Este artigo tem caráter informativo e não constitui assessoria jurídica. Diante de um ataque de ransomware, consulte seu departamento jurídico, DPO e, se necessário, um advogado especializado antes de tomar qualquer decisão de pagamento.
- Não existe lei brasileira que proíba o pagamento de resgate em ransomware, mas o risco de sanções internacionais existe se o grupo criminoso estiver listado em programas de sanções dos EUA, UE ou ONU
- A LGPD exige notificação à ANPD e aos titulares afetados em caso de incidente de segurança com dados pessoais, independentemente de ter havido pagamento
- A ANPD pode considerar a gravidade do incidente e as medidas adotadas como atenuantes ou agravantes nas sanções administrativas
- Cerca de 40% das organizações que pagam não recuperam todos os dados; mais de 80% relatam novo ataque nos doze meses seguintes
- A preparação antes do ataque, backups offline, plano de resposta a incidentes e retainer de IR, é a única estratégia que melhora consistentemente o resultado
A posição legal no Brasil
O Brasil não possui legislação específica que proíba organizações de pagar resgates a grupos de ransomware. A ausência de proibição, porém, não elimina os riscos jurídicos.
Grupos de ransomware frequentemente operam por meio de entidades sancionadas internacionalmente. O OFAC americano (Office of Foreign Assets Control) sancionou vários grupos, incluindo LockBit, BlackCat/ALPHV e Conti. Empresas brasileiras com operações nos EUA, que usam bancos americanos para transferências internacionais ou que processam dados de cidadãos americanos ficam sujeitas a essas sanções ao realizar pagamentos.
Da mesma forma, sanções da União Europeia podem alcançar organizações brasileiras que atuam no mercado europeu ou que processam dados de residentes da UE.
Verifique com seu departamento jurídico e DPO se o grupo responsável pelo ataque está listado em programas de sanções do OFAC, UE ou ONU. Pagar a uma entidade sancionada acarreta penalidades civis independentemente do que diz a legislação brasileira.
LGPD e obrigação de notificação
O Art. 48 da LGPD determina que o controlador comunique a ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD no 15/2024 definiu os prazos e procedimentos: a comunicação à ANPD deve ser feita em até três dias úteis após o conhecimento do incidente para casos considerados de alta gravidade, e em até cinco dias para os demais.
Um ataque de ransomware que criptografou dados pessoais quase certamente se enquadra como incidente de alta gravidade. A obrigação de notificar existe independentemente da decisão de pagamento. Pagar o resgate não cancela essa obrigação e não reduz o risco de sanção da ANPD.
Na avaliação de uma possível sanção administrativa, a ANPD considera a gravidade do dano, as medidas de segurança adotadas antes do incidente e a cooperação da organização durante a investigação. Quem implementou controles antes do ataque e notificou dentro do prazo recebe tratamento mais favorável do que quem operava sem proteções básicas.
Por que pagar raramente funciona como esperado
Mesmo ignorando os riscos jurídicos, os resultados práticos do pagamento são piores do que a maioria das organizações espera.
- Cerca de 40% não recuperam todos os dados. Decriptadores fornecidos por grupos de ransomware são frequentemente defeituosos, lentos ou incapazes de restaurar arquivos corruptamente criptografados.
- Mais de 80% são atacados novamente no prazo de doze meses. Organizações que pagaram sinalizam que são alvos dispostos a pagar. Muitos grupos vendem listas de "pagadores confirmados" a outros operadores.
- O pagamento não remove o atacante da rede. A decriptacao dos arquivos não significa que o acesso inicial foi eliminado. Sem uma investigação forense completa, o backdoor permanece.
- Financia novas operações criminosas. O ecossistema de ransomware sobrevive dos pagamentos de vítimas anteriores. Cada transferência financia o desenvolvimento de ferramentas e o recrutamento de novos afiliados.
Quando organizações consideram pagar
O cenário costuma ser o mesmo: backups inexistentes ou comprometidos, sistemas críticos fora do ar com impacto imediato nos negócios, e nenhuma outra rota de recuperação disponível.
A decisão depende da situação específica e envolve considerações jurídicas, operacionais e de seguros. Nunca a tome sob pressão nos primeiros momentos do ataque, sem consulta jurídica, e sem verificar se o grupo responsável está listado em algum programa de sanções.
A preparação que muda o resultado
Quem sai de um ataque de ransomware sem pagar tem uma coisa em comum: backups funcionais, testados e armazenados offline ou em sistema isolado da rede principal.
- Backups offline ou imutáveis. Backups conectados a rede são frequentemente criptografados junto com os sistemas de produção. Cópias offline ou em serviços de armazenamento com bloqueio de objeto são resistentes a ransomware.
- Testes regulares de restauração. Backup nunca testado não é backup. Simule restaurações periodicamente em ambiente isolado.
- Plano de resposta a incidentes documentado. No momento do ataque não há tempo para construir o processo. Equipes com playbooks estabelecidos agem mais rápido e cometem menos erros sob pressão.
- Retainer de resposta a incidentes. Um contrato pré-estabelecido com uma empresa de IR garante acesso imediato a especialistas forenses sem a negociação de contrato em crise.
- Seguro cibernético com cobertura adequada. Verifique as cláusulas de cobertura de extorsão cibernética e os requisitos de controles de segurança exigidos pela seguradora.
