Ataque de ransomware: o que o líder decide antes, durante e depois

O que você vai aprender aqui

• O que fica com a TI e o que fica com você em um ataque de ransomware
• A linha do tempo das primeiras 72 horas e a diferença entre horas corridas e os três dias úteis da Autoridade Nacional de Proteção de Dados (ANPD)
• As cinco decisões que precisam existir por escrito antes do ataque, entre elas a política sobre pagar o resgate, e onde a regra para órgão público e a regra para empresa privada se separam
• O que o seguro cibernético cobre em um ataque, o que fica de fora e quando vale contratar
• O que a Lei Geral de Proteção de Dados (LGPD) e a ANPD exigem de comunicação às pessoas donas dos dados (os titulares) e aos clientes
• O que a diretoria acompanha depois do ataque, da complementação à ANPD ao relatório
• Como conduzir um ensaio de mesa com a diretoria e as perguntas para levar ao seu time

Este artigo complementa o livro gratuito O Mapa do Explorador, que reúne mais de 200 tendências de tecnologia que não envelhecem com a próxima manchete. Uma delas é a negação de recuperação, que este artigo traduz nas decisões da diretoria diante de um ataque de ransomware.

Sexta-feira, 19h40. O analista de plantão da TI liga para o diretor: o servidor de arquivos está com os documentos renomeados e o sistema de gestão (o ERP) deixou de abrir. Ele pergunta se pode desligar a rede dos escritórios para o problema não se espalhar. Desligar a rede é parar o faturamento, os pedidos e o atendimento.

O diretor não sabe se a decisão é dele, do CEO ou do jurídico. Liga para o CEO, que está num voo.

A pergunta do analista é de governança, e quem não decidiu a resposta antes perde horas.

Em 56% dos ataques, os dados foram criptografados, e a empresa precisou decidir o que fazer sem eles.

O que a TI resolve em um ataque de ransomware e o que fica com você

Ransomware, o sequestro de dados digitais, é o programa que bloqueia os arquivos e os sistemas da empresa e cobra pagamento para liberá-los.

A TI resolve o que é técnico, com gente especializada e um parceiro de resposta a incidentes:

1. isolar o que foi atingido, isto é, desconectar da rede para o ataque não se espalhar;
2. descobrir por onde o invasor entrou;
3. limpar os sistemas;
4. restaurar a operação.

Você decide o que é de negócio:

1. o que a empresa aceita parar;
2. quem fala com o regulador e com os clientes;
3. quanto tempo a operação aguenta;
4. se o resgate é uma opção.

Por que o tempo para decidir é curto

Há criminosos que só invadem e vendem a entrada a outro grupo, que faz a criptografia. O tempo mediano desse repasse caiu de mais de 8 horas em 2022 para 22 segundos em 2025. Quando a equipe percebe o primeiro sinal, o acesso já pode estar com quem vai criptografar.

Os grupos também mudaram de alvo e passaram a atacar o backup, os serviços de identidade (o sistema que guarda usuários e senhas da empresa) e a plataforma de virtualização (os servidores virtuais em que rodam os sistemas) antes de criptografar.

No livro O Mapa do Explorador, chamo essa mudança de negação de recuperação: o grupo destrói os meios de restaurar antes de se mostrar. Quando a mensagem do criminoso chega, a cópia que ficava na rede de produção (onde rodam os sistemas do dia a dia) pode já ter sido apagada. A escolha que sobra é pagar ou reconstruir do zero. Onde está o backup e quem consegue apagá-lo virou pergunta de negócio.

Quando o ataque criptografa, a conta chega. O custo médio de recuperação foi de US$ 1,7 milhão.

E quanto custaria na sua empresa? Depende sobretudo de quantos dias a operação fica parada. Para a primeira ordem de grandeza, multiplique a receita de um dia pelos dias sem sistema.

A porta de entrada costuma ser uma pessoa e um acesso. 79% dos ataques começaram por uma abordagem baseada em identidade, isto é, pelo uso de um acesso legítimo. O golpe testa a empresa inteira até achar quem cede.

Treinamento reduz a chance de o clique acontecer, e o plano existe para o dia em que ele acontece mesmo assim, porque gente competente cai em golpe.

