Tag Archives: ciberperseguição

“Interagindo com a justiça no combate aos crimes cibernéticos”: debate na Campus Party 2013.

Participação no debate promovido pelo NIC-BR na Campus Party 2013 com o tema “Interagindo com a justiça no combate aos crimes cibernéticos”.

Campus Party: “Interagindo com a Justiça no combate aos crimes cibernéticos”

Campus Party

Estaremos ministrando novo curso no dia 31 de julho p.f..

Cabeçalho

 

 

Trata-se de um curso idealizado especialmente para pessoas que desejam desenvolver a capacidade de identificar e prevenir a ocorrência de fraudes no seu local de trabalho, com grande ênfase a identificação e coleta de indícios e provas, apuração de denúncias de fraudes ou o esclarecimento de fatos sobre situação ou situações que tenham algum tipo de repercussão na esfera interna e externa de uma empresa. O curso é ministrado através de um workshop 6 horas de formação voltados para o desenvolvimento de competências mínimas onde os participantes deverão adquirir habilidades avançadas como resultado das disciplinas ministradas e das atividades desenvolvidas, incluindo a capacidade de identificar,processar e coletar provas e indícios, perquirir testemunhas e proceder a realização de entrevistas.  

Carga horária: 6 horas
Horário: 10hs às 17hs

Turmas disponíveis: 31/07/2013 
Investimento:  Duas parcelas de R$245,00 sem juros no cartão ou R$490,00 à vista.
Público Alvo: Profissionais envolvidos nas áreas : Segurança da Informação, Jurídico, Negócios e Recursos Humanos e Compliance.
Local: Universidade Gama Filho – Central de Cursos – Rua Treze de Maio, 683 – Próximo a Estação Brigadeiro do Metrô (20 minutos).

 

Conteúdo Programático:

 

-Identificando Fraudes e Desenvolvendo Processos de Prevenção
-Técnicas de Entrevista e Coleta de Depoimentos
-O uso da tecnologia nas investigações
-O Processo de Investigação
-Aspectos legais envolvendo investigações internas
-Identificação e Coleta de Indícios e Provas
-Gerenciamento de Investigações

MATRICULE-SE

Lei 12.683, de 9.7.2012: reforço ao poder de requisitar dados cadastrais pela Autoridade Policial.

Acesso a Dados CadastraisRecentemente foi editada a Lei 12.683, de 9.7.2012, a qual alterou diversos dispositivos da Lei 9.613/98, com o propósito de adequá-la à nova realidade da moderna criminalidade e possibilitar meios adequados e rápidos de alcançar os infratores.
Dentre as mais importantes inovações trazidas pela alteração legislativa esta o artigo 17-b, dispositivo de natureza processual penal da maior relevância prática.
Por ele a Autoridade Policial e o agente do Ministério Público podem dirigir-se diretamente a instituições (p. ex. companhia telefônica), requisitando dados cadastrais do investigado (p. ex., endereço).
Outrora, estes órgãos quando perquiridos exigiam uma ordem judicial, o que acabava levando a investigação a uma verdadeira teia burocrática que em muito contribuía para o insucesso.
Mas o que são dados cadastrais para os fins estabelecidos pela alteração legislativa?
Dados cadastrais são as informações objetivas fornecidas por clientes e armazenadas em banco de dados de pessoas jurídicas de direito privado, os quais, normalmente são o nome completo, C.P.F., R.G., domicílio e número de telefone.
Este tipo de informação não revela quaisquer aspectos da vida privada ou da intimidade do indivíduo, até porque é esperado que todos possuam tais elementos identificadores, os quais por se tratarem de dados objetivos, não permitem qualquer juízo de valor sobre uma pessoa.
O S.T.F. já se posicionou sobre o assunto, no sentido de que a proteção constitucional a inviolabilidade das comunicações se refere à comunicação de dados e não aos dados em si, conforme extensa ementa abaixo parcialmente transcrita, além do fato de que conceito de “dados” contido no preceito constitucional é diverso do conceito de dados cadastrais:

