Sua empresa conseguiu recuperar os arquivos. Mas o criminoso também ficou com uma cópia. E agora?
Imagine a cena.
Depois de horas de trabalho, a equipe de TI consegue restaurar os sistemas. O backup estava íntegro. Os serviços voltam. A operação começa a respirar.
Na reunião de crise, alguém diz:
“Pelo menos, recuperamos os dados.”
Então chega uma mensagem.
O criminoso afirma ter copiado contratos, informações financeiras e dados de clientes antes da recuperação. Agora ameaça divulgar tudo.
O backup funcionou.
Mas a empresa continua sob pressão.
Afinal, como você recupera algo que nunca deixou de ter, mas que agora outra pessoa também possui?
O dado também virou moeda de extorsão
Quando pensamos em ransomware, a imagem mais comum ainda é a de arquivos bloqueados e uma mensagem exigindo pagamento para liberá-los.
Esse cenário continua existindo. Mas a ameaça pode ir além da interrupção da operação.
Em 7 de outubro de 2026, a Polícia Federal divulgou a Operação Insidioso. A investigação apura um ataque cibernético ocorrido em julho, no qual dados sensíveis foram extraídos de uma instituição. Segundo a PF, após obter as informações, os suspeitos passaram a exigir pagamento. Polícia Federal
A comunicação não informa se a instituição possuía backup ou como foi sua recuperação. O ponto que nos interessa aqui é outro: os dados extraídos foram usados para pressionar a vítima.
A CISA também alerta que criminosos podem ameaçar divulgar informações roubadas como forma de extorsão, inclusive em ataques que não utilizam ransomware para criptografar arquivos. CISA
Ou seja, a empresa pode continuar acessando seus sistemas e ainda assim estar diante de uma crise séria.
O backup tem uma missão. E ela continua sendo essencial.
Antes de continuar, vale deixar algo claro: backup é indispensável.
Ele pode fazer a diferença entre uma interrupção administrável e uma paralisação prolongada. Precisa estar protegido, ser testado e permitir que a empresa recupere seus dados dentro do tempo que o negócio suporta.
Mas existe uma pergunta que a restauração, sozinha, não responde:
O que aconteceu com os dados antes de recuperarmos o ambiente?
Se um criminoso copiou uma base de clientes, restaurar a base não apaga a cópia que ele levou.
Se levou um contrato confidencial, voltar o servidor não devolve o sigilo daquele documento.
Se extraiu informações pessoais, religar os sistemas não resolve automaticamente as consequências para as pessoas afetadas.
A recuperação devolve capacidade operacional. A investigação precisa esclarecer o que pode ter sido exposto.
São duas frentes que precisam caminhar juntas.
“O que eles levaram?”
Essa costuma ser uma das primeiras perguntas da diretoria quando surge a suspeita de extração de dados.
Parece simples.
Até a equipe precisar respondê-la.
Em qual ambiente estavam os arquivos? Havia cópias em outros locais? Que tipo de informação estava ali? Os registros mostram quais arquivos foram acessados? Durante quanto tempo o invasor permaneceu no ambiente?
E então vem a parte mais difícil:
A empresa sabe quais pessoas, clientes e processos podem ser afetados por aquelas informações?
É natural que uma investigação tenha incertezas. Nem todo incidente deixa evidências suficientes para reconstruir cada passo.
O que deveria causar preocupação é depender de uma corrida improvisada para descobrir, pela primeira vez, onde estão os dados mais importantes e quem entende o conteúdo deles.
Porque, enquanto a equipe investiga, o relógio da crise continua correndo.
O jurídico precisa avaliar obrigações. A comunicação precisa preparar respostas. Clientes querem entender o impacto. A diretoria precisa tomar decisões com as informações disponíveis.
E ninguém quer ouvir, no momento mais crítico:
“Não sabemos exatamente o que havia naquela pasta.”
Nem todo dado roubado causa o mesmo estrago
Quando um incidente se torna público, é comum que a atenção se volte para o volume:
Quantos arquivos? Quantos gigabytes? Quantos registros?
