Ransomware na empresa: o que o seguro cibernético cobre e o que fazer nas primeiras horas

Segunda-feira, sete da manhã. Os primeiros funcionários a chegar não conseguem abrir os arquivos. Os servidores mostram nomes de arquivo estranhos e, em cada pasta, o mesmo documento de texto: os dados foram criptografados, uma cópia foi levada, e há um prazo para pagar em criptomoeda — ou as informações de clientes serão publicadas.

O que acontece nas horas seguintes define duas coisas: quanto o incidente vai custar e se o seguro cibernético vai, de fato, pagar a conta. Este artigo trata das duas.

Os cinco custos de um ataque de ransomware

Um ataque desses não gera uma despesa; gera cinco ao mesmo tempo, e cada uma corresponde a um bloco diferente da apólice.

1. Resposta ao incidente

Investigação forense para descobrir como o invasor entrou, o que levou e se ainda está na rede; contenção; assessoria jurídica especializada em incidentes; e, quando necessário, assessoria de comunicação. É o primeiro custo e, muitas vezes, um dos maiores. As apólices cibernéticas costumam cobri-lo — frequentemente com uma rede de fornecedores já contratada pela seguradora, acionável por um canal 24 horas.

2. Recuperação de dados e sistemas

Restaurar backups, reconstruir servidores, reinstalar sistemas e recompor dados que não puderam ser recuperados. A cobertura de dados eletrônicos e de recomposição responde por esse custo, nos limites contratados.

3. Parada da operação

Enquanto os sistemas estão fora do ar, a empresa deixa de faturar e gasta mais para continuar operando. A cobertura de interrupção de negócios indeniza o lucro perdido e as despesas extras. Dois detalhes importam: o período de carência em horas antes de a indenização começar e o período máximo de indenização. Em ataques longos, ambos fazem diferença. O raciocínio de cálculo é o mesmo do seguro de lucros cessantes, mas aplicado a uma causa que as apólices patrimoniais tradicionais normalmente não cobrem.

4. Obrigações com os titulares dos dados

Se houve acesso a dados pessoais, a LGPD entra em cena. O art. 48 da Lei nº 13.709/2018 obriga o controlador a comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 fixou o prazo: três dias úteis contados do conhecimento de que o incidente afetou dados pessoais. A apólice costuma cobrir os custos de notificação e de monitoramento dos titulares e, onde a lei permite, as sanções administrativas — que, pelo art. 52 da LGPD, podem chegar a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração.

5. Reclamações de terceiros

Clientes cujos dados vazaram, parceiros cujos sistemas foram afetados, contratantes que sofreram prejuízo com a indisponibilidade. A cobertura de responsabilidade por dados paga a defesa e as indenizações. Se a sua empresa presta serviço de tecnologia e a falha atingiu a operação do cliente, entra também o RC profissional de TI, que responde pelo erro no serviço prestado.

E o resgate?

É a pergunta que todo mundo faz primeiro, e a resposta é: depende da apólice. Algumas oferecem cobertura de extorsão cibernética, quase sempre condicionada à autorização prévia da seguradora e à condução por especialistas indicados por ela. Outras excluem o pagamento.

Mesmo com cobertura, pagar não é a saída automática. Não há garantia de que a chave funcione, de que os dados copiados sejam apagados ou de que o grupo não volte a extorquir. A decisão envolve análise técnica, jurídica e de risco — e é exatamente por isso que não deve ser tomada sozinha, às sete da manhã de uma segunda-feira.

As primeiras horas: o que fazer e o que não fazer

O que se faz no começo do incidente pesa tanto quanto as coberturas contratadas.

Faça:

1. Acione a seguradora pelo canal de sinistro antes de contratar fornecedores por conta própria. Muitas apólices só reembolsam custos de fornecedores autorizados.
2. Isole os sistemas afetados da rede, sem desligar à força, apagar ou formatar. A perícia precisa das evidências.
3. Preserve os registros — logs de firewall, de servidores, de acesso remoto e de e-mail.
4. Registre o boletim de ocorrência e mantenha uma linha do tempo do que foi feito e quando.
5. Avalie desde já a comunicação à ANPD e aos titulares. O prazo de três dias úteis corre rápido quando a empresa ainda está apagando incêndio.

Não faça:

• Não negocie com os criminosos sem orientação especializada.
• Não restaure backups antes de entender por onde o invasor entrou — o risco é restaurar o ambiente com a porta ainda aberta.
• Não divulgue informações sobre o incidente sem alinhamento com o jurídico.

Os erros que fazem perder a cobertura

O seguro cibernético é contratado com base num questionário de segurança, e é nele que muitas negativas nascem. Se a empresa declarou ter autenticação multifator em todos os acessos remotos, backup isolado da rede ou rotina de atualização de sistemas — e isso não era verdade no dia do ataque —, a seguradora pode sustentar que houve declaração inexata. A Lei nº 15.040/2024 (art. 44) obriga o segurado a prestar as informações do questionário: se a omissão for dolosa, perde-se a garantia; se for culposa, a indenização é reduzida proporcionalmente à diferença de prêmio. Nos dois casos, a empresa recebe menos do que esperava — ou nada.

Os outros dois motivos frequentes são operacionais: contratar fornecedores ou pagar valores sem autorização e demorar para comunicar o sinistro. Os dois se evitam com a mesma medida: ter o canal de sinistro da seguradora no plano de resposta a incidentes, ao lado do telefone do time de TI.

O que o seguro cyber não cobre

Vale saber os limites antes do ataque:

• Hardware danificado — o foco da apólice são dados e sistemas; equipamentos costumam ficar com o seguro de equipamentos de tecnologia ou com o seguro patrimonial;
• Melhorias de segurança posteriores ao incidente — o seguro recompõe, não moderniza;
• Incidentes anteriores à data retroativa ou já conhecidos na contratação;
• Atos dolosos do próprio segurado.

Para dimensionar o limite, a calculadora de seguro cyber considera o volume de dados e o faturamento. Instituições sujeitas à regulação do Banco Central têm exigências específicas para prestadores de tecnologia, tratadas em Resolução BCB 498 e o seguro.

Conclusão

Um ataque de ransomware é, financeiramente, cinco sinistros ao mesmo tempo: resposta, recuperação, parada, obrigações com titulares e reclamações de terceiros. Um seguro cibernético bem contratado cobre a maior parte deles. Mas ele só responde como prometido se o questionário de segurança tiver retratado a realidade e se as primeiras decisões — acionar a seguradora, preservar evidências, cumprir o prazo da ANPD — forem tomadas certo. A apólice é parte do plano de resposta a incidentes, não um substituto para ele.

Este conteúdo é informativo e não substitui orientação jurídica ou técnica individualizada nem a leitura de uma apólice específica. Coberturas, sublimites, carências e exclusões variam conforme a seguradora e devem ser confirmados nas condições gerais. Se quiser avaliar a proteção cibernética da sua empresa, a equipe da NeuCorr Seguros pode ajudar.