Burlas com criptoativos somam 50 milhões só em Lisboa e Porto, “quase na totalidade” praticadas por influencers

À medida que evoluem os meios digitais, estão também mais sofisticadas as burlas e os ataques online. O mundo do cibercrime está cada vez mais complexo, na medida em que explora as novidades sem entraves, financiado por dinheiro do próprio crime, mas também está mais abrangente, porque as ferramentas são produzidas “à medida” por quem sabe para serem utilizadas por todos.

Em entrevista ao Programa Dúvidas Públicas, da Renascença, o diretor da Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica da Polícia Judiciária, Carlos Cabreiro, explica que estes ilícitos estão a aumentar, sobretudo contra o património.

Carlos Cabreiro destaca os ataques aos pagamentos eletrónicos e, em particular, as burlas com criptoativos, que já ultrapassam os 50 milhões de euros, só em Lisboa e Porto. Em causa estão propostas de falsos investimentos em moedas virtuais, apresentadas “quase na totalidade” por influencers. Só nos últimos três anos, levaram à abertura de três mil inquéritos.

O diretor da Unidade de Combate ao Cibercrime e à Criminalidade Tecnológica da Polícia Judiciária diz ainda que já não é necessário ser um génio da informática para praticar este tipo de crime e insiste no acesso aos metadados, uma prova que considera essencial e transversal a todo o tipo de crimes.

Carlos Cabreiro garante também que os ciberataques a grandes empresas não diminuíram, são, simplesmente, menos divulgados. Mesmo sem o apoio da Polícia Judiciária, há empresas no país a pagar os resgates pedidos, mas Carlos Cabreiro avisa que não há indicação que algum destes negócios tenha recuperado toda a informação depois de ter pago.

Do ponto de vista das vítimas, o diretor mostra-se preocupado com as crianças que são alvo de pornografia infantil, uma ameaça em crescimento.

São declarações de Carlos Cabreiro, diretor da Unidade de Combate ao Cibercrime e à Criminalidade Tecnológica da Polícia Judiciária, ao programa Dúvidas Públicas. Uma entrevista que pode ouvir na Renascença aos sábados, a partir do meio-dia, ou em qualquer altura online e em podcast.

“Mo & Ch@ndon”, “não te dispas na net”, “evo 1.2”, “CRYPTOSTORM” ou “Fora da Caixa”… Estes são nomes de algumas operações desenvolvidas pela unidade que dirige, de combate ao cibercrime e à criminalidade tecnológica. Este tipo de crime está a aumentar no país?

Efetivamente, o crime informático, a criminalidade informática, o crime praticado com recursos a meios informáticos está em crescendo pela facilidade que existe no uso da tecnologia. Praticamente, passámos a estar dependentes da tecnologia, passámos a ter um computador no bolso e há um deslocamento daquilo que era a criminalidade tradicional para o mundo digital.

A massificação destes instrumentos, das redes sociais, dos grupos de contacto (chats) dentro da internet, tudo isso trouxe algo de bom, mas trouxe também uma utilização "maléfica" destes meios. E o crime tem evoluído neste sentido.

A prática criminal utilizando as novas tecnologias tem uma particularidade, que é a de, ao mesmo tempo, e durante um período de tempo relativamente curto, poder produzir um número infindável de vítimas. Porque a mensagem que é transmitida na internet, nos grupos de discussão, é dirigida não só a uma vítima em concreto, mas a centenas, milhares, quiçá milhões de pessoas que podem ser efetivamente vítimas de criminalidade informática.

Os efeitos podem ser ainda mais perversos do que o crime a que estávamos habituados?

É muito mais perverso, tem um espectro de impacto completamente diverso. Todas as campanhas de que ouvimos falar e das quais falamos muito, no âmbito da prevenção, é mesmo isso: é saber que alguém que dirige uma operação, por exemplo, de phishing, tem a possibilidade de ter uma margem de sucesso na ordem dos 10 a 15%. Se eu fizer um contacto destes para mil pessoas, o que é fácil, terei ali 15 vítimas. Aquela perceção que temos de que não, eu não caio nesta, é uma perceção errada.

