O Tribunal de Guimarães condenou esta segunda-feira Diogo Santos Coelho, de 25 anos, a dois anos de prisão efetiva pelos crimes de acesso ilegítimo e acesso indevido previstos na Lei do Cibercrime portuguesa. O arguido, natural de Abraveses, no concelho de Viseu, é o fundador e administrador do RaidForums, plataforma que se tornou um dos maiores mercados ilegais de dados roubados do mundo, e que foi desmantelada em 2022 numa operação internacional coordenada pela Europol e pelo FBI. O julgamento decorreu na sua ausência: Coelho encontra-se em prisão domiciliária em Londres, no Reino Unido, onde aguardava a resolução de um longo diferendo de extradição entre Portugal e os Estados Unidos.
Em resumo: Diogo Santos Coelho, cidadão português de 25 anos, fundador do fórum de cibercrime RaidForums, foi condenado pelo Tribunal de Guimarães a dois anos de prisão efetiva por acesso ilegítimo e acesso indevido. A pena inicial, de dois anos e dez meses, foi reduzida ao abrigo da “amnistia papal” para menores de 30 anos; foi absolvido de associação criminosa e branqueamento. O RaidForums, criado quando tinha 14 anos, tornou-se um dos maiores mercados mundiais de dados roubados até ser desmantelado em 2022 pela Operação Tourniquet. O caso tem forte ligação a Portugal: o arguido residia em Vila Nova de Famalicão, onde investiu cerca de 300 mil euros dos proventos ilícitos. Continua em prisão domiciliária em Londres, a aguardar o desfecho de um processo de extradição.
O que era o RaidForums e como funcionava
O RaidForums nasceu em 2015, quando Diogo Santos Coelho tinha apenas 14 anos. O site chegou a contar com cerca de meio milhão de utilizadores e negociava quantidades massivas de dados roubados online, incluindo números de cartões de crédito, referências de contas bancárias, credenciais de acesso e palavras-passe. Com o tempo, evoluiu de um fórum de ativismo digital para uma infraestrutura criminal sofisticada.
Segundo a acusação norte-americana, entre 1 de janeiro de 2015 e a data da sua detenção em janeiro de 2022, Coelho controlou e administrou o RaidForums com o apoio de outros administradores, tendo desenhado e gerido a infraestrutura de software e criado secções dedicadas à compra e venda de dados roubados, incluindo um subfórum intitulado “Leaks Market”. O hacker recebia habitualmente comissões pagas em criptomoedas.
O Departamento de Justiça dos EUA afirmou ter apreendido o website e a base de dados de utilizadores do RaidForums, fórum de cibercrime em língua inglesa que vendeu acesso a mais de dez mil milhões de registos de consumidores roubados em algumas das maiores violações de dados do mundo desde 2015.
A Operação Tourniquet e a detenção em Londres
A apreensão do site envolveu autoridades dos EUA, do Reino Unido, da Suécia, de Portugal e da Roménia, sendo que a investigação criminal resultou na detenção do administrador do fórum em Croydon, em Inglaterra. A Operação Tourniquet, coordenada pela Europol, foi anunciada a 12 de abril de 2022, em Haia. Operações internacionais coordenadas deste tipo têm-se tornado a norma no combate ao cibercrime — como no caso em que o FBI e a Google desmantelaram a rede Outsider Enterprise. Diogo Santos Coelho, conhecido pelo pseudónimo “Omnipotent”, foi detido no Reino Unido a 31 de janeiro de 2022, aguardando extradição para os EUA.
A questão da extradição viria a tornar-se um caso juridicamente complexo. O Supremo Tribunal do Reino Unido anulou uma decisão do Ministério do Interior que visava a extradição de Coelho para os Estados Unidos — onde poderia ser condenado a uma pena de 52 anos —, tendo o Governo britânico reconhecido que o hacker, diagnosticado com autismo, foi aliciado e explorado na Internet por adultos desde os 14 anos. Coelho conseguiu convencer as autoridades portuguesas a formularem um pedido de extradição ao Reino Unido.
O processo em Portugal: acusação, julgamento e sentença
Em Portugal, o processo correu de forma paralela ao diferendo de extradição. A acusação, concluída em agosto de 2025 pelo Departamento de Investigação e Ação Penal (DIAP) regional do Porto, foi enviada para julgamento para o Tribunal de Braga, mas o juiz determinou que o caso devia ser apreciado por um coletivo de Guimarães, uma vez que o principal crime foi praticado em Famalicão, onde o arguido residia.
Em cúmulo jurídico, o coletivo de juízes fixou inicialmente uma pena de dois anos e dez meses de prisão; contudo, a aplicação da denominada “amnistia papal”, destinada a arguidos com menos de 30 anos, reduziu a pena efetiva para dois anos. Durante o julgamento, o tribunal concluiu pela condenação pelos crimes de acesso ilegítimo e acesso indevido, mas absolveu o jovem dos crimes de associação criminosa e de branqueamento.
