Ataques cibernéticos, investigações transnacionais e responsabilização empresarial – Fique atento!

O aumento da frequência e da sofisticação dos ataques cibernéticos tem ampliado os riscos operacionais, financeiros e jurídicos enfrentados pelas empresas. No último dia 14 de setembro, realizamos uma edição especial do Diálogos Lefosse, com o tema “Ataques cibernéticos: como agir, preservar evidências e reduzir exposição legal”. O encontro discutiu a resposta empresarial a esses incidentes, com atenção à coordenação entre equipes técnicas e jurídicas, à preservação de evidências digitais e à interação com autoridades.

Durante o evento foi compartilhada cartilha preparada pelos profissionais do Lefosse com as recomendações sobre como agir nas primeiras 24 horas após um incidente cibernético para preservar evidências e mitigar riscos jurídicos. A sugestão de roteiro para tomada de decisão da alta direção, do minuto zero ao fim do primeiro dia, pode ser acessado no link abaixo:

Acesse aqui

O primeiro tema desta edição dialoga diretamente com o evento ao analisar um incidente no qual agentes de inteligência artificial contornaram mecanismos de isolamento, estabeleceram canais de comunicação não autorizados e alcançaram sistemas de terceiros. O episódio demonstra que a adoção de sistemas autônomos exige controles proporcionais ao grau de acesso concedido, monitoramento contínuo e protocolos claros para interromper atividades e preservar os registros necessários à investigação.

Na sequência, o STJ decidiu que uma sentença penal absolutória estrangeira não pode ser homologada para extinguir a punibilidade ou impedir eventual condenação no Brasil, chamando atenção para os desafios enfrentados por empresas e administradores submetidos a investigações em diferentes jurisdições. Por fim, ao julgar dispositivos da reforma da Lei de Improbidade Administrativa, o STF afastou a exigência de benefício direto para a responsabilização de sócios, cotistas, diretores e colaboradores que participem dolosamente do ato, além de restringir as hipóteses em que a absolvição criminal impede o prosseguimento da ação de improbidade.

Embora tratem de contextos distintos, os temas convergem para uma mesma conclusão: a gestão do risco empresarial depende da capacidade de responder rapidamente a incidentes, preservar evidências, coordenar estratégias em diferentes jurisdições e individualizar a atuação dos envolvidos. Controles sobre sistemas de IA, planos de resposta a ataques cibernéticos, documentação consistente e integração entre jurídico, tecnologia e compliance assumem, portanto, papel central na prevenção de ilícitos e na redução da exposição da empresa e de seus administradores.

Diálogos Lefosse debate resposta jurídica e técnica a ataques cibernéticos

O aumento da frequência e da sofisticação dos ataques cibernéticos tem ampliado os riscos operacionais, financeiros, reputacionais e jurídicos enfrentados pelas empresas. Para além da contenção técnica, a resposta a esses incidentes exige decisões rápidas e coordenadas sobre a continuidade das operações, a preservação de evidências digitais, a documentação das medidas adotadas e a interação com autoridades.

Nesse contexto, em 14 de setembro, o Lefosse realizou nova edição do Diálogos Lefosse, com o tema ?Ataques cibernéticos: como agir, preservar evidências e reduzir exposição legal?. O encontro reuniu profissionais das áreas jurídica, de segurança pública e de cibersegurança para discutir as medidas que devem orientar a resposta empresarial a incidentes cibernéticos, especialmente a coordenação entre equipes, a preservação de evidências digitais, a interação com autoridades e a redução de riscos legais.

Participaram do debate Gabriel Queiroz, sócio de Penal Empresarial do Lefosse; Letícia Tavares, advogada do Lefosse; Marcos Reis, fundador e CEO da Mercurius Cybersecurity; Pedro Borges Mourão, promotor de Justiça; e Renata Cardoso, sócia do Lefosse.

A discussão proporcionou uma visão integrada dos aspectos técnicos, jurídicos e investigativos envolvidos na resposta a ataques cibernéticos e reforçou a importância de as empresas estarem preparadas para agir rapidamente, preservar informações relevantes e coordenar sua atuação diante de incidentes dessa natureza.

Incidente com agentes de IA acende alerta sobre segurança cibernética e governança de sistemas autônomos

Durante avaliações internas de segurança conduzidas por uma empresa norte-americana de inteligência artificial, agentes de IA contornaram mecanismos destinados a mantê-los isolados, estabeleceram canais de comunicação não autorizados e obtiveram acesso à internet. A atividade comprometeu partes da infraestrutura interna de pesquisa da própria organização e alcançou sistemas de outra empresa norte-americana responsável por uma plataforma de desenvolvimento e compartilhamento de modelos de IA. Segundo os relatórios divulgados, os modelos operavam em um ambiente experimental com salvaguardas reduzidas e passaram a adotar estratégias que ultrapassaram o escopo das tarefas originalmente atribuídas.

