Tempo de leitura: 11 min · Atualizado em 03/09/2026
Se a empresa sofreu um ataque de ransomware, as primeiras horas definem o tamanho do problema jurídico: é preciso isolar os sistemas afetados, preservar evidências técnicas, avaliar se houve vazamento de dados pessoais e decidir, com apoio jurídico e técnico, se e como comunicar autoridades, clientes, fornecedores e titulares de dados. Adiar essas decisões costuma ampliar a responsabilidade da empresa, não reduzi-la.
Primeiras horas: contenção antes de qualquer outra decisão
O instinto mais comum diante de um sequestro de dados é entrar em pânico ou, no extremo oposto, tentar resolver tudo internamente e em silêncio. Nenhuma das duas reações protege a empresa. O primeiro passo tecnicamente recomendado é isolar os equipamentos e redes comprometidos para impedir que o ataque se espalhe, sem apagar ou reinstalar sistemas antes de uma análise forense preliminar. Isso importa juridicamente porque a forma como a empresa reage nas primeiras horas é, depois, usada para avaliar se ela agiu com diligência ou com negligência diante do incidente.
Paralelamente à contenção técnica, é importante acionar de forma simultânea três frentes: um especialista em segurança da informação (ou empresa de resposta a incidentes), o setor jurídico ou escritório responsável e, quando existir, o encarregado de proteção de dados. Essa atuação conjunta evita decisões isoladas que, tomadas sem visão jurídica, podem gerar exposição desnecessária mais adiante.
Preservar provas: o que sustenta (ou enfraquece) a defesa da empresa depois
Ataques de ransomware costumam vir acompanhados de exfiltração de dados, ou seja, os criminosos não apenas criptografam os arquivos, mas também copiam informações antes de bloquear o acesso. Por isso, a empresa deve registrar logs, capturar telas da mensagem de resgate, preservar cópias dos sistemas comprometidos (mesmo que isolados) e documentar cronologicamente cada decisão tomada a partir da descoberta do incidente. Essa documentação será, no futuro, a principal prova de que a empresa adotou medidas de segurança compatíveis com o risco do seu negócio, o que impacta diretamente eventual discussão sobre responsabilidade perante clientes, parceiros e órgãos de fiscalização.
Também é comum que criminosos usem dados obtidos em vazamentos para golpes posteriores, inclusive se passando por funcionários, fornecedores ou representantes da empresa em conversas por aplicativos de mensagem para induzir pagamentos indevidos — um cenário próximo ao que já tratamos quando um golpista se passou por advogado no WhatsApp para pedir Pix. Monitorar esse tipo de uso indevido dos dados vazados também faz parte da resposta ao incidente.
O dever de comunicar o incidente às autoridades e aos titulares afetados
Quando o ataque envolve dados pessoais de clientes, funcionários ou fornecedores, existe o dever de comunicar o ocorrido tanto à autoridade nacional de proteção de dados quanto aos próprios titulares afetados, especialmente quando o incidente pode gerar risco ou dano relevante a essas pessoas. Essa comunicação deve conter, de forma objetiva, a natureza dos dados afetados, as medidas técnicas já adotadas para conter o problema e as orientações práticas que os titulares podem seguir para se proteger.
Um erro recorrente é a empresa tentar avaliar sozinha, sem apoio jurídico, se o incidente é “grave o suficiente” para justificar a comunicação. Essa avaliação deve ser feita com cautela e de forma documentada, porque a decisão de não comunicar — quando depois se prova que havia risco relevante — tende a ser vista de forma muito mais severa do que uma comunicação feita de boa-fé, mesmo que posteriormente se confirme que o impacto foi menor do que o inicialmente estimado.
Vale lembrar que a comunicação a titulares e autoridades é distinta de uma eventual repercussão pública do caso. Se o incidente vazar para a imprensa ou redes sociais antes de uma resposta institucional, a empresa pode enfrentar também uma crise de imagem que precisa ser conduzida com o mesmo cuidado jurídico, evitando notas apressadas que confirmem fatos ainda não apurados — um risco parecido com o que discutimos ao analisar como agir quando um vídeo falso acusando uma empresa de fraude viraliza nas redes.
Pagar ou não o resgate: uma decisão com riscos dos dois lados
Um dos dilemas mais difíceis é decidir se a empresa deve ou não pagar o valor exigido pelos criminosos para liberar os dados sequestrados. Não existe uma resposta única e definitiva para todos os casos, e essa decisão deve ser tomada caso a caso, com participação do jurídico, da diretoria e, idealmente, de especialistas em negociação de incidentes cibernéticos.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Entre os riscos de pagar, estão: nenhuma garantia de que os dados serão de fato devolvidos ou não divulgados posteriormente; possibilidade de o pagamento reforçar o grupo criminoso para novos ataques; e, dependendo do destinatário do valor, questionamentos sobre a origem e o destino dos recursos. Entre os riscos de não pagar, estão a divulgação pública dos dados sequestrados, a perda definitiva de informações sem backup e o prolongamento da paralisação operacional, o que pode agravar danos a clientes e sócios. Por isso, essa decisão nunca deveria ser tomada de forma isolada pela área de tecnologia, sem envolvimento jurídico formal e sem registro das justificativas consideradas.
Como a empresa pode ser responsabilizada por falhas de segurança
A empresa vítima de ransomware não deixa de ser, também, alvo de um crime. Mas isso não afasta automaticamente sua responsabilidade perante clientes, parceiros e titulares de dados quando se comprova que faltaram medidas mínimas de segurança compatíveis com o risco do negócio — por exemplo, ausência de backups atualizados e isolados, sistemas desatualizados sem correções de segurança conhecidas, ou falta de controles básicos de acesso. Nesses casos, mesmo sendo vítima do ataque, a empresa pode responder por danos causados a terceiros cujos dados foram expostos, sobretudo quando o incidente afeta consumidores.
