Ataque cibernético nas empresas: riscos, LGPD e prevenção

Ataque cibernético nas empresas é a invasão, exploração ou comprometimento de sistemas corporativos, nos termos do art. 46 da LGPD (Lei 13.709/2018) e do art. 154-A do Código Penal (Decreto-Lei 2.848/1940). Na prática, a empresa precisa prevenir incidentes, responder rapidamente e documentar suas medidas de segurança.

De violações de bancos virtuais a ataques contra plataformas corporativas, os últimos anos trouxeram riscos concretos para departamentos jurídicos, escritórios de advocacia, instituições financeiras, varejistas, indústrias e empresas que tratam dados pessoais em grande escala. O ataque deixou de ser problema exclusivo da equipe de tecnologia e passou a integrar a agenda de governança, contratos, compliance e gestão de riscos.

Um exemplo conhecido ocorreu com o LinkedIn. Em 22 de junho de 2021, um usuário de fórum usado por hackers anunciou a venda de quase 700 milhões de registros associados à plataforma. A amostra divulgada continha endereços de e-mail, nomes completos, telefones, endereços e dados de geolocalização, o que mostra como informações aparentemente cadastrais podem alimentar fraudes, golpes de engenharia social e tentativas de acesso indevido.

Os custos globais do cibercrime chegaram a US$ 6 trilhões em 2021, conforme estudo citado à época pela Roland Berger. A Cybersecurity Ventures projetou que, em 2025, esse valor será de US$10,5 trilhões. A estimativa reforça que prevenção, resposta e prova documental das medidas adotadas integram a proteção patrimonial e jurídica da empresa.

No Brasil, o risco cresce porque muitas organizações concentram dados de clientes, colaboradores, fornecedores, contratos, informações financeiras e documentos estratégicos em ambientes digitais. Quando criminosos acessam essas bases, eles podem sequestrar arquivos, vender cadastros, fraudar pagamentos, interromper operações e expor segredos de negócio. Por isso, a empresa precisa combinar controles técnicos, políticas internas e atuação jurídica coordenada.

Quais são os impactos do ataque cibernético nas empresas?

O ataque cibernético nas empresas gera impactos financeiros, reputacionais, operacionais e jurídicos. A consequência não se limita ao sistema invadido: o incidente pode paralisar vendas, comprometer contratos, violar deveres legais, atrair fiscalização da ANPD e gerar pedidos de indenização de clientes, empregados, fornecedores ou parceiros comerciais afetados.

Quais custos econômicos o ataque pode gerar?

Ataques cibernéticos costumam causar perdas financeiras diretas e indiretas. Entre os efeitos mais comuns estão roubo de dinheiro, fraudes em pagamentos, sequestro de arquivos por ransomware, interrupção de transações online, indisponibilidade de plataformas, perda de contratos e gastos emergenciais com especialistas forenses, recuperação de backups, comunicação ao público e atendimento de titulares de dados.

• roubo de informações corporativas, como estratégias, propostas comerciais e listas de clientes;
• roubo de informações financeiras, incluindo dados bancários, cartões e credenciais de pagamento;
• desvio de valores por boletos falsos, alteração de dados de fornecedores ou fraude em e-mails corporativos;
• interrupção da operação, com indisponibilidade de sistemas, sites, ERPs e canais de atendimento;
• perda de negócios, contratos, prazos processuais, produtividade e confiança de parceiros.

Em departamentos jurídicos, o custo pode incluir perda de acesso a documentos de processos, impossibilidade de cumprir prazos, exposição de pareceres sigilosos e indisponibilidade de contratos em negociação. Quando a organização depende de sistemas digitais para aprovar pagamentos, assinar documentos ou atender clientes, poucas horas de interrupção podem gerar impacto operacional relevante.

A empresa também precisa considerar custos posteriores ao incidente. A apuração técnica exige coleta de logs, preservação de evidências, análise de vulnerabilidades e contratação de consultorias. O jurídico deve avaliar notificações, cláusulas contratuais, apólices de seguro, deveres regulatórios e eventual comunicação à Autoridade Nacional de Proteção de Dados. Sem documentação, a organização terá mais dificuldade para demonstrar diligência.

Como o dano reputacional aparece após uma invasão?

A confiança sustenta a relação com clientes, investidores, fornecedores e colaboradores. Quando um ataque expõe dados ou interrompe serviços, a empresa pode perder credibilidade mesmo antes de qualquer decisão administrativa ou judicial. O risco aumenta quando a comunicação é lenta, contraditória ou incompleta, pois a falta de transparência tende a ampliar a percepção de negligência.

