14. Ransomware e extorsão

A tubulação que parou por causa de uma senha

Na sexta-feira, 7 de maio de 2021, a Colonial Pipeline, empresa que opera um dos maiores dutos de combustível dos Estados Unidos, descobriu que sua rede de computadores tinha sido invadida e que arquivos estavam criptografados. O duto leva gasolina, diesel e querosene de aviação da costa do Golfo do México até o leste do país, e a imprensa americana costuma atribuir a ele cerca de 45% do combustível consumido na costa leste. A parte da empresa que controla fisicamente o fluxo não foi, segundo ela, atingida. Mas a Colonial não sabia até onde o invasor tinha chegado, e decidiu desligar o próprio duto por precaução.

O efeito apareceu nos postos. Houve filas, compras de pânico e bombas vazias em estados do sudeste americano. O governo declarou emergência regional para flexibilizar regras de transporte de combustível. O grupo que reivindicou o ataque se chamava DarkSide, e atuava como uma empresa de ransomware: oferecia a ferramenta e a infraestrutura a parceiros, que invadiam as vítimas, e ficava com uma parte do resgate. O presidente da empresa, Joseph Blount, disse depois à imprensa e ao Congresso americano que autorizou o pagamento do resgate, por considerar que o país não podia esperar para saber quanto tempo levaria a recuperação. A Colonial pagou cerca de 75 bitcoins, o equivalente a aproximadamente US$ 4,4 milhões na época. O duto voltou a operar por volta de 12 de maio, cerca de cinco dias depois.

A história poderia terminar aí, como mais uma em que o crime compensa. Não terminou. Em 7 de junho de 2021, o Departamento de Justiça americano anunciou que tinha apreendido 63,7 bitcoins, aproximadamente 85% dos bitcoins pagos. Como o preço do bitcoin havia caído, o montante recuperado valia perto de US$ 2,3 milhões no dia do anúncio. A declaração juramentada que fundamentou a apreensão afirma que o FBI tinha a chave privada do endereço que recebeu os bitcoins. Os criminosos perderam parte do que tinham ganhado. O grupo DarkSide, aliás, anunciou o encerramento de suas atividades pouco depois do episódio, sob a pressão que o caso gerou.

O que mais interessa para este capítulo é a porta de entrada. Segundo o que a empresa contou depois, o acesso ao sistema teria começado por uma conta de rede privada virtual, usada para acesso remoto, que não tinha autenticação em dois fatores, e cuja senha teria vazado em outro lugar. Se for assim, uma das maiores crises de abastecimento da história recente dos Estados Unidos começou na ausência de uma camada de proteção que custa pouco e que qualquer pessoa já viu no celular. Esse é o tom do assunto. O ransomware não é, na maior parte dos casos, uma obra-prima de engenharia. É um negócio que encontra as portas que ficaram abertas, e a distância entre uma empresa que para por uma semana e uma que se recupera em um dia costuma ser feita de coisas pequenas e chatas, como backup, senha, segmentação e um plano que alguém já tinha lido.

O que você vai levar deste capítulo

O ransomware é uma indústria com divisão de trabalho, atendimento ao cliente e métricas, e quem o enfrenta precisa pensar como se enfrenta um concorrente organizado, e não como se enfrenta um vandalismo. As quadrilhas vazadas, como o Conti, funcionavam como empresas de tecnologia, com chefes, equipes, salários e problemas de gestão.

A decisão de pagar ou não pagar é, antes de tudo, uma decisão que se toma antes do ataque. Quem tem cópias de segurança que funcionam, rede segmentada e plano de resposta pode escolher. Quem não tem decide sob pressão, com menos opções, e muitas vezes paga sem garantia de que o dado volte ou de que o vazamento seja evitado.

Os casos brasileiros, como o do Superior Tribunal de Justiça em 2020 e o da Lojas Renner em 2021, mostram que o setor público e o varejo estavam no alcance, e que o desfecho depende menos do tamanho do ataque do que da qualidade do preparo. As derrubadas policiais, como a Operação Cronos contra o LockBit em 2024, tiram infraestrutura e identidades do ar, mas o mercado se reorganiza.

