Ataques de ransomware: o que são, como funcionam e quais são as responsabilidades jurídicas

Nos últimos anos, os ataques de ransomware passaram a ocupar espaço frequente nas notícias envolvendo grandes empresas, hospitais, órgãos públicos e até escritórios de advocacia. Apesar disso, muitas pessoas ainda não sabem exatamente o que significa esse termo nem compreendem que suas consequências vão muito além da tecnologia, podendo gerar enormes prejuízos financeiros e relevantes responsabilidades jurídicas.

A palavra ransomware resulta da união de duas expressões da língua inglesa: ransom, que significa resgate, e software, programa de computador. Trata-se, portanto, de um programa malicioso desenvolvido para “sequestrar” sistemas informatizados ou arquivos digitais. Após invadir o computador ou a rede da vítima, o criminoso criptografa os dados, impedindo seu acesso, e exige o pagamento de um resgate, normalmente em criptomoedas, prometendo fornecer uma chave para restaurar os arquivos.

Na prática, é como se o criminoso colocasse todos os documentos digitais da vítima dentro de um cofre cuja senha apenas ele conhece. Enquanto o resgate não é pago — e, muitas vezes, mesmo depois do pagamento — os arquivos permanecem inacessíveis.

Os ataques evoluíram significativamente nos últimos anos. Atualmente, muitos criminosos não apenas bloqueiam os sistemas, mas também copiam previamente informações sigilosas da empresa. Depois, ameaçam divulgar contratos, documentos estratégicos, informações financeiras e dados pessoais de clientes caso o resgate não seja pago. Essa modalidade ficou conhecida como dupla extorsão e tornou os ataques ainda mais graves.

Embora grandes empresas sejam frequentemente alvo dessas organizações criminosas, pequenas empresas, clínicas médicas, escritórios de advocacia, escolas, condomínios e até pessoas físicas também podem ser vítimas. Em muitos casos, basta que um colaborador clique em um e-mail falso, faça o download de um arquivo contaminado ou informe sua senha em um site fraudulento para que toda a infraestrutura tecnológica seja comprometida.

O ransomware é apenas um problema de informática?

Não.

Hoje, o ransomware representa também um importante problema jurídico.

Um único ataque pode interromper completamente as atividades de uma empresa, impedir o cumprimento de contratos, provocar vazamento de dados pessoais, causar prejuízos financeiros expressivos e comprometer a reputação da organização perante clientes e parceiros comerciais.

Por isso, além da atuação da equipe de tecnologia da informação, muitas situações exigem análise jurídica para avaliar responsabilidades, preservar provas, cumprir obrigações legais e buscar a reparação dos prejuízos sofridos.

Quais leis protegem as vítimas?

Embora o Brasil ainda não possua uma lei específica sobre ransomware, diversas normas oferecem proteção às vítimas.

A Constituição Federal assegura a inviolabilidade da intimidade, da vida privada, dos dados pessoais e da propriedade. Desde a Emenda Constitucional nº 115/2022, a proteção de dados pessoais passou a ser reconhecida como direito fundamental.

O Código Civil prevê que aquele que causa dano a outra pessoa tem o dever de repará-lo, além de disciplinar a responsabilidade civil decorrente do descumprimento de obrigações legais e contratuais.

O Marco Civil da Internet (Lei nº 12.965/2014) estabelece princípios para o uso da internet no Brasil e reforça a importância da segurança das informações e da proteção da privacidade.

Já a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) determina que empresas e demais agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados, perda, destruição, alteração ou qualquer forma de tratamento inadequado ou ilícito.

No âmbito criminal, a Lei nº 14.155/2021 fortaleceu o combate aos crimes eletrônicos, aumentando as penas para diversas fraudes praticadas por meio digital.

A empresa sempre responde pelos danos?

Nem sempre.

É comum imaginar que toda responsabilidade recaia exclusivamente sobre os hackers. Contudo, essa não é necessariamente a conclusão jurídica.

O Superior Tribunal de Justiça enfrentou tema semelhante no julgamento do Recurso Especial nº 2.147.374/SP, ao analisar a responsabilidade decorrente de um ataque hacker que resultou em vazamento de dados pessoais. A Corte reconheceu que a simples alegação de atuação criminosa de terceiros não afasta automaticamente a responsabilidade da empresa. Caberá analisar, em cada caso concreto, se foram adotadas medidas de segurança compatíveis com os riscos da atividade e se o incidente poderia ter sido evitado. Esse entendimento reforça a importância da governança em proteção de dados e do cumprimento das obrigações previstas na LGPD.

Por outro lado, o próprio STJ também já decidiu que o simples vazamento de dados pessoais não gera automaticamente direito à indenização por danos morais. No julgamento do AREsp nº 2.130.619/SP, a Corte concluiu que, em regra, é necessária a demonstração dos prejuízos efetivamente sofridos pela vítima, especialmente quando estiverem envolvidos apenas dados pessoais comuns. Cada situação deve ser analisada individualmente.

É preciso comunicar o ataque às autoridades?

Dependendo das circunstâncias, sim.

Quando o ataque comprometer dados pessoais e puder gerar risco ou dano relevante aos titulares dessas informações, a Lei Geral de Proteção de Dados prevê a comunicação do incidente à Autoridade Nacional de Proteção de Dados (ANPD), além da adoção de medidas destinadas a reduzir os impactos do ocorrido.

A forma e a necessidade dessa comunicação dependerão das características específicas do incidente e da avaliação jurídica realizada em cada caso.

Vale a pena pagar o resgate?

Essa é uma das decisões mais difíceis enfrentadas pelas vítimas.

O pagamento não garante que os arquivos serão recuperados, nem impede que os criminosos divulguem posteriormente as informações obtidas durante a invasão. Também não há qualquer garantia de que a empresa não voltará a ser alvo de novos ataques.

Por essa razão, a decisão deve considerar aspectos técnicos, jurídicos, financeiros e operacionais, sempre com apoio de profissionais especializados.

Como reduzir os riscos?

A melhor proteção continua sendo a prevenção.

Investimentos em segurança da informação, treinamento de colaboradores, autenticação em múltiplos fatores, cópias de segurança atualizadas, controle de acessos e programas de governança em proteção de dados reduzem significativamente as chances de sucesso desse tipo de ataque.

Sob a perspectiva jurídica, também é recomendável revisar contratos com fornecedores de tecnologia, implementar políticas internas de segurança, estabelecer planos de resposta a incidentes e manter documentação capaz de demonstrar o cumprimento das obrigações previstas na LGPD.

Como um advogado pode ajudar?

Um ataque de ransomware não produz apenas consequências tecnológicas. Dependendo da situação, será necessário avaliar responsabilidades civis, cumprir obrigações previstas na legislação de proteção de dados, orientar a comunicação às autoridades competentes, preservar provas digitais, revisar contratos, acompanhar investigações e, quando cabível, buscar judicialmente a reparação dos prejuízos sofridos.

A atuação jurídica especializada também é importante para orientar empresas na adoção de medidas preventivas, reduzindo riscos antes mesmo da ocorrência de um incidente.

À medida que a transformação digital avança, ataques cibernéticos deixam de representar um problema exclusivamente tecnológico para se tornarem um desafio jurídico cada vez mais relevante. Conhecer os direitos das vítimas, compreender as responsabilidades envolvidas e adotar medidas preventivas são passos fundamentais para proteger o patrimônio, a reputação e a continuidade das atividades de pessoas e empresas diante de uma das maiores ameaças da atualidade.