O Código Penal brasileiro prevê, entre outras, três figuras penais ligadas ao meio informático: a invasão de dispositivo informático (art. 154-A), o furto mediante fraude eletrônica (art. 155, § 4º-B) e a fraude eletrônica, modalidade de estelionato (art. 171, § 2º-A). Até 9 de outubro de 2026, as penas são de reclusão de 1 a 4 anos para a invasão, de 4 a 10 anos para o furto eletrônico e de 4 a 8 anos para a fraude eletrônica, sempre com multa. O quadro mudou neste ano: a Lei nº 15.397, de 30 de abril de 2026, elevou a pena do furto eletrônico, ampliou a descrição da fraude eletrônica e acabou com a exigência de representação da vítima no estelionato.
Como a legislação chegou ao texto atual
A tipificação da invasão de dispositivo começou com a Lei nº 12.737, de 30 de novembro de 2012, que inseriu os arts. 154-A e 154-B no Código Penal e entrou em vigor 120 dias após a publicação. Na redação original, a invasão só configurava crime se houvesse "violação indevida de mecanismo de segurança", e a pena era de detenção de 3 meses a 1 ano.
A Lei nº 14.155, de 27 de maio de 2021, reescreveu o art. 154-A. Retirou a exigência de violar mecanismo de segurança, passou a se referir a dispositivo "de uso alheio" e à autorização do "usuário" (antes, do "titular") e fixou a pena de reclusão de 1 a 4 anos. A mesma lei criou o furto mediante fraude eletrônica, a fraude eletrônica e uma regra de competência no Código de Processo Penal (CPP).
A terceira etapa veio em 2026. Publicada no Diário Oficial da União de 4 de maio de 2026 e em vigor desde a publicação, a Lei nº 15.397:
- elevou a pena do furto mediante fraude eletrônica para 4 a 10 anos (antes, 4 a 8);
- acrescentou à fraude eletrônica a duplicação de dispositivo eletrônico ou de aplicação de internet;
- criou, no art. 171, a figura da cessão de conta bancária para recursos de origem ou destino criminoso, a chamada "conta laranja";
- revogou o § 5º do art. 171, que condicionava o estelionato à representação da vítima;
- passou a punir com 4 a 10 anos o furto de celular, computador ou aparelho semelhante (art. 155, § 6º, II).
Invasão de dispositivo informático: art. 154-A
O crime consiste em invadir aparelho informático usado por outra pessoa, conectado ou não à rede, para obter, adulterar ou destruir dados sem autorização expressa ou tácita do usuário, ou para instalar vulnerabilidades com o objetivo de obter vantagem ilícita. A pena é de reclusão de 1 a 4 anos e multa.
O artigo tem desdobramentos relevantes:
- § 1º: recebe a mesma pena quem produz, oferece, distribui, vende ou difunde programa ou dispositivo destinado a permitir a invasão;
- § 2º: a pena aumenta de um terço a dois terços se a invasão causa prejuízo econômico;
- § 3º: se a invasão resulta na obtenção de conteúdo de comunicações eletrônicas privadas, de segredos comerciais ou industriais, de informações definidas em lei como sigilosas ou no controle remoto não autorizado do aparelho, a pena passa a ser de reclusão de 2 a 5 anos e multa;
- § 4º: na hipótese do § 3º, a pena aumenta de um a dois terços se os dados forem divulgados, comercializados ou transmitidos a terceiros;
- § 5º: a pena aumenta de um terço à metade quando a vítima é uma das autoridades listadas, como o Presidente da República, governadores, prefeitos e o Presidente do Supremo Tribunal Federal.
Pelo art. 154-B, a ação penal depende de representação do ofendido, exceto quando o crime atinge a administração pública direta ou indireta de qualquer dos Poderes ou empresas concessionárias de serviços públicos. Quando a invasão expõe dados pessoais, o episódio também interessa à proteção de dados, tema de comunicação de incidente de segurança à Agência Nacional de Proteção de Dados.
Furto mediante fraude eletrônica: art. 155, §§ 4º-B e 4º-C
O § 4º-B qualifica o furto mediante fraude cometido com uso de aparelho eletrônico ou informático, ligado ou não à rede de computadores, com ou sem violação de mecanismo de segurança ou uso de programa malicioso, ou por outro meio fraudulento análogo. Desde a Lei nº 15.397/2026, a pena é de reclusão de 4 a 10 anos e multa.
