“Omnipotent”. Foi este o nome de utilizador escolhido por Diogo Santos Coelho quando criou em 2015 o RaidForums, uma plataforma online onde os membros podiam comprar, vender ou até pedir a venda de informações pessoais, números de conta e de cartões ou bases de dados de credenciais obtidas de forma ilegítima (“leaks”). Tinha apenas 15 anos de idade e bastou-lhe para isso o computador pessoal que tinha em casa, numa infância e adolescência repartidas entre Viseu e o Reino Unido, por razões familiares.

Este jovem tinha acesso a todo o conteúdo difundido na plataforma e geria as ferramentas e créditos disponíveis para os utilizadores. Rapidamente o RaidForums ganhou popularidade na dark web. Durante a sua atividade registaram-se quase 740 mil utilizadores e foram feitas quase cinco milhões de publicações. Por esta plataforma passaram dados obtidos a partir de intrusões nos sistemas informáticos de empresas e de outras entidades, cujas vendas terão ascendido a centenas de milhões de euros. E Diogo Santos Coelho terá arrecadado mais de 634 mil euros.

O RaidForums e a atuação do hacker português chamaram a atenção das autoridades, não só em Portugal, mas também nos Estados Unidos. Com o FBI e os serviços secretos a monitorizarem os seus passos, a justiça americana aponta-lhe a prática dos crimes de conspiração, fraude no acesso a dispositivos e roubo de identidade agravado, entre outros. Contudo, a justiça portuguesa avançou também o inquérito e o Ministério Público (MP) acusou este mês Diogo Santos Coelho dos crimes de acesso ilegítimo, acesso indevido, branqueamento de capitais e associação criminosa.

Detido no Reino Unido — onde residia — no dia 31 de janeiro de 2022, quando estava no aeroporto de Gatwick, o jovem português enfrenta agora a incerteza sobre qual o pedido de extradição a que a justiça britânica vai aceder: Portugal ou Estados Unidos da América. Atualmente com 25 anos, Diogo Santos Coelho arrisca uma pena de prisão de 52 anos numa prisão norte-americana e a sua defesa empenha-se em trazê-lo de volta para Portugal.

Do computador Magalhães até à dark web

Era ainda um adolescente quando criou um website que viria a gerar transações de dados ilegalmente obtidos por milhões de euros entre utilizadores de todo o mundo. Recorreu à dark web, uma parte oculta da Internet que não consegue ser acedida pelos navegadores e motores de busca mais convencionais, exigindo software especial para poder aceder, como o navegador Tor. No entanto, o próprio arguido contou à CNN Portugal, em fevereiro de 2024, que o gosto pela tecnologia começou bem mais cedo.

“O meu primeiro contacto com computadores foi com um Magalhães, ainda em Portugal. Foi um outro mundo para mim. Desde a primeira vez que toquei num computador que me senti conectado. Tinha uma compreensão do computador melhor do que das relações sociais. Não sei se por causa da minha condição de autismo, mas quando estou no computador sinto-me mais relaxado e mais livre”, afirmou.

Não cresceu rodeado de tecnologia, mas, alguns anos depois, era no jogo “Realm of the Mad God” que passava grande parte do tempo, jogando online com estranhos que se tornariam amigos. E, segundo argumenta a defesa, terão sido alguns desses contactos mais velhos feitos através da Internet a dar conhecimentos sobre programação e a convencê-lo depois a criar o RaidForums. Foi, no entender dos seus advogados, sujeito a uma prática denominada online grooming, uma manipulação feita online sobre um jovem para o levar a uma determinada conduta ou ação.

Sem grandes amizades no mundo real — face a uma difícil adaptação à vida em Londres, para onde a família se tinha mudado quando tinha cerca de 9 anos —, foi no mundo virtual que se refugiou. Diogo Santos Coelho revelou ter sofrido bullying na escola Winterbourne (só para rapazes) que frequentou e acabou por não concluir o ensino secundário. Com a mãe a sofrer da doença de Huntington (que aniquila progressivamente as células cerebrais) e posteriormente remetida a um lar, o jovem acabou por regressar a Portugal — contra a sua vontade — com o pai.