EMENTA: (…) IV – Proteção constitucional ao sigilo das comunicações de dados – art. 5º, XVII, da CF: ausência de violação, no caso. 1. Impertinência à hipótese da invocação da AP 307 (Pleno, 13.12.94, Galvão, DJU 13.10.95), em que a tese da inviolabilidade absoluta de dados de computador não pode ser tomada como consagrada pelo Colegiado, dada a interferência, naquele caso, de outra razão suficiente para a exclusão da prova questionada – o ter sido o microcomputador apreendido sem ordem judicial e a conseqüente ofensa da garantia da inviolabilidade do domicílio da empresa – este segundo fundamento bastante, sim, aceito por votação unânime, à luz do art. 5º, XI, da Lei Fundamental. 2. Na espécie, ao contrário, não se questiona que a apreensão dos computadores da empresa do recorrente se fez regularmente, na conformidade e em cumprimento de mandado judicial. 3. Não há violação do art. 5º. XII, da Constituição que, conforme se acentuou na sentença, não se aplica ao caso, pois não houve “quebra de sigilo das comunicações de dados (interceptação das comunicações), mas sim apreensão de base física na qual se encontravam os dados, mediante prévia e fundamentada decisão judicial”. 4. A proteção a que se refere o art. 5º, XII, da Constituição, é da comunicação ”de dados” e não dos ”dados em si mesmos”, ainda quando armazenados em computador. (cf. voto no MS 21.729, Pleno, 5.10.95, red. Néri da Silveira – RTJ 179/225, 270). V – Prescrição pela pena concretizada: declaração, de ofício, da prescrição da pretensão punitiva do fato quanto ao delito de frustração de direito assegurado por lei trabalhista (C. Penal, arts. 203; 107, IV; 109, VI; 110, § 2º e 114, II; e Súmula 497 do Supremo Tribunal).

Cumpre ainda destacarmos que informações cadastrais de correntistas de instituições financeiras não estão sujeitas ao chamado “sigilo bancário”, pois não sendo os dados cadastrais bancários protegidos pelo sigilo bancário não há em nosso ordenamento jurídico qualquer previsão no sentido da necessidade de ordem judicial para o acesso a este tipo de dados cadastrais, o que implica na aplicabilidade do poder geral de polícia (art. 6, III do CPP) no que diga respeito à requisição destes.
Desta forma, tendo a Autoridade Policial conhecimento que determinada conta bancária é utilizada para fins ilícitos pode requisitar ao banco os dados cadastrais do titular da mesma.
Por outro lado, a alteração legislativa em comento veio para deixar assentado que a Autoridade Policial pode requisitar “dados cadastrais telefônicos”, informações mínimas sobre o proprietário da linha telefônica, com a finalidade de especificar qual é o consumidor do serviço e cujo acesso não depende de nenhum tipo de autorização judicial.
Com o advento da alteração legislativa, certo é que o descumprimento de requisição de dados cadastrais solicitados por Autoridade Policial amolda-se perfeitamente ao delito de desobediência, constante no artigo 330 do Código Penal, por se tratar de ordem legal advinda de funcionário público uma vez que tal prerrogativa requisitória encontra-se amparada pela norma constante no artigo 6º, III do CPP.
E mais: a Lei 8.078/90, em seu artigo 43, §4º, estabelece que os bancos de dados e cadastros relativos a consumidores são considerados entidades de caráter público, o que reforça ainda mais a possibilidade de requisição de dados cadastrais pela Autoridade Policial através do poder geral de polícia, inclusive anteriormente a edição da Lei 12.683, de 9.7.2012, a qual veio apenas consagrar este tipo de posicionamento.
Esperemos apenas que as concessionárias de serviço público ou empresas detentoras de dados cadastrais de interesse de investigações não criem óbices ao cumprimento do disposto na legislação mencionada.

Considerações sobre o caso Caso Carolina Dieckmann: a dura realidade de uma investigação.