As primeiras 72 horas de um ataque de ransomware, etapa por etapa

A sequência abaixo marca o que precisa estar decidido em cada ponto, contado a partir do primeiro aviso.

1. Hora 0, o primeiro aviso. Quem percebe aciona a TI e quem lidera a crise. A decisão de desligar sistemas já tem dono, e ele responde em minutos.
2. Até a hora 4, o registro. Quem lidera a crise abre um registro de decisões, com data e hora de cada uma. A primeira entrada é a hora em que a empresa soube do incidente. Quando ficar claro que ele atingiu dados pessoais, esse momento também vai para o registro, porque dele corre o prazo da ANPD. Quem anota é o encarregado de dados (a pessoa indicada como canal com a ANPD e com os titulares), com o jurídico e com base no que a TI informou. A nota diz qual informação levou à conclusão.
3. Até a hora 12, o comitê. Diretoria, jurídico, TI, comunicação, RH (quando há dados de colaboradores) e o encarregado de dados se reúnem. Quem foi nomeado na decisão 5 avisa a seguradora e aciona o parceiro de resposta já contratado, e o jurídico avisa o advogado externo. Se o contrato do seguro (a apólice) limita os fornecedores, o parceiro precisa estar entre os aceitos. A TI não apaga e reinstala servidor antes de ouvir o jurídico, a perícia (os especialistas do parceiro de resposta, que investigam o ataque e preservam as provas) ou a seguradora. Fazer isso apaga vestígios e pode invalidar o seguro.
4. Até a hora 24, o tamanho do dano. A TI informa, em linguagem de negócio, o que foi atingido, se há backup utilizável e se há indício de cópia de dados. A comunicação interna sai: o que os colaboradores fazem e o que não dizem fora da empresa.
5. Até a hora 48, as decisões de maior custo. Pagar ou não, com base na política que já existia, e o que dizer a clientes e parceiros.
6. Até a hora 72, as comunicações prontas. Saem os avisos aos clientes que têm cláusula contratual, e a comunicação à ANPD e aos titulares, quando o risco ou o dano for relevante, fica pronta para sair dentro do prazo legal.

Seguradoras costumam exigir aviso entre 24 e 72 horas, e o aviso fora do prazo pode custar a cobertura.

As 72 horas do roteiro são horas corridas. O prazo da ANPD é de três dias úteis, então um ataque descoberto na sexta à noite não consome o fim de semana nessa contagem.

Então dá para deixar tudo para segunda-feira? Eu não deixaria. A seguradora, a operação parada e o criminoso não esperam. As decisões e o texto da comunicação ficam prontos dentro das 72 horas corridas, mesmo que o envio saia depois, no prazo.

Cinco decisões que precisam estar por escrito antes do ataque

Cada decisão leva um nome, uma regra e uma data de revisão. A revisão também acontece antes da data quando muda quem ocupa um dos papéis, quando a apólice é renovada ou trocada e depois de cada ensaio de mesa ou incidente. As cinco viram um documento assinado pela diretoria, guardado em papel ou em dispositivo seguro, porque no dia do ataque a rede pode estar fora do ar.

1. Quem autoriza desligar sistemas

A resposta traz:

1. o nome de quem decide;
2. o nome do suplente;
3. a ordem do que a empresa aceita parar primeiro.

Desligar o ERP custa vendas por algumas horas, e deixá-lo ligado pode espalhar a criptografia para outros servidores. Essa troca se decide com calma numa terça-feira, e a autorização precisa sair em minutos, a qualquer hora.

A regra distingue isolar o equipamento atingido, que a TI faz sem pedir licença, de desligar um sistema de negócio como o ERP, que exige autorização. Se o dono da decisão e o suplente não atenderem no prazo fixado nela, o responsável de TI fica autorizado a isolar o necessário e anotar hora, ação e motivo.

O prazo fica escrito em minutos. A TI ajuda a defini-lo dizendo quanto tempo a criptografia levaria para alcançar os outros servidores se nada fosse desligado.

2. Quem fala com a ANPD, com os titulares e com a imprensa

A comunicação à ANPD é feita pelo encarregado ou por representante legal com procuração. A comunicação aos titulares e à imprensa fica com a área de comunicação, com texto aprovado pelo jurídico e pela diretoria.

