Ransomware na Empresa: Como o Seguro Cyber Ajuda nas Primeiras 72 Horas
Passo a passo prático do que acontece em um ataque de ransomware e como o seguro Cyber atua — resgate, restauração, lucros cessantes e comunicação.
Ransomware é hoje o sinistro cibernético mais comum em PMEs brasileiras. Em questão de minutos, todos os arquivos da empresa são criptografados, a operação para, e aparece uma tela exigindo resgate em criptomoeda. Para quem não tem plano de resposta nem seguro Cyber, as primeiras 72h costumam decidir entre voltar a operar em uma semana ou perder semanas (e clientes). Este guia mostra como o seguro atua em cada momento do evento.
Hora 0 — Detecção. Sistemas param, telas mostram a nota de resgate, backups online costumam estar também criptografados (porque o atacante mapeou antes). Primeira ação: desconectar tudo da rede para conter a propagação.
Hora 1 a 4 — Acionamento do seguro. Ligue imediatamente para o corretor e para a seguradora (a maioria das apólices Cyber tem 0800 de emergência 24h). O time de resposta entra em contato. NÃO restaure nada antes da autorização — atos não coordenados podem destruir evidência forense e invalidar cobertura.
Hora 4 a 24 — Time de resposta no comando. A seguradora aciona empresa especializada em resposta a incidente (DFIR — Digital Forensics and Incident Response). Eles fazem: contenção, análise forense para entender vetor de entrada, mapeamento do que foi acessado, identificação do grupo criminoso e avaliação técnica das opções (pagar, restaurar de backup, reconstruir).
Hora 24 a 48 — Avaliação jurídica e regulatória. Time jurídico avalia se houve acesso a dados pessoais (LGPD aciona) e se o pagamento de resgate é viável legalmente. Pagamento a grupos sob sanção internacional pode ser ilegal. Comunicação preliminar à ANPD começa a ser preparada se houver indício de vazamento.
Hora 48 a 72 — Decisão: pagar ou restaurar. Se há backup íntegro testado, restaurar é a opção preferida. Se backup está comprometido ou os dados criptografados são únicos, o seguro pode autorizar pagamento do resgate (dentro de condições legais) e cobrir o valor. A negociação com criminosos é conduzida por empresa especializada.
Após 72h — Recuperação e notificação. Sistemas restaurados ou reconstruídos. Comunicação formal à ANPD (até 'prazo razoável' — em geral 5 dias úteis após confirmação). Notificação aos titulares afetados. Comunicação a clientes B2B. Avaliação de impacto e plano de mitigação.
Custos cobertos pelo seguro Cyber em um ataque típico. (i) Honorários do time DFIR (R$ 200 mil a R$ 1 milhão); (ii) advogados especializados em LGPD (R$ 50 mil a R$ 300 mil); (iii) custos de notificação a titulares (varia por volume); (iv) pagamento do resgate quando autorizado (variável, em geral R$ 100 mil a R$ 2 milhões para PME); (v) restauração e reconstrução de sistemas; (vi) lucros cessantes pelos dias de paralisação; (vii) suporte de comunicação e PR; (viii) defesa em processos administrativos e cíveis subsequentes.
Custo médio de um incidente sem seguro. Estudos de mercado estimam entre R$ 1,5 milhão e R$ 8 milhões para PMEs brasileiras — quando há sobrevivência operacional. Cerca de 60% das PMEs que sofrem ataque sério sem recursos para reagir fecham as portas em até 12 meses.
O que o seguro NÃO faz sozinho. Não substitui backup offline testado, MFA habilitado, EDR ativo, treinamento de colaboradores e plano de continuidade. O seguro entra quando a prevenção falha — e ela falha mais cedo ou mais tarde para a maioria.
Veja também a página pilar [Seguro D&O, Cyber e Garantia](/seguro-do-cyber-garantia).
Próximo passo. Sua empresa tem plano de resposta e seguro Cyber? Se não, fale com a Patro Seguros — fazemos diagnóstico gratuito e cotação com seguradoras especializadas em até 48h úteis.