Busca e Apreensão

Nos últimos dias parte significativa da imprensa nacional tem dado destaque a divulgação indevida de arquivos contendo fotografias da atriz Carolina Dieckmann.
Cada órgão de imprensa procurou destacar a gravidade na divulgação daquele material enfatizando que a criminosa ação teria causado profundo sofrimento à vítima na medida em que invadiu impiedosamente a sua privacidade e expos sua intimidade aos olhares curiosos de milhões de brasileiros.
Mas o que chamou a atenção em alguns momentos foram algumas declarações proferidas pelo advogado da vítima que imputavam ao provedor de conteúdo “Google” a responsabilidade em impedir o acesso aos arquivos contendo a intimidade da atriz.
Mencionado profissional chegou a afirmar para inúmeros órgãos de imprensa que iria ingressar com uma ação inibitória para que a empresa “Google” fosse compelida a “retirar do ar” buscas relacionadas às fotos da à atriz, afirmando inclusive esperar que a empresa “usasse o bom senso e retirasse as buscas do site deles” (http://www.pernambuco.com/ultimas/nota.asp?materia=20120508164516&assunto=134&onde=Brasil).
Com este tipo de afirmação é fato que o renomado profissional demonstra pouco conhecimento dos mecanismos relacionados a indexação de arquivos nas “search engines” da internet.
Neste ponto, alguns esclarecimentos são importantes.
Podemos comparar o indexador de páginas internet do Google a um grande “Data Center” procurando por novas páginas 24 horas por dia, sete dias por semana sem parar.
Agora imagine, que os computadores deste “Data Center” já tenham em sua base de dados mais de 1 trilhão de páginas.
Isto implica no fato de que bilhões dessas páginas fazem parte de um índice, que é consultado cada vez que uma pessoa deseja obter algum tipo de informação na página de pesquisas do “Google”.
Este grande “Data Center” que é o “Google” executa um programa conhecido como “Googlebot”, muitas vezes denominado “spiders”, que lhe permite encontrar e cadastrar informações destes trilhões de páginas disponíveis nos computadores por toda a internet.
Desta forma, o segredo para o rastreamento dos trilhões de páginas da web está nos “hiperlinks”, os quais ligam uma página à outra.
Ao fazer isso, a página “linkada” se torna pública, pelo simples fato de alguém ter apontado para ela, o que permite que as “spiders” do “Google” adquiram informações sobre o conteúdo das mesmas.
Simplisticamente, as “spiders” do “Google” percorrem os sites que já fazem parte de sua base de informações em busca de conteúdo atualizado, oportunidade em que também visitam “hiperlinks” anteriormente desconhecidos e que passarão a ser explorados também.
Através desses links, antes desconhecidos, as “spiders” chegam até as novidades, que começam a fazer parte de sua base de informações, num procedimento que ocorre o tempo inteiro numa escala mundial.
Exatamente por isso, que deve ser levado em conta que o “Google” indexa em sua base de informações “hiperlinks” e não conteúdo, algo do mais absoluto conhecimento de todos os que distribuem informações de maneira criminosa na internet.
Por tudo quanto restou exposto, o máximo que o “Google” poderia e deveria fazer seria retirar de suas base de informações qualquer tipo de referência aos arquivos relacionados a atriz Carolina Dieckmann, muito embora referências cifradas ou dúbias pudessem contornar facilmente este tipo de ação, exatamente o que acabou sendo feito, uma vez que, até a data de hoje, os arquivos contendo as imagens expropriadas da vítima continham sendo livremente compartilhados.
Mas não foi a declaração anteriormente mencionada pelo renomado causídico que realmente demonstrou ser o mesmo pouco afeto as questões relacionadas à prática de cibercrimes no país.
Segundo teria declarado aquele profissional “o caso de Dieckmann serviu para abrir a discussão no Congresso Nacional”, ressaltando ainda que “muita coisa precisa ser revista” (http://br.omg.yahoo.com/noticias/advogado-carolina-dieckmann-anunciou-entrar%C3%A1-a%C3%A7%C3%A3o-inibit%C3%B3ria-google-194300129.html).
