Nos primeiros dias de novembro, um ataque hacker interrompeu os trabalhos no Superior Tribunal de Justiça (STJ) e paralisou o julgamento de ao menos 12 mil processos por uma semana. Doze dias depois, foi a vez de o Tribunal Superior Eleitoral (TSE) ser o alvo, no primeiro turno das eleições municipais. Passados mais de dois meses, autoridades que investigam os casos temem que os responsáveis fiquem sem punição e continuem a atuar livremente. O motivo é a falta de leis específicas para crimes virtuais.

Integrantes da Polícia Federal (PF) e do Ministério Público Federal (MPF) afirmam que, em geral, as penas não passam de um ano de detenção - facilmente convertida em prestação de serviços comunitários. Isso só não ocorre se for possível provar extorsão ou violação da Lei de Segurança Nacional.

"Até conseguimos enquadrar as pessoas nos tipos penais que temos. Não temos fraude eletrônica bancária na legislação, por exemplo, mas temos fraude. O problema é que, com crime cibernético, a consequência é muito maior. Se conseguirmos encontrar o responsável, o tipo penal de "invasão" é detenção de três meses a um ano. Vamos ter que enquadrar a pessoa na Lei de Segurança Nacional porque a resposta penal é ridícula", disse a procuradora Fernanda Teixeira Souza Domingos, coordenadora do Grupo de Apoio ao Combate aos Crimes Cibernéticos, do MPF.

O principal expediente para punir crimes cibernéticos foi um artigo incluído no Código Penal, em 2012, pela Lei Carolina Dieckmann. A medida ganhou este nome por causa de um caso ocorrido com a atriz, que teve arquivos pessoais copiados do computador e divulgados na internet. A legislação considera crime "invadir dispositivo informático alheio". A pena pode variar de três meses a um ano de detenção.

As leis brasileiras preveem que, em penas de até quatro anos, o cumprimento seja em regime aberto. Até dois, há a chamada transação penal, no jargão jurídico, em que o processo acaba substituído por serviços comunitários, por exemplo.

Lava Jato. O crime previsto nesse artigo foi usado pelo MPF na denúncia oferecida em janeiro de 2020 contra os hackers que acessaram mensagens trocadas entre integrantes da Lava Jato e o então juiz Sérgio Moro, ex-ministro da Justiça.

"É urgente que o Brasil atualize sua legislação, baseada exclusivamente na Lei Carolina Dieckmann e no Marco Civil da Internet, visando criar as condições jurídicas que permitam às autoridades policiais agirem contra os hackers internacionais, como já fazem outros países", afirmou o advogado Solano de Camargo, especialista em Direito Digital.

A expectativa dos investigadores para que os responsáveis pelos ataques ao STJ e ao TSE não saiam sem punição à altura é mostrar que os delitos também podem ser enquadrados em outros tipos de crimes, como associação criminosa e extorsão, que preveem penas mais duras.

No caso do TSE, há dúvidas até mesmo se é possível processar os responsáveis com base na lei que torna crime a invasão a computadores. Os indícios coletados até agora indicam uma técnica diferente usada por eles, na qual não há invasão propriamente dita, mas, sim, os chamados ataques de negação de serviço (DDoS), que resultam em lentidão no sistema, sem acesso a dados, por exemplo.

As investigações estão sob sigilo e ainda não foram concluídas. Enquanto isso, os três brasileiros suspeitos de ajudar um hacker português nos ataques, no dia das eleições, voltaram à ativa. Ainda sem acesso a computadores e celulares apreendidos, eles afirmaram ter conseguido novas máquinas e, nesta semana, reivindicaram a autoria da invasão a servidores da USP, de prefeituras e de Câmaras Municipais.

A maior dependência tecnológica durante a pandemia da covid-19 ampliou a atuação de cibercriminosos. Somente no ano passado foram 24.328 notificações de ataques virtuais a órgãos públicos, segundo monitoramento do Gabinete de Segurança Institucional (GSI) da Presidência. Mesmo assim, propostas para atualização das leis de crimes cibernéticos e endurecimento das penas estão paradas no Congresso.

Duas medidas são consideradas fundamentais por especialistas para este ano. A primeira é a aprovação da adesão do Brasil à Convenção de Budapeste sobre Cibercrime. O convite ao Brasil ocorreu em dezembro de 2019, com o apoio do então ministro da Justiça, Sérgio Moro. Em julho do ano passado, o presidente Jair Bolsonaro enviou o tratado para deliberação do Congresso, mas lá está até hoje, sem análise. O pacto prevê que o Brasil adote estratégias de enfrentamento de crimes praticados na internet, em conjunto com outros países.

A outra frente consiste na atualização das leis, uma demanda da própria Convenção de Budapeste, já que as tipificações de crimes precisam ser semelhantes em todos os países.

O principal projeto é do deputado David Soares (DEM-SP) e foi preparado com sugestões do Ministério Público Federal. De acordo com a proposta, quem "interferir sem autorização", interromper ou causar grave perturbação na "funcionalidade ou na comunicação de sistema informatizado" comete crime punível com até cinco anos de prisão. A pena é aumentada em até dois terços se o delito for contra a administração pública.