, certamente percebeu que eles podem causar inúmeros transtornos ao seu negócio, tais como o interrompimento das atividades empresariais, a perda de credibilidade no mercado, a divulgação de segredos industriais e comerciais e, claro, prejuízos financeiros.

Nesse cenário, é indispensável a adoção de medidas que sejam eficientes contra a ação dos hackers, ou seja, que sejam capazes de garantir a proteção do patrimônio intelectual de sua empresa, dos dados de seus clientes e fornecedores, bem como de todas as demais informações relevantes do empreendimento.

2. Como proteger a empresa contra esses crimes?

Existem inúmeras formas eficazes de proteger o seu negócio das ações de pessoas mal-intencionadas. Confira a seguir algumas delas.

2.1. Tenha uma boa política interna de segurança da informação

Para garantir a proteção de seus dados é indispensável que as empresas tenham uma boa política de segurança da informação. Isto é, que os princípios, diretrizes, objetivos, metas e medidas de segurança interna sejam bem delineados e, claro, documentados.

Cabe ressaltar que a elaboração e implantação de uma política de informação não é um processo simples, demandando muito planejamento e estudo. No geral, ele é constituído por várias etapas, veja algumas delas:

• planejamento: consiste no levantamento de todos os dados e informações relevantes da empresa que precisam ser resguardados, bem como dos pontos de vulnerabilidade dos processos internos e dos softwares utilizados;
• elaboração: depois de coletados e analisados todos os dados, ou seja, após a identificação das necessidades da instituição, é hora de definir as regras internas acerca da segurança da informação, tais como, as relativas à utilização de sistemas, internet, dispositivos móveis, responsabilidades e deveres dos gestores e demais colaboradores etc.;
• registro: após serem delineados os procedimentos e regras (lembre-se de que eles devem ser claros e coerentes), toda a política de segurança da informação precisa ser documentada;
• aprovação: como todo procedimento interno, a política de proteção da informação tem que ser submetida à aprovação da diretoria e dos gestores.

Vale lembrar que de nada adianta a elaboração de uma boa política de segurança se ela não for aplicada. Por isso, após a aprovação do documento, as empresas devem oferecer cursos de capacitação e treinamento aos funcionários para esclarecer as regras e os procedimentos de segurança, bem como conscientizá-los acerca da necessidade de observância das normas da instituição.

2.2. Invista em programas e compliance digital

O termo “compliance” deriva do verbo inglês “to comply”, cujo significado é cumprir, corresponder, satisfazer, estar de acordo com algo. Já no âmbito empresarial, a palavra tem um significado mais delimitado. Compliance refere-se a adequação dos atos da organização empresarial às normas éticas e legais vigentes na sociedade e, claro, aos regulamentos e protocolos internos da própria instituição.

Desse modo, o compliance digital visa a adequação da conduta da empresa às normas de Direito Digital, bem como a política interna de segurança da informação. Por isso, contar com uma equipe de profissionais especializados é fundamental para a identificação e implantação das medidas de cibersegurança mais adequadas à realidade da companhia.

Por meio do compliance, a instituição consegue estabelecer os padrões que devem ser seguidos por todos os colaboradores, realiza auditorias para identificar eventuais falhas e fiscaliza e combate eventuais irregularidades internas.

Tudo isso é feito de forma mais precisa, mantendo a integridade e conformidade da conduta da instituição aos preceitos éticos e jurídicos e, principalmente, garantindo a segurança da informação no ambiente corporativo.

2.3. Faça testes de vulnerabilidade

Qualquer procedimento interno ou estrutura tecnológica pode conter falhas que deixam as informações mais suscetíveis a ação de pessoas mal-intencionadas. Por isso, é muito importante que as empresas sempre realizem análises de vulnerabilidades. Afinal, a identificação dos pontos fracos da organização, sobretudo dos procedimentos e sistemas utilizados, possibilita a adoção de medidas aptas à redução ou extinção dos riscos.

2.4. Estabeleça controles de acesso

Toda empresa tem informações com diferentes graus de sigilosidade. É natural que alguns dados possam, por exemplo, ser acessados apenas por gestores ou pela alta diretoria. Nesse cenário, é indispensável que as empresas estabeleçam controles de acesso, principalmente para garantir que apenas as pessoas autorizadas conseguirão acessar às suas informações.

Além de restringir a publicidade de determinados dados, para garantir a sigilosidade, a integridade e a disponibilidade da informação, é indispensável que as instituições façam o gerenciamento do tráfego de dados na rede, bem como da utilização de arquivos e sistemas. Essas ações ajudam a afastar as ameaças de vírus e ataques de hackers.

2.5. Utilize a criptografia

A criptografia consiste em uma técnica matemática que permite a codificação de informações, ou seja, por meio da utilização de algoritmos, os dados dos usuários têm seu formato original alterado. Com isso, eles só serão passíveis de leitura se forem descodificados — processo que é feito por intermédio de uma chave de decriptografia específica.

Como você pode perceber, a utilização da criptografia, sobretudo nas informações que são de extrema relevância para o negócio, é uma ótima forma de preservar a sigilosidade, integridade e disponibilidade dos dados. Afinal, apenas as pessoas autorizadas terão acesso a eles.

