White Hacking: limites, tendências e desafios

Desde abril de 2026, o artigo 8.º-A da Lei do Cibercrime, introduzido pelo Decreto-Lei n.º 125/2025, que transpôs a Diretiva NIS2, declara não puníveis os factos que preencheriam os crimes de acesso ilegítimo e de interceção ilegítima quando praticados por razões de interesse público de cibersegurança. A Nota Prática n.º 32/2026 do Gabinete Cibercrime da Procuradoria-Geral da República, dirigida aos magistrados do Ministério Público, mostra agora como os procuradores tencionam ler a regra. A leitura é generosa no princípio e exigente no detalhe.

A Nota qualifica a norma como uma causa de exclusão da punibilidade: o facto continua típico, ilícito e culposo, apenas não é punido. A diferença não é académica. Significa que o white hat não está fora do direito penal; está dentro dele, protegido por um conjunto de condições cumulativas, e basta falhar uma para perder o escudo.

Cinco condições, nenhuma opcional

O agente tem de atuar com a intenção única de identificar vulnerabilidades que não tenha criado e de contribuir para a segurança do ciberespaço. Não pode procurar vantagem económica, o que, segundo a Nota, afasta os caçadores de recompensas que atuam à revelia dos titulares dos sistemas, ressalvada a remuneração profissional. Tem de comunicar a falha imediatamente após a ação ao proprietário, ao titular dos dados pessoais eventualmente expostos e ao Centro Nacional de Cibersegurança (CNCS). Tem de agir com proporcionalidade, sem perturbar o serviço, sem copiar ou deteriorar dados e sem causar dano. E não pode violar dados pessoais. A lei proíbe ainda, expressamente, DoS e DDoS, engenharia social, phishing, roubo de credenciais e instalação de malware. A Instrução Técnica n.º 1/2026 do CNCS completa o quadro com prazos de divulgação pública de 90 dias para software e 180 dias para hardware.

A linha que separa o hacker ético do black hat, ou do red team mal-enquadrado, passa por aqui: não pela técnica, mas pela finalidade, pela contenção e pela transparência. Quem atua com consentimento do dono do sistema nem sequer precisa da exceção, mas continua obrigado, a notificar o CNCS das vulnerabilidades que encontre.

Casos em que o hacker é um agente de IA

A norma foi escrita para pessoas. A próxima geração de testes de intrusão será conduzida por agentes autónomos que fazem reconhecimento, encadeiam exploits e decidem o passo seguinte sem intervenção humana. Três problemas surgem de imediato. Primeiro, a intenção única: um agente de IA não tem dolo, e a intenção relevante será a de quem o configura. Um prompt vago, que mande o sistema “explorar tudo o que encontrar”, dificilmente se concilia com a exigência de atos estritamente necessários. Segundo, a proporcionalidade: um agente que, por iniciativa própria, faz movimento lateral ou extrai uma base de dados para provar a falha viola a proibição de cópia não autorizada, e a responsabilidade recai sobre o operador. Terceiro, a comunicação imediata: agentes que correm em contínuo sobre milhares de alvos geram descobertas em escala industrial, e a lei não prevê tal distinção. Acresce que as ferramentas de IA tornam trivial gerar campanhas de phishing ou de engenharia social. São precisamente as técnicas que a lei exclui, mesmo em contexto de teste não autorizado.

O fator quântico

A computação quântica coloca a questão noutro plano. Testar a resistência de uma organização à estratégia de “recolher agora, decifrar depois”, ou auditar a migração para criptografia pós-quântica, implica muitas vezes captar tráfego cifrado. Isso é, em abstrato, interceção ilegítima, um dos dois crimes cobertos pela exceção. Mas guardar esse tráfego para análise posterior choca com a proibição de cópia e com o dever de eliminar os dados no prazo de 10 dias após a correção. Uma fragilidade num algoritmo criptográfico amplamente usado também não é uma falha de um proprietário identificável. Tende antes a afetar um ecossistema inteiro, onde o dever de comunicar “ao proprietário” perde nitidez e o papel coordenador do CERT.PT passa a ser decisivo.

Profissionais e as empresas

O artigo 8.º-A cobre apenas o acesso e a interceção. Dano informático, sabotagem e falsidade informática continuam integralmente puníveis, como sublinha a própria Nota. A proteção constrói-se, por isso, antes do teste e não depois da acusação. Isso passa por mandatos escritos que definam o perímetro, incluindo o de agentes de IA, e por registos imutáveis de cada ação automatizada que provem a contenção. São também necessárias políticas públicas de divulgação coordenada nas empresas, para converter terceiros em investigadores consentidos, e programas de bug bounty estruturados que evitem o paradoxo de a recompensa espontânea retirar a proteção. Os dados recolhidos devem ser eliminados no prazo legal, e a comunicação ao CNCS deve ser tratada como rotina e não como último recurso.

Portugal deu um passo que outros países europeus já tinham dado e fê-lo com sensatez. Mas a lei protege o hacker que se contém, e as máquinas que hoje fazem o trabalho podem não ter embebida uma tal contenção by design. Essa disciplina terá de vir dos contratos, do modelo de governo e de quem as configura. Para os white hats, o escudo existe. Só os protege se cumprirem as condições.