O caso tem uma dimensão patrimonial assinalável em solo português. Grande parte do dinheiro foi utilizada em Famalicão, onde o arguido residia, para comprar uma casa e um automóvel Tesla, investimentos que rondam os 300 mil euros; segundo a acusação, as quantias eram transferidas do site para criptoativos e, depois, para uma conta bancária no Banco Santander.
O enquadramento legal: Lei do Cibercrime portuguesa
Os crimes pelos quais Diogo Santos Coelho foi condenado estão tipificados na Lei n.º 109/2009, de 15 de setembro — a Lei do Cibercrime —, que transpõe para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI do Conselho, relativa a ataques contra sistemas de informação, e adapta o direito interno à Convenção sobre Cibercrime do Conselho da Europa. O crime de acesso ilegítimo, previsto no artigo 6.º da mesma lei, prevê uma pena de prisão de um a cinco anos quando, através do acesso, o agente tiver tomado conhecimento de dados confidenciais protegidos por lei, ou quando o benefício ou vantagem patrimonial obtidos forem de valor consideravelmente elevado.
A Lei n.º 109/2009 foi entretanto alterada pela Lei n.º 79/2021, que reforçou o quadro sancionatório aplicável a crimes de falsidade informática e acesso a sistemas de pagamento. Esta mesma lei constitui o instrumento central de que dispõem as autoridades portuguesas — nomeadamente a Polícia Judiciária, através da sua Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica (UNC3T) — para investigar e perseguir criminalmente ilícitos desta natureza.
Relevância para a segurança digital e o enquadramento europeu
Este caso ilustra um dos desafios mais prementes da cibersegurança contemporânea: a interseção entre plataformas de dados roubados, criptomoedas e a dificuldade de responsabilização penal em contextos transfronteiriços. O RaidForums serviu de mercado para dados que alimentaram subsequentes campanhas de phishing, fraude bancária e usurpação de identidade em múltiplos países — realidades que a diretiva europeia NIS2, transposta para o ordenamento jurídico português pelo Decreto-Lei n.º 125/2025, procura combater através do reforço das obrigações de notificação de incidentes e da proteção de infraestruturas críticas.
A condenação em Portugal ocorre num momento em que a União Europeia intensifica a resposta ao cibercrime organizado. A ENISA (Agência da União Europeia para a Cibersegurança) tem identificado os fóruns de venda de dados roubados como um vetor persistente na cadeia de ataques a empresas e cidadãos. Do ponto de vista do RGPD, a comercialização de dados pessoais e bancários em plataformas como o RaidForums representa uma violação grave dos princípios de licitude, lealdade e minimização de dados consagrados no Regulamento (UE) 2016/679, podendo as vítimas de tais violações acionar mecanismos de queixa junto da Comissão Nacional de Proteção de Dados (CNPD).
O caso Diogo Santos Coelho levanta, por fim, uma questão de coordenação internacional que o Centro Nacional de Cibersegurança (CNCS) e o CERT.PT acompanham de perto: a capacidade dos Estados em exercer jurisdição penal sobre crimes digitais cujos autores, infraestruturas e vítimas se encontram dispersos por vários países. A sentença do Tribunal de Guimarães representa um passo na consolidação da resposta judicial portuguesa a este tipo de criminalidade, ainda que o desfecho final do processo — incluindo o eventual cumprimento efetivo da pena — dependa da resolução do processo de extradição ainda em curso no Reino Unido.
Perguntas frequentes
Quem é Diogo Santos Coelho?
É um cidadão português de 25 anos, natural de Viseu, que fundou e administrou o RaidForums — um dos maiores fóruns de cibercrime do mundo — sob o pseudónimo “Omnipotent”. Criou a plataforma quando tinha apenas 14 anos. Foi condenado em julho de 2026 pelo Tribunal de Guimarães a dois anos de prisão efetiva.
O que era o RaidForums?
Era um fórum online, criado em 2015, que se tornou um dos maiores mercados mundiais de compra e venda de dados roubados — incluindo números de cartões de crédito, credenciais de acesso e dados bancários. Foi desmantelado em 2022 por uma operação internacional (Operação Tourniquet) coordenada pela Europol, com o FBI e autoridades de vários países.
Porque é que foi julgado em Portugal e não nos EUA?
Os EUA pediram a extradição, mas o Supremo Tribunal do Reino Unido — onde Coelho foi detido e se encontra — anulou essa decisão, tendo em conta o seu diagnóstico de autismo e o facto de ter sido aliciado online em criança. Em paralelo, a justiça portuguesa avançou com o seu próprio processo, que culminou na condenação em Guimarães.
Porquê uma pena de apenas dois anos?
O tribunal fixou inicialmente uma pena de dois anos e dez meses, mas aplicou a chamada “amnistia papal”, destinada a arguidos com menos de 30 anos, que a reduziu para dois anos. O arguido foi ainda absolvido dos crimes de associação criminosa e de branqueamento de capitais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Jornal de Notícias, pelo Público, pelo Departamento de Justiça dos EUA, pela Europol (Operação Tourniquet) e pela versão consolidada da Lei n.º 109/2009 publicada no Diário da República.