Ao tomar conhecimento de tal afirmação não poderia me furtar a traçar ao menos algumas considerações sobre o incidente envolvendo a atriz e as conjecturas do nobre advogado.
Forçosamente me vejo obrigado a relembrar minha lida diária junto à unidade policial de São Paulo que investiga crimes praticados por meios eletrônicos, na oportunidade em que atuei como Delegado da mesma.
Diariamente dezenas de pessoas, na maioria mulheres, ali compareciam expondo suas agruras com relação à divulgação criminosa de sua intimidade mediante a disponibilização de arquivos contendo fotografias e informações pessoais.
Muitas apresentam sinais claros de depressão e demonstravam nas suas próprias faces o sofrimento de verem sua vida intima exposta de maneira brutal, em muitas situações por pessoas que dispunham da sua mais absoluta confiança.
Tive contato com pessoas cuja vida social e profissional foram completamente destruídas e que não conseguiam nem mesmo encarar novamente seus amigos.
Muitos se tornaram reclusos e foram impedidos até mesmo d prover sua própria subsistência por não terem condições de conseguir um emprego por verem os fatos relacionados ao sofrimento que lhe fora imposto pela divulgação indevida de sua intimidade chegar ao conhecimento de seus empregadores.
Durante anos este foi o panorama com o qual tive que conviver e em muitas situações muito pouco tive oportunidade de oferecer as vítimas que me procuravam pela inexistência de legislação adequada a minimização deste tipo de agrura.
E mais: foram vários anos de peregrinação pessoal junto ao Congresso Nacional buscando a obtenção das ferramentas que me permitiriam investigar adequadamente e de forma célere os cibercrimes que chegavam ao meu conhecimento.
Anos discutindo ferrenhamente projetos relacionados a criminalização de cibercrimes e em especial o projeto apresentado pelo atual Deputado Federal Eduardo Azeredo, anteriormente Senador da República.
Não gostaria de imiscuir-me na discussão de prós e contras do mencionado projeto, pois atualmente entendo que citado projeto não é dos mais adequados aos fins a que se destina, mas certo é que algum avanço na investigação de cibercrimes no Brasil seria possível com a aprovação daquele dispositivo, o que certamente remete a célebre frase de George C. Marshall: “Os pequenos atos que se executam são melhores que todos aqueles grandes que se planejam”.
Porém, como afirmar que um único caso tem o condão de trazer à discussão questões relacionadas à discussão de cibercrimes no Brasil? E as milhares de pessoas que nos últimos anos tiveram as suas vidas destruídas pela exposição criminosa de sua intimidade na internet?
Soa quase como afronta ao sofrimento de tantas pessoas querer vincular anos de discussão sobre cibercrimes no Congresso Nacional a um único episódio, por mais traumático que ele possa ter sido.
Que este episódio de dor e sofrimento da mulher e não da personalidade Carolina Dickeman possa se juntar as agruras impostas a tanto para que seja exigido um basta a impunidade que grasna em nosso país pela inércia legislativa.
Mas também sou forçado a comentar consternado que as forças policiais brasileiras não estão preparadas para apurar adequadamente crimes praticados por meios eletrônicos, mesmo aqueles de menor complexidade.
Explico.
A Polícia Judiciária deve investigar, recolher provas e construir casos aptos a busca de eventual condenação contra cibercriminosos, permitindo que os Magistrados possam avaliar as provas e determinar de maneira justa e razoável pela culpabilidade ou inocência, atribuindo sanções justas e eficazes.
Um dos principais problemas na investigação, na apresentação de denúncias e na interpretação das leis que estejam relacionadas à criminalidade informática é a falta de conhecimentos técnicos por parte das pessoas envolvidas nestas atividades.
Investigadores policiais estão cada vez mais sem nenhum conhecimento técnico que os habilite a trabalhar nesta área, sendo rotineira a utilização de policiais que atuam em outras frentes de investigação para trabalharem com criminalidade eletrônica, principalmente em unidades situadas longe dos grandes centros onde ninguém sabe como recuperar e processar provas digitais.