A comunicação sai por um sistema da ANPD que exige cadastro prévio de quem representa a empresa. Quem deixa esse trâmite para o dia do ataque gasta parte dos três dias úteis com burocracia. Eu recomendo resolver isso agora: o encarregado conclui o cadastro e entra no sistema uma vez para confirmar que o acesso funciona.

3. O que a empresa faz diante do pedido de resgate

A política define quem pode autorizar um pagamento e o que precisa acontecer antes.

4. Onde está o backup que sobrevive ao ataque

Backup na mesma rede da produção costuma cair junto com ela. O que sobrevive fica num ambiente de recuperação isolado da rede de produção, com três peças:

1. backup imutável, isto é, em armazenamento que não aceita alteração nem exclusão por um período definido;
2. sistema de usuários e senhas próprio, separado do usado no dia a dia;
3. infraestrutura de virtualização própria, separada da usada pela produção, para ter onde restaurar.

Se a rede inteira da empresa cair agora, a TI precisa saber de onde restaura e com que login.

66% das empresas com dados criptografados restauraram por backup. Para o terço restante, a pergunta sobre pagar fica séria.

Quando foi a última vez que alguém restaurou um sistema inteiro e cronometrou quanto tempo levou? Compare esse tempo com quanto a operação aguenta parada: se a restauração demora mais, a diferença é o que precisa mudar no backup ou entrar no seguro como lucro cessante (a cobertura do faturamento perdido nesse período).

5. Quem aciona o parceiro de resposta e a seguradora, e com quais contatos

O contrato com um parceiro de resposta a incidentes é assinado antes, com contatos de plantão. A apólice é lida antes, com três respostas anotadas:

1. o que ela cobre;
2. que aviso exige e em que prazo;
3. se restringe os fornecedores de resposta.

A lista de contatos entra no documento das cinco decisões, que a TI abre com a rede fora do ar. O mesmo documento diz quem libera gasto de emergência fora do horário comercial, e até que valor.

As cinco decisões são o núcleo do plano de resposta a incidentes que a LGPD inclui entre os elementos do programa de governança em privacidade.

Quem faz o quê: diretoria, jurídico, TI, comunicação e encarregado

A tabela mostra o que cada área decide e o que entrega ao comitê de crise.

Quem lidera a crise é o dono da decisão 1, a de desligar sistemas. Em empresa pequena, é o sócio, e em empresa maior, o diretor que responde pelo risco. A pessoa precisa ter autoridade para mandar parar uma operação.

Pagar o resgate ou não: uma decisão de governança com risco dos dois lados

Em algum momento da reunião de crise, a pergunta aparece: quanto custa pagar e quanto custa não pagar?

48% das vítimas com dados criptografados pagaram o resgate, com mediana de US$ 769 mil, e 51% das que pagaram negociaram um valor menor que o pedido. Traduzindo: pagar é prática comum, e o valor pedido é ponto de partida de negociação.

Os argumentos contra e a favor de pagar

O argumento contra pagar. Pagar não encerra a extorsão. 37% das organizações que pagaram enfrentaram uma segunda exigência, e 65% das atingidas tiveram algum roubo de dados, que é a base da dupla extorsão: o criminoso cobra pela chave e cobra de novo para não publicar o que copiou.

O argumento sobre sanções. O aviso da OFAC, órgão do Tesouro dos Estados Unidos, diz que o governo americano desencoraja pagamentos. Quem facilita um pagamento a pessoa ou país da lista de sanções americana pode violar os regulamentos. A penalidade é civil e por responsabilidade objetiva, isto é, ninguém precisa provar que houve intenção.

O aviso vale para pessoas e empresas americanas, onde estiverem, e para quem leva uma delas a violar as sanções. Para empresa brasileira, o risco aparece quando o pagamento passa por alguém americano: a matriz, um negociador contratado nos Estados Unidos ou uma corretora de criptomoeda americana.

O argumento a favor de poder pagar. Sem backup utilizável, a alternativa ao pagamento é reconstruir os sistemas, o que custa dias de operação parada.

Órgão público e empresa privada

O guia de ransomware do governo federal, escrito para a administração pública, orienta o não pagamento para os órgãos federais, com fundamento na legalidade e em regras de gasto público.