Do ponto de vista do criminoso, é um crime mais lucrativo?

É mais lucrativo, é mais limpo, até porque não exige confronto, não exige perigo que possa estar associado ao contacto, que se coloca em alguns modi operandi que foram sendo transferidos do denominado mundo real para o mundo virtual.

E como é que Portugal se compara a nível internacional, neste tipo de crime?

Diria que muito bem, naquilo que conseguimos fazer para combater o cibercrime.

Felizmente, desde o início que estamos em grupos de trabalho de investigação de cibercrime, quer ao nível da Europol quer da Interpol.

Mas também se compara muito mal, porque temos o mesmo tipo de crime que é praticado praticamente em todo o mundo, porque o cibercrime está dividido de igual forma por todo o mundo, onde a internet tenha tido uma penetração de sucesso. E nós sabemos que Portugal tem, normalmente, um índice de adesão às novas tecnologias sempre elevado.

A unidade que dirige está dividida em quatro áreas: burlas informáticas, ciberataques, meios de pagamento eletrónico, pornografia de menores. Enquanto dirigente desta unidade, qual delas é que o preocupa mais?

Aqui não posso deixar de ser sensível às vítimas e a pornografia de menores face às vítimas que estão subjacentes, que são as crianças, é um facto que me preocupa e que nos preocupa a todos. Por trás de uma imagem de uma criança que é usada na internet, há um crime físico e é isso que tem que nos preocupar, porque sabemos que, algures no mundo, para haver imagens houve um abuso físico.

Os mais frequentes são os crimes contra menores?

Não, neste momento, os crimes mais frequentes são aqueles relacionados com o património, onde coloco todas as burlas praticadas com meios informáticos, desde o uso do telemóvel. E se falarmos, por exemplo, em modus operandi, tudo o que tem a ver com o chamado CEOFRAUD, que é a manipulação dos CEOs das empresas (presidentes executivos), que provocam as transferências.

O termo policial internacionalmente conhecido é CEOFRAUD. A manipulação é, precisamente, uma intrusão na informação que um CEO produz ou que tem para, de forma imediata, proferir um golpe. Por exemplo, uma intrusão num mail para provocar transferências anormais para clientes que o deixaram ser. Porque é aí que se concentra a decisão de fazer um pagamento e, se um CEO receber uma mensagem para alterar o destino da transferência, devia haver logo ali um alerta, para perceber que algo estava a correr mal.

O cibercrime tem acompanhado a evolução tecnológica, há novos tipos de ataques a acontecerem?

Todos os dias.

Pode dar-nos exemplos?

Não é só novos crimes, eu costumo dizer que é vinho velho em garrafas novas, porque estamos a falar da adaptação daquilo que são os modus operandi antigos, que nós conhecíamos em termos policiais, e que se transferem agora para as redes sociais, para o mail, para a componente tecnológica. O crime também teve esse deslocamento, a realidade que nós conhecíamos de há 20, 30 anos, em cuja prática criminal era a abordagem da vítima, agora temos uma abordagem massiva para perceber quem é que no caso concreto pode cair no estratagema.

Pode dar exemplos de novos crimes que estejam a surgir, os mais recentes?

Vamos falar de fenómenos que a Polícia Judiciária tem usado para campanhas de prevenção. Desde aquelas questões que se denominam por "Olá Pai, Olá Mãe", que são manipulações de perfis do WhatsApp, de perfis das redes sociais, perfis de sistemas de comunicação.

Temos também toda aquela área do chamado phishing, que é a possibilidade de alguém se introduzir nos nossos computadores e assumir as passwords, tudo o que são as palavras-chave dos nossos acessos aos vários sistemas. E aqui é preciso desmistificar uma questão: não falamos só de phishing bancário. Não acedem só a essas, mas a todas as passwords de acesso, às plataformas de mail, às plataformas de mensagens, os contatos com o próprio Estado, finanças, segurança social. Todas essas passwords passam a estar do lado do criminoso.

Temos todas estas burlas que agora nos acompanham nos telemóveis. Criação de perfis falsos. A Polícia Judiciária acabou de emitir um alerta com a utilização do nosso diretor nacional, porque lhe criaram também um perfil falso no Facebook e é muito credibilizante para quem vai ler, pensa que está a falar com o diretor nacional. Outras entidades que dão alguma credibilidade são também usadas para a criação deste tipo de perfis.