Por outro lado, empresas que conseguem demonstrar que adotavam políticas de segurança da informação, treinamentos periódicos, backups testados e um plano de resposta a incidentes já estruturado tendem a estar em posição jurídica bem mais confortável, ainda que o ataque tenha ocorrido. A existência de um plano formal de resposta a incidentes, testado antes de qualquer crise, costuma ser um dos fatores mais relevantes analisados quando se discute se houve ou não negligência da empresa.
Também é preciso ficar atento ao uso indireto dos dados vazados: informações de cadastro, contratos e propriedade intelectual da empresa podem acabar sendo comercializadas em fóruns e canais de mensageria, de forma parecida ao que ocorre quando um conteúdo digital pirateado passa a ser vendido no Telegram. Rastrear esse tipo de exposição faz parte de mitigar danos futuros à empresa e a terceiros.
Notificando fornecedores, parceiros e provedores envolvidos
Além da comunicação a titulares e autoridades, é comum que o ataque exija contato formal com fornecedores de tecnologia, provedores de hospedagem, instituições financeiras e parceiros comerciais cujos sistemas se conectam aos da empresa afetada. Se os criminosos criarem páginas falsas ou reproduzirem conteúdo institucional para aplicar golpes usando a marca da empresa, pode ser necessário notificar plataformas para retirada desse material, de forma semelhante ao processo usado quando copiam o layout e os textos de um site para aplicar golpes.
Se, durante a apuração, ficar constatado que dados de pessoas físicas ligadas à empresa (sócios, funcionários) foram usados para associar seus nomes a fraudes ou crimes que não cometeram, pode ser necessário também um trabalho específico de reputação digital individual, como já tratamos ao explicar como agir quando o nome de alguém aparece associado a um crime que não cometeu.
Construindo uma postura jurídica sólida após o incidente
Depois da fase mais crítica, vale estruturar um relatório interno completo do incidente, com linha do tempo, decisões tomadas, comunicações enviadas e medidas corretivas implementadas. Esse relatório serve tanto para eventual defesa da empresa em processos administrativos ou judiciais quanto para orientar a revisão de políticas internas de segurança da informação, evitando que a mesma vulnerabilidade seja explorada novamente.
Contar com assessoria jurídica desde as primeiras horas do ataque, e não apenas depois que o problema já se tornou público, costuma ser o fator que mais diferencia empresas que atravessam esse tipo de crise com danos administráveis daquelas que enfrentam anos de disputas e questionamentos sobre sua conduta.
Perguntas frequentes
Toda empresa que sofre ransomware precisa comunicar o incidente publicamente?
Não necessariamente de forma pública e imediata. O que existe é o dever de avaliar o risco para os titulares de dados afetados e comunicar as autoridades competentes e essas pessoas quando houver risco relevante. A divulgação pública ampla é uma decisão de comunicação institucional, distinta da comunicação obrigatória a titulares e autoridades.
A empresa pode ser responsabilizada mesmo sendo vítima do ataque?
Sim, é possível, principalmente quando se demonstra que faltaram medidas básicas de segurança compatíveis com o porte e o risco do negócio. Ser vítima de um crime não afasta, por si só, a responsabilidade por eventuais falhas próprias que tenham facilitado o ataque.
Pagar o resgate é ilegal?
A decisão de pagar ou não envolve riscos jurídicos, financeiros e reputacionais que precisam ser avaliados caso a caso, com apoio jurídico e técnico especializado. Não é uma escolha simples nem existe uma resposta padrão aplicável a todas as situações.
Quem deve ser avisado além da autoridade de proteção de dados?
Dependendo do caso, podem ser necessárias comunicações a clientes, fornecedores, instituições financeiras, seguradoras (se houver apólice de cyber risco) e parceiros comerciais cujos sistemas estejam conectados aos da empresa afetada.
O que fazer se os dados vazados forem usados em golpes contra clientes?
É importante documentar os casos relatados, orientar os clientes afetados sobre os cuidados a tomar e avaliar, com apoio jurídico, medidas de notificação a plataformas e instituições envolvidas nos golpes decorrentes do vazamento original.
Ter seguro cibernético dispensa a resposta jurídica ao incidente?
Não. O seguro pode ajudar a cobrir custos de resposta, notificação e eventuais indenizações, mas não substitui a necessidade de conduzir corretamente a apuração, a comunicação e a documentação do incidente desde o primeiro momento.
Referências gerais: Lei Geral de Proteção de Dados Pessoais (LGPD); Autoridade Nacional de Proteção de Dados (ANPD), regulamentação sobre comunicação de incidentes de segurança; Marco Civil da Internet.
Artigos relacionados
- Minha empresa sofreu um “shadowban” no Instagram e as publicações pararam de alcançar os seguidores sem qualquer aviso ou punição formal: como comprovar e responsabilizar a rede social?
- Gateway de pagamento sofreu vazamento e expôs dados dos meus clientes: minha empresa também pode ser responsabilizada?
- Apple Store ou Google Play removeu o aplicativo da minha empresa sem justificativa clara: quais as opções jurídicas?
- Uma loja ou aplicativo coletou meus dados biométricos por reconhecimento facial sem meu consentimento explícito: quais os riscos para a empresa perante a LGPD?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
