1. Introdução: quando a empresa é invadida e o prejuízo cai no colo do cliente
Ataques de ransomware deixaram de ser um problema “de TI” e viraram risco real de negócio. Em poucas horas, empresas perdem acesso a servidores, bancos de dados, sistemas de atendimento e plataformas de pagamento. Em muitos casos, além do bloqueio, há ameaça de divulgação de dados: ou paga o resgate, ou tudo será exposto.
O problema é que, quando isso acontece, o consumidor quase sempre descobre tarde. Ele tenta acessar o serviço e não consegue. Liga e não é atendido. Tenta cancelar e não consegue. Fica sem suporte, sem informação e, muitas vezes, com medo de ter seus dados vazados.
Por isso, cresce a exigência jurídica de um dever básico: comunicar os clientes de forma rápida e clara quando ocorre ataque relevante. A lógica é simples: se há risco de dano, a informação não pode ser escondida.
2. O que é ransomware e por que ele gera dever de aviso
Ransomware é um tipo de ataque em que criminosos sequestram dados ou sistemas, impedindo o funcionamento normal da empresa. Em geral, a vítima perde acesso aos arquivos ou aos serviços essenciais, e o invasor exige pagamento para liberar.
Isso gera três impactos jurídicos imediatos:
o consumidor pode ficar sem acesso ao serviço contratado, pode ter seus dados expostos e pode ser atingido por golpes derivados do vazamento, como fraudes e engenharia social.
Quando a empresa tem conhecimento do ataque e não informa, ela aumenta o risco para o cliente, porque impede que ele tome medidas básicas de autoproteção, como trocar senhas, cancelar cartões, monitorar movimentações e desconfiar de contatos suspeitos.
3. Comunicação ao cliente: não é “favor”, é dever de transparência
No Direito do Consumidor, a transparência não é opcional. Ela é dever.
Se o serviço foi afetado, se houve falha relevante de segurança ou se existe risco concreto ao usuário, a empresa deve informar de forma objetiva, sem maquiagem e sem linguagem genérica.
Uma comunicação adequada precisa esclarecer, de modo compreensível:
o que ocorreu, quando ocorreu, quais serviços foram afetados, se houve vazamento ou risco de vazamento, quais dados podem ter sido expostos e quais medidas o consumidor deve tomar.
A empresa não precisa divulgar detalhes técnicos que facilitem novos ataques. Mas precisa entregar o essencial: informação útil para evitar prejuízo.
4. LGPD: quando o ataque vira incidente de segurança com obrigação de resposta
A LGPD trata ataques como incidentes de segurança capazes de gerar risco ou dano relevante ao titular de dados.
Isso significa que, dependendo do caso, pode haver dever de:
registrar o incidente, avaliar impacto, adotar medidas para conter danos, comunicar autoridades e comunicar os titulares afetados.
Na prática, não é qualquer instabilidade que gera obrigação de notificação ampla. Mas ransomware com risco de exposição de dados pessoais, interrupção prolongada ou comprometimento de informações sensíveis tende a entrar na zona de risco elevado.
O ponto central é que a empresa não pode “escolher o silêncio” para proteger a própria imagem se isso expõe o consumidor a dano.
5. E quando o consumidor sofre prejuízo: a empresa responde?
Em regra, sim, existe espaço relevante para responsabilização.
No CDC, a responsabilidade do fornecedor é objetiva em muitos cenários: se o serviço falha e causa dano, surge dever de reparar, salvo exceções muito específicas.
Quando há ataque, algumas empresas tentam usar o argumento de “fato de terceiro” para afastar responsabilidade. Mas isso não é automático.
O debate jurídico costuma girar em torno de uma pergunta prática:
a empresa adotou medidas razoáveis de segurança e resposta, ou houve falha de prevenção e de gestão do risco?
Se o ataque expõe fragilidades previsíveis (sistemas desatualizados, ausência de proteção, negligência com backups, demora injustificada em agir), a tese de responsabilidade ganha força.
Além disso, mesmo que o ataque tenha sido praticado por terceiros, a empresa pode responder por falhas de comunicação, demora em alertar e omissão que ampliou o dano.
6. O que o consumidor deve fazer ao saber de um ataque
Quando o consumidor recebe aviso de ransomware ou percebe que uma empresa foi atacada, o ideal é agir rápido.
Medidas básicas incluem:
trocar senhas (principalmente se repetidas em outros serviços), ativar autenticação em dois fatores, monitorar cartões e contas, desconfiar de mensagens com “urgência”, evitar clicar em links e registrar protocolos de atendimento.
Se houver cobrança indevida, fraude ou prejuízo, o consumidor deve reunir provas, prints e comunicações oficiais, porque isso facilita contestação, estorno e eventual indenização.
7. Conclusão: ataque acontece, mas omissão não pode ser estratégia
Nenhuma empresa está 100% imune a ataques. O que o Direito exige não é perfeição, mas responsabilidade.
E responsabilidade, em ransomware, significa duas coisas:
reduzir riscos com medidas mínimas de segurança e comunicar o consumidor com rapidez quando o risco se materializa.
O consumidor não pode ser o último a saber. Porque, quando ele descobre tarde, o dano já aconteceu.
A nova lógica é clara: segurança digital virou dever jurídico, e transparência virou parte essencial da prestação do serviço.