O Tribunal de Justiça do Distrito Federal e dos Territórios (TJDFT) manteve a condenação de dois réus por acessarem sem autorização um banco de dados secundário do Hospital Santa Marta,obterem documentos e informações de pacientes e exigirem o pagamento de 43 bitcoins para não divulgar o material . O ataque cibernético ocorreu em setembro de 2022.
Eles foram condenados pelos crimes de invasão de dispositivo informático, extorsão e atentado contra a segurança de serviço de utilidade pública. A decisão é da 2 ª Turma Criminal do TJDFT. Leia também Mirelle Pinheiro PF e PM salvam bebê engasgado enquanto prendiam foragido por homicídio Mirelle Pinheiro Operação prende célula do CV que arrancou R$ 169 mil de vítima Mirelle Pinheiro Família monta transportadora para abastecer criminosos do Rio com fuzis Mirelle Pinheiro Polícia encontra produtos vencidos que seriam vendidos em feira no Rio Entenda
De acordo com a denúncia, os réus acessaram sem autorização um banco de dados secundário do hospital e obtiveram documentos e informações de pacientes. Na sequência, passaram a exigir o pagamento de 43 bitcoins sob ameaça de divulgar o material, além de tentarem convencer funcionários da instituição a fornecerem senhas de acesso que permitiriam a instalação de um programa de ransomware capaz de paralisar os sistemas hospitalares.
A acusação sustentou que a atuação conjunta e planejada demonstrou o concurso de pessoas em todos os crimes.
As defesas alegaram insuficiência de provas quanto à autoria, ausência de perícia conclusiva sobre a invasão do sistema e inexistência de execução efetiva do programa malicioso, o que afastaria, em tese, o crime contra o serviço de utilidade pública.
Um dos réus também requereu o reconhecimento de coação moral irresistível, sob a alegação de que colaborou com o grupo em razão de ameaça de exposição de conteúdo íntimo. As teses defensivas foram rejeitadas por falta de comprovação e por contrariarem o restante do conjunto probatório.
O colegiado destacou que a lei não exige a superação de mecanismo de segurança para a configuração da invasão de dispositivo informático, pois basta o acesso não autorizado com finalidade ilícita.
Quanto à extorsão, os desembargadores consideraram que a exibição de dados reais dos pacientes conferiu credibilidade à ameaça, o que a tornou idônea independentemente da capacidade técnica de executar o ransomware.
Segundo o acórdão, “a ameaça de divulgação dos dados efetivamente obtidos e de comprometimento dos sistemas hospitalares foi séria e objetivamente idônea para configurar a extorsão”. A Turma também reconheceu a autonomia entre os três crimes e afastou a possibilidade de absorção de um pelo outro.
Com a decisão, permanecem mantidas as penas de oito anos e quatro meses e de nove anos e quatro meses de reclusão, em regime inicial fechado, fixadas para os dois réus. O colegiado também rejeitou o pedido do Ministério Público para majorar as penas-base de todos os delitos. A decisão foi unânime.
Um dos acusados também teve confirmada a condenação por armazenamento de material pornográfico envolvendo criança ou adolescente. O colegiado negou provimento aos recursos do Ministério Público e das defesas.