Portugal atualiza a lei do cibercrime para isentar pesquisadores de segurança – Against Invaders

Portugal modificou sua lei de cibercrime para estabelecer um porto seguro legal para pesquisas de boa-fé em segurança e tornar o hacking não punível sob certas condições rigorosas.

Primeira avistada por Daniel Cuthbertum nova disposição no Artigo 8.o-A, intitulado “Atos não puníveis devido ao interesse público em cibersegurança”, oferece uma isenção legal para ações que anteriormente eram classificadas como acesso ilegal a sistemas ou interceptação ilegal de dados.

A exceção se aplica apenas quando pesquisadores de segurança atuam com o objetivo de identificar vulnerabilidades e contribuir para a cibersegurança. As principais condições que devem ser atendidas para estar seguro de responsabilidade criminal são:

1. A pesquisa deve ter como único objetivo identificar vulnerabilidades não criadas pelo pesquisador e melhorar a cibersegurança por meio da divulgação.
2. O pesquisador não pode buscar ou receber qualquer benefício econômico além da remuneração profissional normal.
3. O pesquisador deve imediatamente relatar a vulnerabilidade ao proprietário do sistema, a qualquer controlador de dados relevante e ao CNCS.
4. As ações devem ser estritamente limitadas ao necessário para detectar a vulnerabilidade e não devem interromper serviços, alterar ou excluir dados, nem causar danos.
5. A pesquisa não deve envolver nenhum processamento ilegal de dados pessoais sob o GDPR.
6. O pesquisador não deve usar técnicas proibidas, como ataques DoS ou DDoS, engenharia social, phishing, roubo de senha, alteração intencional de dados, danos ao sistema ou implantação de malware.
7. Quaisquer dados obtidos durante a pesquisa devem permanecer confidenciais e serem excluídos em até 10 dias após a correção da vulnerabilidade.
8. Atos realizados com o consentimento do proprietário do sistema também estão isentos de punição, mas quaisquer vulnerabilidades encontradas ainda devem ser reportadas ao CNCS.

O novo artigo define claramente os limites da pesquisa em segurança e, ao mesmo tempo, oferece proteção legal para hackers bem-intencionados.

Em novembro de 2024, o Ministério Federal da Justiça em A Alemanha introduziu um projeto de leique fornecia proteções semelhantes para pesquisadores de segurança que descobrem e reportam falhas de segurança de forma responsável aos fornecedores.

Anteriormente, em maio de 2022, o Departamento de Justiça dos EUA (DOJ) anunciou revisões às suas políticas federais de acusação relacionadas a violações da Lei de Fraude e Abuso de Computadores (CFAA), adicionando uma isenção para pesquisas de “boa-fé”.

Nesses arcabouços legais, a pesquisa em segurança não só é reconhecida, mas também tem espaço seguro para investigar sistemas de forma proativa, descobrir vulnerabilidades e relatá-las sem medo de consequências legais.