Normalmente, associamos a autoria da maioria destes crimes a gente mais jovem, com elevadas competências informáticas. Estamos certos?

Já não estamos certos. É um facto que os nossos alvos, digamos assim, há cerca de 10-15 anos, tinham essas características. Tendencialmente, seriam jovens, estudariam numa universidade técnica, tinham conhecimentos de informática acima da média.

A evolução da tecnologia tem vindo a permitir que os ataques informáticos se processem pelo que nós chamamos de clique. São ferramentas que são construídas à medida e que para atacar, ou para serem comandados para atacar, basta um clique. O conhecimento da tecnologia acaba aqui por não ser muito influente.

No fundo, a própria tecnologia já serve as armas com que depois podem praticar estes crimes.

O cibercrime aparece aqui como um serviço que é feito pela comunidade de hackers. Mas a esse propósito, também queria referir que grande parte deste tipo de criminalidade não se pode cingir ao ato em concreto que vitima uma determinada pessoa. Porque, pegando no exemplo do "Olá Pai, Olá Mãe", podemos pensar que são situações isoladas em que alguém aceita fazer uma transferência para outrem que se identificou como filho, invocando uma avaria no telemóvel. Mas o que nós rapidamente verificámos é que isto tem um cariz organizado, quer na forma como eles difundem este tipo de mensagens, quer na distribuição, difusão e dissimulação dos proveitos provenientes do crime.

Além da burla informática que ali é cometida, temos também o branqueamento de capitais que está associado, porque alguém sofre um prejuízo de 1.000, 2.000 euros. Poderia não significar muito, mas se somarmos a quantidade de vítimas que foram alvo, vamos ter muito dinheiro que é preciso branquear e por isso também tem a componente do branqueamento de capitais.

Ainda online, há também a questão do jogo que tem vindo a crescer. A Polícia Judiciária também está atenta a esta nova realidade? É uma preocupação para a sua unidade?

Estamos atentos porque percecionamos por vezes e temos casos concretos que nos levam à manipulação do jogo pela intrusão informática. Para a componente do jogo ilegal existem outras entidades com essas competências, no entanto, naquela componente do que pode ser a manipulação, a intrusão em sistemas que depois vão criar resultados diferentes no jogo, por exemplo, é uma preocupação que temos embora não seja a realidade mais preocupante que temos na unidade.

Nomeámos de início várias operações no cibercrime. Qual foi até agora a maior de todas em Portugal, a que envolveu mais meios, mais recursos e mais complicada, eventualmente?

Foram frequentes as operações onde tivemos que nos socorrer de 100, 120 inspetores.

Este ano, por exemplo, a operação "Vera Cruz", relacionada com o "CEOFRAUDE" e com phishing bancário, tinha uma componente internacional ligada ao Brasil, que motivou que, depois, outros autores também tivessem sido detidos no Brasil. Ao nível da pornografia de menores, recordo uma operação em que fomos simultâneos em todo o país e que tem a ver com a possibilidade de troca de ficheiros online ,que obriga ao imediatismo e à capacidade, naquele momento em concreto, de verificarmos e provarmos que as pessoas estavam a trocar imagens de pornografia de menores.

A investigação de um crime qualquer por parte de qualquer outro departamento da Polícia Judiciária não tem hoje em dia necessidade frequente de recorrer à sua unidade para ajudar a essa investigação?

Sim, é frequente e nem só a minha unidade. A unidade tem investigadores, tem inspetores com especiais conhecimentos na área informática, tem também equipas que estão especializadas na recolha de prova, mas a Polícia Judiciária evoluiu nos últimos anos e o seu Diretor Nacional fez eco disso. Nomeadamente, na abertura do Laboratório de Polícia da Unidade de Perícias Técnicas e Informáticas, também eles passaram a ter um papel importante no apoio que podem dar a outro tipo de criminalidades, seja económica ou mais tradicional como o tráfico de droga, onde nós já verificamos que grande parte da prova pode estar, quer ao nível dos contactos entre membros de organizações quer por serem o suporte de informação importante que estará com certeza agora, não na contabilidade em papel mas nos computadores.

