Ransomware e extorsão cibernética: o que o seguro cobre e o que a empresa deve fazer
Como funciona a cobertura de ransomware no seguro cyber, o papel do backup, as regras sobre aviso à seguradora e os cuidados antes de pensar em pagar um resgate.
Em um ataque de ransomware, os criminosos criptografam (e muitas vezes copiam) os dados da empresa e exigem pagamento para devolver o acesso ou não divulgar as informações. O seguro cyber pode ajudar de várias formas: custeando especialistas de resposta, a restauração de sistemas, parte da perda de receita e, conforme a apólice, a negociação com os criminosos. Mas a cobertura quase sempre depende de condições, como aviso imediato à seguradora e a existência de controles mínimos. E nenhum seguro substitui um backup que funciona.
Como um ataque de ransomware costuma acontecer
Embora cada caso seja diferente, alguns caminhos de entrada são recorrentes: credenciais roubadas ou fracas em acessos remotos sem multifator, e-mails de phishing, sistemas expostos sem atualização e acesso de terceiros mal controlado. Depois da entrada, os invasores costumam se movimentar pela rede, desativar defesas, apagar ou criptografar backups acessíveis e só então acionar a criptografia. Muitos grupos praticam dupla extorsão: além de criptografar, ameaçam publicar os dados.
Esse padrão explica por que seguradoras perguntam sobre multifator, backups isolados e EDR: são controles que interrompem a cadeia do ataque.
O que o seguro pode cobrir em um caso de ransomware
| Item | Como costuma aparecer na apólice | Pontos de atenção |
|---|---|---|
| Equipe de resposta e perícia | Cobertura de resposta a incidentes | Pode exigir prestadores da rede da seguradora |
| Restauração de dados e sistemas | Custos de recuperação | Geralmente repõe o que existia, sem melhorias |
| Perda de receita | Interrupção de negócios | Carência em horas e prazo máximo de indenização |
| Negociação com criminosos | Extorsão cibernética | Pode exigir autorização prévia da seguradora |
| Pagamento de resgate | Quando coberto, com sublimite | Condicionado a lei aplicável, avaliação e aprovação prévia |
| Notificações e monitoramento | Custos de comunicação a titulares | Limites por evento |
| Defesa em ações de titulares | Responsabilidade por dados | Franquia e sublimites |
Aviso à seguradora: o primeiro passo que muita gente esquece
A maioria das apólices exige comunicação imediata do incidente e contato com a linha de emergência antes de tomar certas medidas, especialmente em casos de extorsão. A Lei nº 15.040/2024, que rege os contratos de seguro, também prevê deveres do segurado de avisar o sinistro e de adotar providências para limitar suas consequências; confira o texto vigente. Agir por conta própria, como contratar uma consultoria cara sem avisar ou negociar com o atacante sozinho, pode gerar discussão sobre reembolso. Veja o passo a passo para acionar o seguro.
Pagar ou não pagar o resgate?
Essa decisão envolve questões técnicas, jurídicas e éticas, e não é recomendada como estratégia padrão. Pontos a considerar:
- Não há garantia de que os criminosos entregarão a chave ou de que a ferramenta funcionará sem perdas.
- Pagar pode estimular novos ataques e financiar atividades ilícitas.
- Pode haver riscos legais, como restrições por sanções internacionais a certos grupos ou questões de lavagem de dinheiro. Peça orientação jurídica.
- Se houve vazamento de dados, pagar não elimina obrigações de comunicação nem a possibilidade de publicação.
- Uma boa estratégia de backup e restauração muitas vezes torna o pagamento desnecessário.
Se a apólice cobre pagamento, a decisão deve ser tomada com a seguradora, especialistas em negociação e assessoria jurídica, não sob pressão do relógio dos criminosos.
Boas práticas que reduzem o impacto
- Backup 3-2-1 e imutabilidade: três cópias, em dois tipos de mídia, uma delas fora da rede e protegida contra alteração. Teste restaurações periodicamente.
- Multifator em e-mail, VPN, acessos administrativos e contas de terceiros.
- Atualizações de sistemas e dispositivos de borda (firewall, VPN, servidores expostos).
- EDR/MDR para detectar movimentação lateral e tentativas de desativar defesas.
- Segmentação de rede e privilégio mínimo, limitando o alcance de uma conta invadida.
- Plano de resposta com papéis, contatos (TI, jurídico, corretor, seguradora, comunicação) e decisões pré-definidas, como quem autoriza desligar sistemas.
- Treinamento contra phishing e procedimentos para reportar e-mails suspeitos.
Ransomware, LGPD e comunicação às autoridades
Se dados pessoais foram afetados, a LGPD (Lei nº 13.709/2018) exige avaliar a necessidade de comunicar a ANPD e os titulares. Veja LGPD, incidente de segurança e a comunicação à ANPD. Também é possível registrar boletim de ocorrência e acionar a polícia especializada em crimes cibernéticos do seu estado, o que pode ser útil para fins legais. O CERT.br recebe notificações de incidentes e pode orientar, sem substituir o atendimento técnico.
Exclusões e limitações específicas
Atenção a cláusulas como: exclusão de ataques decorrentes de falta de manutenção de controles declarados no questionário; exigência de atualizações em prazo determinado; exclusão de atos de guerra ou ataques atribuídos a estados; cobertura de resgate sujeita à legalidade. Leia o que o seguro cyber normalmente não cobre.
Quando procurar ajuda profissional
Em um incidente real, acione imediatamente a seguradora (se houver apólice), uma equipe de resposta a incidentes e um advogado. Não improvise a negociação com criminosos.
Perguntas frequentes
O seguro paga o resgate sempre?
Não. A cobertura de resgate é opcional em muitos produtos, tem sublimite e condições, e depende da legalidade do pagamento.
Preciso de backup para ter cobertura?
Muitas seguradoras exigem backup como condição de aceitação, e ele reduz o prejuízo. Mesmo sem exigência, é a defesa mais eficaz.
A seguradora decide se pago ou não?
A decisão é da empresa, mas a apólice pode condicionar o reembolso à autorização prévia da seguradora.
Posso recuperar os dados sem pagar?
Às vezes, por meio de backups, ferramentas de descriptografia públicas para certas variantes ou reconstrução. Especialistas avaliam o caso.
Fontes e referências
- CERT.br — notificação de incidentes e cartilhas.
- ANPD — comunicação de incidentes de segurança.
- Polícia Federal — informações sobre crimes cibernéticos.