• perda de clientes e cancelamento de contratos;
• queda de vendas e redução de oportunidades comerciais;
• aumento de exigências em auditorias, due diligences e processos de contratação;
• dificuldade para negociar com parceiros que exigem maturidade em segurança;
• maior exposição a reclamações públicas, imprensa e redes sociais.

O efeito reputacional pode alcançar terceiros que dependem da empresa. Em uma cadeia de fornecimento, por exemplo, o ataque contra um fornecedor de tecnologia pode afetar clientes que integram seus sistemas. Em operações societárias, investidores costumam verificar histórico de incidentes, políticas de segurança, respostas a titulares e registros de comunicação à ANPD antes de concluir uma aquisição.

Você também pode se interessar por:

• Lei Carolina Dieckman: Tudo o que você precisa saber sobre
• DPO: o papel do Data Protection Officer na LGPD
• Vazamento de dados por instituições privadas ou públicas

Quais são as consequências legais de uma violação cibernética?

As consequências legais de uma violação cibernética envolvem LGPD, Código Penal, Marco Civil da Internet, Código de Defesa do Consumidor, contratos e normas setoriais. A empresa pode sofrer sanções administrativas, ações indenizatórias, rescisões contratuais, exigências de auditoria e investigação criminal quando houver invasão, fraude ou uso indevido de credenciais.

As leis de proteção de dados, em especial a LGPD, exigem que agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e situações acidentais ou ilícitas. Essa obrigação consta do art. 46 da LGPD (Lei 13.709/2018) e alcança dados de clientes, empregados, representantes, usuários e fornecedores.

Se dados pessoais forem comprometidos e a empresa não demonstrar medidas adequadas, a ANPD pode aplicar sanções previstas no art. 52 da LGPD (Lei 13.709/2018). As penalidades incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação dos dados pessoais relacionados ao caso.

A dosimetria das sanções recebeu regulamentação pela Resolução CD/ANPD 4/2023. Além disso, a comunicação de incidente de segurança à ANPD e aos titulares passou a seguir regras mais específicas com a Resolução CD/ANPD 15/2024. A norma exige avaliação de risco relevante, informações sobre dados afetados, titulares envolvidos, medidas adotadas e providências para reduzir danos.

O encarregado pelo tratamento de dados também ganhou regulamentação própria pela Resolução CD/ANPD 18/2024. Para empresas com operações complexas, o DPO ou encarregado deve articular as áreas jurídica, tecnologia, atendimento, recursos humanos e governança. Essa função não substitui a segurança da informação, mas ajuda a organizar respostas, registros e interação com titulares e autoridade reguladora.

No campo penal, a invasão de dispositivo informático consta do art. 154-A do Código Penal (Decreto-Lei 2.848/1940), incluído pela Lei 12.737/2012, conhecida como Lei Carolina Dieckmann, e alterado pela Lei 14.155/2021. A lei pune quem invade dispositivo alheio para obter, adulterar ou destruir dados, ou instalar vulnerabilidades para obter vantagem ilícita.

O Marco Civil da Internet também influencia a resposta jurídica. O art. 10 da Lei 12.965/2014 protege registros, dados pessoais e comunicações privadas, enquanto o art. 11 determina a observância da legislação brasileira quando há coleta, armazenamento, guarda ou tratamento de dados no Brasil. Esses dispositivos podem aparecer em discussões sobre logs, provedores, ordem judicial e prova digital.

Nas relações de consumo, o Código de Defesa do Consumidor (Lei 8.078/1990) pode fundamentar pedidos de reparação por falha na prestação do serviço, especialmente com base nos arts. 6º, VI, e 14. Em operações bancárias e financeiras, a Súmula 479 do STJ afirma que instituições financeiras respondem objetivamente por danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.

Como a empresa deve agir nas primeiras horas de um incidente?

Nas primeiras horas, a empresa deve conter o ataque, preservar evidências, avaliar dados afetados, acionar responsáveis internos e registrar cada decisão. A resposta precisa equilibrar urgência técnica e cautela jurídica, porque desligar sistemas, apagar logs ou comunicar informações incompletas pode dificultar investigação, defesa administrativa e eventual ação judicial.

Qual passo a passo reduz danos e melhora a prova?