Em questões muito específicas, em que se exigem especiais conhecimentos, a Polícia e a Unidade em concreto têm pessoas que nos conseguem aproximar da mente de um criminoso informático.

Olhando agora para as vítimas, como é que caracteriza o nível de proteção das empresas, do Estado e das pessoas, dos cidadãos no nosso país?

Estamos a caminhar em sentido positivo porque, face à constatação de que não há sistemas seguros, a aposta também tem que ser na prevenção. Aqui temos três aspetos: os processos, os procedimentos e a tecnologia que está subjacente e as pessoas. E as pessoas têm que ser o elo mais forte desta interação.

Grande parte da criminalidade praticada com recurso a meios informáticos está assente na fragilidade humana. Tudo tem a ver com uma cultura de segurança. A cultura de segurança que nós fomos imprimindo ao longo da vida, de sabermos que a nossa carteira tem que andar escondida, não deve estar no bolso de trás, deve estar protegida. Nós também vamos ter que assimilar estes princípios agora para o mundo digital e perceber que temos que temos o direito à dúvida, não temos que aderir à primeira, temos que validar a informação, temos que falar com quem nos pode fornecer a informação verdadeira, ninguém nos pressiona para aderir, temos tempo e devemos ter tempo para decidir. Que era esse o princípio que estava subjacente à nossa vida anterior, diria.

Nos últimos tempos foram públicos ataques a várias empresas. Grandes negócios como a Impresa, a Vodafone, a Sonae ou a EDP. As grandes empresas aprenderam a proteger-se? O que é que aconteceu para haver menos ataques?

Não tem havido menos ataques. Quiçá tenha havido menos divulgação desses ataques.

As instituições dos organismos de Estado, as instituições do Estado, as grandes empresas são alvos apetecíveis pelo tipo de informação que podem dar a um atacante?

Sim, porque deixou de haver notícias sobre as empresas, mas passaram a ser notícia os ataques ao Estado: ao Serviço Nacional de Saúde, ao Portal das Finanças, à Agência para a Modernização Administrativa, à Chave Móvel Digital...

Temos que distinguir aqui o que está subjacente à motivação do ataque. Porque, grande parte dos ataques informáticos podem ter um efeito disruptivo à partida, que é fazer com que aquela instituição, aquela empresa, deixe de funcionar. Ou porque há concorrência, ou porque queriam dinheiro, ou porque queriam destruir, ou porque há alguém descontente, ou porque alguém saiu descontente. Temos aqui um leque grande para encaixar a motivação dos ataques. E, tendencialmente, a motivação aparece-nos sempre associada ao valor patrimonial, ao interesse patrimonial.

O interesse patrimonial que está subjacente a um ataque a este tipo de instituições é o valor da informação. Por isso é que nós temos vindo a verificar que as intrusões, os acessos ilegítimos, os ataques informáticos, podem diferir no tempo, podem já ter acontecido há dois, três meses e só depois são divulgados.

Acontece o mesmo quando há pedidos de resgate, o ransomware?

O que temos verificado em grande parte, deste tipo de ataques, é que o atacante já esteve na empresa ou está na empresa há algum tempo. Já recolheu, provavelmente, algum volume de informação que lhe vai valer dinheiro no futuro e impõe um golpe final, digamos assim, com este pedido de resgate, encriptando o sistema da vítima.

Nós sabemos que a Polícia Judiciária é contra, obviamente, o pagamento destes resgates ou desta extorsão. Ainda assim, há empresas que pagam. Tem ideia de quanto dinheiro é que já foi pago?

Não faço ideia, porque são cifras negras. É crime que acaba por não ser denunciado. É do nosso conhecimento que algumas empresas pagaram, mas também é do nosso conhecimento que estas empresas acabaram por cair naquele objetivo que estava subjacente ao criminoso, que é, se pagas a primeira vez, estás disponível para pagar a segunda e a terceira.

