A Agência Nacional de Proteção de Dados abriu o processo sancionador nº 00261.003381/2026-55 contra uma organização social que administra unidades públicas de saúde em vários estados, depois de um ataque de ransomware. Segundo a notícia publicada pela ANPD, o ataque atingiu cerca de 500 mil registros de pacientes, entre eles 78.772 de crianças e adolescentes e 47.921 de idosos, com prontuários, prescrições e diagnósticos.
O caso chama atenção porque a organização fez parte do que se espera de uma vítima. A instituição comunicou o incidente à agência dentro do prazo e, segundo sua defesa, restaurou todos os registros a partir de um backup mantido fora da rede, depois que o grupo criminoso criptografou os discos virtuais e sobrescreveu os backups sincronizados.
Pesaram na autuação, além das falhas de segurança apontadas antes do ataque, um aviso genérico no site, sem a data do incidente nem a natureza dos dados, e a falta de evidências técnicas para sustentar o que a organização dizia ter feito. A defesa argumenta que os logs pedidos pela fiscalização foram destruídos pelo próprio ataque, e o processo ainda não tinha decisão quando a análise foi publicada.
Para quem desenha planos de resposta a incidentes, o caso acrescenta uma pergunta que a contenção e a restauração não respondem, sobre o que a organização consegue provar a respeito do ataque depois que ele termina. A resposta depende de decisões tomadas antes do incidente, como o ambiente em que os registros ficam guardados, quem preserva as evidências e qual base fornece o cadastro usado para avisar os titulares.
O que a resposta a incidentes precisa conseguir provar
A exigência de prova está na própria Lei Geral de Proteção de Dados, que define o princípio da responsabilização e prestação de contas como a demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas, inclusive da eficácia dessas medidas. A lei não se contenta com a existência do controle, e pede que ele seja demonstrável, o que coloca o relatório técnico do incidente no mesmo patamar da restauração dos sistemas.
A Resolução CD/ANPD nº 15/2024, que regulamenta a comunicação de incidentes, detalha o que precisa ser demonstrado. A comunicação à ANPD, em até três dias úteis, deve trazer a natureza dos dados, o número de titulares afetados, as medidas técnicas adotadas antes e depois do incidente, os riscos, a data da ocorrência quando for possível determiná-la e a causa principal. O controlador tem 20 dias úteis para complementar essas informações. A agência pode pedir a qualquer momento o relatório de tratamento do incidente, e o controlador precisa manter o registro de cada incidente, inclusive dos não comunicados, por pelo menos cinco anos.
A prova pesa também na dosimetria, porque entre os critérios que a LGPD manda considerar na aplicação de sanções estão a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, a adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas. Uma resposta bem executada e mal documentada chega à fiscalização sem como reivindicar esses critérios, que a lei condiciona à demonstração.
Quando o ransomware atinge os registros e os backups
Backups e registros são o que permite à vítima se recuperar e reconstruir o ataque, e a versão 3.0 do guia #StopRansomware, publicada pela CISA, agência de cibersegurança dos Estados Unidos, em 2023, alerta que muitas variantes de ransomware tentam localizar e apagar ou criptografar os backups acessíveis. O guia recomenda manter cópias offline e criptografadas, testando com frequência sua disponibilidade e integridade.
Segundo o relatório 2025 Ransomware Trends, da Veeam, feito com 1.300 organizações das Américas, da Europa e da Austrália, os repositórios de backup foram alvo dos invasores em 89% das organizações atacadas, e só 32% usavam repositórios imutáveis. Para a empresa, isso se traduz em console de backup com credenciais separadas do domínio corporativo e ao menos uma cópia imutável ou desconectada, com restauração testada periodicamente.
No Brasil, segundo o relatório State of Ransomware in Brazil 2026, da Sophos, com 71 organizações brasileiras ouvidas, 85% das empresas que tiveram dados criptografados recuperaram as informações a partir de backups, contra 73% na edição anterior. A recuperação dos dados, porém, não diz nada sobre como o ataque aconteceu, e para isso são os registros que precisam ter sobrevivido.
O guia de boas práticas para registro de eventos e detecção de ameaças, publicado em 2024 pela agência australiana de cibersegurança com a CISA e outros parceiros, lembra que alguns invasores alteram ou apagam os logs locais para escapar da detecção e atrasar a resposta. O guia recomenda centralizar a coleta, guardar os registros em uma rede separada ou segmentada, com controles próprios, e verificar sua integridade com criptografia, além de alertar que os prazos padrão de retenção costumam ser insuficientes, já que a descoberta de um incidente pode levar até 18 meses. O guia #StopRansomware pede, para sistemas críticos, logs mantidos e copiados por pelo menos um ano.