1. Acione o plano de resposta a incidentes: envolva tecnologia, jurídico, DPO, comunicação, alta gestão e fornecedores críticos.
2. Contenha o ataque: isole máquinas, suspenda acessos suspeitos, bloqueie credenciais e preserve backups íntegros.
3. Preserve evidências: mantenha logs, horários, endereços IP, mensagens, arquivos alterados e histórico de decisões.
4. Classifique o incidente: identifique sistemas afetados, dados pessoais envolvidos, titulares atingidos e risco aos direitos dos titulares.
5. Avalie notificações: verifique obrigações perante ANPD, titulares, clientes, seguradora, reguladores setoriais e autoridades policiais.
6. Comunique com precisão: evite especulações e registre fatos confirmados, medidas adotadas e canais de suporte.
7. Corrija vulnerabilidades: atualize sistemas, revise acessos, reforce autenticação e teste a recuperação operacional.

A comunicação à ANPD depende de risco ou dano relevante aos titulares, conforme a LGPD e a Resolução CD/ANPD 15/2024. A organização deve agir com rapidez, mas não deve sacrificar a qualidade da apuração. Um relatório técnico-jurídico bem estruturado ajuda a demonstrar boa-fé, diligência e cooperação com autoridades.

Também convém registrar decisões sobre pagamento de resgate em ataques de ransomware. O pagamento não garante recuperação dos dados, pode financiar atividade criminosa e não elimina obrigações regulatórias. O jurídico deve analisar contrato de seguro, riscos criminais, sanções internacionais, continuidade do negócio e deveres de informação antes de qualquer deliberação.

Como minimizar o impacto dos ataques nas empresas?

Para minimizar impactos, a empresa deve combinar prevenção, treinamento, contratos, tecnologia segura e governança de dados. Medidas simples reduzem muitos incidentes, mas organizações que tratam dados sensíveis ou estratégicos precisam de controles formais, auditoria, gestão de fornecedores e documentação capaz de comprovar conformidade com a LGPD.

Boas práticas individuais continuam relevantes. Colaboradores devem usar redes confiáveis, ativar autenticação multifator, trocar senhas comprometidas, evitar reutilização de credenciais, desconfiar de anexos inesperados e realizar compras corporativas apenas em sites seguros. O treinamento precisa incluir exemplos de phishing, boletos falsos, mensagens que simulam executivos e links que capturam login.

A empresa também deve adotar políticas internas claras. Uma política de segurança da informação define regras de acesso, classificação de documentos, uso de dispositivos, trabalho remoto, armazenamento em nuvem e descarte de dados. Uma política de privacidade interna orienta colaboradores sobre tratamento de dados pessoais. Já o plano de continuidade prevê alternativas para manter a operação durante indisponibilidade.

Nos contratos, o jurídico deve inserir cláusulas de segurança, confidencialidade, subcontratação, auditoria, notificação de incidentes, níveis de serviço, backup, localização de dados e responsabilidade por falhas. Fornecedores que acessam bases corporativas precisam demonstrar controles mínimos, pois um ataque à cadeia de suprimentos pode atingir a empresa contratante e seus clientes.

Departamentos jurídicos exigem cuidado adicional porque concentram contratos, pareceres, documentos societários, dados trabalhistas, informações de litígios e estratégias processuais. O sigilo profissional, a proteção de dados e a preservação de documentos devem orientar a escolha de ferramentas. Ter um software jurídico confiável e seguro ajuda a reduzir dispersão de arquivos e acessos sem controle.

O software Projuris Empresas centraliza documentos e dados do departamento jurídico em ambiente estruturado. A adoção de plataforma especializada não dispensa políticas internas, gestão de usuários e revisão de permissões, mas apoia a governança de informações, a rastreabilidade e a organização dos documentos relevantes para a área jurídica.

Em soluções digitais, a empresa deve verificar criptografia, conexão HTTPS, controle de permissões, backups, segregação de acessos, registro de atividades e suporte a auditorias. Também deve revisar periodicamente quem acessa cada pasta, processo ou contrato. A segurança melhora quando a organização aplica o princípio do menor privilégio: cada pessoa acessa apenas o necessário para sua função.

Perguntas frequentes sobre ataque cibernético nas empresas

Como transformar segurança cibernética em rotina jurídica e empresarial?

Segurança cibernética deve integrar a rotina jurídica, contratual e operacional da empresa. O ataque cibernético nas empresas deixa rastros que envolvem tecnologia, LGPD, relações de consumo, contratos e reputação. Por isso, a prevenção precisa sair do discurso e entrar em políticas, treinamentos, cláusulas, auditorias e planos de resposta testados.

A área jurídica contribui ao mapear obrigações legais, revisar contratos, coordenar respostas a titulares, orientar comunicações e organizar provas de diligência. Já a gestão deve investir em controles proporcionais ao risco do negócio. Quando tecnologia, jurídico e liderança atuam juntos, a empresa reduz danos, responde melhor a incidentes e demonstra responsabilidade perante clientes, autoridades e parceiros.