Face a esta verificação, nós só podemos dizer, e dizemos desde o início, que não deve haver este pagamento, porque o criminoso não vai desistir. E se alguém libertou a informação de uma empresa, porque recebeu, temos a certeza que vai haver um segundo momento do ataque para receberem mais valor, porque até já perceberam que aquela organização está disponível para pagar.

O princípio é não pagar, porque não temos exemplos de situações em que as pessoas, só porque pagaram, passaram a reaver a informação totalmente.

Em relação aos ataques aos serviços públicos, já apontámos aqui alguns exemplos... A pergunta que fica é se os nossos dados, os dados dos cidadãos, estão seguros...

Temos feito uma evolução muito grande nesta matéria da cibersegurança. Há um conjunto de entidades que pensa e que têm feito propostas neste sentido. Coloco aqui o Centro Nacional de Cibersegurança, a Polícia Judiciária, também o Centro de Ciberdefesa, porque tem a componente da segurança do Estado, os Serviços de Informações porque garante a cooperação entre os principais players da cibersegurança e do cibercrime.

O que nós dizemos normalmente que é um incidente de segurança, que para uma empresa é aquele momento em que deixa de ter acesso à sua informação, a perceção que temos é que um incidente se transforma rapidamente num cibercrime, porque o objetivo principal foi uma intrusão, foi capturar dados para os vender, a principal motivação foi obter desde logo o dinheiro, foi um ganho. Logo, se houver incidente, cibersegurança e cibercrime tem que andar de mãos dadas, digamos que são a mesma moeda com duas faces.

O que uma empresa pretende a partir do momento em que verifica que foi atacada é recuperar rapidamente os seus sistemas, porque pode estar em causa, e estará a maior parte das vezes, a continuidade do negócio. A componente privada daquela motivação é que a empresa rapidamente continue a laborar, enquanto que na área do cibercrime a preocupação é determinar a autoria do ataque. Isto às vezes é pouco compatível.

Como gerem estas situações em que as prioridades não são as mesmas?

Há casos onde, hospitais, por exemplo, estiveram sem laborar durante uma semana para garantir uma total retoma em segurança e com essa preocupação de recolha de prova que possa levar à identificação dos autores.

Tem que haver essa conjugação e há empresas com maior maturidade e aqui eu faço esta reflexão, porque serve também de aviso. Se verificarmos, o que foi noticiado até agora é que sempre foram grandes empresas que foram atacadas, com uma maturidade de cibersegurança acima da média. O que nos leva a pensar que muitas pequenas e médias empresas foram atacadas e não quiseram denunciar e tentaram debelar o problema e outras haverá que, provavelmente, não sabem que foram atacadas.

Outro tipo de crime sob a sua alçada são os chamados ataques aos meios de pagamento eletrónicos, que todos nós usamos cada vez mais. São alvos mais fáceis?

São igualmente alvos mais fáceis, porque estamos a falar de meios de pagamento que foram vulgarizados, estejamos a falar de cartões, banca online, MB Way, poderemos estar a falar de cartão não presente, tudo o que é e-commerce.

Moedas virtuais?

Às moedas virtuais já lá vou, porque é de facto uma grande preocupação.

Quando falamos de meios de pagamento não podemos falar só de cartões bancários, porque atualmente estamos munidos nas nossas carteiras, nos nossos telemóveis, de meios de pagamento que não são suportados por entidades bancárias. São cartões de gasolineiras, cartões de supermercados. Tudo virtualizado e constitui meio de pagamento. Todas essas situações caem neste tipo de trabalho que esta secção realiza.

E temos depois, como dizia, a questão das moedas virtuais, dos criptoativos. Já não podemos falar só numa moeda. Normalmente somos levados para as bitcoins, mas já existem milhares e milhares e por isso chamamos de criptoativos. Já não temos só moedas, também já temos tokens, que são validados e são dinheiro.

Aqui é preciso distinguir duas realidades: a manipulação do que são criptoativos, que é um acesso ilegítimo sobre uma carteira de criptoativos, de criptomoedas; e, uma das grandes preocupações que nos últimos três anos a Polícia Judiciária tem, os falsos investimentos em criptoativos. São autênticas burlas que são oferecidas às pessoas, no sentido de propor investimentos em criptoativos e quando vamos verificar estamos a falar de criptoativos ou plataformas que não são verdadeiras. São criadas propositadamente para enganar, mostram um trading aos clientes em que até lhes dá a ideia que estão a ter um rendimento, só que tudo isso é manipulado, tudo isso é fabricado para demonstrar que a pessoa deve investir.

