Crimes cibernéticos: o mapa completo — e a invasão de dispositivo (art. 154-A) que alcança até o celular do casal

"Crime cibernético" não é um crime — é um território: do golpe do Pix ao perfil falso, da invasão de conta ao vazamento de intimidades, quase todo tipo penal ganhou a sua versão digital, e cada um tem página, pena e defesa próprias. O que os une é a mecânica comum: a prova que mora em registros e metadados, a identificação que passa pelo Marco Civil, a cadeia de custódia que decide validades — e um tipo-núcleo que atravessa quase todos os casos: a invasão de dispositivo informático (art. 154-A), hoje com pena de 1 a 4 anos (e de 2 a 5 quando a invasão captura comunicações privadas e segredos), que alcança do hacker profissional ao parceiro que vasculha o celular alheio.

Esta página é o mapa e o núcleo: o índice comentado da família digital (com as portas para cada página-filha), o 154-A em profundidade — incluindo a mudança de 2021 que dispensou a violação de senha —, a mecânica transversal da identificação e da prova, os prazos de guarda que definem a urgência, e as defesas comuns a todo o território.

O mapa da família digital — cada porta com sua página

• Golpes e fraudes: estelionato digital (Pix, WhatsApp, falsa central — 4 a 8) e furto eletrônico (a transferência sem ato da vítima) → páginas próprias;
• Extorsões digitais: o falso sequestro por telefone, a sextorsão, o ransomware (o resgate de sistemas e dados — extorsão em concurso com os tipos informáticos) → página de extorsão;
• Intimidade: a divulgação de cena íntima (218-C) e o registro não autorizado (216-B) → página própria, com o protocolo de remoção sem ordem judicial;
• Perseguição e violência digitais: o cyberstalking (147-A) e a violência psicológica por meios digitais (147-B) → páginas próprias;
• Honra nas redes: calúnia, difamação e injúria com a pena em triplo das redes sociais → página própria; e o racismo e a injúria racial online → página própria;
• Ameaça digital → página própria;
• Contra crianças e adolescentes: o regime do ECA para conteúdos de exploração — o aviso desta casa se repete: não salve, não repasse, denuncie pelos canais oficiais;
• E os tipos que vivem nesta página, sem filha própria: a invasão de dispositivo (154-A), a falsa identidade e os perfis falsos, a interceptação clandestina e a interrupção de serviços telemáticos (art. 266 — com a pena em dobro em calamidade pública, camada recente).

O núcleo: invasão de dispositivo informático (art. 154-A)

Invadir dispositivo informático de uso alheio — conectado ou não à internet — com o fim de obter, adulterar ou destruir dados ou informações sem autorização do usuário, ou de instalar vulnerabilidades para obter vantagem ilícita. Pena: reclusão de 1 a 4 anos e multa — e de 2 a 5 anos quando da invasão resulta a obtenção de comunicações privadas, segredos ou informações sigilosas (com aumentos pela divulgação e comercialização do material, e majorantes contra autoridades).

Duas viradas de 2021 (Lei nº 14.155) que redesenharam o tipo:

1. As penas saltaram — o que era detenção de meses virou reclusão de anos, com prisão preventiva possível nos cenários qualificados;
2. Caiu a exigência de "violação de mecanismo de segurança": o dispositivo sem senha também é protegido — o critério migrou para o uso alheio e a ausência de autorização, o que trouxe para dentro do tipo o cenário doméstico mais comum do país, adiante.

Ação penal: em regra, condicionada à representação (art. 154-B) — com o prazo decadencial de 6 meses —, salvo contra a Administração Pública.

O caso doméstico: mexer no celular do parceiro é crime?

A pergunta que lota atendimentos tem resposta técnica: acessar o celular alheio, sem autorização, para vasculhar conversas e dados preenche o 154-A — o vínculo conjugal não é senha universal, e "de uso alheio" inclui o aparelho do cônjuge. As zonas de disputa reais: a autorização tácita (o casal que compartilha senhas e aparelhos abertamente constrói consentimento — que se prova pelo histórico, não se presume do casamento) e o contexto (no âmbito da violência doméstica, o vasculhamento sistemático integra o controle do 147-B e pesa em protetivas). E o desdobramento probatório que importa aos dois lados: a prova colhida por invasão tende à ilicitude — a traição descoberta no celular invadido pode custar um processo criminal a quem invadiu e não servir de prova a favor de ninguém (com as exceções pontuais que a jurisprudência constrói, caso a caso, para a prova em favor de quem se defende — terreno técnico, nunca promessa).

Perfis falsos e falsa identidade

O perfil fake vive entre esferas: a criação em si movimenta a falsa identidade (art. 307) quando há proveito ou dano, os crimes que o perfil pratica (a honra, o golpe, o stalking) respondem por si, e a identificação do responsável segue o roteiro do Marco Civil — preservação e requisição judicial dos registros de conexão e de acesso que apontam o terminal. A vítima do fake tem três frentes simultâneas: a remoção (plataforma e, se preciso, ordem), a identificação (a ação de fornecimento de registros) e a responsabilização (penal e cível) — e a pressa importa, pelos prazos adiante.

A mecânica transversal: identificação, prazos e prova

• Os relógios do Marco Civil: provedores de conexão guardam registros por 1 ano; provedores de aplicação (redes, e-mails), por 6 meses — depois disso, o rastro legal evapora. Tradução: a preservação se requer nos primeiros dias, e o pedido de guarda estendida é a primeira petição de qualquer caso digital;
• A cadeia de custódia digital (CPP, arts. 158-A e seguintes): coleta documentada, hashes, espelhamento pericial — o print solto é começo de conversa; a íntegra preservada com método é prova. A tese transversal deste site vale aqui na origem: o recorte cai, a íntegra decide;
• A ata notarial como fotografia jurídica do conteúdo volátil;
• A perícia forense — de aparelhos, contas e artefatos — e o direito de assistente técnico dos dois lados;
• A competência dos crimes digitais segue regras próprias por tipo (o foro da vítima nos estelionatos por transferência; o resultado nos demais) — conferência inicial de todo caso.

As defesas comuns ao território

• Autoria técnica: IP não é pessoa — o Wi-Fi compartilhado, o IP dinâmico, o spoofing e o dispositivo de uso coletivo exigem que a acusação ligue o rastro a alguém, não a um roteador; a individualização é a defesa estrutural de toda a família;
• Autorização e consentimento (expresso ou tácito demonstrável) nos tipos que os admitem;
• Cadeia de custódia quebrada — coleta sem método, prints sem íntegra, aparelhos manuseados sem espelhamento: a ilicitude derruba a prova-mãe e o que dela derivou;
• Atipicidade e fronteira civil: o vazamento de dados corporativo, o descumprimento contratual de TI e as infrações à LGPD vivem, em regra, nas esferas administrativa (ANPD) e cível — a criminalização de conflito regulatório se desmonta pela elementar faltante;
• Procedibilidade: a representação e sua decadência nos tipos condicionados.