Para empresa privada, a lei brasileira não traz proibição geral de pagar resgate. O guia federal serve de parâmetro de boa prática, mas se apoia em regras de gasto público, que não se estendem automaticamente ao setor privado. O pagamento tem três limites, de lei e de contrato:

1. a lei brasileira que aplica as sanções do Conselho de Segurança da ONU (Lei 13.810/2019) proíbe qualquer pessoa ou empresa no Brasil de disponibilizar recursos a pessoa ou grupo sancionado por ele;
2. o aviso da OFAC alcança o pagamento que passa por pessoa ou empresa americana;
3. a apólice de seguro pode exigir autorização prévia da seguradora.

Setor regulado pode ter regra própria, e o jurídico confere a do seu.

Pagamento e comunicação à ANPD. O artigo 48 da LGPD não prevê o pagamento como dispensa. A avaliação de gravidade olha se a empresa tornou os dados ilegíveis para quem os acessou, e pagar não faz isso. Havendo risco ou dano relevante, a empresa comunica o incidente à ANPD e aos titulares.

O que a política de resgate responde

Com argumentos puxando para os dois lados, eu recomendo que a política escrita responda a cinco itens:

1. Quem pode autorizar um pagamento e quem substitui essa pessoa.
2. Quem é consultado antes: jurídico, advogado externo, seguradora e parceiro de resposta.
3. O que esse parceiro informa sobre o que dá para recuperar e o que pode não voltar.
4. Que checagens a empresa faz sobre sanções e sobre o estado real do backup, quem faz cada uma e onde o resultado fica anotado. Para sanções, o parceiro de resposta ajuda a identificar o grupo por trás do ataque, e o jurídico confere nas listas da OFAC e do Conselho de Segurança da ONU.
5. O que fica no registro de decisões: motivos, alternativas consideradas, quem aprovou e quando.

Para quem ainda não tem política, eu começaria por uma regra simples: nenhum pagamento sai sem os cinco itens cumpridos, e, enquanto a diretoria não decidir, a regra interna é não pagar.

Esse registro, item 5, transforma “eu confiei na equipe” em diligência documentada.

Seguro contra ransomware: o que cobre, o que fica de fora e quando vale

Existe seguro para isso. No Brasil, ele é vendido como seguro de riscos cibernéticos, ou seguro cyber, e o ransomware entra por mais de uma cobertura da mesma apólice. Cada seguradora desenha a apólice do seu jeito, por isso a resposta para a sua empresa está nas condições gerais e na especificação, nunca no nome do produto.

O momento também pesa na conta. No início de 2026, as indenizações desse seguro cresceram 253%, e a arrecadação, 71%. A renovação tende a vir com prêmio maior (o prêmio é o valor que a empresa paga pelo seguro) e com questionário mais rigoroso.

O que uma apólice cobre

Um exemplo de mercado inclui:

1. resposta ao incidente: perícia, especialista de TI, consultoria jurídica, atendimento telefônico aos afetados e assessoria de imagem;
2. restauração de dados e sistemas;
3. notificação dos titulares cujos dados foram atingidos;
4. extorsão cibernética, que pode incluir o próprio resgate, desde que a seguradora consinta antes e por escrito;
5. reclamações de terceiros, como clientes e titulares, com a defesa;
6. multas e custos regulatórios, inclusive a multa da ANPD;
7. lucro cessante, em geral como cobertura adicional, contratada e paga à parte.

A multa da ANPD pode ser coberta. Uma circular da SUSEP, o órgão que regula os seguros, permite que o seguro de responsabilidade civil cubra multas e penalidades.

A nova lei do contrato de seguro, em vigor desde dezembro de 2025, só anula essa garantia quando a multa decorre de crime ou de ato intencional da empresa segurada. Pense em duas multas. A aplicada por falha de segurança entra, se a apólice prevê. A aplicada por esconder o incidente de propósito tende a ficar de fora.

Num ataque de ransomware, o item 7 costuma decidir a conta: o prejuízo principal raramente é o resgate, e sim a operação parada e o cliente que vai embora. Por ser adicional, ele pode não estar na apólice que a empresa tem hoje. Quem compra só a cobertura básica recebe ajuda para investigar e restaurar, e banca sozinho os dias sem faturar.