“Não tinha muitas amizades e em casa também tinha muitos problemas e não conseguia falar com os meus pais. Eles não tinham tempo para mim”, contou o hacker português.

[O que realmente se passou nas eleições presidenciais de 1986, as primeiras e únicas decididas a duas voltas? Uma história de truques sujos, acordos secretos, agressões e dúvida até ao fim. A “Eleição Mais Louca de Sempre” é o novo Podcast Plus do Observador. Uma série narrada pelo ator Gonçalo Waddington, com banda sonora original de Samuel Úria. Ouça o primeiro episódio no site do Observador, na Apple Podcasts, no Spotify e no Youtube Music.]

O modelo de negócio e as comissões pela intermediação

Números de identificação bancária, dados de cartões de pagamento, números de contas de cartões, valores de verificação, bases de dados de credenciais de início de sessão, meios de identificação, emails e até números de segurança social — tudo isto estava ao dispor dos membros do RaidForums pelo valor certo.

Segundo o MP, foram estabelecidos no RaidForums quatro tipos de adesão com diferentes custos e níveis de acesso: gratuita, adesão VIP, adesão MVP e adesão de Deus, sendo que esta última conferia aos membros subscritores um acesso quase ilimitado às funcionalidades da plataforma. No centro da ação estava “Omnipotent”, ou Diogo Santos Coelho, que usava também outros nomes de utilizador no website, como “Downloading”, “Shiza” e “Kevin Maradona”.

Através da venda de créditos — e onde a moeda era habitualmente bitcoin —, Diogo Santos Coelho conferia, assim, acesso a determinadas áreas do RaidForums, permitindo aos utilizadores desbloquear e transferir os dados, informações e dispositivos de acesso obtidos de forma ilegal. Estes créditos podiam ainda ser alcançados através do fornecimento de instruções sobre como aceder a dados pessoais e financeiros de terceiros e sem permissão das entidades afetadas, que foram, na sua maioria, norte-americanas.

A plataforma disponibilizava diferentes fóruns e subfóruns, destacando-se neste processo o “Leaks Market”, no qual os membros podiam comprar, vender ou pedir a comercialização de dados confidenciais. Diogo Santos Coelho lucrava com a plataforma, na ótica do MP, por duas vias:

• Pela venda de dados alcançados mediante a retirada de informação dos sistemas informáticos de diferentes entidades
• E pela disponibilização de um serviço de intermediação nas transações

Essa intermediação assentava em Diogo Santos Coelho, que funcionava como uma espécie de seguro: em troca de uma comissão paga em criptomoeda ao RaidForums, quer os compradores, quer os vendedores podiam fechar negócio entre si, com o arguido a fazer uma validação do conteúdo dos ficheiros. No fundo, dava uma garantia às partes envolvidas de que o conteúdo correspondia efetivamente ao que era solicitado.

O problema para o arguido foi que a justiça norte-americana já estava a seguir de perto a atividade no RaidForums e o jovem português acabou por se envolver em transações com agentes do FBI que se ‘infiltraram’ na plataforma.

O Tesla, a moradia em Famalicão e mais de 630 mil euros na conta sem ter emprego

Com o crescimento da plataforma, o hacker português criou no dia 4 de março de 2018, quando tinha apenas 18 anos, uma conta Paypal para transferir os proveitos obtidos no RaidForums. Dez dias depois, Diogo Santos Coelho criou uma segunda conta, desta feita no banco Santander, para onde reencaminhava o dinheiro proveniente dos criptoativos. E entre 14 de março de 2018 e 18 de novembro de 2020, o Observador sabe que foram creditados 634.502,97 euros nessa conta.

