A empresa teve o sistema invadido: como conduzir o registro criminal

O crime e a exigência de representação

O art. 154-A do Código Penal pune invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo, ou de instalar vulnerabilidades para obter vantagem ilícita, com reclusão de um a quatro anos e multa, na redação dada pela Lei nº 14.155, de 2021.

O § 2º prevê aumento de um terço a dois terços se da invasão resulta prejuízo econômico, e o § 3º agrava a conduta quando resulta a obtenção de conteúdo de comunicações eletrônicas privadas ou de segredos.

O ponto processual decisivo está no art. 154-B: nos crimes definidos no art. 154-A, somente se procede mediante representação, salvo se o crime é cometido contra a administração pública direta ou indireta de qualquer dos Poderes ou contra empresas concessionárias de serviços públicos.

Empresa privada, portanto, precisa representar. E a representação tem prazo de seis meses, contado do dia em que se souber quem é o autor, conforme o art. 103 do Código Penal.

Quem assina pela pessoa jurídica

A representação é ato do ofendido ou de quem tenha qualidade para representá-lo. Na pessoa jurídica, isso significa o representante legal indicado no contrato social ou no estatuto, ou procurador com poderes específicos.

Erro comum: registro feito por funcionário do setor de tecnologia, sem poderes de representação, que depois é questionado. Vale providenciar, desde o início:

• contrato social ou estatuto atualizado e ata de eleição da diretoria;
• procuração com poderes expressos para representar criminalmente, quando o ato for praticado por advogado ou preposto;
• documento de identidade do representante.

A representação não exige forma solene, mas precisa demonstrar inequívoca vontade de que se apure o fato, e o registro escrito com esses documentos anexados resolve a questão.

O que preservar antes de qualquer coisa

A qualidade da apuração depende do que se preserva nas primeiras horas.

• logs de acesso e de autenticação do período, com fuso horário identificado;
• registros de firewall, de rede e de servidores, com data e hora;
• imagens forenses dos sistemas afetados, feitas antes da restauração;
• comunicações recebidas do autor, quando houver pedido de resgate;
• relatório interno do incidente, com linha do tempo e responsáveis;
• cadeia de responsabilidade sobre quem acessou o material preservado.

O último item importa mais do que parece. O art. 158-A do Código de Processo Penal define cadeia de custódia como o conjunto de procedimentos que documentam a história cronológica do vestígio e rastreiam sua posse e manuseio. Evidência corporativa preservada sem rastreamento perde valor probatório.

Restaurar sistemas antes de preservar imagens é o erro mais custoso e o mais frequente.

As outras frentes que correm em paralelo

O registro criminal não substitui as demais obrigações.

Na esfera de proteção de dados, a Lei nº 13.709, de 2018, impõe ao controlador o dever de comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, com os elementos previstos em lei. Essa comunicação tem lógica e prazo próprios, distintos do prazo penal.

Na esfera civil, há a discussão sobre responsabilidade perante clientes e parceiros afetados.

E na esfera contratual, há as notificações previstas em contratos de prestação de serviços e apólices de seguro cibernético, que costumam ter prazos curtos.

O ideal é que a linha do tempo do incidente seja única e sirva às três frentes.

Quando o incidente envolve vazamento de dados de clientes, exposição a sanções e possível responsabilização de terceiros, a coordenação entre a preservação técnica, a representação criminal e as comunicações regulatórias precisa acontecer em dias — e um advogado particular consegue conduzi-la remotamente, recebendo relatórios e logs por canal digital seguro.