Em 24 de junho de 2026, o Ministério da Gestão e da Inovação em Serviços Públicos publicou a versão 1.1 do Guia de Referência de Prevenção e Resposta a Ransomware, divulgado ao público na semana seguinte. O documento se dirige à administração pública federal, mas descreve com precisão incomum o que uma organização precisa fazer nas horas seguintes a um ataque de criptografia de sistemas.

O guia lista seis verificações na etapa de análise. Determinar quais sistemas foram criptografados e quais permanecem intactos, com identificação do backup íntegro mais recente. Verificar se houve exfiltração de dados. Identificar o vetor de entrada provável, seja phishing, VPN comprometida, RDP exposto ou vulnerabilidade explorada. Registrar a linha do tempo do incidente. Confirmar se dados pessoais foram comprometidos. E identificar a variante do ransomware, que às vezes já tem ferramenta pública de descriptografia.

O quinto item é o que a maioria dos planos de resposta trata como assunto do jurídico para depois. O guia é direto ao destacar que a confirmação de comprometimento de dados pessoais aciona as obrigações da LGPD e, a partir deste ponto,  o relógio muda de natureza. Pela resolução CD/ANPD 15/24, a comunicação à autoridade e aos titulares deve ocorrer em três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, quando houver risco ou dano relevante. Numa fintech, dado financeiro e credencial de autenticação estão expressamente entre as hipóteses que qualificam esse risco. O prazo não espera a conclusão da perícia. Corre desde que a organização sabe.

Há uma advertência no guia que merece ser lida como alerta jurídico, ainda que esteja escrita como orientação técnica: pular a etapa de análise leva a restaurar sistemas que ainda contêm o programa malicioso, ou a não perceber que dados foram subtraídos. A pressa em normalizar a operação produz dois danos de uma vez, um técnico e outro probatório.

É aqui que a distinção central se impõe. A restauração recompõe a disponibilidade do serviço; ela não diz nada sobre integridade transacional. Durante o período de comprometimento, o invasor pode ter obtido credenciais, elevado privilégios, acessado interfaces de comunicação entre sistemas ou interferido em arquivos de pagamento. Uma operação processada nesse intervalo tende a conservar aparência inteiramente regular, porque foi executada pelos canais legítimos, com credenciais válidas, dentro do horário esperado. O sistema restaurado não sabe distinguir o que foi ordenado pelo titular do que foi ordenado por quem se apossou da credencial dele. Só a prova produzida na crise sabe.

Por isso, o backup precisa ser testado antes da retomada, e não apenas localizado. O próprio guia federal traz modelo de relatório destinado a demonstrar a integridade da cópia restaurada, além de recomendar testes regulares de integridade e isolamento dos consoles de gerenciamento de backup, que costumam estar entre os primeiros alvos do atacante. No ecossistema Pix, a versão 6.00 do Manual de Segurança do Sistema Financeiro Nacional, que passou a contar com volume próprio dedicado à segurança do Pix, disciplina autenticação, gestão de certificados digitais, uso seguro de aplicações e interfaces e manutenção de logs de auditoria. São esses registros que permitem reconstruir quem acessou o ambiente, quando, e quais comandos executou. Sem eles, a instituição terá versão, não prova.

Nas primeiras 62 horas, a urgência operacional disputa espaço com a ordem probatória, e a disputa precisa ser arbitrada antes do incidente, não durante. Enquanto os especialistas contêm a propagação, examinam os ambientes e restauram os serviços, a coordenação jurídica do war room tem tarefa distinta: garantir que imagens forenses, logs, alertas, comunicações internas e decisões críticas sejam preservados com origem, horário, responsável e mecanismo de verificação de integridade. Não é burocracia paralela à resposta técnica. É a única coisa que, meses depois, distinguirá o que a instituição afirma do que a instituição consegue demonstrar.

Essa documentação vai determinar o desfecho de três frentes que nascem do mesmo evento. A recuperação de ativos desviados. A apuração de responsabilidade do fornecedor cuja credencial ou ambiente foi comprometido, questão que os ataques recentes à cadeia de tecnologia do sistema financeiro tornaram concreta. E a resposta às reclamações de clientes, que chegarão em volume e em versões conflitantes.

Sobretudo, ela permitirá separar três categorias que o cliente, o regulador e o juiz tenderão a confundir: indisponibilidade operacional, transação legítima processada durante a crise e movimentação efetivamente não autorizada. Sem essa separação feita com registro, uma única invasão se converte em carteira de ações judiciais em que cada parte sustenta uma narrativa distinta sobre o mesmo evento, e nenhuma delas pode ser confirmada ou refutada pelos autos.

O tempo de recuperação seguirá sendo a métrica que o mercado cobra. No contencioso, terá peso igual ou maior a capacidade de demonstrar duas coisas: que o ambiente restaurado era confiável, e que cada transação processada durante o comprometimento foi examinada individualmente. A primeira se prova com o relatório de integridade do backup. A segunda, com log de auditoria que ninguém pensou em preservar enquanto o sistema estava fora do ar.

_____

BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD n. 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Brasília: ANPD, 2024.

BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, 2018.

BRASIL. Ministério da Gestão e da Inovação em Serviços Públicos. Secretaria de Governo Digital. Guia de referência de prevenção e resposta a ransomware. Versão 1.1. Brasília: MGI, jun. 2026. Execução técnica: CPQD. Disponível aqui. Acesso em: 30 jul. 2026.

BANCO CENTRAL DO BRASIL. Manual de segurança do Sistema Financeiro Nacional: volume II. Versão 6.00. Brasília: BCB. Volume dedicado à segurança do Pix. Acesso em: 30 jul. 2026.