Quais são as 3 categorias de crimes cibernéticos? Um advogado explica as medidas de proteção para cada padrão

“Cibercrime” é uma palavra que já está bastante difundida no vocabulário do dia-a-dia, mas internacionalmente, é definida como “crime que abusa da tecnologia de computadores e telecomunicações”. Alguns cibercrimes, como o chamado “hacking (cracking)”, podem fazer com que as empresas se tornem vítimas, e quando isso acontece, é necessário considerar que medidas devem ser tomadas.

Neste artigo, classificamos o cibercrime em geral em três padrões comumente usados no Japão, e explicamos que tipo de crime cada padrão corresponde e que medidas podem ser tomadas se você se tornar uma vítima. A razão pela qual esta classificação é importante é porque:

• Se não se pode ser considerado uma “vítima” no sentido legal, mesmo que se possa “denunciar” que um crime está a ocorrer, pode ser difícil encorajar a polícia a investigar através de uma queixa ou acusação
• No caso de crimes que têm medidas civis, mesmo sem depender da investigação policial, pode-se recorrer a um advogado para identificar o criminoso por meios civis e fazer uma reivindicação de compensação por danos ao criminoso
• Se você é a vítima de um crime e não há solução civil, você terá que encorajar a investigação policial

Porque as “medidas” variam de acordo com cada padrão.

As 3 categorias de cibercrime

Como mencionado acima, é comum classificar o cibercrime em três categorias no nosso país.

• Crimes informáticos: A definição exata será explicada mais tarde, mas, em poucas palavras, são crimes que interferem nas operações de uma empresa.
• Crimes de uso de rede: Crimes cometidos através do abuso da Internet.
• Violação da Lei de Proibição de Acesso Não Autorizado (Lei Japonesa de Proibição de Acesso Não Autorizado): Atos como o chamado login não autorizado, etc.

Explicaremos cada um deles em detalhe abaixo.

O que é um crime informático

O que é o crime de danificar computadores e interferir nas operações

O ato que corresponde ao crime de danificar computadores e interferir nas operações, conforme definido no Código Penal Japonês, é um exemplo típico deste tipo de crime.

Qualquer pessoa que danifique um computador ou um registo magnético usado para negócios, ou que forneça informações falsas ou instruções impróprias a um computador usado para negócios, ou que, por qualquer outro meio, faça com que o computador não funcione de acordo com o seu propósito de uso, ou que funcione de maneira contrária ao seu propósito de uso, e assim interfira nos negócios de outra pessoa, será punida com prisão até 5 anos ou multa até 1 milhão de ienes.

Artigo 224-2 do Código Penal Japonês

Embora seja um texto difícil de ler, para simplificar, é um crime que ocorre quando:

• Danificar um PC usado para negócios ou os dados nele contidos
• Enviar informações falsas ou não previstas para um PC usado para negócios

Por meio desses métodos, fazendo com que o PC em questão funcione de maneira não prevista e interfira nos negócios.

Um exemplo típico deste crime é o ato de aumentar o saldo de uma conta bancária online, aproveitando-se de falhas de segurança, fazendo login indevido na conta de outra pessoa, etc. Da mesma forma, atos como alterar o site de uma empresa, aproveitando-se de falhas de segurança ou obtendo indevidamente informações de login, também se enquadram neste crime. Embora o ato de “fazer login indevidamente” seja um tipo de “violação da lei de proibição de acesso não autorizado”, que será discutido mais adiante, este tipo de crime visa atos como operações indevidas, alterações, exclusões e alterações indevidas de dados.

Qual é a diferença com o acesso não autorizado?

Este tipo de crime pode ser cometido mesmo sem a intervenção de um ato de login não autorizado. Um exemplo típico é o chamado ataque DoS. Enviar um grande número de e-mails e causar problemas no servidor de e-mail, ou fazer um grande número de acessos a um site e causar problemas no servidor web, são padrões típicos. Embora cada um desses e-mails ou acessos seja legal por si só, eles causam um comportamento não previsto no servidor (PC) quando feitos em grande quantidade, causando danos à empresa em questão, como a incapacidade de usar e-mails ou a incapacidade de abrir o site. Portanto, “não é uma violação da lei de proibição de acesso não autorizado, mas é um crime de danificar computadores e interferir nas operações”. Além disso, em casos de crimes deste tipo, o crime de obstrução fraudulenta dos negócios também é um problema.

Como incentivar a investigação pela polícia

Estes atos são crimes, como mencionado acima, e a empresa em questão é a vítima, por isso é possível solicitar uma investigação pela polícia. No entanto, na prática, a polícia japonesa não tem uma boa resposta a esses crimes. Isto é devido a problemas técnicos. Por exemplo, mencionei acima um simples ataque DoS, mas na realidade, muitos ataques não são tão simples como um milhão de e-mails ou acessos de um único endereço IP, mas são feitos a partir de vários endereços IP, ou seja, a fonte do ataque é distribuída. Este tipo de ataque é chamado de “DDoS”.

