Os números no Brasil
A pesquisa da Sophos publicada em junho de 2025 ouviu organizações brasileiras de 100 a 5.000 funcionários atingidas por ransomware. O que ela mostra:
| Dado | Brasil, 2025 |
|---|---|
| Ataques que criptografaram dados | 54% |
| Entre as que tiveram dados criptografados, recuperaram pelo backup | 73% (81% no ano anterior) |
| Entre as que tiveram dados criptografados, pagaram o resgate e recuperaram | 66% |
| Pagamento mediano de resgate | US$ 400 mil |
| Custo médio de recuperação, sem o resgate | US$ 1,19 milhão |
| Recuperaram-se em até uma semana | 55% |
| Levaram de um a seis meses | 20% |
A amostra começa em 100 funcionários, acima do porte de muitos escritórios, então os números descrevem empresas médias e grandes. Uma mesma organização pode ter usado o backup e também pago o resgate. Em junho de 2026, o Brasil foi o terceiro país com mais vítimas registradas no levantamento do Ransomware.live, com 23 casos, segundo a TI Inside.
As primeiras horas
- Isolar. Tire da rede os computadores e servidores afetados, inclusive o Wi-Fi. Se der para isolar, mantenha os equipamentos ligados, porque desligar pode apagar evidências. Se não der para isolar e a criptografia estiver se espalhando, desligar pode ser necessário para conter o ataque.
- Chamar ajuda especializada. Acione quem cuida do seu ambiente e do backup, o seu advogado e o seguro, se houver.
- Proteger as cópias. Confirme que a cópia fora da empresa e a cópia protegida contra apagamento estão intactas e desconectadas do ambiente atacado.
- Registrar. Anote horários, telas de resgate, contas afetadas e quem percebeu primeiro. Esse registro serve para a investigação, para o seguro e para a comunicação à ANPD.
- Trocar as senhas de administração a partir de um equipamento limpo, começando por e-mail, servidor e backup, e encerrar as sessões abertas e os acessos remotos que possam estar comprometidos.
- Tirar o invasor do ambiente. Antes de restaurar, encontre e feche a porta de entrada e confirme que as cópias escolhidas estão limpas. Restaurar sobre um ambiente ainda invadido devolve o problema.
- Decidir o ponto de restauração. Escolha a cópia mais recente anterior à entrada do atacante, que pode ter ocorrido dias antes da criptografia.
A volta ao trabalho
Com cópia limpa e testada, a volta segue uma ordem: primeiro o que fatura e atende cliente, depois o restante. O tempo medido nos testes mensais mostra quanto leva a restauração nas condições testadas; contenção e investigação somam tempo a isso. Sem cópia que funcione, a empresa fica entre reconstruir do zero e negociar com o criminoso, sem garantia de receber os dados.
Pagar o resgate não apaga a cópia dos dados que o atacante pode ter levado. Na pesquisa da Sophos, houve roubo de dados em 22% dos ataques com criptografia.
Comunicação à ANPD
A Resolução CD/ANPD nº 15/2024 trata do incidente que possa acarretar risco ou dano relevante aos titulares dos dados. Nesse caso, o controlador comunica a ANPD e os titulares em até três dias úteis, contados de quando soube que o incidente afetou dados pessoais, ressalvado prazo previsto em lei específica.
Agentes de tratamento de pequeno porte enquadrados na regulamentação da ANPD têm prazo em dobro. A comunicação à ANPD pode ser complementada, de forma fundamentada, em até vinte dias úteis contados da comunicação, prazo que também dobra para esses agentes. Confirme o caso com o seu advogado ou encarregado de dados.
O que preparar antes
- uma cópia fora da empresa e uma protegida contra alteração e apagamento;
- teste de restauração com tempo medido, todo mês;
- a lista de quem decide e de quem chamar, impressa, fora do computador;
- contatos do advogado, do encarregado de dados e do seguro, se houver;
- a ordem de volta dos sistemas, combinada com os sócios.
Preparar a minha empresa antes do ataque
Perguntas frequentes
Pagar o resgate devolve os dados?
Não há garantia. Pagar financia o próximo ataque, pode não devolver tudo e não apaga a cópia que o criminoso pode ter levado. Uma cópia limpa e testada é o que dá à empresa a opção de não depender do criminoso.
Qual o prazo para comunicar um incidente à ANPD?
Pela Resolução CD/ANPD nº 15/2024, quando o incidente puder acarretar risco ou dano relevante aos titulares, o controlador comunica a ANPD e os titulares em até três dias úteis, contados de quando soube que dados pessoais foram afetados. Agentes de pequeno porte enquadrados na regulamentação têm prazo em dobro.