Dados falsos?

São dados falsos. Só para ter uma ordem de grandeza, a Polícia Judiciária nos últimos três anos registou cerca de 3 mil inquéritos deste tipo de ilícitos. Numa última estatística que obtivemos só em Lisboa e no Porto, cerca de 50 milhões de euros de dano causado às vítimas.

Só criptoativos?

Investimento em criptoativos, cerca de 50 milhões, sempre um número por baixo e efetivamente uma realidade que tem assolado as pessoas, através de influencers.

Qual é a participação dos influencers nesta burla?

Quase na totalidade. Eu aqui, como influencer, coloco também a imprensa. E se vocês verificarem nos sites, nas páginas iniciais de televisões, de rádios, jornais, existem publicidades enganosas, e eu faço aqui este apelo, existem publicidades enganosas sobre as pessoas. Invista aqui. É vulgar entrarmos num site e aparecer-nos logo um pop-up de alguém que investiu. Mentira! Alguém que investiu e que conta uma história. A pessoa, a maior parte das vezes, não foi contactada. Só se está a explorar a imagem.

Aí, a responsabilidade é de quem publica, de quem compra aquele espaço. Acha que os meios de comunicação social também devem ser responsabilizados?

Eu não diria responsabilizados. Todos deviam ter uma postura preventiva para percecionarem que o que está a ser proposto em termos de divulgação pode constituir a apologia ou a facilitação de uma atividade criminosa.

Como é que é, nestes casos, a colaboração entre a banca e a Polícia Judiciária?

Naquilo que diz respeito à investigação, claramente temos um apoio e temos uma colaboração constante com as entidades bancárias naquilo que pode ser transmitido em termos de informação para iniciar investigações, mas temos também a componente legal da autorização através do Ministério Público, através da Autoridade Judiciária.

A unidade que dirige é ainda responsável pela pornografia de menores. Esta semana, a Presidente da Comissão Nacional de Protecção de Crianças e Jovens alertou aqui na Renascença para o facto destes crimes serem uma ameaça cada vez maior. Confirma este alerta?

Confirmo, e é de facto uma grande preocupação percecionar que continua a haver centenas de crianças que são expostas, e retomo a ideia que há pouco referi, de que por detrás daquela imagem, que é explorada na divulgação deste tipo de material, está uma criança que efetivamente em algum espaço foi abusada.

Este tipo de criminalidade é possível de ser prevenida? De que forma?

Fazemos também esse papel, quer na prevenção que fazemos junto de escolas, junto de associações de pais, junto dos professores. Lançamos ainda no mês de outubro uma iniciativa, durante o mês da cibersegurança, um jogo educativo para aplicar às crianças, um jogo de prevenção, de análise das próprias crianças para aquelas situações que podem constituir perigo no fornecimento de determinados dados. A própria exposição a que podem estar sujeitos se fornecerem imagens.

O jogo chama-se Rayuela, está a ser distribuído a nível nacional, com o apoio do Ministério da Educação, a todas as escolas, a todas as associações que o queiram aplicar às crianças. Até porque serve para medir o grau de exposição a que determinados grupos de crianças podem estar expostos.

E o ciberbullying é também uma preocupação da Polícia Judiciária?

É, porque está enquadrada dentro desta preocupação, que é de dizermos às crianças qual é o perigo a que estão expostas, mesmo não havendo contato físico.

A lei do cibercrime tem 15 anos, só foi atualizada uma vez, há três anos, para transpor a uma diretiva comunitária. Tendo em conta que falamos já aqui de várias coisas que mudaram e também de um crime assente em tecnologia que se desenvolve a um ritmo muito superior àquilo que nós todos gostaríamos, a lei ainda está adequada ou deveria ser revista?