O que costuma ficar de fora

Entre outros pontos:

1. fato já conhecido antes de o seguro começar a valer;
2. ato intencional ou fraudulento do próprio segurado;
3. pagamento que exponha a seguradora a sanção internacional, o mesmo risco do aviso da OFAC;
4. melhoria dos sistemas além da volta ao estado anterior, salvo extensão contratada;
5. gasto feito sem o consentimento prévio da seguradora, inclusive com fornecedor que ela não aprovou.

Lá fora, o mercado de seguros do Lloyd’s, em Londres, passou a exigir que as apólices cyber excluam guerra e ataque patrocinado por Estado, e o difícil é provar quem fez o ataque. Na apólice brasileira, a pergunta ao corretor é como ela trata guerra e ato de governo.

O que derruba a cobertura que você contratou

O questionário de contratação pergunta sobre os controles de segurança da empresa. Pela mesma lei do contrato de seguro, a informação omitida de propósito faz a empresa perder a garantia. Já a omissão por descuido reduz a indenização, na proporção do que o seguro deixou de cobrar por não conhecer o risco.

Imagine que o questionário diga que o backup fica fora da rede de produção, e ele não fica. A apólice pode pagar menos, ou nada, justamente no ataque de ransomware.

Quando vale contratar

Para decidir, eu usaria quatro perguntas:

1. Quanto custa um dia parado, vezes o número de dias que a restauração cronometrada levou, e a empresa aguenta esse valor sem comprometer o caixa? Se não aguenta, a cobertura adicional de lucro cessante entra no pedido ao corretor.
2. Já existe contrato com um parceiro de resposta a incidentes, ou o atendimento de crise que a apólice aciona na hora seria o primeiro?
3. A empresa consegue responder ao questionário com verdade?
4. Algum contrato com cliente ou regulador do setor exige apólice, e com que limite? O Banco Central, por exemplo, já exige dos provedores de tecnologia credenciados no sistema de pagamentos um seguro que cubra incidentes cibernéticos (Resolução BCB nº 498/2025).

Com as respostas na mão, leve ao corretor quatro pontos:

1. o limite para extorsão e para lucro cessante;
2. quantas horas de parada a apólice exige antes de começar a pagar;
3. se ela cobre golpe de engenharia social (quando o criminoso engana uma pessoa para conseguir acesso) ou só invasão técnica;
4. quanto custa o prêmio para o porte e o setor da empresa.

O valor sai da cotação, nunca de tabela genérica.

Quem a empresa precisa avisar depois do ataque, e em que prazo

Imagine que, na hora 24, a TI confirme que o cadastro de clientes foi copiado. Quem precisa ser avisado, e até quando? A Resolução CD/ANPD nº 15/2024, que regulamenta a comunicação de incidente à ANPD, responde a partir do artigo 48 da LGPD: o controlador, isto é, a empresa que decide o que fazer com os dados pessoais, comunica o incidente à ANPD e aos titulares quando o incidente possa acarretar risco ou dano relevante.

Quando o risco é relevante

Pela resolução, o risco ou dano é relevante quando o incidente afeta significativamente interesses e direitos fundamentais dos titulares e envolve ao menos um destes critérios:

1. dados pessoais sensíveis, como saúde, origem racial, religião, opinião política e biometria;
2. dados de crianças, de adolescentes ou de idosos;
3. dados financeiros;
4. dados de autenticação em sistemas;
5. dados protegidos por sigilo legal, judicial ou profissional;
6. dados em larga escala.

Cadastro de clientes, folha de pagamento e dados de saúde costumam cair em pelo menos um desses critérios, e o jurídico fecha a conclusão.

E se os criminosos só bloquearam os dados, sem copiar? Também entram na avaliação. A resolução define incidente como violação da confidencialidade, da integridade, da disponibilidade ou da autenticidade dos dados pessoais, e dado bloqueado é dado indisponível.

Prazos para a ANPD e os titulares

O prazo é de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. A complementação das informações tem 20 dias úteis, contados da comunicação, e serve à empresa que ainda não tem o quadro inteiro no terceiro dia.

Os agentes de tratamento de pequeno porte (na prática, empresas pequenas que lidam com dados pessoais) têm os prazos em dobro: seis dias úteis para comunicar o incidente à ANPD e aos titulares.

