Esta é, provavelmente, a aula mais importante do curso inteiro — e a que mais gente ignora. Você pode ser tecnicamente brilhante, dominar cada ferramenta que veremos, e ainda assim terminar respondendo a um processo criminal por um único deslize de escopo. Então vamos tratar a parte legal com a seriedade que ela merece, começando pelo que a legislação brasileira efetivamente diz.

O art. 154-A e as duas expressões decisivas

A norma central é a Lei nº 12.737/2012, apelidada de "Lei Carolina Dieckmann", que inseriu o art. 154-A no Código Penal. Ele criminaliza invadir dispositivo informático alheio, conectado ou não à rede, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados, sem autorização do titular. Repare em duas expressões decisivas: "violação indevida de mecanismo de segurança" e "sem autorização". A palavra que te salva ou te condena é autorização. Com ela, o mesmo ato que seria crime torna-se um serviço profissional legítimo. Sem ela, sua competência técnica vira agravante, não atenuante. A Lei nº 14.155/2021 posteriormente endureceu as penas, ampliando o alcance para fraudes e furtos eletrônicos.

Marco Civil e LGPD orbitam o mesmo núcleo

Ao redor desse núcleo orbitam outras normas que todo pentester precisa conhecer. O Marco Civil da Internet (Lei nº 12.965/2014) estabelece princípios de uso da rede, guarda de registros de conexão e responsabilidades de provedores. A LGPD (Lei nº 13.709/2018) rege o tratamento de dados pessoais — e é diretamente relevante, porque um pentester frequentemente tem acesso a dados pessoais reais durante um teste. Como você lida com esses dados, se os exfiltra ou não como prova, como os armazena e destrói depois, tudo isso é regido pela LGPD. Um pentester que copia um banco de dados de clientes "como evidência" e o guarda no laptop pessoal pode estar criando um problema de LGPD tão grave quanto a falha que ele encontrou.

O contrato e as Regras de Engajamento

Isso nos leva ao instrumento prático que operacionaliza a legalidade: o contrato e as Regras de Engajamento (RoE — Rules of Engagement). Nenhum profissional sério aperta uma tecla contra um sistema de cliente antes de ter um documento assinado que defina, no mínimo: (1) o escopo — quais IPs, domínios, aplicações e faixas estão autorizados, e o que está explicitamente fora de escopo; (2) a janela de tempo — quando o teste pode ocorrer; (3) as técnicas permitidas — engenharia social entra? DoS entra? testes que podem derrubar produção entram?; (4) os contatos de emergência — a quem ligar se algo quebrar às 3h da manhã; e (5) a cláusula de autorização explícita, muitas vezes chamada de "get-out-of-jail-free card", que é a sua prova documental de que você tinha permissão.

O host vizinho continua fora

O escopo merece um parágrafo próprio porque é onde os incidentes acontecem. Suponha que o contrato autorize testar o servidor 10.0.0.5. Durante o teste você descobre que esse servidor conversa com o 10.0.0.6, que parece deliciosamente vulnerável. Você não toca no .6. Ele está fora de escopo, ponto final. Ceder à tentação de "só verificar" te tira da proteção contratual e te joga direto no art. 154-A. Escopo não é sugestão, é fronteira jurídica — e muito atacante ético amador aprendeu isso do jeito difícil. A disciplina de parar na borda do escopo, mesmo com o alvo seguinte à vista, é uma marca do profissional maduro.

A falha vai para o relatório, não para o fórum

Há ainda um princípio ético que transcende a letra da lei: o dever de reportar com responsabilidade. Quando você encontra uma falha grave, ela vai para o relatório destinado ao cliente — não para o Twitter, não para um fórum, não para um grupo de amigos. A divulgação responsável (responsible disclosure) e os programas de bug bounty, que veremos no fim do curso, existem justamente para criar canais legítimos onde pesquisadores de segurança podem reportar falhas sem virar réus. Enquanto esses canais não estão formalizados por escrito, a postura padrão é o silêncio profissional.

Autorização por escrito, dentro do escopo, sempre

Encerro com a regra que quero que você tatue mentalmente antes de qualquer aula técnica deste curso: autorização por escrito, dentro do escopo definido, sempre. Todo laboratório que montaremos na aula Python para pentest I: construindo seu próprio scanner de portas é seu, isolado, feito para ser destruído à vontade. Todo alvo real exige papel assinado. Não há terceira categoria. A técnica você aprende em um ano; a disciplina ética você carrega a carreira inteira — e é ela, não o seu domínio do Metasploit, que vai manter você empregável e fora da cadeia.

Fontes e leituras recomendadas

Exercícios

  1. Qual expressão do art. 154-A é o divisor entre um serviço legítimo e um crime, e por quê?

    ✓ Resposta:

    "Sem autorização do titular" (combinada com "violação indevida de mecanismo de segurança"): a autorização do titular é exatamente o que transforma o acesso em serviço legítimo em vez de crime.

  2. Por que a LGPD é relevante para o pentester mesmo quando o objetivo do teste não são os dados pessoais em si?

    ✓ Resposta:

    Porque durante o teste o pentester frequentemente acessa dados pessoais reais; a forma como os coleta, armazena, usa como evidência e destrói é regida pela LGPD, e o mau tratamento gera responsabilidade própria.

  3. Liste ao menos quatro itens que um documento de Regras de Engajamento deve definir.

    ✓ Resposta:

    Escopo (o que pode e o que não pode ser testado), janela de tempo, técnicas permitidas, contatos de emergência e a cláusula de autorização explícita.

  4. Durante um teste autorizado apenas no host A, você encontra um host B vulnerável e fora do escopo. O que a postura profissional exige?

    ✓ Resposta:

    Não tocar no host B — ele está fora do escopo e o acesso a ele configuraria crime. O correto é registrar a observação e reportá-la ao cliente para eventual ampliação formal do escopo.

  5. Explique por que divulgar publicamente uma falha encontrada num cliente, mesmo sem má intenção, é problemático.

    ✓ Resposta:

    Porque expõe o cliente a risco enquanto a falha não está corrigida, pode violar cláusulas de confidencialidade do contrato e foge dos canais legítimos (relatório, responsible disclosure, bug bounty) que protegem juridicamente o pesquisador.