Os fundos canalizados para essa conta serviram para financiar as suas despesas diárias, mas também para apostar em alguns investimentos de maior dimensão. O maior desses investimentos foi a compra de uma moradia em Vila Nova de Famalicão por 234.500 euros (211.200 euros no imóvel e 23.300 euros de comissão para a agência imobiliária).

No entanto, não seria o único gasto avultado, já que no dia 20 de dezembro de 2019, com somente 19 anos, Diogo Santos Coelho gastou 66.184 euros na aquisição de um automóvel Tesla.

Independentemente dessas despesas, a conta do arguido no Santander tinha no dia 18 de novembro de 2020 um saldo de 159.018,99 euros, à qual estava ainda associada uma conta poupança com 100.051,92 euros. Contudo, durante todo este período, Diogo Santos Coelho nunca submeteu qualquer declaração fiscal em sede de IRS ou sequer apresentou rendimentos provenientes de trabalho, assumindo não ter qualquer emprego.

Tanto o dinheiro nas contas bancárias no Santander, como a casa em Vila Nova de Famalicão e o Tesla foram apreendidos pelo MP, que pediu que estas vantagens obtidas de forma alegadamente ilícita sejam declaradas perdidas a favor do Estado.

Para a investigação conduzida pelo DIAP Regional do Porto, Diogo Santos Coelho sabia que pela criação do RaidForums estaria a promover uma organização de milhares de utilizadores que se dedicava e cooperava na prática de crimes, nomeadamente o acesso ilegítimo a sistemas informáticos de entidades terceiras, a obtenção de dados pessoais e financeiros sem permissão para tal e a sua posterior divulgação e comercialização. Mais: que essa atividade foi efetuada no sentido de obter vantagens financeiras que não eram lícitas.

A investigação dos EUA, o pedido de extradição e uma possível pena de 52 anos

Regressando ao interesse da justiça norte-americana em Diogo Santos Coelho. Fruto da investigação do FBI, que colocou, como vimos acima, agentes infiltrados na plataforma online para confirmar a realização de transações com dados obtidos ilegalmente, o processo norte-americano avançou depressa.

No dia 6 de maio de 2021, o Tribunal Distrital do Distrito Leste da Virgínia, nos EUA, emitiu um mandado de prisão contra o hacker português. Ato contínuo, em 21 de dezembro, seguiu-se um alerta vermelho na Interpol (“rednotice”, em inglês), emitido pelas autoridades americanas, que acabaria cumprido no Reino Unido, com a detenção no aeroporto de Gatwick, em 31 de janeiro de 2022, quando chegou ao país para visitar a mãe.

Diogo Santos Coelho foi presente a juiz no Tribunal de Westminster no dia seguinte e não consentiu a extradição para os EUA, permanecendo em prisão preventiva enquanto se aguardava pela formalização do pedido de extradição norte-americano. Menos de dois meses depois, em 23 de março, foi emitido o pedido formal de extradição, depois de muitos cidadãos e empresas dos EUA terem visto os seus dados ilegalmente acedidos e disponibilizados para comercialização na plataforma criada pelo português.

A fundamentar a extradição estão um total de seis imputações ao jovem hacker português: conspiração para cometer e/ou auxiliar e incentivar fraude com dispositivos; uso ou tráfico de um dispositivo de acesso não autorizado; posse de 15 ou mais dispositivos de acesso não autorizados; solicitação não autorizada a uma pessoa com o objetivo de oferecer um dispositivo de acesso (duas imputações); e roubo de identidade agravado.

Cada um dos cinco primeiros crimes imputados pela justiça norte-americana podem ditar uma pena de 10 anos, ou seja, um máximo de 50 anos, enquanto o último crime pode acrescentar dois anos em caso de condenação. Em suma, Diogo Santos Coelho arrisca uma pena máxima de 52 anos numa cadeia norte-americana em caso de extradição.

A intensificar essa pressão veio a decisão do Ministério do Interior em 14 de março de 2024 a dar prioridade ao pedido de extradição norte-americano em detrimento das intenções portuguesas de conseguir o regresso de Diogo Santos Coelho.

