O que fazer nos três dias úteis depois de um ataque hacker na empresa e onde o seguro cyber entra

Depois de um ataque hacker, a empresa tem três frentes ao mesmo tempo. Conter o incidente, avisar a seguradora e decidir se precisa comunicar a ANPD e as pessoas cujos dados foram expostos. As duas últimas têm prazo. A Lei 15.040/2024 manda o segurado avisar a seguradora prontamente e seguir as instruções dela para conter o dano (art. 66, II). A Resolução CD/ANPD nº 15/2024 dá três dias úteis, contados de quando a empresa soube que dados pessoais foram afetados, para comunicar a ANPD (art. 6º) e os titulares (art. 9º). Quem tem seguro cyber percorre esse caminho com a equipe de resposta que a apólice paga. Quem não tem, percorre sozinho, com o relógio correndo.

Nas primeiras horas, conter sem destruir as provas

A tentação é formatar as máquinas e voltar a trabalhar. Não faça isso antes de falar com a seguradora e com a perícia. A Lei 15.040/2024 proíbe o segurado de modificar o local do sinistro e de destruir ou alterar elementos relacionados a ele (art. 68). Num ataque, o local do sinistro é o servidor, e os elementos são os registros de acesso, as cópias dos arquivos criptografados e a mensagem de resgate. Apagar isso por descuido obriga a empresa a arcar com as despesas a mais da regulação do sinistro, e apagar de propósito exonera a seguradora (art. 68, §§ 1º e 2º).

O que dá para fazer na hora, sem prejuízo da prova. Desconectar as máquinas afetadas da rede, sem desligá-las quando a orientação técnica for preservar a memória. Trocar senhas e revogar acessos de contas suspeitas. Isolar o backup que ainda não foi tocado. Anotar quem percebeu o quê, a que horas. Essa anotação vira o registro que a ANPD exige e a linha do tempo que a seguradora vai pedir.

A Resolução 15/2024 pede que o registro do incidente contenha a data em que a empresa soube dele, as circunstâncias, a natureza dos dados afetados, o número de titulares, a avaliação do risco e as medidas de correção (art. 10, §1º). Começar esse documento na primeira hora custa pouco e evita reconstruir tudo de memória semanas depois.

Quando avisar a seguradora e por que esse aviso é a melhor notícia do dia

Prontamente. A lei usa essa palavra (Lei 15.040/2024, art. 66, II), e a razão é prática. A apólice cyber vem com uma cesta de resposta a incidentes, com perícia forense, contenção, assessoria jurídica e comunicação, e a seguradora só aciona esse time depois do aviso. Cada hora sem o aviso é uma hora em que a empresa paga do próprio bolso o que a apólice pagaria.

O art. 67 completa a conta. As despesas com as medidas de contenção e salvamento, mesmo as feitas por terceiros, correm por conta da seguradora até o limite pactuado, sem reduzir a garantia, e isso vale ainda que o prejuízo fique abaixo da franquia ou que as medidas não tenham funcionado (art. 67, caput e §1º). Para uma empresa pequena, esse artigo significa que a perícia de emergência não sai do caixa.

O outro lado também está na lei. Quem descumpre dolosamente o dever de avisar e colaborar perde o direito à indenização, e quem descumpre por culpa perde o valor equivalente aos danos que a omissão causou (art. 66, §§ 1º e 2º). Avisar atrasado não zera a apólice, mas o prejuízo que cresceu no intervalo fica com a empresa.

Três números para ter à mão antes do incidente. O telefone de sinistro da seguradora, o número da apólice e o contato da corretora. A Framasa deixa isso na primeira página do dossiê de cada cliente de seguro cyber.

O incidente precisa ser comunicado à ANPD?

Nem todo incidente. A obrigação existe quando ele puder acarretar risco ou dano relevante aos titulares (LGPD, art. 48, e Resolução 15/2024, art. 4º). A Resolução define quando isso acontece. O incidente tem de afetar significativamente interesses e direitos dos titulares e, ao mesmo tempo, envolver pelo menos um destes dados. Sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação em sistemas, protegidos por sigilo legal, judicial ou profissional, ou dados em larga escala (art. 5º).

