Cibercrime: a nova frente de batalha do direito penal

O cibercrime não só continua a crescer como se torna cada vez mais sofisticado, acompanhando a rápida evolução tecnológica. Ataques mais complexos e difíceis de detetar colocam desafios acrescidos a cidadãos, empresas e autoridades.

O mais recente Relatório Anual de Segurança Interna (RASI) revelou que a criminalidade informática registou uma subida de 13,4% em 2025, com 2.559 arguidos, mais 28,5% do que no ano anterior, e 83 detidos, numa variação de 88,6%. O RASI identifica como principais ameaças o ransomware, o phishing, o smishing, as burlas online e o comprometimento de contas, sobretudo bancárias.

Com a crescente “sofisticação” e “profissionalização das redes criminosas”, que recorrem cada vez mais a tecnologias avançadas assentes em inteligência artificial (IA), os ataques tornam-se cada vez mais difíceis de “detetar” e “mitigar”, consideram as associadas coordenadoras da PLMJ Marta Salgado Areias e Raquel Cardoso Nunes.

“O impacto no contencioso penal e económico-financeiro é direto e mensurável: na área da criminalidade económico-financeira, o número de inquéritos aumentou 22%, com o branqueamento de capitais a crescer 42% e a corrupção ativa 17%. O número de arguidos constituídos subiu 49,6% e o de detidos 154%. Este crescimento dramático da cibercriminalidade cria uma pressão adicional sobre o sistema judiciário, aumentando a pendência em todas as fases do processo penal”, apontam as advogadas.

As associadas sublinham ainda que também a advocacia é impactada com esta realidade, uma vez que exige cada vez mais equipas multidisciplinares com competências em cibersegurança, análise forense digital e blockchain. “Os advogados são cada vez mais chamados a compreender a prova digital em toda a sua complexidade técnica e a dominar os instrumentos de cooperação internacional e os regimes de proteção de dados aplicáveis”, referem, acrescentando que as regras deontológicas em vários ordenamentos jurídicos já impõem aos advogados um dever de competência tecnológica e de adoção de medidas razoáveis de proteção dos dados dos clientes.

“A cibersegurança deixou, assim, de ser uma preocupação exclusivamente técnica para se tornar uma questão central de gestão de risco, compliance e responsabilidade profissional nos escritórios de advocacia”, defendem as associadas coordenadoras da PLMJ.

Os dados do RASI apontam também para um aumento significativo do branqueamento de capitais, frequentemente associado a fraudes online, esquemas de investimento falso e utilização de criptoativos. Para Beatriz Duarte Santos, associada coordenadora da Vieira de Almeida (VdA), a realidade mudou, seja pela “descentralização ou desmaterialização das relações sociais, profissionais e económicas” ou pela “instantaneidade” dessas relações.

“Tudo é mais rápido, tudo é mais fácil, tudo está à distância de um “clique”. E, com isso, torna-se cada vez mais difícil assegurar a rastreabilidade dos fluxos financeiros, a circunscrição territorial da circulação desses fluxos, ou a identificação de padrões suspeitos, permitindo-se, em muitos casos, uma rápida e quase indetetável dissipação de fundos”, aponta a advogada.

Do outro lado, para Beatriz Duarte Santos, existe uma investigação que está, desde o início, a “correr contra o tempo” e que tem de atravessar “paredes” de burocracia, de contacto com entidades nacionais e internacionais, “além de ter o desafiante trabalho de reconstituição dos vários caminhos dos fluxos financeiros”.

Também as associadas da PLMJ apontam para a complexidade das investigações, sublinhando que as comunicações por suspeita de branqueamento ao DCIAP aumentaram 4.000% nos últimos 10 anos. “O principal desafio não reside na legislação, mas na dificuldade de investigar redes organizadas de forma cooperativa e especializada — geridas sobretudo a partir do Leste Europeu —, em que os autores facilmente dissimulam a sua identidade e localização, num contexto agravado pela morosidade da cooperação internacional e a insuficiência de meios e peritos forenses digitais”, revelam Marta Salgado Areias e Raquel Cardoso Nunes.

Os desafios da prova digital na investigação criminal

Phishing, ransomware, smishing à engenharia informática são alguns dos crimes digitais com maior expressão. Mas a associada coordenadora da VdA destacou também a burla informática.

“A complexidade dos comportamentos subjacentes a este tipo de crimes e, sobretudo, a sua desmaterialização acarreta uma evidente dificuldade na subsunção desses comportamentos a tipos legais tendencialmente estanques e que nem sempre acompanham a realidade do tempo em que esses crimes decorrem”, refere Beatriz Duarte Santos, sublinhado ainda que existem “muitas zonas cinzentas”.

No exemplo concreto de esquemas como o CEO Fraud, Marta Salgado Areias e Raquel Cardoso Nunes explicam que envolvem simultaneamente falsidade informática, burla qualificada e, frequentemente, branqueamento de capitais, gerando concursos de crimes cuja delimitação típica nem sempre é pacífica.

“A utilização de IA generativa para campanhas de engenharia social — com mensagens falsas mais convincentes, simulação de identidades por deepfake e automatização de fraudes — agrava este problema, dado que as categorias tradicionais de falsidade informática e burla informática nem sempre captam adequadamente a sofisticação dos novos métodos”, apontam as advogadas da PLMJ. E garantem: o “desfasamento entre a evolução tecnológica do crime e a capacidade de resposta do sistema penal é, em suma, o problema central”.

