Síntese
Em julho deste ano, uma provedora de serviços foi alvo do possível maior ataque cibernético nacional. Estima-se que o prejuízo possa alcançar bilhões de reais. Proteger e prevenir crimes no ambiente virtual é essencial, mas, você saberia como agir se sua empresa fosse vítima de uma situação semelhante? Saiba como assegurar que eventuais provas e documentos possam ser admitidos em um processo criminal, conforme a posição dos Tribunais Superiores.
Comentário
Em 02 de julho recente, do corrente ano, a imprensa divulgou amplamente que uma provedora de serviços de tecnologia para instituições financeiras sofreu ataque cibernético. Detalhes não foram divulgados, porém, sabe-se que foram utilizadas credenciais de clientes na tentativa de acesso aos serviços. Em relação a possíveis prejuízos financeiros, as matérias jornalísticas divergem: há notícias tanto de bilhões quanto de que não houve prejuízo aos clientes.
Fato é que, no mundo moderno, tudo é informação. O renomado autor Yuval Noah Harari, em sua última obra denominada “Nexus: Uma breve história das redes de informação, da Idade da Pedra à inteligência artificial”, afirma que “a informação vem sendo cada vez mais entendida por muitos filósofos e biólogos, e mesmo por alguns físicos, como o componente mais básico da realidade, mais elementar do que a matéria e a energia” (p. 31).
Esse profundo avanço na tecnologia e informação, infelizmente, não foi acompanhado adequadamente pela legislação penal ou processual penal, apesar das inúmeras alterações legislativas dos últimos anos. O que se tem, na verdade, é uma “colcha de retalhos” legislativa, um conjunto de diferentes leis independentes que modificaram códigos defasados, com modificações pontuais de acordo com o contexto político.
A título de exemplo, apenas em 2021, o Código Penal passou a prever o aumento de pena para o crime de estelionato praticado por meio das redes sociais, contatos telefônicos ou envios de correio eletrônico fraudulento, e o crime de invasão de dispositivo informático (art. 154-A). No ano seguinte, criou-se o art. 171-A, que pune a organização e a gestão de carteiras ou intermediações de ativos virtuais ou valores mobiliários (categorias nas quais está inserido o bitcoin), de maneira fraudulenta.
Essa breve introdução permite compreender a razão pela qual há tanta dificuldade em investigar e, efetivamente, punir as novas modalidades de fraudes virtuais que, em razão da velocidade do ambiente tecnológico, atingem mais vítimas e geram prejuízos bilionários.
Essa revolução causou mudanças drásticas também no âmbito da regulamentação da investigação criminal. Até 2019, de maneira resumida, exigia-se exame pericial em todas as infrações que deixassem vestígio. E, mais, feito por perito oficial, portador de diploma de curso superior.
Com a publicação da Lei nº 13.964/19, a lei passou a prever um conjunto de procedimentos obrigatórios na gestão da prova, utilizados para manter e documentar a história cronológica do vestígio, do indício e da prova, para se permitir a visualização de como se deu o manuseio a partir de seu conhecimento até o seu descarte, o que se denomina, atualmente, de cadeia de custódia.
Inevitavelmente, os vestígios de uma infração poderão ser das mais diversas espécies. No ambiente virtual haverá dados informáticos, cuja principal característica distintiva, se comparados com as espécies mais comuns, é a intangibilidade. São dados imateriais. São rastros não tangíveis. Contudo, ainda que os dados informáticos e elementos digitais não tenham suporte físico, existem técnicas específicas que precisam ser adotadas para garantir a confiabilidade do elemento probatório.
Em acórdão de lavra do Ministro Joel Ilan Paciornik, do Superior Tribunal de Justiça, os requisitos para a admissibilidade da prova digital se encontram bem descritos (AgRg no HC 828054). São eles: a auditabilidade, a repetibilidade, a reprodutibilidade e a justificabilidade. E apenas procedimentos previstos na ABNT que certifiquem a extração do algoritmo “hash” permitem a preservação integral da prova digital.
O chamado código “hash” é o mecanismo eletrônico e informático que permite afirmar, com segurança, que a prova que se encontra mencionada no processo é, de fato, a mesma que estava no computador, celular ou outro dispositivo apreendido na operação. É, portanto, um procedimento que assegura a veracidade e auditabilidade da prova. Provas eletrônicas anexadas em processos judiciais somente são válidas se houver o competente código “hash”.
Segundo o Ministro, apenas a adoção de mecanismos especiais permite assegurar a integridade da prova e que esta não foi alvo de alteração, já que dados digitais são facilmente modificáveis. Portanto, é imprescindível que a prova possa ser auditada para, então, ser valorada:
“A observação do princípio da mesmidade visa a assegurar a confiabilidade da prova, a fim de que seja possível se verificar a correspondência entre aquilo que foi colhido e o que resultou de todo o processo de extração da prova de seu substrato digital. Uma forma de se garantir a mesmidade dos elementos digitais é a utilização da técnica de algoritmo hash, a qual deve vir acompanhada da utilização de um software confiável, auditável e amplamente certificado, que possibilite o acesso, a interpretação e a extração dos dados do arquivo digital”.
Portanto, se porventura a vítima pretender auxiliar o Estado na investigação de um fato que envolva a coleta de vestígio digital, deverá, necessariamente, observar as técnicas previstas para a coleta, armazenamento e análise de vestígio digital, sob pena de que a prova seja inadmitida. De outro lado, o investigado ou acusado, no exercício de sua defesa, poderá exigir a integralidade das provas produzidas em seu desfavor para confrontar a regularidade de sua coleta, armazenamento e, por conseguinte, sua validade.