E para agravar ainda mais as questões relacionadas à falta de policiais com conhecimento técnico adequado e experiência na área, ainda existem outras relacionadas à cadeia de custódia das provas apreendidas, o que em última instância pode impedir que os dados recuperados venham a ser admitidos como prova.
E mesmo os magistrados necessitam ter um rol mínimo de conhecimento sobre a matéria, a fim de que consigam avaliar o mérito de um caso de cibercrime, pois se não tiverem conhecimento técnico suficiente para determinar que os elementos comprovadores de um delito estejam presentes, eles acabarão tendo que contar somente com opiniões divergentes apresentadas pelos advogados, promotores e seus peritos, sem realmente compreender a base do que for alegado.
Aqui está uma ilustração de como casos tecnicamente complexos de criminalidade informática podem representar um desafio muito além do que poderia ser enfrentado na investigação de outro delito como um homicídio, no qual para determinar se um réu é culpado, o júri vai ter que ouvir depoimentos e estabelecer por testemunhas que o réu pegou uma arma, apontou para a vítima, e atirou, ou talvez pelo testemunho de especialistas forenses que possam atestar que as impressões digitais do réu estavam na arma.
A veracidade das declarações das testemunhas pode ser questionada, uma vez que o advogado de defesa poderia argumentar que o réu tinha manuseado a arma anteriormente, mas não a usou para matar a vítima, mas as questões básicas que envolvem o caso não são difíceis de entender, uma vez que todos no júri sabem o que é uma arma, e é de conhecimento de qualquer pessoa, mesmo leiga, que impressões digitais são únicas e podem claramente serem identificadas como pertencentes a uma pessoa específica.
Mas num caso que envolva a invasão de uma rede de computadores, o Juiz acaba tendo que ouvir depoimentos sobre portas abertas e TCP/IP e como “exploits” que explorem “spoofing” de IP” podem ser usados para disfarçar a origem de uma rede de transmissão.
Esses termos, provavelmente, pouco significam para Juízes, cujo contato com computadores normalmente se dá como usuários finais, isto porque os mais significativos tópicos relativos a redes de comunicações e segurança não são temas que podem ser facilmente explicados no tempo limitado que geralmente antecede a decisão de um processo.
Se os Juízes não entendem como o crime ocorreu, será difícil para eles decidirem se um determinado réu o teria praticado.
Os juízes muitas vezes acabam tendo falta de discernimento técnico, o que torna difícil que possam interpretar adequadamente as leis.
Poucos estados têm currículos padrão obrigatórios para a formação em crimes por meios eletrônicos nos programas básicos de suas academias ou como uma parte necessária na formação de seus policiais.
Menos ainda no que diz respeito ao aperfeiçoamento dos policiais, sendo que a realidade do país é que nas pequenas cidades, poucos ou nenhum agente tem formação na investigação de crimes informáticos.
Os poucos funcionários que têm formação em crimes por meios eletrônicos são geralmente aqueles que investiram por sua própria conta na sua carreira, sendo que, no entanto, muitos nem mesmo participam das investigações deste tipo de ação criminosa.
E na maioria das vezes os policiais envolvidos, por absoluta falta de conhecimento técnico, acabam não tendo condições de reconhecer e preservar (ou inadvertidamente destruir ou permitir que sejam destruídos) provas digitais valiosas.
De fato, baseado exclusivamente nas filmagens apresentadas pela imprensa no que diz respeito à atuação policial no caso da atriz Carolina Dieckmann, pode ser afirmado que as “best practices” relativas a um local de cibercrime não teriam sido observadas, o que fatalmente implicará em questionamento futuro por parte dos defensores dos acusados pela prática delituosa.
A fim de que não desapareçam as provas do crime, a autoridade policial deve apreender os instrumentos e todos os objetos que tiverem relação com o delito (art. 6º, II, do C.P.P.).
O art. 240 do mesmo diploma legal relaciona ainda objetos e pessoas que podem ser objeto da busca e apreensão tanto pela autoridade policial como pelo juiz, quando fundadas razões a autorizarem.