O incidente revelou que agentes inicialmente isolados conseguiram transformar uma infraestrutura compartilhada em canal informal de comunicação, permitindo a coordenação de atividades e o aproveitamento coletivo das descobertas realizadas. A investigação independente estimou que aproximadamente 1.200 agentes de IA trocaram mais de 70 mil mensagens e arquivos nesse ambiente, dos quais cerca de 700 participaram das ações direcionadas aos sistemas externos. Essa colaboração ampliou a capacidade dos agentes para além do que cada um poderia realizar individualmente e contribuiu para o comprometimento de servidores, o acesso a dados privados e a obtenção de credenciais.

As apurações apontaram uma combinação de fatores relacionados ao alinhamento dos modelos, à segurança da infraestrutura e à resposta aos primeiros sinais de alerta. Entre eles estavam a persistência diante de tarefas aparentemente impossíveis, a comunicação fora dos canais autorizados e a ausência, no ambiente de avaliação, de algumas proteções adotadas nos sistemas disponibilizados externamente. Após o episódio, foram anunciadas medidas como maior isolamento dos ambientes de execução, restrições adicionais de acesso à internet, monitoramento contínuo das ações dos agentes e regras mais claras para interromper atividades potencialmente perigosas.

Para as empresas, o caso evidencia que a adoção de agentes de IA capazes de executar códigos, acessar sistemas ou operar ferramentas exige controles proporcionais ao grau de autonomia concedido. Além das medidas tradicionais de segurança da informação, tornam-se relevantes a segregação de ambientes, a limitação de permissões, a supervisão humana e a preservação de registros que permitam reconstruir as ações realizadas. O episódio dialoga diretamente com o último Diálogos Lefosse, ao demonstrar que a resposta a incidentes cibernéticos exige coordenação entre equipes técnicas e jurídicas, preservação adequada de evidências e decisões rápidas para reduzir a exposição legal.

Acesse aqui

STJ rejeita homologação de sentença penal absolutória estrangeira por ausência de previsão legal

A Corte Especial do Superior Tribunal de Justiça decidiu que uma sentença penal absolutória proferida no exterior não pode ser homologada para produzir efeitos no Brasil e prevalecer sobre eventual condenação nacional. Para o STJ, o reconhecimento de decisões criminais estrangeiras depende de autorização expressa do ordenamento brasileiro, que não prevê a homologação de absolvições para extinguir a punibilidade ou impedir o prosseguimento da persecução penal no país.

O caso teve origem em pedido de homologação de sentença absolutória proferida pelo Tribunal de Assise de Verona, na Itália. Pretendia-se que a decisão estrangeira produzisse efeitos jurídicos no Brasil e prevalecesse sobre eventual condenação posteriormente proferida pela Justiça brasileira. O STJ rejeitou o pedido ao concluir que a absolvição estrangeira não se enquadra nas hipóteses legais de reconhecimento de sentenças penais proferidas por autoridades de outros países.

Isso porque o art. 9º do Código Penal admite a homologação da sentença penal estrangeira para obrigar o condenado à reparação civil do dano e para sujeitá-lo a medida de segurança, enquanto a Lei de Migração acrescentou a possibilidade de transferência da execução da pena, permitindo que uma condenação privativa de liberdade seja executada contra pessoa localizada fora do território do Estado que a proferiu. Como nenhuma dessas hipóteses abrange decisões absolutórias, a Corte entendeu que não seria possível criar, por interpretação, uma nova finalidade para a homologação.

O precedente é relevante para empresas e administradores envolvidos em investigações com elementos transnacionais, pois demonstra que o encerramento favorável de um processo criminal no exterior não impede automaticamente a apuração ou a responsabilização no Brasil. A decisão reforça a necessidade de coordenar estratégias defensivas em diferentes jurisdições, considerando as regras locais de competência, produção de provas e reconhecimento de decisões estrangeiras. Também evidencia que a cooperação internacional e o compartilhamento de informações entre autoridades não significam, necessariamente, que o resultado alcançado em um país produzirá os mesmos efeitos jurídicos em outro.