Esses números ajudam a dimensionar a investigação. Mas não contam toda a história.
Uma planilha com centenas de contatos pode ter impacto diferente de um único documento com uma negociação estratégica em andamento.
Uma base antiga de dados pessoais pode exigir uma resposta diferente de um projeto de engenharia confidencial.
Um conjunto de informações de saúde pode afetar pessoas de uma forma que uma pasta de materiais públicos jamais afetaria.
O risco não está apenas no tamanho do arquivo. Está no que ele representa para alguém.
Esse “alguém” pode ser a empresa, um cliente, um funcionário ou um parceiro.
É por isso que conhecer os dados antes do incidente faz tanta diferença. Não para eliminar todas as dúvidas, mas para começar a investigação com perguntas melhores e prioridades mais claras.
Sua empresa está preparada para qual tipo de crise?
Vamos fazer um exercício.
Você recebe a informação de que um invasor pode ter copiado arquivos da organização. Os sistemas continuam funcionando. Não há tela de bloqueio. Não há servidor parado.
Mesmo assim, existe uma ameaça de divulgação.
A partir daí:
- Quem assume a coordenação da resposta?
- Como a equipe identifica quais ambientes foram acessados?
- Os registros disponíveis ajudam a investigar a movimentação dos dados?
- Quem conhece o conteúdo das informações potencialmente afetadas?
- Como jurídico, segurança, comunicação e áreas de negócio tomam decisões juntos?
- Quem mantém clientes e parceiros informados quando houver informações confirmadas?
Se essas perguntas nunca foram exercitadas, o plano de resposta pode estar preparado para uma parte da crise e descobrir o restante durante o incidente.
E esse é um momento caro para aprender.
Em outubro de 2026, a IBM informou que o custo médio de uma violação de dados no Brasil chegou a R$ 7,44 milhões, segundo seu relatório anual. Esse número não prevê o custo de uma empresa específica, mas mostra a dimensão financeira que uma violação pode alcançar. IBM Brasil
A conta não se resume à infraestrutura. Ela pode incluir investigação, recuperação, comunicação, impactos operacionais e consequências para a relação com clientes e parceiros.
O que fazer antes que a pergunta chegue?
Não existe uma medida única capaz de eliminar a extorsão de dados. Mas algumas decisões tomadas agora podem melhorar muito a capacidade de resposta:
Conheça seus dados mais críticos. Identifique quais informações podem causar maior impacto para o negócio e para as pessoas se forem expostas.
Descubra onde elas estão. Inclua cópias, ambientes de nuvem, compartilhamentos e repositórios que surgiram ao longo dos projetos.
Prepare a investigação. Revise quais registros estão disponíveis, por quanto tempo são mantidos e se ajudam a esclarecer acessos e movimentações suspeitas.
Teste a recuperação. Um backup só mostra seu valor quando pode ser restaurado com integridade e dentro do prazo necessário para o negócio.
Simule a ameaça de divulgação. Coloque segurança, TI, jurídico, comunicação e áreas de negócio na mesma mesa. Verifique quais decisões cada área precisaria tomar.
Revise o que continua armazenado. Dados e cópias que já não precisam ser mantidos podem ampliar o impacto de um incidente. Sua eliminação deve considerar as necessidades do negócio e as obrigações aplicáveis.
Nenhuma dessas ações é uma promessa de resposta perfeita. Mas todas ajudam a trocar improviso por preparo.
O servidor voltou. A pergunta continua.
Uma restauração bem-sucedida é uma excelente notícia. Quem já enfrentou uma interrupção séria sabe o valor de colocar a operação novamente de pé.
Mas a reunião de crise não deveria terminar ali.
Ainda precisamos entender o que foi acessado, o que pode ter sido copiado e quem pode sofrer as consequências.
Porque, quando o dado vira instrumento de extorsão, a pergunta deixa de ser apenas se a empresa consegue recuperá-lo.
A pergunta passa a ser:
Se uma cópia dos seus dados mais sensíveis saísse hoje, sua empresa saberia o que está em risco?