O § 4º-C manda considerar a relevância do resultado gravoso e prevê duas causas de aumento:
- de um terço a dois terços, se o crime é praticado com uso de servidor mantido fora do território nacional;
- de um terço ao dobro, se a vítima é idosa ou vulnerável.
A fronteira com o estelionato está no verbo de cada tipo penal. No furto, o agente subtrai o bem (art. 155, caput); no estelionato, obtém a vantagem induzindo ou mantendo a vítima em erro (art. 171, caput). Assim, a movimentação feita pelo próprio criminoso, sem que a vítima perceba, aproxima-se da subtração; a transferência feita pela vítima enganada aproxima-se da obtenção de vantagem por erro.
Fraude eletrônica e conta laranja: art. 171
A fraude eletrônica (art. 171, § 2º-A) é punida com reclusão de 4 a 8 anos e multa quando o golpe se vale de informações fornecidas pela vítima ou por terceiro enganado por meio de redes sociais, contatos telefônicos, correio eletrônico fraudulento, duplicação de dispositivo eletrônico ou de aplicação de internet, ou outro meio fraudulento análogo. A referência à duplicação de aparelho ou de aplicação foi incluída em 2026. Destacam-se duas causas de aumento:
- de um terço a dois terços, se o crime usa servidor mantido fora do país (§ 2º-B);
- de um terço ao dobro, se a vítima é idosa ou vulnerável (§ 4º).
A Lei nº 15.397/2026 também incluiu o inciso VII no § 2º do art. 171: está sujeito às penas do estelionato simples, de reclusão de 1 a 5 anos e multa, quem cede conta bancária, de graça ou mediante pagamento, para que por ela circulem recursos destinados a financiar atividade criminosa ou dela provenientes. O dispositivo alcança, por exemplo, a conta cedida a golpistas com essa finalidade para receber transferências, inclusive por Pix; a responsabilidade civil dos bancos nesses golpes é examinada em golpes com Pix e responsabilidade dos bancos.
O fim da representação no estelionato
O § 5º do art. 171, incluído pela Lei nº 13.964/2019, exigia representação da vítima para a ação penal, salvo quando o ofendido fosse a administração pública, criança ou adolescente, pessoa com deficiência mental, maior de 70 anos ou incapaz. A Lei nº 15.397/2026 revogou esse parágrafo em seu art. 3º. Com isso, o estelionato volta à regra geral do art. 100 do Código Penal: a ação penal é pública, salvo quando a lei a declara privativa do ofendido, e só depende de representação quando a lei assim exige. A nova lei não traz regra de transição para fatos anteriores à sua vigência.
A invasão de dispositivo não foi atingida pela mudança: continua sujeita à representação nos termos do art. 154-B.
Onde o processo tramita: art. 70, § 4º, do CPP
A regra geral do CPP fixa a competência pelo lugar em que a infração se consumou (art. 70, caput). Para o estelionato, a Lei nº 14.155/2021 incluiu o § 4º: quando o crime do art. 171 é praticado mediante depósito, emissão de cheque sem fundos ou com pagamento frustrado, ou transferência de valores, a competência é a do domicílio da vítima; havendo várias vítimas, ela se firma pela prevenção.
Dois limites decorrem do próprio texto:
- a regra alcança apenas os crimes do art. 171, o que inclui a fraude eletrônica, mas não o furto mediante fraude eletrônica nem a invasão de dispositivo, que seguem os critérios gerais;
- ela depende do meio empregado: depósito, cheque ou transferência de valores.
Em resumo
- Invasão de dispositivo (art. 154-A): reclusão de 1 a 4 anos e multa, ou de 2 a 5 anos se houver obtenção de comunicações privadas, segredos ou controle remoto; a ação penal, em regra, depende de representação.
- Furto mediante fraude eletrônica (art. 155, § 4º-B): reclusão de 4 a 10 anos e multa desde a Lei nº 15.397/2026.
- Fraude eletrônica (art. 171, § 2º-A): reclusão de 4 a 8 anos e multa, com aumento por uso de servidor no exterior e por vítima idosa ou vulnerável.
- O estelionato deixou de exigir representação com a revogação do § 5º do art. 171, que vale desde 4 de maio de 2026.
- A competência pelo domicílio da vítima vale para o art. 171 praticado por depósito, cheque ou transferência de valores.
- A demonstração desses crimes costuma depender de dados extraídos de aparelhos, tema de prova digital e cadeia de custódia.