2.6. Mantenha os softwares atualizados

Com o passar do tempo, as empresas de tecnologia vão atualizando os seus produtos e aprimorando as medidas de segurança de seus softwares. Justamente por isso, manter os sistemas utilizados por sua organização e atualizados é uma excelente forma de aumentar a proteção contra a ação de hackers e vírus.

2.7. Realize backups

Apesar de existirem inúmeras medidas para aumentar a proteção dos dados de sua empresa contra a ação de pessoas mal-intencionadas, é sempre bom se precaver e garantir que as atividades do seu empreendimento não sejam prejudicadas por golpes cibernéticos.

Para isso, é indispensável a realização de backups (cópias de segurança), visto que por meio deles a empresa garante a integridade e disponibilidade da informação, mesmo se for vítima de ciberataques. Afinal, caso os dados do sistema sejam modificados ou apagados, haverá uma cópia de tudo em um local seguro.

2.8. Invista em antivírus e antispam

O antivírus também é uma ótima ferramenta para aumentar a segurança dos dados de uma empresa. Por isso, é indispensável que os computadores e todos os demais dispositivos que estejam conectados à rede mundial de computadores contem com softwares de antivírus de qualidade e adequados à execução de suas atividades.

Além disso, é fundamental que os empreendimentos tenham ferramentas eficazes de proteção contra o spam, uma vez que ele é uma das principais formas de difusão de páginas de phishing pela internet — por meio delas, os hackers conseguem captar dados importantes dos usuários da rede.

2.9. Conte com uma boa assessoria jurídica

Contar com o auxílio dos profissionais da ciência jurídica, sobretudo os especializados em Direito Digital, é uma ótima forma de proteger a sua empresa. Além de fornecerem todos os subsídios necessários para o desenvolvimento de uma política de segurança da informação adequada à realidade do negócio, os advogados contribuem para o alinhamento da conduta da empresa aos ditames éticos e normativos por meio da estruturação e desenvolvimento de programas de compliance.

Ademais, os advogados também são indispensáveis nos casos em que a instituição é vítima de algum ataque virtual. São eles que fornecerão as orientações necessárias aos gestores para a tomada de decisões, principalmente para que sejam adotadas as medidas necessárias para a identificação e responsabilização dos envolvidos (por exemplo, a conservação dos indícios/provas do crime), bem como para a minimização dos prejuízos e preservação da imagem da instituição perante o mercado.

3. O que a lei resguarda sobre os crimes eletrônicos?

Mesmo com a adoção de medidas para garantir a segurança da informação, não é raro que subsistam algumas vulnerabilidades nos processos e sistemas utilizados pelas empresas e, consequentemente, que exista a possibilidade de a instituição ser vítima de ataques virtuais. Por isso, é importante saber o que a lei estabelece acerca dos direitos e deveres da empresa. Confira a seguir!

3.1. Código Penal e Leis Penais Extravagantes

Como você viu, a legislação brasileira tipifica — isto é, criminaliza — várias condutas lesivas ao direito de terceiros no mundo virtual, inclusive as relacionadas à violação de segredo profissional, de propriedade intelectual, fraudes digitais, condutas ofensivas à honra etc.

As empresas que são vítimas de ataque virtual, com o auxílio de uma assessoria jurídica para crimes eletrônicos, podem requerer a instauração de inquérito policial para apuração dos fatos e identificação dos responsáveis pela ação criminosa.

Ademais, a instituição que teve seus dados violados pode acompanhar as investigações da polícia judiciária, bem como atuar como assistente da acusação, claro, nos casos em que ação penal é de competência do Ministério Público.

Desse modo, no âmbito penal, é direito da empresa requerer a adoção das medidas necessárias para apuração dos fatos e responsabilização criminal dos autores do ilícito.

3.2. Código Civil

Além de buscar a condenação na esfera criminal dos envolvidos na prática de crimes pela internet, por intermédio de advogados, a empresa pode pleitear a responsabilização dos agentes responsáveis pela violação dos direitos da instituição na seara cível. Ou seja, ela pode requerer em juízo a condenação dos envolvidos ao pagamento de indenizações por eventuais danos patrimoniais e morais sofridos.

3.3. Marco Civil da Internet

A Lei 12.965/14, conhecida como Marco Civil da Internet, regulamenta o uso da rede mundial de computadores no Brasil. Ela estabelece os princípios, garantias e deveres dos usuários, bem como das empresas provedoras de acesso e de serviços online.

Entre os direitos e garantias das instituições empresariais usuárias dos serviços de internet, destacam-se:

• a inviolabilidade e o sigilo do fluxo das comunicações feitas por meio da rede, ressalvadas as hipóteses de quebra por ordem judicial;
• a não suspensão dos serviços de internet, salvo em decorrência da existência de débito relativo à sua utilização;
• o acesso à informações claras e precisas sobre os termos dos contratos firmados com as provedoras de acesso e serviços de internet, inclusive com o detalhamento do regime de proteção aos registros de acesso a aplicações e conexões da rede;
• o não fornecimento de seus dados a terceiros, nem mesmo dos registros de acesso e aplicações na rede mundial de computadores.

