Invasão de dispositivo: art. 154-A do CP e a fraude eletrônica

Questões de Informática e de Legislação costumam cobrar o crime de invasão de dispositivo informático, o art. 154-A do Código Penal, criado pela Lei 12.737/12 e alterado depois. A armadilha mais frequente é decorar a redação original: ela mudou, e uma parte do que muitos materiais antigos ensinam não vale mais. Este guia reproduz o texto lido no Planalto, aponta o que cada elemento do tipo exige e mostra como a prova costuma trocar as palavras.

Onde a norma está

O Código Penal é o Decreto-Lei 2.848/40. Os arts. 154-A e 154-B foram acrescentados pela Lei 12.737/12, que trata da “tipificação criminal de delitos informáticos”. Em seguida, a Lei 14.155/21 deu nova redação ao caput do art. 154-A e a alguns de seus parágrafos. Por isso, a regra para estudar é: leia a redação vigente no texto compilado do Código Penal e confirme a lei alteradora de cada trecho.

O tipo penal, elemento por elemento

Na redação vigente, o caput do art. 154-A descreve a conduta de invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com um destes fins:

obter, adulterar ou destruir dados ou informações, sem autorização expressa ou tácita do usuário do dispositivo; ou
instalar vulnerabilidades para obter vantagem ilícita.

Observe quatro pontos que rendem questões.

Dispositivo “conectado ou não à rede”. O crime não exige internet. Um notebook desligado da rede, mas acessado fisicamente por quem não tem autorização, pode se enquadrar.
Finalidade específica. O tipo exige um fim (obter, adulterar, destruir dados; ou instalar vulnerabilidades para obter vantagem ilícita). Entrar por curiosidade, sem esse fim, não é o que o caput descreve.
Ausência de autorização. A autorização do usuário pode ser expressa ou tácita; sem ela, há o requisito do crime.
A expressão “mediante violação indevida de mecanismo de segurança” não está no caput atual. A redação original da Lei 12.737/12 trazia essa exigência, e o texto dado pela Lei 14.155/21 não a repete. Quem estuda por material antigo costuma errar aqui: a prova baseada na redação vigente não condiciona o crime à violação de senha, antivírus ou outro mecanismo de proteção. Confirme sempre no texto compilado.

O que mudou na pena

A redação original previa detenção no caput. Na redação dada pela Lei 14.155/21, a pena do caput é de reclusão, de 1 a 4 anos, e multa, segundo o texto compilado lido. O § 3º passou a prever reclusão de 2 a 5 anos, e multa. Como as penas de vários crimes patrimoniais e informáticos foram alteradas por leis posteriores, sempre cheque a redação do dia da prova antes de memorizar números.

Parágrafos que costumam ser cobrados

Dispositivo	O que trata
§ 1º	Mesma pena para quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a conduta do caput
§ 2º	Aumento de pena (1/3 a 2/3, na redação da Lei 14.155/21) se da invasão resulta prejuízo econômico
§ 3º	Forma qualificada: obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou controle remoto não autorizado do dispositivo invadido
§ 4º	Na hipótese do § 3º, aumento de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados obtidos
§ 5º	Aumento de um terço à metade se o crime for praticado contra as autoridades dos incisos I a IV (chefes de Poderes e dirigentes máximos da administração, nos termos do texto)

Pegadinha do § 1º

O § 1º atinge quem fornece a ferramenta, e não só quem invade. Uma questão pode descrever alguém que vende um programa feito para permitir invasões e perguntar se ele responde pelo art. 154-A. A resposta, pelo texto, depende do “intuito de permitir a prática da conduta definida no caput”. A banca raramente pede mais do que a leitura atenta dos verbos (produz, oferece, distribui, vende, difunde) e da finalidade.

Ação penal: o art. 154-B

O art. 154-B diz que, nos crimes do art. 154-A, somente se procede mediante representação, salvo se o crime é cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios, ou contra empresas concessionárias de serviços públicos.

Em termos de prova: invasão contra um particular depende da representação da vítima; invasão contra um órgão público ou concessionária não depende. Para o servidor de TI, isso importa na prática: o ataque a sistema do órgão não fica condicionado a que a instituição “represente”.

Exemplo resolvido

Enunciado: “Um analista, sem autorização, copia dados de um servidor de um órgão distrital, usando credenciais de um colega. Como a conduta se enquadra e como se procede?”

Houve acesso a dispositivo informático de uso alheio, sem autorização do usuário: elemento do caput.
Houve finalidade de obter dados: elemento subjetivo do caput.
O alvo é órgão da administração pública: pelo art. 154-B, a regra da representação não se aplica.
Se o conteúdo for informação sigilosa assim definida em lei, discute-se o § 3º.

A resposta correta numa questão tende a combinar os itens 1 a 3. Para o sigilo, o próprio enunciado precisa dizer que a informação é sigilosa “assim definida em lei”.

Fraude eletrônica no estelionato

O estelionato (art. 171) tem a forma de fraude eletrônica no § 2º-A, incluída pela Lei 14.155/21. No texto compilado lido, a fraude eletrônica se configura quando a fraude é cometida com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, envio de correio eletrônico fraudulento, duplicação de dispositivo eletrônico ou aplicação de internet, ou por qualquer outro meio fraudulento análogo. A menção a “duplicação de dispositivo eletrônico ou aplicação de internet” aparece na redação dada pela Lei 15.397/26. O § 2º-B prevê aumento de 1/3 a 2/3 se o servidor usado fica fora do território nacional.

Compare com o furto mediante fraude por meio eletrônico, previsto no art. 155, § 4º-B: ali o agente subtrai, e no estelionato a vítima entrega o bem induzida a erro. Essa diferença entre “subtrair” e “ser induzido a entregar” é a chave de questões de Direito Penal.

Interrupção de serviço de informação

O art. 266, § 1º, do Código Penal (incluído pela Lei 12.737/12) diz que incorre na mesma pena do caput quem interrompe serviço telemático ou de informação de utilidade pública, ou impede ou dificulta-lhe o restabelecimento. Ataques que derrubam um portal de serviço público se encaixam nesse raciocínio. O art. 266 também foi alterado pela Lei 15.397/26, então confira a redação vigente antes de decorar penas.

Erros comuns

Afirmar que o crime exige “violação de mecanismo de segurança”: isso era da redação original.
Achar que o dispositivo precisa estar conectado à internet.
Confundir invasão (154-A) com estelionato eletrônico (171, § 2º-A) e furto mediante fraude (155, § 4º-B).
Esquecer o art. 154-B e tratar toda invasão como dependente de representação.
Decorar pena sem checar a lei alteradora mais recente.

Próximos passos

Para ligar este tema à parte técnica, leia ameaças, malware e golpes digitais, injeção de SQL com exemplo executado e XSS, CSRF e man-in-the-middle.

Fontes e atualização

Textos lidos integralmente: Lei 12.737/12, Lei 14.155/21, Lei 15.397/26 e o Código Penal compilado. Penas e redações de crimes patrimoniais mudam com frequência: confira a norma vigente e o edital antes de estudar números.