Uma acusação que chega em boa hora para a defesa

Tradicionalmente, os mandatários de um arguido preferem um arquivamento a uma acusação. Contudo, perante a possibilidade de extradição de Diogo Santos Coelho para os EUA e o cenário de uma condenação máxima de 52 anos de prisão, a acusação formal do MP chega em boa altura para a defesa.

Com efeito, os advogados Inês Almeida Costa e João Medeiros, do escritório MFA Legal, entendem que a acusação vem reforçar o pedido de extradição das autoridades portuguesas e o julgamento no país onde nasceu, em detrimento de uma realidade americana que lhe é totalmente desconhecida — e desfavorável.

“Estamos cada vez mais perto de conseguir que o Diogo seja julgado em Portugal. Só aqui, e não nos Estados Unidos, o Diogo poderá ter a defesa adequada à sua condição. Tem sido uma longa batalha, travada em Portugal e no Reino Unido e, agora, em ambos os países, temos felizmente decisões favoráveis à pretensão da defesa”, referiu ao Observador a defesa do hacker português.

Aliás, numa conduta pouco habitual, a defesa empenhou-se inclusivamente para que o seu cliente pudesse ser acusado em tempo útil pela justiça portuguesa, no sentido de ultrapassar o pedido de extradição dos EUA. Num requerimento enviado em julho ao processo, a que o Observador teve acesso, a defesa instou o MP a acelerar a sua acusação.

“Se o processo-crime português não for, entretanto e a breve trecho, ‘adensado’, corre-se risco sério de Diogo Santos Coelho ser extraditado para os Estados Unidos da América e de o processo-crime português ficar ‘deserto’ — com sério prejuízo para o Estado português e respetiva soberania e, bem assim, com sério prejuízo para o suspeito”, indicaram os advogados, enfatizando ainda o “autismo” numa realidade “onde não tem a mínima conexão familiar, social ou cultural”.

Nesse sentido, e lamentando a falta de resposta da justiça britânica ao pedido de cooperação judiciária igualmente formalizado por Portugal, a defesa admitiu que “existe efetivamente um incentivo para que o processo português avance (…) e para que uma acusação seja proferida”. Os advogados foram ainda mais longe e mostraram-se dispostos a apresentar uma declaração a renunciar à indicação de hipotéticas invalidades no processo. Sensivelmente dois meses depois, o MP finalizou a acusação.

O futuro em aberto com a última decisão da justiça britânica

As perspetivas de Diogo Santos Coelho vir a responder perante a justiça portuguesa ganharam um impulso não apenas pela existência de uma acusação formal do MP, mas também pela decisão de 11 de setembro do Tribunal Superior de Londres. Esta instância decidiu anular a decisão do Ministério do Interior britânico de consentir a extradição do hacker português para os EUA e subscreveu alguns dos argumentos da defesa, designadamente que o jovem foi alvo de manipulação online.

Para o juiz Linden, que se pronunciou sobre o caso de Diogo Santos Coelho, o Ministério do Interior deveria ter tido em conta a “proximidade com a família e amigos, a sua ligação com os respetivos sistemas jurídicos, os seus direitos e os resultados prováveis no processo penal, bem como os seus direitos a apoio em relação à sua saúde mental, tendo em conta que foi considerado vítima de escravatura moderna”.

Tribunal britânico impede extradição de hacker português para os EUA

Com efeito, os seus representantes britânicos — que têm trabalhado em conjunto com os advogados portugueses — não negaram a criação da plataforma ou as ações praticadas, mas alegaram que o jovem português, então adolescente, foi aliciado por adultos online que o coagiram a criar o site RaidForums.

Agora, a decisão sobre o futuro de Diogo Santos Coelho ficará nas mãos da atual ministra do Interior, Shabana Mahmood, que deverá reavaliar o caso e permitir a defesa do cidadão português, a fim de poder expor os seus argumentos a favor da extradição para Portugal.