Para orientação sobre como responder nas primeiras 72 horas de um ataque, consulte nosso guia de resposta a ransomware: o que fazer antes, durante e após um ataque.
Quando o pagamento invalida o seu seguro cibernético
Muitas apólices de seguro cibernético cobrem ransomware, mas cada uma delas inclui condições vinculadas a essa cobertura. Descobrir essas condições depois que os fundos já foram transferidos não deixa espaço para agir.
Aprovação prévia não é opcional
A maioria das apólices com cobertura de ransomware exige que você notifique a seguradora e obtenha aprovação antes de qualquer pagamento de resgate. Essa notificação é uma condição contratual da sua cobertura. Pagar antes de ligar para a corretora, mesmo que pretenda reembolsar o valor depois, pode invalidar a cobertura de ransomware. Ligue para a seguradora ou corretora antes de qualquer outra etapa de resposta ao incidente.
A triagem de sanções cria uma obrigação compartilhada
A maioria das apólices exclui reembolso de pagamentos feitos a entidades sancionadas, o que dá à seguradora interesse financeiro direto em identificar o agente de ameaça antes de qualquer transferência. Compartilhe todas as informações de atribuição que a sua equipe de resposta a incidentes coletou e dê tempo à seguradora para concluir a triagem de sanções da OFAC e da lista da ONU. Transferir fundos a um grupo sancionado antes desse processo concluir significa perder a indenização e ainda enfrentar penalidades civis.
Painéis aprovados de resposta a incidentes
Muitas seguradoras mantêm um painel de fornecedores de resposta a incidentes aprovados. Contratar uma empresa fora desse painel, mesmo que bem conceituada, pode invalidar a cobertura dos custos de resposta. Verifique os requisitos de painel da sua apólice antes de assinar qualquer contrato de IR e, novamente, antes de acionar qualquer empresa durante um incidente ativo.
Sublimites de extorsão cibernética
Uma apólice de seguro cibernético de R$10 milhões não oferece R$10 milhões de cobertura para ransomware. A maioria das apólices tem um sublimite separado para extorsão cibernética abaixo do limite principal. Um sublimite de R$1,25 milhão em uma apólice de R$10 milhões significa que você arca com o restante caso o valor do resgate seja superior. Verifique o sublimite agora. Se descobrir essa lacuna durante um ataque ativo, não terá tempo de resolvê-la.
A exclusão de guerra e guerra cibernética da Lloyd’s
Desde janeiro de 2023, a Lloyd’s of London passou a exigir que todas as apólices cibernéticas independentes excluam perdas atribuídas a ataques patrocinados por estados. Se a sua equipe de IR ou uma autoridade governamental, como o CTIR Gov, atribuir a campanha a um Estado-nação, a seguradora pode recusar o pagamento. A exclusão abrange ataques “realizados ou apoiados por” um Estado, o que deixa margem para contestação, mas a interpretação da apólice ocorre em um prazo que não joga a seu favor durante um incidente ativo.
Ligue primeiro para a corretora. Documente cada decisão da equipe, cada comunicação com o atacante e todas as evidências de atribuição fornecidas pela equipe de IR. Consulte um advogado com experiência em sanções financeiras. Não transfira fundos sem confirmação escrita da seguradora.
Um roteiro para a decisão sobre o resgate
Durante um ataque de ransomware, você tem informações incompletas e um atacante pressionando por uma decisão rápida. As etapas abaixo testam se o pagamento é juridicamente viável e marcam os pontos em que você perde a escolha, por força da lei ou das condições da apólice. Percorra cada etapa em sequência e pare na primeira que produzir um resultado definitivo.
Seus backups estão intactos, isolados da rede de produção e com restauração confirmada para um estado limpo recente?
Backups indisponíveis ou comprometidos. Siga para a etapa 2.
O atacante demonstrou um decriptador funcional em uma amostra dos seus arquivos criptografados?
Amostra do decriptador confirmada. Siga para a etapa 3.
O atacante ou o grupo afiliado consta na lista da OFAC ou nas listas de sanções da ONU e da UE?
Nenhuma correspondência em listas de sanções. Siga para a etapa 4.
Você notificou a seguradora ou a corretora e recebeu confirmação por escrito?
Seguradora notificada e confirmação recebida. Siga para a etapa 5.
O valor do resgate está dentro do sublimite de extorsão cibernética da sua apólice?
O resgate está dentro do sublimite coberto. Siga para a etapa 6.
Compare o tempo estimado de recuperação sem pagamento com o custo do resgate e os riscos residuais de pagar.
Sua equipe de IR pode orientar sobre o histórico conhecido de decriptação do atacante e sobre o prazo realista de restauração sem pagar. Seu advogado pode confirmar a exposição regulatória remanescente. A diretoria e o jurídico tomam a decisão final em conjunto. Registre o raciocínio por escrito antes de autorizar qualquer pagamento.
Na etapa 6, a diretoria e o jurídico tomam a decisão final. Quatro fatores alimentam esse julgamento: o valor do resgate, o prazo de recuperação sem pagar, o histórico conhecido de decriptação do atacante e a exposição jurídica residual. As cinco etapas anteriores resolvem a decisão antes da etapa 6 ou delimitam o que precisa ser pesado nela.