Redação: Marco Villanova
Resumo:
Executivo canadense conhecido por negociar ataques de ransomware foi detido durante investigação sobre invasão que comprometeu dados pessoais de agentes federais norte-americanos.
Íntegra:
O Federal Bureau of Investigation (FBI), principal agência federal de investigação dos Estados Unidos, prendeu, em 8 de outubro de 2026, o executivo canadense Edward Dubrovsky, de 54 anos, especialista em segurança cibernética e negociação de ataques de ransomware.
A prisão ocorreu na região da Filadélfia, na Pensilvânia, em meio às investigações sobre uma invasão que comprometeu informações pessoais de milhares de funcionários e ex-funcionários da própria agência.
Dubrovsky enfrenta acusações relacionadas a conspiração para extorsão mediante ameaças à confidencialidade de informações e interferência no comércio por meio de ameaças. Parte dos documentos judiciais permanece sob sigilo.
O caso ganhou repercussão internacional devido ao histórico profissional do investigado, que construiu sua carreira justamente auxiliando organizações a responder a ataques cibernéticos e negociar com grupos criminosos.
O ataque ao FBI e a atuação do grupo ShinyHunters Em setembro de 2026, o grupo de hackers conhecido como ShinyHunters reivindicou a autoria de uma invasão ao portal de recrutamento do FBI, que teria permitido o acesso indevido a informações pessoais de milhares de integrantes da instituição.
Segundo informações divulgadas pela imprensa norte-americana, entre os dados comprometidos estariam identidades de agentes que atuam em setores sensíveis, inclusive em investigações relacionadas à China e à Rússia.
As investigações também apontaram possíveis falhas na manutenção dos sistemas de uma empresa terceirizada responsável pela plataforma de recrutamento.
De acordo com a CNN, o FBI identificou que a prestadora de serviços deixou de implementar uma atualização de segurança disponível para o software utilizado, circunstância que teria contribuído para a vulnerabilidade explorada pelos invasores.
A agência informou posteriormente que encerrou a relação contratual com a empresa.
Especialista em combater ransomware passa a ser investigado Um dos aspectos mais relevantes do episódio está no perfil profissional do investigado.
Edward Dubrovsky possui experiência no setor de resposta a incidentes digitais e negociação com grupos responsáveis por ataques de ransomware, modalidade de ameaça cibernética frequentemente associada ao bloqueio de sistemas ou à exigência de pagamentos para evitar a divulgação de informações.
O executivo também é autor de uma obra dedicada à resposta estratégica a situações de extorsão cibernética.
Em 9 de outubro, o diretor do FBI, Kash Patel, anunciou a prisão de um suposto colaborador do ShinyHunters, sem revelar sua identidade ou detalhar sua participação no incidente.
Posteriormente, veículos de imprensa identificaram Dubrovsky como o executivo detido no contexto das investigações.
É importante destacar que a prisão e as acusações não representam uma condenação. Até o momento das reportagens consultadas, a extensão da suposta participação de Dubrovsky no ataque ao FBI não havia sido esclarecida publicamente pelas autoridades.
O que a legislação brasileira prevê para crimes dessa natureza? Embora o episódio tenha ocorrido nos Estados Unidos e esteja submetido à legislação norte-americana, suas características permitem estabelecer importantes conexões com o Direito Penal brasileiro.
O artigo 154-A do Código Penal tipifica o crime de invasão de dispositivo informático, quando presentes os elementos exigidos pela legislação, inclusive a finalidade específica de obter, adulterar ou destruir informações sem autorização, ou instalar vulnerabilidades para obtenção de vantagem ilícita.
Após as alterações promovidas pela Lei nº 14.155/2021, a pena prevista para a modalidade básica passou a ser de reclusão de um a quatro anos, além de multa . A legislação também estabelece hipóteses qualificadas e causas de aumento de pena.
Por sua vez, a exigência de vantagem econômica indevida mediante grave ameaça pode caracterizar o crime de extorsão, previsto no artigo 158 do Código Penal, cuja pena básica é de reclusão de quatro a dez anos e multa.
Dessa forma, em um caso semelhante ocorrido no Brasil, a eventual responsabilização criminal dependeria da análise individualizada das condutas praticadas, de suas circunstâncias e dos requisitos específicos de cada tipo penal.
Proteção de dados e responsabilidade de empresas terceirizadas O episódio também evidencia a importância da segurança da informação nas relações entre organizações públicas e empresas contratadas para o tratamento de dados.
No Brasil, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece obrigações de segurança e prevenção aos agentes de tratamento sujeitos à sua aplicação.
O artigo 46 determina a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e outras situações ilícitas ou acidentais.
Além disso, o artigo 48 prevê, nas hipóteses legais, a comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 regulamenta esse procedimento.
Cabe observar que a aplicação dessas normas a órgãos de segurança pública no Brasil exige considerar as exceções legais relacionadas à finalidade do tratamento, previstas no artigo 4º da LGPD.
O que o caso demonstra? A investigação envolvendo o FBI mostra que mesmo instituições responsáveis pelo combate à criminalidade podem sofrer violações relevantes de segurança digital.
Também evidencia que a contratação de empresas especializadas não elimina a necessidade de fiscalização, atualização permanente dos sistemas e controle de acesso às informações.
Sob a perspectiva jurídica, o episódio reforça a crescente importância do Direito Penal Informático, da proteção de dados pessoais e da cooperação internacional na investigação de crimes praticados em ambientes digitais.
O caso permanece em investigação, sendo indispensável respeitar a presunção de inocência e distinguir os fatos confirmados das suspeitas ainda não esclarecidas.
Fontes: CNN Brasil (10/10/2026); Reuters (10/10/2026, republicada em 12/10/2026); KrebsOnSecurity (09/10/2026); Código Penal brasileiro; Lei nº 14.155/2021; Lei nº 13.709/2018; Resolução CD/ANPD nº 15/2024.
📒 Salve gratuitamente no seu caderno do InfoAprove!
www.aprovequestoes.com.br/infoaprove