Numa segunda-feira de manhã, o gerente financeiro liga antes do café: nenhum arquivo abre, o sistema de faturamento mostra uma tela estranha e há um texto exigindo pagamento para devolver os dados. Nesse momento, a dúvida que importa é outra: o que fazer em caso de ransomware nas próximas horas, e quem decide cada passo. A resposta costuma sair pior quando ninguém escreveu o plano antes.
Ransomware é um sequestro digital de dados. O criminoso criptografa arquivos e sistemas da empresa e cobra um resgate para devolver o acesso. A tese deste texto é que a primeira decisão de um ataque não é técnica: é uma decisão de gestão sobre quem coordena, o que se desliga e quem é avisado. Relatórios de fornecedores de segurança registraram aumento de ataques de ransomware contra empresas brasileiras ao longo de 2026, e isso transforma o plano de resposta em necessidade, não em exercício para quem tem tempo sobrando.
Este texto cuida da resposta, não da prevenção. Quem ainda não revisou os riscos que mais causam prejuízo pode começar por aí. Aqui o foco é o que acontece depois que a porta já foi aberta.
O que é ransomware?
Ransomware é um programa malicioso que criptografa arquivos, bancos de dados e sistemas de uma organização, deixando-os inacessíveis até que alguém pague um resgate. Ele costuma entrar por uma senha fraca ou vazada, por um e-mail com anexo enganoso ou por um acesso remoto sem proteção, e pode ficar oculto por algum tempo antes de ser ativado.
Para o gestor, o ponto central não é a técnica de criptografia. É o efeito: pedidos param de sair, a equipe não acessa o sistema de gestão, o atendimento volta para o papel. Por isso o plano de resposta precisa ser pensado como plano de continuidade, com responsáveis e ordem de ações definidos antes do problema, e não como um manual que a equipe técnica lê depois.
Dois pontos merecem atenção já de início. O primeiro é quem coordena o incidente. O segundo é onde estão as cópias de segurança e se o mesmo ataque consegue alcançá-las. Se a empresa não sabe responder a essas duas perguntas numa segunda-feira de manhã, o prejuízo já começou.
O que fazer em caso de ransomware: quem decide primeiro?
Uma das falhas mais comuns é deixar a decisão com quem está mais perto do problema. O analista que percebeu o ataque quer resolver sozinho, o gestor de TI quer proteger o time, e o diretor espera uma explicação. Sem um coordenador definido, cada um age por conta própria, e a empresa perde tempo justamente quando não pode perder.
O coordenador não precisa ser a pessoa mais técnica da sala. Precisa ter autonomia para desligar sistemas, aprovar gastos com fornecedores e falar em nome da empresa. Ele convoca as outras frentes e registra cada decisão com horário. Na prática, costumam ser quatro frentes:
- Coordenação. Uma pessoa com poder de parar a operação, de preferência da diretoria ou da gerência geral, que não fique presa a um departamento.
- Técnica. Quem isola equipamentos, investiga a origem e restaura o que for possível, com acesso aos registros e às cópias.
- Comunicação. Quem fala com clientes e funcionários, sempre com textos aprovados pelo coordenador, para não haver versões contraditórias.
- Jurídico e dados pessoais. Quem avalia os prazos de comunicação à ANPD e aos titulares e conversa com o encarregado pelos dados pessoais.
Exemplo: em uma empresa de médio porte com um único analista de TI, o diretor administrativo pode ser o coordenador, com um fornecedor de resposta a incidentes acionado por contrato antes do problema. Outro ponto que costuma travar a resposta é o acesso. Se só o analista sabe onde estão as senhas dos sistemas e dos fornecedores, o coordenador fica sem como agir. O tema está em onde ficam as senhas da sua empresa.
O que isolar primeiro e o que não fazer?
Nas primeiras horas, o instinto é limpar, reiniciar e voltar a trabalhar. Essa pressa costuma apagar justamente as pistas que a equipe precisa para entender o ataque e saber o que ainda pode ser recuperado. A ordem certa é conter, preservar e só então restaurar.