Entram nessa categoria microempresas e empresas de pequeno porte com receita bruta anual de até R$ 4,8 milhões e startups de até R$ 16 milhões. Ficam de fora as que fazem uso de alto risco dos dados, como dados sensíveis em larga escala, e as que pertencem a grupo econômico acima desses limites.

Os titulares recebem a comunicação no mesmo prazo, em linguagem simples, direta e, quando possível, individualizada. Se a comunicação individual for inviável, a divulgação em site, aplicativos e redes sociais dura no mínimo três meses.

O caso que fica sem comunicação também tem regra: a resolução manda o controlador registrar todo incidente, inclusive esse, e guardar o registro por no mínimo cinco anos.

Sanções da LGPD

As sanções que a LGPD permite à ANPD vão além da multa:

1. advertência;
2. multa diária;
3. divulgação pública da infração;
4. bloqueio ou eliminação dos dados envolvidos;
5. suspensão ou proibição do uso de dados pessoais, que pode parar a operação;
6. multa simples de até 2% do faturamento da empresa ou do grupo no Brasil no último ano fiscal, sem contar impostos, limitada a R$ 50 milhões por infração.

Para uma empresa com faturamento de R$ 100 milhões no Brasil, o teto de 2% é de R$ 2 milhões. O limite de R$ 50 milhões só pesa para quem fatura mais de R$ 2,5 bilhões. A gravidade, a boa-fé e as medidas adotadas entram na avaliação de cada caso.

Clientes com cláusula de aviso

Os clientes são um terceiro público. Contratos com clientes grandes podem trazer cláusula de aviso de incidente com prazo próprio, e o jurídico lista esses contratos antes do ataque, com o texto-base da mensagem pronto para ajuste.

Depois do ataque: o que a diretoria acompanha

A crise operacional termina quando os sistemas voltam, e a parte da diretoria dura mais.

A complementação à ANPD. Se a primeira comunicação saiu com informação faltando, o envio do restante, em até 20 dias úteis, tem responsável. O registro do incidente, que a resolução exige, é separado do registro de decisões.

A volta da operação. A volta dos sistemas segue as prioridades da decisão 1: o que a empresa menos aceita parar volta primeiro.

A revisão das cinco decisões. As anotações feitas durante a crise mostram o que travou, o que levou tempo e o que a política não previu. Cada ponto vira alteração no documento, com nova data de revisão.

O relatório à diretoria. Ele traz:

1. a linha do tempo do que foi decidido, por quem e em que hora;
2. o custo da recuperação;
3. o que muda no backup, no seguro e nos contratos.

Ensaio de mesa: como testar as decisões sem sofrer o ataque

Pense num simulado de incêndio, feito em volta de uma mesa e sem ninguém sair da sala. O ensaio de mesa, que em inglês se chama tabletop exercise, faz o mesmo com um ataque: o comitê de crise reage a um cenário lido em etapas, sem tocar nos sistemas.

O guia de ransomware do governo federal, escrito para órgãos públicos, recomenda ciclo semestral, com envolvimento direto da alta administração.

Para conselhos de administração, a recomendação é um ensaio específico de ransomware e outro voltado ao próprio conselho. Para a diretoria, vale o mesmo: a primeira decisão de crise acontece no ensaio.

Em uma manhã dá para percorrer este roteiro:

1. Escolha o cenário: o ERP e o servidor de arquivos criptografados numa sexta à noite, com uma mensagem do criminoso pedindo pagamento e fixando prazo.
2. Convoque quem estaria na sala: diretoria, jurídico, TI, comunicação, RH, encarregado e, se existirem, o parceiro de resposta a incidentes e o corretor do seguro.
3. Leia o cenário em etapas: na hora 0, a TI descobre que o backup que ficava na rede da produção já foi apagado; na hora 24, o criminoso publica uma amostra de dados de clientes; na hora 48, um cliente grande pergunta o que aconteceu.
4. A cada etapa, peça a decisão em voz alta, com o nome de quem a toma.
5. Cronometre o que leva tempo: reunir o comitê, achar o contato do parceiro, confirmar o acesso ao sistema da ANPD.
6. Registre o que travou: contato que não existia, decisão sem dono, backup sem teste de restauração.
7. Transforme cada trava em tarefa com responsável e prazo, e repita o ensaio em seis meses.

