Este artigo tem carater informativo e nao constitui assessoria juridica. Diante de um ataque de ransomware, consulte seu departamento juridico, DPO e, se necessario, um advogado especializado antes de tomar qualquer decisao de pagamento.
- Nao existe lei brasileira que proiba o pagamento de resgate em ransomware, mas o risco de sancoes internacionais existe se o grupo criminoso estiver listado em programas de sancoes dos EUA, UE ou ONU
- A LGPD exige notificacao a ANPD e aos titulares afetados em caso de incidente de seguranca com dados pessoais, independentemente de ter havido pagamento
- A ANPD pode considerar a gravidade do incidente e as medidas adotadas como atenuantes ou agravantes nas sancoes administrativas
- Cerca de 40% das organizacoes que pagam nao recuperam todos os dados; mais de 80% relatam novo ataque nos doze meses seguintes
- A preparacao antes do ataque, backups offline, plano de resposta a incidentes e retainer de IR, e a unica estrategia que melhora consistentemente o resultado
A posicao legal no Brasil
O Brasil nao possui legislacao especifica que proiba organizacoes de pagar resgates a grupos de ransomware. A ausencia de proibicao, porem, nao elimina os riscos juridicos.
Grupos de ransomware frequentemente operam por meio de entidades sancionadas internacionalmente. O OFAC americano (Office of Foreign Assets Control) sancionou varios grupos, incluindo LockBit, BlackCat/ALPHV e Conti. Empresas brasileiras com operacoes nos EUA, que usam bancos americanos para transferencias internacionais ou que processam dados de cidadaos americanos ficam sujeitas a essas sancoes ao realizar pagamentos.
Da mesma forma, sancoes da Uniao Europeia podem alcançar organizacoes brasileiras que atuam no mercado europeu ou que processam dados de residentes da UE.
Verifique com seu departamento juridico e DPO se o grupo responsavel pelo ataque esta listado em programas de sancoes do OFAC, UE ou ONU. Pagar a uma entidade sancionada acarreta penalidades civis independentemente do que diz a legislacao brasileira.
LGPD e obrigacao de notificacao
O Art. 48 da LGPD determina que o controlador comunique a ANPD e aos titulares afetados a ocorrencia de incidente de seguranca que possa acarretar risco ou dano relevante. A Resolucao CD/ANPD no 15/2024 definiu os prazos e procedimentos: a comunicacao a ANPD deve ser feita em ate tres dias uteis apos o conhecimento do incidente para casos considerados de alta gravidade, e em ate cinco dias para os demais.
Um ataque de ransomware que criptografou dados pessoais quase certamente se enquadra como incidente de alta gravidade. A obrigacao de notificar existe independentemente da decisao de pagamento. Pagar o resgate nao cancela essa obrigacao e nao reduz o risco de sancao da ANPD.
Na avaliacao de uma possivel sancao administrativa, a ANPD considera a gravidade do dano, as medidas de seguranca adotadas antes do incidente e a cooperacao da organizacao durante a investigacao. Quem implementou controles antes do ataque e notificou dentro do prazo recebe tratamento mais favoravel do que quem operava sem protecoes basicas.
Por que pagar raramente funciona como esperado
Mesmo ignorando os riscos juridicos, os resultados praticos do pagamento sao piores do que a maioria das organizacoes espera.
- Cerca de 40% nao recuperam todos os dados. Decriptadores fornecidos por grupos de ransomware sao frequentemente defeituosos, lentos ou incapazes de restaurar arquivos corruptamente criptografados.
- Mais de 80% sao atacados novamente no prazo de doze meses. Organizacoes que pagaram sinalizam que sao alvos dispostos a pagar. Muitos grupos vendem listas de "pagadores confirmados" a outros operadores.
- O pagamento nao remove o atacante da rede. A decriptacao dos arquivos nao significa que o acesso inicial foi eliminado. Sem uma investigacao forense completa, o backdoor permanece.
- Financia novas operacoes criminosas. O ecossistema de ransomware sobrevive dos pagamentos de vitimas anteriores. Cada transferencia financia o desenvolvimento de ferramentas e o recrutamento de novos afiliados.
Quando organizacoes consideram pagar
O cenario costuma ser o mesmo: backups inexistentes ou comprometidos, sistemas criticos fora do ar com impacto imediato nos negocios, e nenhuma outra rota de recuperacao disponivel.
A decisao depende da situacao especifica e envolve consideracoes juridicas, operacionais e de seguros. Nunca a tome sob pressao nos primeiros momentos do ataque, sem consulta juridica, e sem verificar se o grupo responsavel esta listado em algum programa de sancoes.
A preparacao que muda o resultado
Quem sai de um ataque de ransomware sem pagar tem uma coisa em comum: backups funcionais, testados e armazenados offline ou em sistema isolado da rede principal.
- Backups offline ou imutaveis. Backups conectados a rede sao frequentemente criptografados junto com os sistemas de producao. Copias offline ou em servicos de armazenamento com bloqueio de objeto sao resistentes a ransomware.
- Testes regulares de restauracao. Backup nunca testado nao e backup. Simule restauracoes periodicamente em ambiente isolado.
- Plano de resposta a incidentes documentado. No momento do ataque nao ha tempo para construir o processo. Equipes com playbooks estabelecidos agem mais rapido e cometem menos erros sob pressao.
- Retainer de resposta a incidentes. Um contrato pre-estabelecido com uma empresa de IR garante acesso imediato a especialistas forenses sem a negociacao de contrato em crise.
- Seguro cibernetico com cobertura adequada. Verifique as clausulas de cobertura de extorsao cibernetica e os requisitos de controles de seguranca exigidos pela seguradora.
Para orientacao sobre como responder nas primeiras 72 horas de um ataque, consulte nosso guia de resposta a ransomware: o que fazer antes, durante e apos um ataque.