Cadeia de custódia na pressa de restaurar
Na pressa de devolver o atendimento, reinstalar servidores e reformatar estações antes de copiar o que eles guardam equivale a lavar a cena antes da perícia. O guia #StopRansomware inclui entre os passos de resposta capturar a imagem do sistema e da memória de uma amostra dos equipamentos afetados, coletar os logs dos sistemas afetados e preservar primeiro as evidências voláteis, como a memória e os registros de firewall que se sobrescrevem rápido. Em ambientes de nuvem, a recomendação é tirar um snapshot dos volumes antes de qualquer reconstrução.
A NIST SP 800-61 Revisão 3, recomendação de resposta a incidentes do instituto de padrões dos Estados Unidos publicada em 2025, trata os dados coletados no incidente como evidência, a ser guardada conforme os procedimentos de preservação e a política de retenção da organização, considerando inclusive a possibilidade de processo judicial. No Brasil, o Código de Processo Penal, desde a Lei nº 13.964/2019, define cadeia de custódia como o conjunto de procedimentos que mantém e documenta a história cronológica do vestígio, rastreando sua posse e seu manuseio do reconhecimento ao descarte. A norma ISO/IEC 27037, adotada pela ABNT como NBR ISO/IEC 27037, traz as diretrizes para identificar, coletar, adquirir e preservar evidência digital.
Na empresa, o caminho é um roteiro escrito antes do incidente, que diga quais máquinas têm imagem capturada antes da reconstrução, quais logs são exportados no momento em que o incidente é declarado, quem faz a coleta, como os arquivos são protegidos contra alteração e quem autoriza cada etapa. Com esse roteiro, a equipe de infraestrutura restaura o ambiente em paralelo à coleta, e ninguém precisa decidir no momento de maior pressão o que guardar e o que descartar.
Esse roteiro pode ser testado em simulação, como se testa a restauração de backup. Basta pedir à equipe que reconstrua, apenas com os registros guardados fora da produção, um dia de acessos a um servidor de arquivos e verificar se essa trilha permite dizer quais dados foram acessados e se houve cópia para fora do ambiente.
Como avisar os titulares quando o cadastro também foi atingido
Como o ataque pode tornar inacessível o próprio cadastro, a comunicação aos titulares precisa de uma base preparada antes, com uma cópia atualizada dos dados de contato guardada junto com o backup desconectado ou em sistema separado. A Resolução CD/ANPD nº 15/2024 dá três dias úteis para avisar os titulares e pede comunicação direta e individual sempre que for possível identificá-los, por telefone, e-mail, mensagem ou carta, com a natureza dos dados, os riscos, as medidas adotadas, a data em que o controlador soube do incidente e o contato do encarregado.
Quando o contato individual for inviável para parte dos afetados, a norma admite a divulgação no site, nos aplicativos e nas redes sociais, com as mesmas informações e visível por pelo menos três meses. Nesse caso, o controlador deve juntar ao processo na ANPD, em até três dias úteis após o fim do prazo, uma declaração de que o aviso foi feito e por quais meios. Dados de crianças, adolescentes e idosos estão entre os critérios que a resolução usa para caracterizar risco ou dano relevante, e a mensagem precisa chegar em linguagem simples a quem responde por essas pessoas. Um modelo aprovado de antemão pelo jurídico e pelo encarregado, com esses campos, reduz o trabalho dos três dias úteis a preencher o que só se descobre depois do ataque.
A LGPD exige ainda que a identidade e o contato do encarregado sejam divulgados publicamente, de preferência no site do controlador, providência que custa pouco e que precisa estar em ordem antes do incidente. Definir com antecedência quem assina a comunicação, quem atende as perguntas dos titulares e quem conversa com a agência evita que essas decisões sejam tomadas no mesmo dia em que a equipe técnica ainda tenta entender o que aconteceu.
O critério para revisar um plano de resposta a incidentes está na lista de informações que a Resolução CD/ANPD nº 15/2024 exige na comunicação. Para cada item, como a natureza dos dados, o número de titulares, as medidas adotadas antes e depois, a data e a causa principal, vale verificar se a resposta depende de algum sistema que o ataque consegue alcançar. São essas respostas, guardadas fora do alcance do invasor, que sustentam a versão da organização sobre os fatos depois que a restauração termina.