Quando investigações sobre cibercrimes passam pelos ISPs

Marielen Cristiane Estevo e Maria Clara Souza Baroni (*)

Maior que o crescimento de conexões à Internet a partir do isolamento social decorrente da pandemia foi o salto do número de ocorrências de cibercrimes, que continua em ascensão. Dados da consultoria alemã Roland Berger apontam que, só no primeiro semestre do ano passado, houve 9,1 milhões de incidentes deste tipo no Brasil, mais que o registrado nos doze meses de 2020. Conforme a Central Nacional de Denúncias de Crimes Cibernéticos, órgão criado pela ONG Safernet e pelo Ministério Público Federal, a maior parte dos cibercrimes relaciona-se a pornografia infantil e discriminação. Roubos virtuais também são prática comum. A Febraban (Federação Brasileira dos Bancos) afirma que, em 2021, ações de bancos conseguiram impedir prejuízos da ordem de R$ 4 bilhões a correntistas. Neste cenário, torna-se cada vez mais comum que Polícia e Justiça notifiquem provedores de Internet em busca da identificação de suspeitos, o que, não raramente, gera problemas e dúvidas para os ISPs.

Há diversos fatores que um provedor deve observar ao receber um ofício de uma delegacia de Polícia ou uma Ordem Judicial que solicite registros de conexão de um ou mais IP’s (Internet Protocol). A concessão das informações só pode ocorrer mediante ordem/autorização judicial, como determina o artigo 10, parágrafo 1º da Lei 12.965/2014, o Marco Civil da Internet. Portanto, ofícios enviados por delegados de Polícia não amparados por ordem judicial, geralmente, não devem ser atendidos. A exceção é se a solicitação se referir a informações sobre qualificação pessoal, filiação e endereço. Essas podem ser passadas, independentemente de posicionamento do Judiciário.

Caso o provedor receba uma ordem ou autorização judicial solicitando a identificação de um usuário, deverá acatar o pedido. Não são todos, porém, que são capazes de fazê-lo. Para grandes teles, que dispõem de inúmeros blocos de IP’s, a individualização de internautas sob investigação é simples. Ocorre que, dentre as PPPs, responsáveis por mais de 40% da oferta de banda larga no país e destinos mais comuns deste tipo de demanda, muitos não dispõem dessa infraestrutura presente nas grandes operadoras. Nestes casos, acabam por reunir centenas de conexões em um mesmo IP.

Se essas redes não estiverem organizadas – algo que quem não dispõe de blocos de IP’s pode solucionar de forma simples e até gratuita – não há como identificar um usuário específico. Ao receber uma solicitação para quebra de sigilo, é importante avaliar se aquele IP é fixo ou dinâmico, se o provedor utiliza CGNAT (Carrier Grade NAT) e qual a organização dos blocos de IP’s, pois o número de IP nem sempre está diretamente associado a um único usuário e essa busca pode resultar em diversos usuários, gerando risco na exposição dos dados das pessoas identificadas.

Muitas PPPs não dispõem de números de IP’s válidos para cada um dos seus clientes. Desse modo, diante da necessidade de atendimento a todos eles, realizam, na prestação dos seus serviços de acesso à Internet, a rotina denominada NAT (Network Address Translation).

Outro ponto extremamente importante é verificar se as redes internas do provedor estão ou não organizadas. Para sanar os problemas internos, os ISPs devem fazer o CGNAT com range fixa de porta de IP privado.

Equipamentos para roteadores de borda podem realizar essa atribuição por meio de um script. O formulário para que o script seja realizado pode ser baixado gratuitamente em sites de algumas empresas de softwares de gestão. Esses programas utilizam circuitos lógicos capazes de identificar portas de origem e destino, o que permite localizar um único usuário ou sua presença em pequenos grupos.

Esse tipo de solução possibilita o fornecimento de respostas mais adequadas às autoridades. Falta de recursos ou custos elevados para obtenção de blocos de IP’s não são mais justificativas aceitas. Sem compreender a complexidade da infraestrutura de um ISP, a Polícia pode interpretar os efeitos da desorganização de sua rede como falta de intenção de cooperar com investigações de cibercrimes, o que pode gerar novos questionamentos. Os provedores também devem saber quando atender a esse tipo de demanda. Caso contrário, eles próprios poderão estar infringindo a lei.

(*) Marielen Cristiane Estevo e Maria Clara Souza Baroni são advogadas da VianaTel e da RadiusNet, empresas especializadas, respectivamente, em consultoria regulatória e software de gestão para provedores de Internet.