Se um grande número de e-mails ou acessos vier do mesmo endereço IP, é claro que é um grande número de acessos pela mesma pessoa e é “informação não prevista”. No entanto, se os endereços IP estiverem distribuídos, cada e-mail ou acesso individual é legal, então a menos que haja evidências de que foram feitos pela mesma pessoa, não se pode dizer que é uma transmissão de informação ilegal. Então, como se pode provar que é “um grande número de e-mails ou acessos pela mesma pessoa” sob o rigoroso julgamento criminal? Certamente, este é um problema preocupante para a polícia e a promotoria.

Além disso, em um julgamento criminal, não se pode obter uma condenação simplesmente provando que “a comunicação que constitui um crime (por exemplo, o envio de um grande número de e-mails, como mencionado acima) foi feita a partir do PC do suspeito”. O que é exigido em um caso criminal é a constatação de factos a nível de “quem”, não de “de que PC”. Na verdade, muitas decisões em julgamentos criminais cuidadosamente consideram esta parte, ou seja, “o ato criminoso foi definitivamente feito a partir do PC do suspeito, mas foi realmente feito pelo próprio suspeito?”

Estes obstáculos à prova são, claro, importantes para prevenir condenações injustas, mas também parecem ser uma razão para a polícia e a promotoria hesitarem em investigar crimes cibernéticos.

No entanto, se o incidente ocorreu recentemente, é possível, através de uma análise detalhada dos logs do servidor, etc., descobrir provas de que “é altamente provável que tenha sido feito pela mesma pessoa” e “e definitivamente foi feito pelo próprio suspeito”. A investigação através da tecnologia da informação e a análise legal do que foi descoberto na investigação para produzir material legalmente significativo. Se estes dois estiverem presentes, pode-se dizer que há casos em que se pode incentivar a investigação pela polícia.

A resolução civil é difícil

Seria bom se houvesse uma solução civil sem ter que recorrer à polícia, mas a verdade é que para este tipo de crime, as medidas civis são escassas.

Por exemplo, no caso de um grande número de e-mails serem enviados, o endereço IP do remetente está listado no e-mail (no cabeçalho do e-mail), então você gostaria de solicitar ao provedor que revele o endereço e o nome do contratante que estava usando esse endereço IP. No entanto, sob a lei civil japonesa, não há direito de solicitar legalmente essa divulgação. No caso de difamação na internet, como mencionado abaixo, pode-se usar o direito de solicitar a divulgação de informações do remetente sob a Lei de Limitação de Responsabilidade do Provedor, mas para simplificar, este direito de solicitar a divulgação é,

Comunicação para fazer postagens para um grande número de pessoas verem (o exemplo típico é a comunicação para fazer postagens difamatórias em um quadro de avisos na internet que é aberto ao público)

É reconhecido apenas para o alvo.

Na prática, em casos de crimes cibernéticos avançados, muitas vezes é necessário um relatório mais detalhado do que quando se inicia um processo para incentivar a investigação pela polícia. Além disso, muitas vezes leva um ano ou mais desde o primeiro contato com a polícia até a investigação real e a prisão. Por outro lado, a resolução civil pode ser mais fácil, exigindo menos trabalho e tempo… mas este tipo de crime é, em princípio, impossível ou muito difícil de resolver civilmente. Se o criminoso puder ser identificado, é possível reivindicar indenização pelos danos causados pelo ato criminoso, como os danos causados pela ocorrência de um problema no servidor web, mas não há meios de identificação disponíveis para isso.

https://monolith.law/corporate/denial-of-service-attack-dos[ja]

Crimes de utilização de rede

Danos por difamação na Internet

Estes são crimes cometidos usando computadores ou redes, além dos crimes informáticos mencionados acima. Por exemplo, a chamada difamação na Internet não danifica dados, não envia informações não previstas, nem faz o computador funcionar de maneira inesperada, mas é realizada usando a rede da Internet.

As postagens que constituem difamação são classificadas como:

• ilegais tanto criminal como civilmente (o exemplo típico é a difamação)
• não ilegais criminalmente, mas ilegais civilmente (tipicamente invasão de privacidade ou violação de direitos de imagem)

Se for ilegal tanto criminal como civilmente, é possível tentar identificar o autor usando um pedido de divulgação de informações do remetente sob a Lei Japonesa de Limitação de Responsabilidade do Provedor, ou encorajar a polícia a investigar e prender o autor.

