Quando uma empresa sofre um ataque de ransomware, a notícia costuma girar em torno do resgate: quanto os criminosos pediram, se a empresa pagou. Mas esse é, quase sempre, o valor menos importante da conta. Na pesquisa anual da Sophos de 2026, a recuperação típica de um ataque de ransomware custou US$ 1,7 milhão às organizações de 100 a 5.000 funcionários, já contando que os resgates pagos vêm caindo. E o relatório da IBM sobre violações de dados calculou em R$ 7,19 milhões o custo médio de um incidente no Brasil na edição de 2025, alta de 6,5% em um ano, na contramão da média global, que havia recuado.
De onde vem tanto dinheiro? De prejuízos que não aparecem na nota de resgate: dias de operação parada, equipes de emergência, fraudes que acompanham o ataque, obrigações legais e clientes que não voltam. Entender esses cinco custos é o primeiro passo para decidir onde vale investir em proteção.
Por que o resgate é só a parte visível
O ataque digital contra uma empresa raramente é um evento de um dia. Ele começa semanas antes, com uma senha roubada ou um e-mail de phishing, e termina meses depois, quando os sistemas voltam ao normal, as notificações foram feitas e as ações de clientes começam a chegar. A IBM mede esse ciclo há anos: na edição global de 2025, o tempo médio para identificar e conter uma violação foi de 241 dias.
Durante esse período, os custos se acumulam em frentes diferentes, e várias delas atingem inclusive empresas que nunca pagaram resgate ou que sequer foram alvo de ransomware.
O que os números mostram
O relatório da IBM, conduzido pelo Ponemon Institute com base em incidentes reais, é a principal referência sobre o custo de violações de dados. Na edição de 2025, os setores mais afetados no Brasil foram saúde, com custo médio de R$ 11,43 milhões por incidente, finanças (R$ 8,92 milhões) e serviços (R$ 8,51 milhões).
O estudo também mostra como a porta de entrada influencia a conta. No Brasil, o phishing foi o vetor inicial mais comum, presente em 18% das violações, com custo médio de R$ 7,18 milhões. Incidentes que começaram em terceiros e na cadeia de fornecedores (15%) foram os mais caros, com média de R$ 8,98 milhões, seguidos pela exploração de vulnerabilidades (13%, R$ 7,61 milhões).
Há ainda um dado que ajuda a decidir investimentos: empresas brasileiras que usavam extensivamente automação e inteligência artificial em segurança tiveram custo médio de R$ 6,48 milhões, contra R$ 8,78 milhões das que não usavam. Na edição global de 2026, a IBM registrou novo recorde, com custo médio de US$ 4,99 milhões por violação, alta de 12% em relação ao ano anterior.
1. Paralisação da operação
É o prejuízo mais imediato e, para muitas empresas, o maior. Com os sistemas bloqueados, a loja não vende, a fábrica não produz, a clínica não atende, o escritório não emite nota. Em negócios que dependem de sistemas integrados (estoque, faturamento, logística), um único servidor fora do ar pode travar toda a cadeia.
O custo da paralisação vai além do faturamento perdido naqueles dias. Inclui multas contratuais por atrasos, horas extras para recuperar o volume represado e, em alguns setores, o cancelamento de pedidos que foram para a concorrência.
2. Resposta ao incidente e recuperação
Conter um ataque exige gente especializada, e rápido. Entram na conta a contratação de empresas de resposta a incidentes e perícia, a reconstrução de servidores e estações, a troca de credenciais de toda a equipe, horas de TI dedicadas exclusivamente à crise, consultoria jurídica e, muitas vezes, comunicação de crise.
Aqui aparece a diferença entre quem se preparou e quem não se preparou. Empresas com backup testado e plano de resposta ensaiado recuperam os sistemas em dias. As que descobrem durante a crise que o backup também foi criptografado, ou que ninguém sabe quem deve decidir o quê, podem levar semanas. O artigo sobre ransomware detalha as medidas que mais encurtam esse tempo.
3. Fraudes e desvios diretos de dinheiro
Nem todo ataque bloqueia sistemas. Muitos têm um objetivo mais simples: desviar pagamentos. Os golpes mais comuns contra empresas brasileiras seguem padrões conhecidos:
- Troca de dados bancários de fornecedor: o criminoso, com acesso a um e-mail invadido, avisa que a conta para pagamento “mudou”.
- Boleto ou nota fiscal adulterados, com o código de pagamento apontando para uma conta de terceiros.
- Ordem falsa de um diretor, por e-mail, mensagem ou até vídeo e voz gerados por inteligência artificial, pedindo uma transferência urgente e sigilosa.
- Acesso indevido ao internet banking da empresa a partir de credenciais roubadas.
Esse tipo de fraude, chamado internacionalmente de comprometimento de e-mail corporativo (BEC, na sigla em inglês), é uma das modalidades mais lucrativas do crime digital. O caso mais conhecido envolvendo deepfake é o da empresa de engenharia Arup, que perdeu cerca de US$ 25 milhões após uma videoconferência em que o diretor financeiro e outros colegas eram falsos, como explica o artigo sobre golpes com deepfake.
4. Obrigações legais, multas e ações judiciais
Se o ataque atingir dados pessoais de clientes, funcionários ou parceiros, entram em cena as obrigações da Lei Geral de Proteção de Dados (LGPD). Pela Resolução CD/ANPD nº 15/2024, incidentes que possam causar risco ou dano relevante aos titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados e às pessoas afetadas em até três dias úteis. Agentes de pequeno porte têm o prazo em dobro.