Não é pela lei que nós deixamos de perseguir este tipo de fenómenos. Pela primeira vez em Portugal, quiçá, esta lei resulta do trabalho de peritos a nível europeu, a chamada ciberconvenção para o cibercrime, e resultou de um trabalho efetivo que foi feito por entidades privadas, pela Europol, pela Interpol, os peritos eram essencialmente polícias.

A lei está construída de uma forma bastante abrangente, baseada na realidade e continua a permitir enquadrar as situações criminais, se não for num determinado tipo de crime, se não for no dano informático, vamos ter o acesso ilegítimo, se não for o acesso ilegítimo, vamos ter a falsidade informática.

É um facto que estas estas novas realidades, estes novos modi operandi, nos vão obrigar, muito provavelmente, a fazer alterações pontuais, mas lá está, são mesmo isso.

Pergunto ainda se tem muitas queixas sobre as chamadas fake news. É uma realidade que tem aumentado o nível de queixas ou é desvalorizada?

Temos queixas, temos situações em concreto em que investigamos do ponto de vista do crime, o tal fake, porque se alguém fabricou aquela mentira, aquela informação, atribuindo-a a um determinado autor legítimo e reputado no sistema, então é preciso investigar aquela matéria fake: de onde é que veio e porque é que foi construída.

E tem aumentado o número de queixas ou não?

Tem aumentado ligeiramente, mas também acho que se subestima um pouco essa realidade, porque não podemos desligar a questão das fake news com a desinformação e a motivação que pode estar subjacente à desinformação. Vamos tendo exemplos diários, até ao nível da vivência política, daquilo que a desinformação tem causado.

Temos tido muitas eleições e ainda vamos ter mais: em outubro as autárquicas, no início do ano seguinte as presidenciais. Os períodos eleitorais dão-lhe particular trabalho?

Não na componente da desinformação, isso acontece depois, à posteriori. Em períodos eleitorais existe uma coordenação efetiva com a Comissão Nacional de Eleições para percecionar e para ter presente a possibilidade de haver manipulação. No caso, algumas vezes até pode ser informática, porque já tivemos situações de voto eletrónico, mas participamos.

Felizmente não temos casos em investigação que nos permitam dizer que houve manipulação, acesso ilegítimo, sabotagem, o que for.

A recolha da prova digital devia ser facilitada. Eu pergunto isto porque, em 2021, o Presidente da República vetou, por inconstitucionalidade, o diploma que permitia a apreensão de e-mails sem ordem de um juiz. Acha que devia ser revista esta questão?

É uma discussão que nos é muito cara. O nosso Diretor Nacional ainda há pouco tempo se referiu a esse assunto, motivou que reuníssemos em Lisboa 27 chefes de polícia para trabalhar e para falar dos metadados.

O acesso aos metadados é essencial para a prova. É a prova digital e é a prova que não é só para o cibercrime. É a prova que constitui elementos essenciais para toda a investigação. Não estamos a falar de Big Brother, estamos a falar de informação que é armazenada pelos operadores de comunicações, com uma auditoria extremamente rigorosa no acesso àquela informação e que só é solicitada sob proposta da polícia, com a intervenção do Ministério Público e da Autoridade Judiciária. Não houve nunca notícia de que alguém pudesse ter acedido indevidamente àquela informação, a não ser para um caso devidamente justificado.

Daí que a intervenção que a Polícia Judiciária tem vindo a ter na discussão do acesso aos metadados, motivou também a intervenção do nosso Diretor Nacional na Assembleia da República, é que nós temos que igualar um pouco as armas que estão ao dispor do criminoso. Porque estamos a falar muitas vezes de prova única, estamos a falar do único elemento que nos pode ligar entre os factos e o resultado que aquela ação desenvolveu.

É possível ser eficiente sem esta prova, nos dias de hoje?

Não é possível ser eficiente nos dias de hoje, na maioria dos casos, que envolvem a internet, que envolvem as comunicações. Se estamos a falar de alguém que comete um crime em sua casa, ou de um local onde teve um acesso à internet, sem testemunhas, sem qualquer outro tipo de prova, não há prova documental, não há nada, só temos aquela prova, só temos aquele elemento digital, isso não pode ser vedado.