Marque o primeiro ensaio, com data e responsável, antes de encerrar a reunião em que a ideia surgiu.

Onde a IA generativa acelera o ensaio

Duas etapas ganham tempo com IA generativa: montar o cenário do passo 3 e transformar as anotações do passo 6 em lista de tarefas. Para o cenário:

Você é facilitador de um ensaio de mesa de resposta a ransomware para a diretoria de uma empresa de [setor], com [número] funcionários, que depende principalmente de [sistemas críticos, por exemplo ERP e loja virtual]. Monte o cenário de um ataque que começa numa sexta-feira à noite, lido em três etapas: hora 0, hora 24 e hora 48. Em cada etapa, escreva o fato novo que chega à sala em até três frases e duas perguntas de decisão para a diretoria, sem perguntas técnicas de contenção. Na hora 0, a TI descobre que o backup que ficava na rede da produção foi apagado antes da criptografia; na hora 24, o criminoso publica amostra de dados de clientes; na hora 48, um cliente grande pede explicação. Use nomes fictícios para pessoas, clientes e fornecedores.

Para o fechamento, cole as anotações já sem nomes de clientes nem dados pessoais:

Abaixo estão as anotações de um ensaio de mesa de resposta a ransomware. Organize uma tabela com quatro colunas: trava encontrada, decisão ou contato que faltou, cargo responsável sugerido e prazo sugerido. Use só o que está nas anotações, sem acrescentar travas novas, e marque com [confirmar] todo item ambíguo.
[cole aqui as anotações]

Três limites para o uso da IA no ensaio:

1. Dado real da empresa, como nome de cliente, dado pessoal e falha conhecida nos sistemas, não entra em ferramenta fora da aprovada pela TI. Sem ferramenta aprovada, use os prompts só com nomes fictícios.
2. Prazo e artigo de lei saem da resolução e do jurídico, nunca da resposta da IA.
3. A decisão em voz alta, no passo 4, é das pessoas da sala.

Perguntas para fazer ao seu time antes do ataque

As oito perguntas abaixo cabem numa reunião de uma hora. A segunda coluna diz quem traz a resposta:

Cada “não sei” vira tarefa com dono e prazo.

Onde começar amanhã

Eu começaria pelas perguntas e decisões, que custam pouco e mostram o que falta. O contrato de resposta a incidentes e a mudança no backup vêm logo depois, ainda antes de qualquer ataque.

O que você faz amanhã: escreva numa folha três perguntas da tabela anterior (quem autoriza desligar sistemas, quem é o encarregado e se existe política sobre o resgate) e procure a resposta de cada uma.

O que depende da sua equipe: as perguntas da tabela vão a quem está na segunda coluna, e dois pedidos completam a lista:

1. À TI: a data da última restauração completa de um sistema inteiro, com o tempo cronometrado.
2. Ao jurídico: a lista de contratos com cláusula de aviso de incidente.

O que depende da diretoria: registrar por escrito as cinco decisões, cada uma com data de revisão, e marcar o primeiro ensaio de mesa.

Se a empresa já tem comitê de risco ou de governança, o ransomware entra na pauta dele. Ele já tem a estrutura de responsáveis, registro e auditoria que essas decisões pedem.

Comunidade no WhatsApp: regulação, risco, cibersegurança e gestão de times com IA saem todo dia no grupo Governança e Gestão, sempre com a fonte. Veja como entrar no grupo.

Perguntas frequentes

O que fazer quando a empresa sofre um ataque de ransomware?

Acionar a TI e o parceiro de resposta a incidentes, abrir um registro de decisões com data e hora e reunir o comitê de crise. Antes de a TI apagar e reinstalar servidores, o jurídico, a perícia ou a seguradora são consultados, porque formatar apaga vestígios e pode invalidar o seguro. A diretoria decide o que a empresa aceita parar, e o jurídico avalia se dados pessoais foram afetados, o que dispara o prazo de comunicação à ANPD.

Qual é o prazo para comunicar um ataque de ransomware à ANPD?

Três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando há risco ou dano relevante aos titulares. A regra está na Resolução CD/ANPD nº 15/2024. A complementação das informações tem 20 dias úteis, e agentes de tratamento de pequeno porte têm os prazos em dobro. Os titulares são comunicados no mesmo prazo de três dias úteis.