O descumprimento das regras de segurança e de comunicação pode resultar em sanções previstas no artigo 52 da LGPD, que vão de advertência e publicização da infração até multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Além da esfera administrativa, titulares prejudicados podem buscar indenização na Justiça, e contratos com clientes corporativos frequentemente preveem penalidades por incidentes de segurança.
O guia sobre LGPD para empresas aprofunda essas obrigações.
5. Perda de clientes e de reputação
É o custo mais difícil de medir e, muitas vezes, o mais duradouro. Clientes que tiveram dados expostos ou ficaram sem atendimento durante dias podem migrar para a concorrência. Parceiros comerciais passam a exigir auditorias e garantias antes de renovar contratos. Em licitações e grandes contratos, um histórico de incidente pode pesar contra.
O dano reputacional também cresce com a forma como a empresa reage. Demorar para admitir o problema, minimizar o impacto ou deixar clientes sabendo pela imprensa costuma custar mais caro do que o próprio incidente. Transparência, comunicação rápida e orientação clara aos afetados reduzem esse prejuízo.
Por que pequenas e médias empresas sentem mais
Existe a ideia de que só grandes corporações interessam aos criminosos. Os dados não confirmam isso. Na pesquisa da Sophos de 2026, as organizações menores do levantamento, com 100 a 250 funcionários, foram as que mais ficaram para trás na capacidade de interromper um ataque antes da criptografia dos dados.
Além disso, o mesmo prejuízo pesa de forma diferente. Uma semana de operação parada ou uma transferência desviada podem ser absorvidas por uma grande empresa, mas comprometem o caixa de um negócio pequeno. Por isso, para empresas menores, a prevenção básica, bem feita, costuma ter retorno maior que qualquer ferramenta sofisticada.
Como reduzir cada um desses prejuízos
A boa notícia é que as medidas mais eficazes não exigem grande orçamento, e cada uma ataca um tipo diferente de prejuízo:
- Backup 3-2-1 com restauração testada: três cópias, em dois tipos de mídia, com uma desconectada ou fora do local. Reduz a paralisação e o custo de recuperação.
- Autenticação em dois fatores no e-mail, no banco, no acesso remoto e nos sistemas em nuvem. Bloqueia a maior parte das invasões por senha roubada.
- Regra de dupla checagem para pagamentos: nenhuma mudança de dados bancários ou transferência urgente sem confirmação por telefone já cadastrado e aprovação de uma segunda pessoa. Corta as fraudes diretas.
- Atualização prioritária de firewalls, VPNs e sistemas expostos à internet.
- Plano de resposta a incidentes, mesmo simples: quem decide, quem a empresa chama, como se comunica com clientes, com a ANPD e com a polícia. Reduz o tempo de crise e os riscos legais.
- Treinamento periódico da equipe, com exemplos reais de phishing e golpes de pagamento.
- Inventário de dados pessoais: saber quais dados a empresa guarda e onde facilita a resposta e a comunicação exigida pela LGPD.
Para quem está começando, o guia de segurança digital para pequenas empresas organiza essas medidas por prioridade.
Resumo: os cinco prejuízos e como reduzi-los
| Prejuízo | O que entra na conta | O que mais reduz |
|---|---|---|
| Paralisação da operação | Vendas e produção interrompidas, multas contratuais | Backup testado e plano de resposta |
| Resposta e recuperação | Perícia, reconstrução de sistemas, horas de TI e consultoria | Plano de resposta ensaiado e contatos definidos antes da crise |
| Fraudes e desvios | Pagamentos enviados a contas de criminosos | Dupla checagem e confirmação por canal cadastrado |
| Obrigações legais | Comunicação à ANPD, sanções e ações de titulares | Inventário de dados e procedimento de comunicação pronto |
| Clientes e reputação | Perda de contratos e de confiança | Comunicação rápida e transparente com os afetados |
Conclusão: o custo do ataque é decidido antes dele
Os ataques digitais contra empresas custam caro menos pelo que os criminosos cobram e mais pelo que a empresa não tinha preparado: o backup que não funcionou, o pagamento que ninguém confirmou, o plano de crise que não existia. É por isso que dois negócios atingidos pelo mesmo tipo de ataque podem ter prejuízos completamente diferentes.
A pergunta útil, portanto, não é “vamos ser atacados?”, e sim “quanto vai nos custar quando acontecer?”. A resposta depende de decisões tomadas hoje. Para entender como os criminosos costumam entrar, vale ler sobre como hackers roubam contas, a porta de entrada da maior parte desses incidentes.
Diagnóstico gratuito para empresas
Sua empresa está protegida contra golpes?
Responda 15 perguntas rápidas sobre pagamentos, equipe e contas e descubra em 3 minutos a nota de risco da sua empresa e os 3 pontos mais fracos para corrigir primeiro. As respostas ficam no seu navegador.
Fontes consultadas
- Sophos, The State of Ransomware 2026.
- IBM e Ponemon Institute, Cost of a Data Breach (dados do Brasil referentes à edição de 2025).
- Lei nº 13.709/2018 (LGPD), art. 52, e Resolução CD/ANPD nº 15/2024.