Ao nível europeu também está a ser discutido e a Polícia Judiciária participa ativamente também em grupos de trabalho relacionados com o acesso legal a este tipo de informação.

O cibercrime foi o que mais trabalho deu ao Ministério Público no último ano, com o maior número de inquéritos instalados. Os meios que tem à disposição são suficientes?

Eu, como dirigente de uma unidade de cibercrime, vou sempre assumir que com mais gente faria melhor. No entanto, o que posso dizer é que a Polícia Judiciária nos últimos anos, fruto de uma política que a Direção Nacional implementou, tem criado e tem distribuído meios para que nós possamos acompanhar as realidades do cibercrime. É uma unidade que foi criada em 2017, apesar de a Polícia Judiciária ter um percurso desde 1992 a investigar este tipo de ilícitos.

Quer dar-nos um exemplo de meios concretos? Estamos a falar de pessoas?

Estamos a falar de pessoas, de especialização, formação que é dada às pessoas já depois de estarem colocadas na unidade. Estamos a falar de hardware, de software, de ferramentas de recolha de prova, estamos a falar de outro tipo de equipamentos para facilitar o nosso trabalho. Mas sim, a Polícia Judiciária já verificou que grande parte da criminalidade está sustentada no digital e a resposta tem sido essa.

Com a introdução, enfim, nós já convivemos com ela, da inteligência artificial, a situação do crime informático vai agravar-se?

Quero ser positivo. Vamos ter muitas situações, já temos situações em que a inteligência artificial facilitou e está a facilitar a prática do crime. O esforço tem que ser feito no sentido de utilizarmos o mesmo tipo de ferramentas para o combate e munir a Polícia Judiciária, na sua generalidade, com ferramentas que facilitem.

O que ainda não acontece neste momento?...

Já existem projetos em que se prevê a potenciação da inteligência artificial para facilitar o nosso trabalho.

O aumento do uso de dados biométricos, como os olhos ou a impressão digital, está a aumentar este tipo de criminalidade?

Isto são dados valiosos. Os dados biométricos, a própria iris, já tivemos aí uma aplicação que recolhe a iris, são dados que neste momento nos podem parecer inócuos, mas que provavelmente irão ser objeto de transação no futuro. Porque esses dados vão ser valiosos para validar, vão ser os nossos acessos aos sistemas, às infraestruturas, às aplicações. Já são hoje as novas passwords. É a possibilidade de eu não ter que memorizar uma password, porque vou utilizar o dedo ou vou utilizar a cara ou o olhar, e saber que isso pode potenciar outro tipo de crime.

Que conselhos é que deixaria às pessoas para se protegeram deste tipo de crimes? Eu lembro-me, por exemplo, de, há uns anos, falar com um especialista nesta área que dizia ter um computador só para ir à banca online. Na altura achei aquilo um exagero. Acha que este exagero tem razão de ser?

Eu diria que essa possibilidade é extremamente cara, não é? Julgo que não poderá ser por aí. O foco da prevenção tem de ir para a cultura de segurança e para a perceção daquilo que já fui dizendo, de nós levarmos para o digital aquela preocupação que já tínhamos no real e percebermos que temos o direito a duvidar, não podemos cair à primeira, temos a hipótese de recorrer às entidades legítimas que estão associadas a determinadas operações.

Tendo em atenção que os dados e a informação passaram a ser o ouro dos nossos tempos, porque há dados que têm esse valor, então temos que os proteger. E a componente mais forte são as pessoas. Cerca de 90% dos casos têm subjacente fragilidade humana, em que a pessoa em algum momento cedeu e deu a entender que iria estar de férias e fez tocar campainhas: que é a altura certa para eu ligar ao filho e aplicar, por exemplo, um golpe de olá pai, olá mãe, se não levar logo para o físico, percebermos, por exemplo, que ninguém está em casa.

A tecnologia é por natureza boa, nós somos adeptos da internet, nós somos adeptos da tecnologia, mas temos que percecionar que também ela serve os propósitos dos criminosos e eles, mais rapidamente do que nós, a vão utilizar porque têm fundos, porque têm financiamento, porque podem ter o crime organizado atrás deles para os suportar.