Existe seguro contra ransomware, e o que ele cobre?

Existe, com o nome de seguro de riscos cibernéticos. A apólice pode cobrir perícia, restauração de dados, notificação de titulares, reclamações de terceiros e extorsão, inclusive o resgate, se a seguradora consentir antes, por escrito. O lucro perdido com a operação parada costuma ser cobertura adicional. Ficam de fora, por exemplo, fato conhecido antes da vigência, ato intencional e gasto sem consentimento da seguradora, e informação omitida no questionário pode reduzir ou eliminar a indenização.

O backup protege a empresa de um ataque de ransomware?

Só quando sobrevive ao ataque. Os grupos de ransomware passaram a atacar o backup antes de criptografar, e o que fica na mesma rede da produção costuma cair junto. Protege um ambiente de recuperação separado: backup imutável, que ninguém apaga por um período definido, usuários e senhas próprios e servidores para restaurar. A diretoria pede à TI a data da última restauração completa, cronometrada, porque só o teste mostra que o backup funciona.

A empresa deve pagar o resgate de um ataque de ransomware?

Não existe resposta única, e a decisão precisa estar escrita antes do ataque. Pagar não encerra a extorsão: 37% das empresas que pagaram enfrentaram uma segunda exigência. O governo federal orienta órgãos públicos a não pagar. Para empresa privada, a lei brasileira não traz proibição geral, mas há limites: as sanções da ONU (Lei 13.810/2019), o aviso americano da OFAC quando o pagamento passa por alguém dos Estados Unidos e a autorização prévia da seguradora.

Pagar o resgate dispensa a empresa de comunicar o incidente à ANPD?

Não. O artigo 48 da LGPD não prevê o pagamento como dispensa. Havendo risco ou dano relevante aos titulares, a empresa comunica o incidente à ANPD e aos titulares. O incidente também entra no registro que a resolução exige.

O que é um ensaio de mesa e quando uma empresa deve fazê-lo?

Ensaio de mesa, ou tabletop exercise, é uma simulação em sala, sem tocar nos sistemas, em que a diretoria e as áreas reagem a um cenário de ataque lido em etapas. O guia de ransomware do governo federal, escrito para a administração pública, recomenda ciclo semestral. O resultado é a lista de decisões sem dono, contatos que faltam e backups sem teste. Para empresa privada, eu recomendo o mesmo ritmo.

Qual é a multa da LGPD quando um ataque de ransomware expõe dados pessoais?

A multa vem da infração à LGPD, como não proteger os dados ou não comunicar o incidente, e chega a 2% do faturamento da empresa ou do grupo no Brasil, sem tributos, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar multa diária, divulgar a infração e suspender ou proibir o tratamento de dados. O seguro cibernético pode cobrir a multa, se a apólice prevê, salvo infração que decorra de crime ou de ato intencional.

O que fica com a TI e o que fica com a diretoria em um ataque de ransomware?

A TI e o parceiro de resposta decidem como conter, investigar e restaurar. A diretoria decide o que a empresa aceita parar, a política sobre pagar o resgate e o orçamento da crise, e o jurídico decide o que comunicar ao regulador. Quando essas decisões não estão atribuídas por escrito antes do ataque, o analista de plantão acaba decidindo sozinho.

Se os criminosos só bloquearam os dados, sem copiá-los, a empresa precisa comunicar o incidente à ANPD?

Pode precisar: dado bloqueado é dado indisponível, e a Resolução CD/ANPD nº 15/2024 trata a perda de disponibilidade como incidente. O jurídico verifica se houve acesso não autorizado, perda ou indisponibilidade de dados pessoais e se há risco ou dano relevante aos titulares, pelos critérios da resolução. Quem concluir que não há dever de comunicar registra o incidente do mesmo modo.

Edney “InterNey” Souza atua com tecnologia desde 1990 como professor, palestrante e Conselheiro Consultivo em Tecnologia, IA, Dados e Inovação. Participou da criação de sete startups ao longo da carreira. É professor na ESPM, Insper, PUCRS, USP e IBGC. É autor de vários e-books gratuitos sobre tecnologia, marketing, liderança e inovação, disponíveis aqui.