Ransomware na empresa: quando vira vazamento de dados pra LGPD

A gente já perdeu a conta de quantas vezes o cliente liga em pânico achando que o problema é só reestabelecer o servidor. Ransomware trava a operação, isso é fato. Mas na cabeça de quem responde pela empresa, a LGPD costuma entrar depois, como um detalhe burocrático. Na prática é o contrário: o relógio da lei começa a correr no minuto em que você descobre o ataque, não quando o backup volta.

Falando sério: a maioria das empresas do Vale do Itajaí que sofre ransomware trata isso como incidente de TI puro. Chama o técnico, negocia com o hacker ou restaura backup, e segue a vida. O problema aparece meses depois, quando um titular reclama, um concorrente denuncia ou a ANPD abre processo de ofício. Aí a empresa descobre que devia ter comunicado e não comunicou.

Todo ransomware é incidente de segurança. Nem todo ransomware é vazamento

Isso muda tudo na hora de decidir o que fazer. A LGPD trata dois cenários de forma bem diferente:

• Ransomware de indisponibilidade pura: o atacante criptografa os arquivos, mas não copiou nada pra fora. Você perde acesso temporário aos dados, mas eles não vazaram.
• Ransomware com exfiltração: modelo que já domina o mercado desde 2021, chamado de "double extortion". O criminoso copia os dados antes de criptografar e ameaça publicar se você não pagar. Aqui, sim, é vazamento de dados pessoais.

Nossa leitura: hoje a maioria dos ataques sérios já é do segundo tipo. Se o grupo criminoso te manda print de arquivos como prova de vida, ou ameaça postar dados no site de leak, você já tem exfiltração confirmada. E exfiltração de dado pessoal aciona o art. 48 da LGPD, que trata da comunicação de incidente de segurança à ANPD e aos titulares.

Pagar o resgate: a decisão que parece resolver e cria outro problema

Empresário com sistema travado pensa em uma coisa: voltar a operar. Pagar R$ 30 mil, R$ 100 mil, o que for, parece barato perto do prejuízo de ficar parado. A gente entende a pressão. Mas pagar resgate tem três problemas que raramente aparecem na conversa com o "consultor" que aparece oferecendo negociação.

Primeiro, não existe garantia nenhuma de que o criminoso vai descriptografar os dados ou deletar a cópia que ele já tirou. Segundo, pagar resgate a um grupo criminoso pode configurar financiamento de atividade ilícita, dependendo de quem está do outro lado da negociação (alguns grupos de ransomware estão em listas de sanção internacional). Terceiro, e esse é o ponto que a ANPD olha: pagar não substitui a obrigação de notificar. Empresa que paga e não comunica está numa posição pior do que empresa que não paga e comunica direito.

Na prática: decisão de pagar ou não resgate não deveria ser tomada só pelo dono da empresa no calor do momento. Envolve avaliação jurídica, avaliação de risco reputacional e, muitas vezes, o seguro cibernético (se você tiver um) já traz cláusula específica sobre isso.

O prazo que ninguém lê até precisar dele

A Resolução CD/ANPD 15/2024 trata da comunicação de incidente de segurança e estabelece que, quando o incidente representa risco relevante aos titulares, a comunicação à ANPD deve ocorrer em prazo curto, contado da ciência do incidente, não da confirmação total do que aconteceu. Isso é diferente do costume de "esperar a perícia terminar" antes de falar qualquer coisa.

O erro mais comum que vemos: empresa espera terminar a investigação forense completa, que pode levar 30, 60 dias, pra só então decidir se comunica. Isso inverte a lógica da lei. Você comunica cedo, com as informações que tem, e complementa depois se precisar. Notificação incompleta e no prazo é melhor do que notificação perfeita e atrasada.

O que falar pro titular (sem virar boletim de guerra nem se omitir)

Quando o incidente afeta dado pessoal de cliente, funcionário ou fornecedor pessoa física, a comunicação aos titulares precisa ser clara, sem juridiquês, e cobrir alguns pontos mínimos:

• O que aconteceu, em linguagem simples: "identificamos acesso não autorizado aos nossos sistemas em [data]".
• Quais dados foram afetados: nome, CPF, e-mail, dado bancário, dado de saúde. Seja específico, não genérico.
• Quais medidas você já tomou: isolamento do sistema, troca de senhas, acionamento de perícia.
• O que o titular pode fazer: trocar senha, monitorar fatura, ficar atento a phishing usando o nome da empresa.
• Um canal de contato real, com resposta em até 15 dias, prazo que o art. 19 da LGPD já usa como referência pra atendimento de titular.

Evite duas armadilhas. A primeira é minimizar demais, tipo nota de assessoria dizendo que "não há indícios de uso indevido" quando você nem sabe ainda. A segunda é o pânico defensivo, mandando comunicado alarmista que gera mais dano de imagem do que o próprio incidente.

Quem responde por isso dentro da empresa

Se sua empresa ainda não tem um encarregado de dados formalmente nomeado (o DPO do art. 41), ransomware é o momento em que essa lacuna aparece mais caro. Alguém precisa centralizar a decisão de comunicar, redigir a notificação e ser o ponto de contato com a ANPD. Sem essa figura definida antes do incidente, a empresa perde tempo precioso decidindo quem decide.

Empresa pequena, com faturamento mais modesto, pode se enquadrar no regime simplificado da Resolução CD/ANPD 02/2022, que reduz formalidades pra ME, EPP e startup. Isso ajuda na rotina, mas não dispensa a comunicação de incidente grave. O regime simplificado facilita documentação, não isenta responsabilidade.

O que fazer nas próximas duas semanas

Se sua empresa já sofreu ransomware recentemente, ou quer se preparar antes que aconteça, o roteiro é objetivo:

• Confirme com o time de TI (interno ou terceirizado) se há evidência de exfiltração, não só criptografia. Log de tráfego de saída incomum é o primeiro lugar pra olhar.
• Nomeie ou confirme quem é o encarregado responsável por decidir sobre notificação, mesmo que seja um cargo acumulado numa empresa pequena.
• Prepare um modelo de comunicação a titulares antes de precisar dele. Adaptar um texto pronto sob pressão é mais rápido do que escrever do zero em pânico.
• Reveja se existe seguro cibernético e o que ele cobre em caso de resgate, perícia e comunicação legal.
• Documente cada decisão tomada durante o incidente, com data e hora. Se a ANPD abrir processo, o histórico de decisão pesa mais do que qualquer justificativa posterior.

Ransomware não escolhe empresa pequena nem grande, escolhe empresa com porta aberta. Mas a diferença entre virar estatística de multa e sair do incidente com a casa em ordem está em quem já sabia o que fazer antes do alarme tocar.