Vazamento de Dados: O Que Fazer nas Primeiras 48h

As Primeiras 6 Horas: Contenção Antes de Qualquer Outra Coisa

Quando uma empresa descobre que dados foram expostos, o instinto natural é buscar culpados ou avaliar o tamanho do estrago. Ambos os movimentos são prematuros. A primeira prioridade absoluta nas horas iniciais é interromper o fluxo: enquanto o vazamento continuar ativo, cada minuto amplia o volume de dados comprometidos e amplia também a exposição jurídica da organização perante a Autoridade Nacional de Proteção de Dados.

Conter não significa desligar tudo. Desligar servidores indiscriminadamente destrói memória volátil, logs em cache e evidências que serão indispensáveis para reconstruir a linha do tempo do incidente. A abordagem correta é isolar: segregar o ativo comprometido da rede, revogar sessões ativas, invalidar tokens de API, forçar rotação de credenciais privilegiadas e bloquear os endereços de origem identificados. Se a suspeita recai sobre uma conta de e-mail corporativa, o bloqueio de regras de encaminhamento automático costuma ser o passo mais urgente — atacantes frequentemente criam regras silenciosas que continuam exfiltrando mensagens muito depois da senha ter sido trocada.

Em paralelo à contenção técnica, é preciso preservar evidências. Isso inclui exportar logs de firewall, autenticação, servidor de arquivos e provedor de nuvem antes que políticas de retenção os sobrescrevam — muitos ambientes mantêm apenas 7 ou 30 dias de histórico. Snapshots de máquinas virtuais afetadas, imagens forenses de discos e cópias íntegras de tabelas de banco de dados devem ser gerados e armazenados em local separado, com registro de quem coletou, quando e por qual método. Esse cuidado transforma uma suspeita difusa em um relato defensável.

Escalar Internamente: Quem Precisa Saber nas Primeiras Horas

Incidente de dados não é problema exclusivo de TI. É um evento corporativo com desdobramentos jurídicos, contratuais, reputacionais e, dependendo do setor, regulatórios adicionais. O erro mais comum em empresas de médio porte é a equipe técnica tentar resolver silenciosamente por 24 ou 48 horas antes de escalar — e nesse intervalo, o prazo regulatório já está correndo.

O comitê de resposta deve ser acionado imediatamente e reunir, no mínimo, os seguintes papéis:

• Encarregado de dados (DPO) — responsável formal pela comunicação com a ANPD e com os titulares
• Liderança de TI ou segurança — conduz contenção, análise técnica e erradicação
• Jurídico — avalia obrigações contratuais, cláusulas com clientes e riscos de responsabilização
• Direção executiva — decide sobre acionamento de seguro cyber, comunicação pública e alocação de recursos
• Comunicação — prepara mensagens para colaboradores, clientes e, se necessário, imprensa

Um ponto frequentemente negligenciado: se o incidente afetou dados que a empresa trata como operadora em nome de clientes, existe obrigação contratual de notificar esses clientes, geralmente em prazos mais curtos que o regulatório. Contratos de prestação de serviços B2B costumam estipular 24 ou 48 horas. Revisar os contratos vigentes deve ser tarefa do jurídico já na primeira reunião do comitê, não depois.

Vale também estabelecer um canal de comunicação fora da infraestrutura potencialmente comprometida. Se o atacante mantém acesso ao e-mail corporativo ou ao chat interno, discutir a estratégia de resposta por esses meios entrega o plano de contenção ao adversário. Um grupo em aplicativo separado, com dispositivos pessoais, resolve o problema em minutos.

Dimensionar o Incidente: O Que Vazou, de Quem, e Qual o Risco

Entre a sexta e a vigésima quarta hora, o esforço se desloca da contenção para a investigação. A pergunta central deixa de ser "como parar" e passa a ser "o que exatamente saiu". Essa resposta define tudo o que vem depois: se há dever de notificação, qual a urgência, quem precisa ser avisado e qual o teor da mensagem.

A LGPD estabelece o critério de risco relevante aos direitos e liberdades dos titulares como gatilho da notificação. Não é qualquer acesso indevido que obriga comunicação formal — mas a avaliação precisa ser documentada, fundamentada e conservadora. Os elementos que aumentam a gravidade são conhecidos:

• Presença de dados sensíveis (saúde, biometria, origem racial, opinião política, dados de menores)
• Documentos que permitem fraude de identidade: CPF, RG, comprovantes de residência
• Dados financeiros, credenciais de acesso ou informações que habilitem fraude bancária
• Volume alto de titulares afetados
• Ausência de criptografia ou pseudonimização nos dados expostos
• Indícios de que os dados já circulam em fóruns, marketplaces criminosos ou foram publicados

Dados criptografados com chave não comprometida reduzem drasticamente o risco ao titular — e essa distinção pode ser a diferença entre um incidente com notificação obrigatória e um registro interno. Criptografia em repouso não é apenas boa prática técnica; é mitigação jurídica concreta.

O produto dessa fase é um relatório de incidente com linha do tempo, vetor de entrada, ativos afetados, categorias de dados expostos, estimativa de titulares impactados e medidas já adotadas. Esse documento vai alimentar diretamente o formulário da ANPD e a comunicação aos titulares. Construí-lo bem uma vez evita retrabalho em todas as etapas seguintes.