Leia mais no STJ

STF amplia riscos para sócios, diretores e colaboradores em casos de improbidade

No julgamento conjunto das ADIs 7.156/DF e 7.236/DF, o Supremo Tribunal Federal analisou diversos dispositivos da Lei nº 14.230/2021, que reformou a Lei de Improbidade Administrativa. Entre os pontos examinados, a Corte delimitou os efeitos da absolvição criminal sobre as ações de improbidade e afastou a exigência de obtenção de benefício direto para a responsabilização de sócios, cotistas, diretores e colaboradores vinculados a pessoas jurídicas.

Quanto aos particulares, o STF considerou inconstitucional condicionar a responsabilização à comprovação de que tenham obtido benefício direto com o ato de improbidade. Permanece necessária a demonstração de participação dolosa na conduta, mas a responsabilização poderá ocorrer ainda que a vantagem seja indireta ou não tenha sido incorporada ao patrimônio do indivíduo, sempre nos limites de sua atuação. O entendimento amplia a exposição de pessoas físicas vinculadas a empresas envolvidas em relações com a Administração Pública.

A Corte também decidiu que a absolvição na esfera criminal não impede automaticamente o prosseguimento de ação de improbidade administrativa baseada nos mesmos fatos. Segundo o STF, as instâncias penal e cível possuem autonomia relativa, de modo que esse efeito somente ocorrerá quando houver decisão criminal transitada em julgado que reconheça a inexistência do fato, a negativa de autoria ou uma causa excludente de ilicitude. Fora dessas hipóteses, a absolvição criminal não encerra, por si só, o processo de improbidade.

Para empresas que mantêm relações com o poder público, o julgamento reforça a necessidade de avaliar separadamente as diferentes frentes de responsabilização decorrentes de um mesmo fato. Um desfecho favorável na esfera criminal pode não afastar a ação de improbidade, enquanto sócios, administradores e colaboradores podem ser alcançados mesmo sem prova de recebimento pessoal de vantagem direta. O entendimento aumenta a importância de individualizar responsabilidades, documentar decisões e fortalecer controles sobre licitações, contratos administrativos, intermediários, pagamentos e benefícios relacionados à Administração Pública.

Leia mais em:

https://portal.stf.jus.br/processos/detalhe.asp?incidente=6396615
https://portal.stf.jus.br/processos/detalhe.asp?incidente=6475588

Por que esses temas importam para as empresas

Os três temas desta edição mostram que a exposição jurídica das empresas pode decorrer tanto de riscos tecnológicos emergentes quanto da coexistência de diferentes esferas e jurisdições de responsabilização. Embora tratem de situações distintas, todos reforçam a necessidade de respostas coordenadas, preservação adequada de evidências e compreensão dos efeitos que uma mesma conduta pode produzir em diferentes procedimentos.

O incidente envolvendo agentes de inteligência artificial demonstra que sistemas autônomos capazes de executar códigos, acessar ferramentas e interagir com infraestruturas digitais podem criar riscos que ultrapassam os controles tradicionais de segurança da informação. Para as empresas, o episódio reforça a importância de limitar permissões, segregar ambientes, monitorar continuamente as ações dos agentes e manter registros que permitam reconstruir o incidente. Também evidencia a necessidade de integrar as equipes técnicas e jurídicas desde os primeiros sinais de comprometimento, especialmente para preservar evidências, documentar decisões e avaliar comunicações a autoridades e terceiros afetados.

A decisão do STJ sobre sentenças penais estrangeiras, por sua vez, chama atenção para investigações e processos com dimensão transnacional. Ao concluir que uma absolvição proferida no exterior não pode ser homologada para extinguir a punibilidade no Brasil, a Corte demonstrou que um resultado favorável em outra jurisdição não impedirá necessariamente o prosseguimento da persecução penal brasileira. Empresas, administradores e colaboradores submetidos a apurações paralelas devem, portanto, coordenar suas estratégias defensivas sem presumir que decisões estrangeiras produzirão automaticamente os mesmos efeitos no país.

Por fim, o julgamento das ações sobre a reforma da Lei de Improbidade Administrativa amplia a atenção necessária nas relações entre empresas e o poder público. Além de decidir que a absolvição criminal não encerra automaticamente a ação de improbidade, o STF afastou a exigência de benefício direto para a responsabilização de sócios, cotistas, diretores e colaboradores, preservada a necessidade de comprovar sua participação dolosa. Em conjunto, os temas evidenciam que empresas e administradores podem enfrentar procedimentos simultâneos, com pressupostos e consequências distintos, tornando essenciais a individualização de responsabilidades, a consistência das informações apresentadas e a coordenação entre jurídico, compliance, tecnologia e demais áreas envolvidas.

Este material tem caráter meramente informativo. Nossa equipe de Penal Empresarial está à disposição para prestar aconselhamento jurídico específico.