Sendo um elemento determinante na investigação da cibercriminalidade, vários são os desafios relativos à prova digital. Um deles é a exigência de conhecimentos técnicos especializados, segundo Beatriz Duarte Santos. “Se a prova física e tradicional é, em regra, obtida e apreendida de forma relativamente acessível por qualquer pessoa, o mesmo não se poderá dizer da prova digital. A sua apreensão e conservação exigem um conjunto de conhecimentos técnicos específicos e o cumprimento escrupuloso de procedimentos rigorosos”, refere.

A associada coordenadora da VdA aponta ainda um segundo desafio ligado ao momento da apreensão relativo à questão da volatilidade dos dados. “A prova digital é particularmente suscetível de alteração, eliminação ou sobreposição, o que impõe uma dupla preocupação: por um lado, a sua preservação em tempo útil; por outro, a garantia da sua integridade ao longo de todo o processo”, disse.

Uma coisa é certa, a uniformidade jurisprudencial “está longe de existir” nesta matéria. “O regime da prova digital encontra-se disperso por uma trilogia de fontes, dispersão que a doutrina qualifica como um verdadeiro “labirinto jurídico”, dada a contraditoriedade aparente entre diplomas e a dificuldade de harmonização dos respetivos regimes”, consideram as associadas da PLMJ. As advogadas sublinham ainda que, enquanto os avanços tecnológicos na capacidade forense da PJ são “assinaláveis”, o quadro normativo e jurisprudencial continua “fragmentado” e em “transição”.

Na perspetiva da acusação, a investigação criminal, desde a recolha das evidências à descoberta da identidade dos autores dos crimes, é o principal desafio na estratégia processual em casos de cibercrime. Já na vertente da defesa, os desafios passam pelo escrutínio da legalidade da obtenção e conservação da prova digital.

“O sistema judicial apresenta uma insuficiência de meios humanos especializados, uma falta de estratégia de investigação e de tática processual, e um défice de confiança recíproca entre os profissionais do foro e os intervenientes relevantes no processo-crime. A esta realidade soma-se o que foi qualificado como uma “aversão irracional à cooperação, à articulação e ao diálogo” e uma falha de organização eficaz e eficiente do aparelho judiciário, com impacto direto na celeridade e qualidade das investigações”, apontam Marta Salgado Areias e Raquel Cardoso Nunes.

As advogadas da PLMJ sublinham também que a legislação penal portuguesa é considerada “suficientemente abrangente” para a investigação e prova destes crimes. “O problema não é normativo, mas de escala, de recursos e de sentido prático na condução dos processos”, acrescentam.

“A morosidade da cooperação judiciária internacional é identificada como fragilidade central, agravada por entraves burocráticos na recolha de prova digital transfronteiriça e pela resistência das plataformas digitais em preservar dados e colaborar de forma célere com as autoridades”, referem sobre os mecanismos de cooperação internacional.

Do risco à ação: como as empresas enfrentam o cibercrime

Com a segurança digital a assumir cada vez mais um papel central na proteção da informação e da confiança online, as empresas começaram a prevenir possíveis incidentes e, segundo as advogadas, estão cada vez mais preparadas.

“Há cada vez mais PME portuguesas que preveem aumentar significativamente o investimento em cibersegurança e proteção de dados, colocando Portugal entre os países europeus onde este reforço mais se destaca, o que está, em parte, relacionado com uma perceção do risco elevada”, explicam as associadas da PLMJ.

Contudo, há ainda um caminho “relevante” a percorrer, havendo dados a revelar que esta preparação ainda é insuficiente em muitos casos. “Em 2024 foram registados 2.758 incidentes de cibersegurança em Portugal – mais 36% do que no ano anterior – sendo que 78% atingiram entidades privadas, incluindo PME”, avançam as advogadas.

Então que medidas devem e podem ser tomadas pelas empresas para se protegerem desses tipos de crimes? Beatriz Duarte Santos considera que tem de haver um reforço em técnicas de cibersegurança que, a nível técnico, permitam “reforçar a proteção das empresas e dos dados dessas empresas”, e a nível organizacional, permitam a “existência de procedimentos internos de resposta (e resposta rápida) e avaliação do nível de exposição a vulnerabilidades”.

“A par disso, deverá haver uma necessária formação de todos os colaboradores. A maioria dos incidentes de segurança tem origem num erro humano, erro esse que, muitas vezes, tarda a ser identificado, porque não se reconhecem imediatamente as características de um ataque informático”, acrescenta a associada da VdA.

Em termos normativos, a advogada considera também que tem havido uma evolução, mas ainda “insuficiente” para a complexidade e a diversificação deste tipo de comportamentos. “Há, ainda, importantes lacunas na lei, que se têm procurado “resolver” chamando à colação tipos legais em relação aos quais, ao momento da sua redação, não podia sequer ter sido cogitado o tipo de coisas que agora são aí potencialmente enquadradas”, refere.

A associada da VdA antecipa que, a médio prazo, venham a existir muitas alterações, fruto do impulso europeu e das preocupações reveladas em inúmeras iniciativas quanto aos temas de cibercrime e cibersegurança. “Acho que a implementação em Portugal de diplomas como o AI Act ou a Diretiva NIS trará desafios e respostas importantes por parte da Lei e da nossa jurisprudência. É importante introduzirmos alguma segurança e certeza jurídica numa área onde ainda existe pouca”, conclui.