Comunicar à ANPD: Prazo, Formulário e o Que Realmente Escrever

A comunicação à ANPD é feita por formulário eletrônico próprio, disponível no portal da autoridade. Desde a Resolução CD/ANPD nº 15/2024, o prazo é de 3 dias úteis contados a partir do conhecimento do incidente que possa acarretar risco ou dano relevante — e "conhecimento" começa quando há indícios razoáveis, não quando a investigação termina. Esperar o laudo forense completo para só então comunicar é interpretação equivocada que já rendeu autuações.

Se a investigação ainda está em curso, a comunicação inicial pode ser feita com as informações disponíveis, indicando expressamente que se trata de comunicação preliminar e que os complementos serão enviados. A ANPD aceita e espera essa dinâmica. O formulário exige, entre outros campos: descrição da natureza dos dados afetados, número aproximado de titulares, medidas técnicas de proteção que estavam em uso, riscos identificados, motivo de eventual demora na comunicação e medidas adotadas para reverter ou mitigar os efeitos.

A notificação aos titulares afetados é obrigação separada e igualmente relevante. Ela deve ser feita em linguagem clara, sem jargão técnico, e conter minimamente: o que aconteceu, quais dados dessa pessoa específica foram expostos, quais riscos concretos ela corre, o que a empresa já fez e o que o titular deve fazer para se proteger. Recomendações genéricas do tipo "fique atento" não cumprem a função — orientações úteis incluem trocar senhas reutilizadas, ativar autenticação em dois fatores, monitorar o CPF em serviços de proteção ao crédito e desconfiar de contatos que citem dados verdadeiros para ganhar confiança.

Um alerta operacional: golpes de engenharia social costumam explodir logo após um vazamento tornar-se público, usando os próprios dados vazados para simular legitimidade. A comunicação da empresa deve deixar claro por quais canais ela nunca entrará em contato pedindo senha, código ou pagamento.

Erradicação e Recuperação: Fechar a Porta que Ficou Aberta

Contenção estanca o sangramento; erradicação remove a causa. Reconectar sistemas sem eliminar o vetor de entrada é a receita para um segundo incidente em poucas semanas — cenário mais comum do que se imagina, especialmente quando a resposta inicial foi apressada pela pressão de restaurar a operação.

A erradicação envolve identificar e fechar o vetor original, seja ele uma vulnerabilidade não corrigida, uma credencial vazada, um phishing bem-sucedido ou uma configuração indevida de exposição em nuvem. Envolve também remover qualquer persistência deixada pelo atacante: contas criadas, chaves SSH adicionadas, tarefas agendadas, webshells, regras de encaminhamento de e-mail e aplicativos OAuth autorizados sem conhecimento da empresa. Em ambientes Microsoft 365, a revisão de consentimentos de aplicativos e regras de caixa de entrada é etapa obrigatória — e frequentemente esquecida.

A recuperação deve ser gradual e monitorada. Restaurar a partir de backups exige certeza de que o ponto de restauração é anterior ao comprometimento, o que só a linha do tempo construída na fase de investigação pode garantir. Nas semanas seguintes, o monitoramento precisa ser reforçado sobre os ativos afetados, com atenção a tentativas de reentrada usando credenciais que possam não ter sido rotacionadas.

Por fim, o registro. A LGPD exige que a empresa mantenha documentação do incidente e das medidas adotadas. Além da conformidade, esse registro alimenta a revisão pós-incidente: o que falhou, quanto tempo levou para detectar, quanto tempo para conter, quais controles teriam evitado. Um vazamento que gera aprendizado documentado e controles novos é caro; um vazamento que se repete é impagável.

Preparação Vale Mais que Reação

Toda organização que já passou por um incidente chega à mesma conclusão: o custo de responder no improviso é ordens de grandeza maior que o custo de estar preparado. Um plano de resposta escrito, com papéis definidos, contatos atualizados, modelos de comunicação prontos e um exercício de simulação por ano transforma 48 horas de caos em um procedimento executado com método.

Os controles que mais reduzem impacto real são conhecidos e acessíveis: autenticação multifator em todos os acessos administrativos e remotos, backup imutável e testado com restauração real, segmentação de rede que impeça movimentação lateral, monitoramento com retenção de logs adequada, gestão disciplinada de patches e criptografia de dados sensíveis em repouso. Nenhum deles é exótico — o que falta, normalmente, não é tecnologia, e sim rotina e responsável definido.

A Duk Informática & Cloud atua há mais de 18 anos como parceira de TI de empresas brasileiras, com mais de 550 clientes atendidos e certificação Microsoft Gold Partner. Nosso trabalho combina infraestrutura em data center próprio, backup gerenciado com verificação de restauração, monitoramento contínuo e suporte com SLA — a base que sustenta tanto a prevenção quanto uma resposta ordenada quando o incidente acontece. Se sua empresa não tem hoje um plano de resposta a incidentes documentado e testado, esse é o ponto de partida, e podemos construí-lo junto com sua equipe.