Para conter, desconecte da rede os equipamentos afetados, sem apagá-los, e bloqueie as contas que aparecem na investigação. Para preservar, não delete arquivos criptografados, não limpe registros de acesso e não reinstale máquinas antes de ter um retrato do estado em que elas ficaram. Cópias que continuam conectadas à mesma rede também podem ser criptografadas junto com o resto. O texto sobre backup e continuidade mostra como separar essas cópias antes que o problema apareça.
- Não pagar sem análise. Pagar o resgate não garante a devolução dos dados nem impede um novo ataque depois.
- Não apagar registros. Os logs mostram por onde o criminoso entrou e o que ele tocou, e são a base para decidir o que foi perdido.
- Não comunicar antes do coordenador. Uma mensagem improvisada no site ou nas redes cria mais problemas do que resolve.
- Não restaurar tudo de uma vez. Religar sistemas sem saber a porta de entrada reabre o ataque no mesmo lugar.
Pagar o resgate ou não?
Essa é a pergunta que mais pesa na mesa do dono, e a resposta não deve sair no calor da primeira reunião. Pagar não garante que os dados voltem inteiros, não garante que o acesso do criminoso foi removido de todos os pontos e não impede que a empresa seja procurada de novo. A decisão exige três visões juntas: a técnica, sobre o que foi de fato afetado; a jurídica, sobre as obrigações da empresa; e a de negócio, sobre quanto a operação aguenta ficar parada.
Uma regra prática evita decisões por impulso. Se a equipe técnica ainda não sabe dizer o que foi criptografado, quais dados pessoais estavam ali e se existe cópia recuperável, a decisão de pagar não está madura. Quando essa informação chega, a conversa muda. O gestor deixa de escolher entre pagar e perder tudo e passa a escolher entre caminhos com custos e riscos conhecidos.
Quando comunicar a ANPD e os titulares?
Quando o incidente envolve dados pessoais, a empresa tem obrigações perante a Autoridade Nacional de Proteção de Dados (ANPD). Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares um incidente de segurança com dados pessoais em até 3 dias úteis, contados do momento em que ficou sabendo do incidente. A complementação de informações pode vir em até 20 dias úteis.
O ponto que mais surpreende os gestores é o início do prazo. Ele começa quando a empresa ficou sabendo do incidente, não quando a operação volta ao normal. Por isso, registre desde o primeiro minuto o horário em que o problema foi percebido e por quem.
Exemplo: se o ataque é percebido numa segunda-feira, o prazo de três dias úteis costuma vencer na quinta-feira da mesma semana, a menos que haja feriado no caminho. O plano de resposta deve trazer esse calendário, com o nome de quem redige o aviso e de quem aprova. Vale confirmar com o jurídico ou com o encarregado pelos dados pessoais quais casos se enquadram nessa obrigação.
Um plano de resposta se escreve antes do ataque
O que separa a empresa que perde um dia da que perde um mês não é a ferramenta comprada, e sim o roteiro escrito e ensaiado. Quem coordena, quem isola, quem fala com os clientes, quem avisa a ANPD e onde estão as cópias precisam estar no papel, com nomes e contatos atualizados. Se a sua empresa ainda não tem esse roteiro, fale com o nosso time e veja como montá-lo a partir da realidade do seu negócio.
Perguntas frequentes sobre ransomware
O que fazer em caso de ransomware se a empresa não tem equipe de TI?
Acione um fornecedor de resposta a incidentes ou uma empresa de TI de confiança antes de tentar resolver sozinho. Enquanto isso, desconecte da rede os equipamentos afetados, sem apagá-los, e registre o horário em que o problema foi percebido. Esses passos preservam o que ainda pode ser recuperado.
Pagar o resgate resolve o problema?
Não há garantia de que o criminoso devolva os dados completos nem de que o acesso seja removido de todos os pontos. A decisão precisa de análise técnica e jurídica e não deve ser tomada com pressa.
Quanto tempo a empresa tem para avisar a ANPD?
Pela Resolução CD/ANPD nº 15/2024, a comunicação de um incidente de segurança com dados pessoais deve ser feita em até 3 dias úteis, contados do momento em que a empresa ficou sabendo do incidente. A complementação pode vir em até 20 dias úteis. Confirme com o jurídico quais casos se enquadram.