4. Por que as empresas devem tomar cuidado com as informações internas?

Como você pôde perceber no decorrer deste guia, os crimes eletrônicos podem causar grandes transtornos às instituições empresariais, sobretudo nos casos de vazamentos de informações internas, como senhas, projetos, dados de seus clientes e outros conteúdos sigilosos.

Muitas vezes, os danos causados pelos ataques apresentam consequências negativas, ainda que a longo prazo, e podem comprometer a continuidade do negócio. Continue a leitura e entenda melhor porque é importante ter cuidado com as informações que circulam na sua empresa.

4.1. Prejuízos financeiros

Certamente, as perdas financeiras estão entre os maiores problemas decorrentes do vazamento de dados. Vale lembrar que a clonagem de cartões e a realização de compras em sites falsos não são mais os únicos crimes que podem ser cometidos no espaço virtual. Atualmente, as invasões de contas também são muito recorrentes.

Nesse cenário, o vazamento de dados pode trazer prejuízos financeiros irreversíveis, uma vez que os hackers podem ter acesso às informações bancárias e movimentações financeiras das empresas.

Outro ilícito preocupante é a ofensiva dos transgressores por meio do Business Email Compromisse (BEC). Nesse tipo de ataque (direcionado e altamente sofisticado), os criminosos invadem contas corporativas e fingem ser executivos. Em alguns casos, são utilizadas ligações telefônicas e simulações de interações com clientes e advogados para extrair os ativos financeiros da empresa.

Não é só isso! Devido à perspicácia dos infratores e à fragilidade dos sistemas de segurança das empresas, alguns crimes são descobertos apenas depois de alguns anos. Com isso, os prejuízos são acumulados antes mesmo de as empresas tomarem conhecimento da violação.

4.2. Dano à imagem da corporação

A construção de uma imagem sólida frente ao mercado requer muito trabalho, investimento e tempo. Em contrapartida, os riscos oferecidos pelos crimes virtuais e violação de dados de terceiros podem colocar tudo a perder em pouquíssimo tempo. O escândalo envolvendo o Facebook é um bom exemplo.

Dois dias depois da divulgação que as informações de milhões de pessoas foram utilizadas para fins políticos, a empresa apresentou redução significa de seu valor financeiro. A ocorrência colocou em dúvida a proteção das informações de seus usuários e levantou questionamentos sobre a transparência da organização.

Depois do episódio, além de despertar a atenção das autoridades, o Facebook teve sua reputação comprometida e credibilidade questionada.

4.3. Responsabilidade por violação de dados pessoais e sensíveis de terceiros

As instituições que realizam tratamento de dados (por exemplo, coleta, armazenamento, transferência, utilização, reprodução, distribuição, arquivamento etc.), precisam ficar atentas às disposições da Lei 13.709, de 2018, conhecida como Lei Geral de Proteção de Dados — LGPD.

A referida lei estabelece uma série de procedimentos e obrigações que devem ser observados no tratamento de dados, com vistas à preservação dos direitos de seus titulares. Nesse cenário, as organizações que não investirem em segurança da informação e deixarem de cumprir as exigências legais podem ser responsabilizadas judicialmente. Elas podem, inclusive, ser condenadas ao pagamento de indenizações aos terceiros que tiverem seus direitos lesionados.

Cabe ressaltar que, apesar de a LGPD ainda não ter entrado em vigor (suas disposições passam a vigorar apenas em fevereiro de 2020), é fundamental que as empresas aproveitem esse período de vacatio legis para se adequarem às exigências legais, adotando as medidas necessárias ao cumprimento das disposições normativas.

4.4. Interrupção das atividades

Além de impactar a imagem da instituição, as ações dos hackers podem acarretar a paralisação dos sistemas e, consequentemente, ocasionar a interrupção das atividades empresariais, inclusive das instituições que atuam na área da saúde.

Um ataque criminoso, segundo divulgado pela mídia, obrigou o Hospital do Câncer de Barretos a paralisar suas atividades e a cancelar aproximadamente 3 mil consultas e mais de 300 tratamentos de radioterapia. A invasão afetou unidades localizadas em São Paulo, Campo Grande, Porto Velho e Juazeiro.

Outro caso semelhante foi o ocorrido no Centro Médico Presbiteriano. Após ser vítima de um ataque, a instituição sofreu um prejuízo de aproximadamente 17 mil dólares, quantia exigida pelos hackers para liberação de acesso aos dados e ao sistema.

Como você pode perceber, são inúmeros os transtornos que as empresas podem ter em razão da ausência de investimentos em segurança da informação, uma vez que os ataques virtuais, sobretudo os relacionados à violação de dados, têm se tornado cada vez mais recorrentes.

Nesse cenário, é indispensável contar com o auxílio de uma assessoria jurídica para crimes eletrônicos. Afinal, ela auxilia na adoção de medidas de segurança de dados eficazes, bem como orienta a ação da empresa se ela for vítima de algum ciberataque.

Ficou com alguma dúvida acerca do tema? Entre em contato conosco, será um prazer ajudá-lo.