Na prática, um ransomware que criptografou o servidor de uma clínica envolve dados sensíveis de saúde. Um vazamento do cadastro de clientes de um e-commerce envolve dados financeiros, em geral em larga escala. Um acesso indevido ao sistema de senhas envolve dados de autenticação. Nesses casos a resposta tende a ser sim. Um vírus contido numa máquina sem dados pessoais tende a ficar só no registro interno. A decisão é jurídica e técnica ao mesmo tempo, e por isso a perícia e o advogado da apólice precisam estar na mesma mesa.

O prazo é de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (art. 6º, caput e §1º). A comunicação vai por formulário eletrônico da ANPD (§4º), assinada pelo encarregado ou por representante com procuração (§5º), e precisa trazer, entre outros itens, a natureza dos dados, o número de titulares, as medidas de segurança adotadas antes e depois, os riscos, a data do incidente e a do conhecimento, e a causa principal, se já identificada (§2º). O que não couber nos três dias pode ser complementado em vinte dias úteis (§3º). Agentes de tratamento de pequeno porte, definidos pela Resolução CD/ANPD nº 2/2022, contam esses prazos em dobro (§8º).

Comunicar não é confessar. A própria ANPD afirmou, em agosto de 2026, que a comunicação de um incidente não significa, de imediato, a abertura de um processo sancionador, e que deixar a autoridade acompanhar o caso é a melhor forma de evitar a sanção.

A frase é do superintendente de Fiscalização da ANPD no 3º Encontro ANPD de Encarregados. O caminho inverso também apareceu em 2026. Em julho, a ANPD abriu processo sancionador contra uma organização social de saúde por um incidente que expôs dados de cerca de 500 mil pacientes, apontando, entre outros pontos, que a entidade não comunicou individualmente os titulares e se limitou a um aviso no próprio site.

E os clientes e funcionários afetados?

Os titulares têm o mesmo prazo de três dias úteis (Resolução 15/2024, art. 9º). A comunicação precisa ser em linguagem simples e, quando for possível identificá-los, direta e individualizada, por telefone, e-mail, mensagem ou carta (§§ 1º e 2º). Só quando isso for inviável a empresa pode usar o site, os aplicativos e as redes sociais, com destaque visível por pelo menos três meses (§3º). Depois, junta ao processo da ANPD uma declaração de que avisou, dizendo por quais meios (§4º).

O texto deve dizer o que vazou, os riscos para a pessoa, o que a empresa fez e vai fazer, a data em que soube e um contato para dúvidas (art. 9º, caput). Incluir recomendações práticas ao titular, como trocar senhas ou desconfiar de contatos em nome da empresa, pode ser considerado boa prática na dosimetria da sanção (§5º). É aqui que a assessoria de comunicação da apólice se paga. Uma mensagem mal escrita vira manchete. Uma bem escrita vira cooperação.

Ransomware, a decisão mais difícil da semana

Pagar ou não pagar o resgate é uma decisão que nenhuma empresa deveria tomar sozinha, e as apólices de cyber não a tomam pela empresa. O que elas fazem é pagar a negociação especializada e, quando a cobertura de extorsão está contratada, os custos ligados à exigência de resgate, dentro do limite e das condições da apólice. As páginas públicas das seguradoras que operam o ramo no Brasil listam essa cobertura com nomes como extorsão cibernética ou pagamentos e despesas de extorsão. O que decide é a cláusula, e ela precisa ser lida antes do incidente, não durante.

Dois pontos pesam na decisão. O primeiro é se há backup íntegro e isolado, porque com ele o resgate deixa de ser necessário. O segundo é que pagar não garante que os dados copiados não serão vazados, o que mantém viva a obrigação de comunicar a ANPD e os titulares. A seguradora e a perícia precisam estar na conversa desde o início, e qualquer acordo feito por fora esbarra no dever de seguir as instruções da seguradora (Lei 15.040/2024, art. 66, II).

