Ransomware e infraestrutura críticas: análise sobre o vazio legal penal no Brasil a partir do caso Colonial Pipeline

Abstract

O presente trabalho acadêmico analisa os ataques cibernéticos de ransomware sob a perspectiva do Direito Penal Brasileiro, a partir do caso Colonial Pipeline, ocorrido nos Estados Unidos em 2021, considerado um dos mais emblemáticos episódios de comprometimento de infraestrutura crítica por meio de invasão cibernética. O trabalho parte da constatação de que a crescente informatização das relações sociais, econômicas e estatais expôs infraestruturas basilares da sociedade a riscos sistêmicos inéditos, para os quais o ordenamento jurídico nacional ainda não apresenta resposta penal satisfatória. Para melhor compreensão, examina-se a dinâmica técnica do ransomware, sua arquitetura operacional e os impactos concretos criados sobre cadeias gerais de suprimento, segurança nacional e estabilidade econômica. Aprofunda-se também no marco jurídico internacional sobre cibercriminalidade, com destaque para a Convenção de Budapeste, recentemente incorporada ao ordenamento brasileiro. No plano interno, investiga se a legislação vigente sobre internet e a própria norma penal já posta, demonstrando-se a fragmentação normativa e a insuficiência das figuras típicas atuais para abranger o desvalor global do ataque de ransomware. O estudo também enfrenta os desafios processuais centralizados nos aspectos probatórios relacionados à prova digital, à cadeia de custódia e à cooperação jurídica internacional, a fim de demonstrar que as consequências da carência legislativa ultrapassam o aspecto material da norma. Ao final, propõe-se a criação de um tipo penal autônomo específico (artigo 154-B) para o ataque de ransomware contra infraestruturas críticas, fundamentado na tutela de bens jurídicos sistêmicos, na política criminal contemporânea e nos compromissos internacionais assumidos pelo Brasil. Conclui-se que a ausência de tipificação própria compromete a prevenção, a repressão eficaz e a cooperação internacional, revelando a necessidade urgente de adequação legislativa ao enfrentamento da macrocriminalidade digital no país.

This dissertation analyzes ransomware cyberattacks from the perspective of Brazilian Criminal Law, based on Colonial Pipeline case, which occurred in the United States in 2021 and is considered one of the most emblematic episodes of critical infrastructure compromise through cyberattacks. The work begins with the observation that the increasing computerization of social, economic, and state relations has exposed fundamental societal infrastructures to unprecedented systemic risks, for which the national legal system does not yet offer a satisfactory penal response. For better understanding, the technical dynamics of ransomware, its operational architecture, and the concrete impacts generated on general supply chains, national security, and economic stability are examined. Following this, the international legal framework on cybercrime is explored in depth, with emphasis on the Budapest Convention, recently incorporated into the Brazilian legal system. Domestically, the current legislation on the internet and the existing penal norms are investigated, demonstrating the normative fragmentation and the insufficiency of current typical figures to encompass the global harm of ransomware attacks. The study also addresses procedural challenges centered on evidentiary aspects related to digital evidence, chain of custody, and international legal cooperation, in order to demonstrate that the consequences of the legislative gap go beyond the material aspect of the law. Finally, it proposes the creation of a specific autonomous criminal offense (article 154-B) for ransomware attacks against critical infrastructure, based on the protection of systemic legal assets, contemporary criminal policy, and international commitments undertaken by Brazil. It concludes that the absence of a specific criminal offense compromises prevention, effective repression, and international cooperation, revealing the urgent need for legislative adaptation to address digital macro-criminality in the country.