Embora a busca e a apreensão estejam insertas no capítulo das provas, a doutrina as considera mais como medida acautelatória, liminar, destinada a evitar o perecimento das coisas e das pessoas.
É absolutamente inquestionável que inexiste no ordenamento jurídico o aludido mandado de busca e apreensão “genérico”. O que existe é uma ordem judicial na modalidade de busca e apreensão, que pode ser domiciliar ou pessoal, cujos requisitos estão no art. 243 do C.P.P. devendo conter de maneira expressa: indicação da casa em que será realizada a diligência e o nome do respectivo proprietário ou morador; o motivo e os fins da diligência; subscrição pelo escrivão e assinatura do magistrado; constar se houver ordem de prisão.
É ponto pacífico na jurisprudência e na doutrina que, ocorrendo falhas pontuais e isoladas na representação por buscas ou na expedição de mandados não ocorrerá qualquer nulidade ou prejuízo, desde que haja a fundamentação exigida constitucionalmente pelo art. 93, inciso IX da Constituição Federal.
Assim sendo, é legítima e válida a diligência e provas produzidas, respeitados o sigilo e as garantias constitucionais aplicáveis a tal situação.
Não se propala que o mandado de busca e apreensão deva ser amplo e irrestrito ao extremo de admitir a apreensão de tudo o que esteja no local objeto de busca, contudo, deve incumbir à autoridade policial, com bom senso e equilíbrio, o exame daquilo que se apreende, com observância dos parâmetros legais: produto ou instrumento do crime, corpo de delito, dados, informações e indícios relativos ao delito investigado.
Um computador pode se tornar alvo de uma busca ou apreensão por agentes da lei em qualquer uma destas situações: há uma causa provável para acreditar que o computador é o fruto de um crime, é a instrumentalidade de um crime, ou irá produzir provas de um crime.
A qualquer tempo, quem for alvo de busca e apreensão, pode requer o “backup” de arquivos ou cópia dos documentos apreendidos, sendo que a devolução de material equivocadamente apreendido será objeto de restituição imediata, mediante provocação, ou de ofício.
Deve ser feito o backup do conteúdo dos discos rígidos dos computadores e de mídias encontradas (Cd’s, DVD’s, Cartões de memória, etc), e não sua apreensão, não se podendo desconhecer que existem programas que ocultam os arquivos do computador, e que, inclusive, há ferramenta do sistema operacional Windows que permite a ocultação mencionada, podendo, inclusive, haver perda de dados valiosos num backup.
Caso seja necessária a remoção de equipamentos para fins de “backup” é medida adequada à comunicação ao Juiz que concedeu a busca e apreensão desta circunstância, formalizando-se tal ato e prevendo-se o tempo necessário para cópia de todo o material apreendido, o que evitará prejuízos a quem sofreu a busca e evitará constrangimento ilegal que poderá ser sanado em sede de “mandado de segurança”.
É absolutamente imprescindível esclarecermos que, caso seja efetuada a busca e apreensão de computadores e mídias de armazenamento sem que ocorra a efetivação de cópia do conteúdo dos mesmos, na presença de testemunhas, utilizando-se programas que possam gerar um arquivo “hash” do conteúdo para comprovar não adulteração, o material apreendido pode e deve ser considerado “inútil” porque abrirá margem a alegação de adulteração do mesmo.
Obvio que as imagens transmitidas pela televisão revelam uma realidade muito diferente do que restou acima apresentado, o que, futuramente, poderá se revelar um sério problema para a persecução em juízo.
Casos como o da atriz Carolina Dieckmann e de milhares de brasileiros sequer deveriam ocorrer, e caso se consumassem deveriam ser objeto de apurações que primassem pela celeridade e profissionalismo.
Realmente passou da hora de nossos legisladores se preocuparem um pouco com o sofrimento de tantos que perderam um de seus mais básicos e fundamentais direitos: a sua privacidade, mas não serão declarações desconexas e sem conhecimento de causa que contribuirão para um debate adequado desta triste realidade.