O que a apólice paga em cada etapa

O roteiro abaixo cruza as obrigações legais com as coberturas típicas das apólices do ramo. Cada seguradora tem a própria lista de coberturas, sublimites e franquias. Este artigo explica o que costuma entrar e o que fica de fora.

Depois do incidente, dois prazos jogam a favor da empresa

O primeiro é o da seguradora. Recebido o aviso com os documentos necessários, ela tem até 30 dias para dizer se há cobertura, sob pena de não poder mais recusá-la, e mais 30 dias para pagar depois de reconhecê-la (Lei 15.040/2024, arts. 86 e 87). O atraso gera multa de 2% sobre o valor devido, corrigido, mais juros (art. 88). Organizar a documentação desde o primeiro dia encurta esse caminho.

O segundo é o da ANPD. Ao dosar a sanção, a lei manda considerar a boa-fé, a cooperação com a autoridade, a adoção de mecanismos internos que minimizem o dano e a pronta adoção de medidas corretivas (LGPD, art. 52, §1º). A empresa que conteve, comunicou no prazo, avisou os titulares e documentou tudo chega a esse exame em posição muito diferente da que sumiu. O seguro cyber não evita o ataque. Ele faz a empresa chegar bem a esse exame.

Leia também

• O que o seguro cyber cobre numa pequena ou média empresa e o que a LGPD exige
• Seguro cyber é obrigatório no Brasil e o que o Banco Central passou a exigir dos provedores de tecnologia
• Quais seguradoras oferecem seguro cyber no Brasil e como comparar as apólices

Perguntas frequentes

Em quanto tempo preciso comunicar a ANPD depois de um ataque?

Em três dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais, sempre que houver risco ou dano relevante aos titulares (Resolução CD/ANPD 15/2024, art. 6º). Agentes de tratamento de pequeno porte têm o prazo em dobro (§8º).

Todo ataque hacker precisa ser comunicado à ANPD?

Não. Só o incidente que possa causar risco ou dano relevante, o que a Resolução 15/2024 caracteriza quando ele afeta significativamente os titulares e envolve dados sensíveis, de crianças ou idosos, financeiros, de autenticação, sigilosos ou em larga escala (art. 5º). Os demais ficam no registro interno, guardado por cinco anos (art. 10).

Preciso avisar os clientes afetados?

Sim, no mesmo prazo de três dias úteis, de forma direta e individualizada quando for possível identificá-los, em linguagem simples (Resolução 15/2024, art. 9º). Aviso só no site vale apenas quando a comunicação individual for inviável (§3º).

O que acontece se eu demorar para avisar a seguradora?

A lei manda avisar prontamente (Lei 15.040/2024, art. 66, II). A omissão dolosa faz perder a indenização; a omissão culposa faz perder o valor dos danos que a demora causou (§§ 1º e 2º).

Posso formatar os computadores atacados para voltar a trabalhar?

Antes de a perícia e a seguradora autorizarem, não. A lei proíbe alterar o local do sinistro e destruir elementos relacionados a ele (Lei 15.040/2024, art. 68), e os registros das máquinas são a prova do que aconteceu.

O seguro cyber paga o resgate do ransomware?

Depende da apólice. As coberturas de extorsão cibernética costumam pagar a negociação e, dentro do limite contratado, os custos ligados à exigência de resgate. A decisão de pagar é tomada com a seguradora e a perícia, nunca por fora.

Quanto tempo a seguradora tem para pagar o sinistro?

Até 30 dias para se manifestar sobre a cobertura, contados da entrega de todos os documentos, e até 30 dias para pagar depois de reconhecê-la (Lei 15.040/2024, arts. 86 e 87). O atraso gera multa de 2% mais juros (art. 88).

Felipe Porto