Ransomware: o sequestro digital que parou o STJ, a Renner e o Fleury

Em novembro de 2020, o Superior Tribunal de Justiça — a segunda corte mais importante do país — ficou quase uma semana fora do ar depois que criminosos criptografaram seus sistemas e exigiram resgate. Em junho de 2021 foi a vez do grupo Fleury, um dos maiores laboratórios do Brasil, com agendamentos e exames parados. Em agosto, o e-commerce das Lojas Renner sumiu do ar por dias. E no meio disso tudo, a JBS admitiu publicamente ter pago US$ 11 milhões de resgate para retomar suas operações.

Quatro nomes gigantes em menos de um ano — e uma mentira confortável que morreu junto: a de que ransomware é problema “de empresa grande”. Os mesmos grupos que atacaram esses alvos operam hoje como franquias de crime: desenvolvedores alugam o “produto” para afiliados, que compram acessos a redes invadidas e escolhem os alvos com melhor relação esforço-retorno. A empresa média brasileira — dados valiosos, TI enxuta, backup improvisado — é exatamente esse alvo.

Como o ataque funciona por dentro

O roteiro se repete com pequenas variações:

1. A entrada quase nunca é cinematográfica: uma senha vazada de acesso remoto, um e-mail com anexo envenenado, um sistema sem atualização exposto na internet.
2. O silêncio. O invasor passa dias ou semanas dentro da rede, mapeando onde estão os dados que doem e — ponto crucial — onde está o backup, para criptografá-lo primeiro.
3. A dupla extorsão. Antes de trancar os arquivos, ele os copia. Aí cobra duas vezes: pelo destrave e pela promessa de não vazar. Foi o padrão nos grandes casos brasileiros — e é por isso que “temos backup” já não encerra o problema: vazamento de dados pessoais aciona a LGPD.
4. O relógio. A nota de resgate vem com prazo e desconto por pagamento rápido. Pânico é parte do produto.

Quanto custa, de verdade

O custo médio de uma violação de dados no Brasil passa dos R$ 6 milhões, somando operação parada, recuperação, jurídico e clientes perdidos, segundo o estudo anual “Cost of a Data Breach”, da IBM. O resgate em si costuma ser a menor parte da conta — e pagá-lo não garante nada: o oleoduto americano Colonial Pipeline pagou US$ 4,4 milhões em 2021 e ainda assim levou dias para voltar, com o FBI recuperando parte do valor depois. Pagar também alimenta o ciclo — tanto que a operação internacional que derrubou o grupo LockBit, em 2024, revelou uma rede com milhares de vítimas no mundo inteiro.

As três decisões que definem o desfecho — tomadas antes

1. Backup com uma cópia fora da rede. Regra 3-2-1: três cópias, em duas mídias diferentes, uma delas offline ou “imutável” (que não aceita alteração nem exclusão). E teste de restauração de verdade, no calendário — backup que nunca foi restaurado é esperança, não backup.

2. Redes separadas. O computador da recepção não precisa alcançar o servidor do financeiro. Rede plana é banquete: um clique de um estagiário vira paralisação total. Segmentar limita o incêndio a um cômodo.

3. Plano de emergência impresso. Com a rede criptografada, o PDF do plano também está. Papel na gaveta: quem decide, quem comunica, telefones de TI, jurídico, seguradora e perícia.

Se acontecer: as primeiras 72 horas

• Horas 0–4: desconecte as máquinas afetadas da rede — puxe o cabo, não desligue (a memória ligada preserva evidência para a perícia).
• Dia 1: dimensione o estrago e confirme a integridade do backup antes de qualquer decisão. Acione jurídico e, se houver, o seguro cyber.
• Dia 2: comunique com fatos. Houve dado pessoal? A regulamentação da ANPD exige comunicação de incidentes relevantes em 3 dias úteis — e cliente descobre; é melhor que descubra por você.
• Dia 3: restaure em ambiente limpo, troque todas as credenciais e feche a porta de entrada original — ou a semana seguinte repete o filme.

A Renner declarou publicamente que não pagou — e voltou pelo backup. A JBS pagou US$ 11 milhões e virou estatística de arrecadação do crime. A diferença entre as duas histórias não foi sorte: foi decisão tomada meses antes do ataque.

Fontes

• IBM — Cost of a Data Breach Report: ibm.com/reports/data-breach
• Ataques ao STJ (nov/2020), Fleury e Renner (2021): comunicados oficiais das instituições à época
• Pagamentos JBS (US$ 11 mi) e Colonial Pipeline (US$ 4,4 mi, com recuperação parcial pelo FBI): confirmados pelas empresas e pelo Departamento de Justiça dos EUA (2021)
• Operação internacional contra o LockBit (fev/2024): Europol/NCA
• Prazo de 3 dias úteis para comunicação de incidentes: Regulamento da ANPD — gov.br/anpd