Hackers éticos: quando é que procurar falhas num sistema deixa de ser crime em Portugal

Até este ano, quem entrasse num sistema informático alheio sem autorização arriscava uma acusação por crime em Portugal, mesmo que o fizesse só para avisar o dono de que tinha a porta aberta. Isso mudou a 4 de abril de 2026, quando entrou em vigor o novo artigo 8.º-A da Lei do Cibercrime, criado pelo decreto-lei que aprovou o regime jurídico da cibersegurança (Decreto-Lei n.º 125/2025). O Gabinete Cibercrime da Procuradoria-Geral da República publicou em setembro uma nota prática a explicar aos magistrados do Ministério Público como se lê a norma. É, até agora, o retrato mais claro do que um investigador de segurança pode e não pode fazer.

O que a lei passou a permitir

A norma trata de "atos não puníveis por interesse público de cibersegurança" e aplica-se a dois crimes: o acesso ilegítimo e a interceção ilegítima. Tecnicamente, é uma causa de exclusão da punibilidade, ou seja, o ato pode continuar a preencher o crime, mas não é punido se estiverem reunidas as condições que a lei enumera. A nota sublinha que são cumulativas, pelo que basta falhar uma para a proteção desaparecer.

A primeira é a intenção. Quem procura a falha tem de querer apenas identificá-la e contribuir, através da sua divulgação, para a segurança do ciberespaço, e a vulnerabilidade não pode ter sido criada por si. A segunda é não procurar vantagem económica. Segundo o Ministério Público, isto deixa de fora os caçadores de recompensas (bug bounty) quando testam sistemas à revelia dos donos. Quem é contratado pelo dono do sistema para o testar está noutra situação: aí nem chega a haver crime, com ou sem pagamento.

As linhas que não se podem cruzar

A atuação tem de ser proporcional e limitada ao estritamente necessário para confirmar que a falha existe. Não pode perturbar ou interromper o serviço, apagar ou deteriorar dados, copiá-los sem autorização nem causar prejuízo ao visado ou a terceiros. A lei proíbe expressamente os ataques de negação de serviço, a engenharia social, o phishing, o furto de palavras-passe, a alteração de dados, os danos deliberados e a instalação de software malicioso, e exclui também qualquer violação de dados pessoais. A nota observa que muitos destes atos cabem noutros crimes, como o dano ou a sabotagem informática, que a exceção nunca cobriria.

A quem avisar e quando se pode divulgar

A comunicação é a condição a que o Ministério Público dá mais peso. A falha tem de ser reportada imediatamente ao proprietário do sistema, do produto ou do serviço, ao titular dos dados pessoais que tenham ficado expostos e ao Centro Nacional de Cibersegurança (CNCS), que a encaminha para a Polícia Judiciária quando tiver relevância criminal. Todo o processo é secreto, para dar tempo à correção, e os dados comunicados têm de ser eliminados no prazo de dez dias depois de a vulnerabilidade estar resolvida. Os profissionais contratados pelo dono do sistema também ficam obrigados a comunicar ao CNCS o que encontrarem.

Os passos práticos estão na Instrução Técnica n.º 1/2026 do CNCS, de 24 de junho. O reporte faz-se ao CERT.PT, a equipa nacional de resposta a incidentes, por email ou por outro meio seguro que este indique, e deve identificar a entidade e o produto afetados, descrever a falha e avaliar a sua gravidade. O CERT.PT confirma a receção em 72 horas, sempre que possível, acompanha a conversa com a entidade afetada e guarda o anonimato de quem reportou, se este o pedir. A divulgação pública só é permitida 90 dias depois da notificação, no caso de software, ou 180 dias, no caso de hardware, prazos que podem ser alterados por acordo entre as partes ou por decisão fundamentada do CERT.PT.

Para quem faz investigação de segurança por conta própria, a leitura do Ministério Público deixa um aviso: a proteção é estreita, e é o tribunal que avalia, caso a caso, se todas as condições se verificaram. O texto integral do artigo 8.º-A e da instrução técnica vem em anexo à nota prática.

CibersegurançaLei do CibercrimeCNCSMinistério Público