Contudo, dependendo do conteúdo, a realidade é que a polícia não costuma investigar essas postagens de forma muito ativa, devido à atitude conhecida como “não intervenção em assuntos civis”. Além disso, a invasão de privacidade e a violação dos direitos de imagem não são crimes sob a lei penal, portanto, uma resolução civil é essencial.

https://monolith.law/practices/reputation[ja]

Danos causados por comunicação um-a-um, como e-mail

O que é difícil são as ações de envio de mensagens inadequadas usando meios de comunicação um-a-um, como e-mail e DM do Twitter. Por exemplo, um exemplo típico é um e-mail com linguagem que constitui um crime de ameaça ou extorsão. O pedido de divulgação de informações do remetente sob a Lei Japonesa de Limitação de Responsabilidade do Provedor só pode ser usado em casos como o acima mencionado, onde:

Comunicação para fazer postagens que um número indeterminado de pessoas verá (o exemplo típico é a comunicação para fazer postagens de difamação em um quadro de avisos na Internet que é aberto ao público)

Portanto, para essas comunicações, não há soluções civis disponíveis em primeiro lugar, e só se pode esperar por uma investigação policial. No entanto, mesmo que o conteúdo postado em um quadro de avisos na Internet seja difamatório, se um meio de comunicação um-a-um for usado, o crime de difamação não será estabelecido. Em termos simples, o crime de difamação só é estabelecido para atos cometidos contra um número indeterminado ou grande de pessoas. Em meios de comunicação um-a-um, a difamação não é estabelecida como regra. Detalhes sobre esses problemas são explicados em outro artigo.

https://monolith.law/reputation/email-sender-identification[ja]

Danos causados por imagens obscenas ou sites ilegais

Além disso, crimes que não têm vítimas, ou onde a empresa que sofre danos na prática não é a vítima, também estão incluídos neste tipo. Por exemplo:

• Publicação de imagens ou vídeos não censurados em sites adultos (exibição pública de imagens obscenas)
• Publicidade de sites de cassino ilegais
• Sites fraudulentos que afirmam vender produtos de marca, mas na realidade não enviam produtos

São exemplos típicos.

Por exemplo, se uma câmera escondida for usada no vestiário feminino de uma empresa e as imagens forem postadas na Internet, essas imagens claramente constituem uma violação da privacidade (e dos direitos de imagem) da mulher fotografada. No entanto, como mencionado acima, a violação da privacidade (e dos direitos de imagem) não é um crime, e embora o ato de filmar secretamente seja um crime, a publicação de fotos tiradas por filmagem secreta não é necessariamente um crime, tornando difícil pedir à polícia que investigue.

Além disso, mesmo que a existência de sites de cassino ilegais ou sites fraudulentos resulte em uma queda nas vendas da empresa ou na perda de confiança, tais atos são crimes para a sociedade, mesmo que não haja vítimas específicas (tipicamente como excesso de velocidade ou controle de drogas), ou são coisas que só têm vítimas diretas (por exemplo, consumidores que pagaram dinheiro ao site fraudulento) como vítimas, então mesmo que a empresa reclame do dano, acaba sendo uma denúncia por terceiros que não são vítimas. Além disso, se você não é uma “vítima”, a identificação através de um pedido de divulgação de informações do remetente é, em princípio, impossível.

No entanto, se o ato violar os direitos de propriedade intelectual da empresa (como direitos de marca registrada e direitos autorais), como a venda de produtos falsificados, a empresa pode incentivar a investigação policial como “vítima” ou tentar identificar o vendedor por meios civis.

Violação da Lei Japonesa de Proibição de Acesso Não Autorizado

Atos proibidos pela Lei Japonesa de Proibição de Acesso Não Autorizado

Por último, vamos falar sobre os atos proibidos pela Lei Japonesa de Proibição de Acesso Não Autorizado. Esta lei proíbe:

1. Ações de acesso não autorizado
2. Ações que promovem o acesso não autorizado
3. Ações de obtenção ilegal, entre outras

Estas são as proibições.

Dentre estas, a primeira, ações de acesso não autorizado, inclui principalmente:

• Ações de usurpação de identidade: atos de fazer login como outra pessoa sem permissão, inserindo o ID e a senha de outra pessoa
• Ataques de exploração de falhas de segurança: atos de fazer login como outra pessoa sem a necessidade de inserir ID e senha, explorando falhas de segurança

Existem estes dois tipos.

O segundo, ações que promovem o acesso não autorizado, refere-se a atos de informar ou vender as informações da conta de outra pessoa (ID, senha, etc.) a terceiros sem permissão.

Por último, o terceiro, ações de obtenção ilegal, entre outras, refere-se a atos de fazer com que outra pessoa insira as informações de sua conta por meio de meios como sites de phishing, ou de armazenar as informações da conta obtidas ilegalmente dessa maneira.

Para mais detalhes sobre a Lei Japonesa de Proibição de Acesso Não Autorizado, consulte o artigo abaixo.

Resolução pela Polícia

Se você for vítima de acesso não autorizado, também terá que solicitar uma investigação à polícia. No entanto, muitos casos envolvem problemas altamente técnicos, e assim como no caso dos crimes cibernéticos mencionados acima, se alguém com conhecimento e know-how em TI e direito não preparar um relatório, a investigação pela polícia pode não ser realizada na prática.

Além disso, se o criminoso puder ser identificado, é possível reivindicar indenização por danos contra o criminoso. No entanto, assim como no caso dos crimes cibernéticos mencionados acima, é muito difícil identificar o criminoso por meios civis.