Ethical hacking é crime? O que diz a lei

Ethical hacking não é crime quando existe autorização formal, escopo definido e respeito aos limites. O que separa a prática ética do acesso não autorizado é a permissão de quem pode concedê-la — não a intenção declarada. Entender essa fronteira é essencial para contratar, executar e se proteger.

O que é ethical hacking?

Ethical hacking, ou hacking ético, é o uso autorizado de técnicas ofensivas para identificar vulnerabilidades e ajudar a corrigi-las. O profissional busca falhas em aplicações, redes, APIs ou processos e documenta o impacto para que a organização possa se proteger.

A prática é usada em pentest, red team, revisão de código, análise de configuração e programas de bug bounty. Em todos os casos, o limite é o mesmo: autorização e escopo.

O que diz a lei no Brasil?

No Brasil, o acesso não autorizado a sistemas é tratado pela legislação penal. A Lei 12.737/2012 alterou o Código Penal para tipificar a invasão de dispositivo informático, e a LGPD (Lei 13.709/2018) adicionou camadas de proteção e responsabilidade sobre dados pessoais.

Isso significa que a mesma técnica pode ser legítima ou ilegal dependendo do contexto. Um teste com autorização do proprietário do sistema, dentro do escopo acordado, é uma atividade de segurança. Um teste sem autorização é invasão, mesmo que o profissional não tenha intenção de causar dano.

Este conteúdo é informativo e não substitui assessoria jurídica.

O que separa hacking ético de crime?

• Autorização formal: contrato ou documento assinado por quem tem poder para autorizar.
• Escopo definido: ativos, sistemas e limites claros do que pode ser testado.
• Regras de engajamento: janelas, contatos, critérios de parada e tratamento de dados.
• Confidencialidade: NDA e proteção das informações encontradas.
• Divulgação responsável: comunicação dos achados ao cliente antes de qualquer publicação.

Exemplos de práticas éticas

Pentest

Avaliação técnica autorizada para identificar e explorar vulnerabilidades em um escopo definido, com relatório e recomendações.

Red team

Simulação adversarial com objetivos amplos, que testa pessoas, processos e tecnologia ao longo de uma cadeia de ataque.

Bug bounty

Programa no qual a organização define regras e recompensas para pesquisadores que encontram vulnerabilidades dentro de um escopo autorizado.

Divulgação responsável

Comunicação privada de uma falha ao fornecedor, com prazo para correção antes de qualquer divulgação pública.

O que não é ethical hacking

• Testar sistemas sem autorização, mesmo que o objetivo seja “ajudar”.
• Exceder o escopo acordado e acessar dados ou sistemas não autorizados.
• Copiar, reter ou vender dados encontrados durante um teste.
• Publicar vulnerabilidades antes da correção.
• Usar técnicas de ataque para prejudicar pessoas ou organizações.

Como contratar ethical hacking com segurança

Antes de contratar, verifique se o fornecedor trabalha com contrato, NDA e regras de engajamento. O escopo deve listar os ativos autorizados, as janelas de execução e os canais de comunicação. Também é importante definir como os dados serão tratados e destruídos após o projeto.

Desconfie de propostas que prometem “testar tudo” sem delimitar escopo ou que não exigem autorização formal. Uma operação séria começa pela pergunta: quem autoriza e até onde?

Perguntas frequentes

Leia também: Quanto custa um pentest? e Pentest vs Red Team.

Quer aplicar hacking ético com respaldo jurídico e técnico? Fale com a Nextlayer ou conheça o guia completo de ethical hacking.