A sextorsão, que mistura extorsão e abuso, atinge adolescentes com um mecanismo diferente do ransomware e uma consequência humana mais grave. A defesa começa por uma regra que cabe numa frase: o adolescente que cai nessa não é culpado, e pedir ajuda é sempre a melhor decisão.

O que é ransomware e por que virou negócio

O mecanismo em nível de princípio

Ransomware é um programa malicioso que torna inacessíveis os dados de uma organização, geralmente por criptografia, e exige pagamento para devolver o acesso. Na forma mais recente, chamada de dupla extorsão, o invasor também copia os dados antes de cifrá-los e ameaça publicá-los se o resgate não for pago. Isso muda a lógica do problema: ter backup resolve a parte da indisponibilidade, mas não resolve a parte do vazamento. A empresa que restaura tudo em um dia pode ainda ser extorquida pela ameaça de ver seus contratos, folhas de pagamento e dados de clientes na internet.

A cadeia típica tem etapas, e é útil conhecê-las para saber onde se defender. O acesso inicial vem de uma credencial roubada ou fraca, de um serviço exposto e sem atualização, de um e-mail que enganou alguém ou de um fornecedor comprometido. Depois vem a movimentação dentro da rede, em que o invasor procura acesso privilegiado, localiza o que importa e as cópias de segurança. Só então vem a cópia dos dados e a criptografia, muitas vezes disparada de madrugada, em feriado ou fim de semana, quando a resposta humana é mais lenta. O aviso de resgate aparece no final de um processo que pode ter começado semanas antes, e é por isso que a detecção precoce vale mais do que qualquer reação posterior. Não vou detalhar técnicas, porque o objetivo é explicar o sistema, e o sistema é um lembrete: o ataque costuma ser lento e a vítima costuma ser a última a saber.

Um negócio com divisão de trabalho

O ransomware moderno se organiza como uma cadeia de fornecedores. Há quem desenvolva e mantenha o programa e a infraestrutura de negociação e publicação, quem consiga o acesso inicial e o venda, quem execute a invasão e quem converse com a vítima. O modelo em que um grupo central aluga sua ferramenta a parceiros, que invadem e dividem o resultado, é conhecido como ransomware como serviço. Ele explica por que derrubar um grupo raramente acaba com os ataques: o conhecimento está nas pessoas que invadem, que podem mudar de marca, e não na ferramenta.

As vítimas costumam ser escolhidas por oportunidade, e não por rancor. A empresa com um serviço exposto e mal protegido serve, e um alvo com muito a perder e pouco tempo para perder, como um hospital, uma indústria com entregas contínuas, um escritório de advocacia com prazos ou um órgão público, serve melhor. O resgate pedido costuma ser calibrado pelo que a empresa pode pagar, e os grupos pesquisam o faturamento da vítima antes de fixar o valor, informação que muitas vezes está em bases públicas.

O que os vazamentos do Conti mostraram

O melhor retrato do funcionamento interno vem de um vazamento. Em fevereiro de 2022, pouco depois do início da invasão russa da Ucrânia, o grupo Conti declarou apoio ao governo da Rússia, e uma pessoa que se apresentou como pesquisador ucraniano divulgou mensagens internas do grupo e parte de seu código. Segundo a cobertura da época e análises posteriores, foram dezenas de milhares de mensagens, e um estudo acadêmico que analisou os registros fala em mais de 168 mil, cobrindo cerca de dois anos até fevereiro de 2022. As fontes divergem nos números e nas datas exatas do período, e a identidade de quem vazou continua sem confirmação.

O que os especialistas viram nas conversas foi uma empresa. A pesquisa da Check Point descreveu o material como o retrato de uma startup de tecnologia surpreendentemente comum, com chefes, gerentes de equipe, programadores, testadores, recrutadores e pessoal de negociação, além de reclamações sobre salário, atraso de pagamento, metas e rotatividade. As conversas mostram também a face fria do negócio: a pesquisa sobre o faturamento das vítimas, a discussão de quanto pedir e a pressão para fechar. Para quem defende uma empresa, a lição é desconfortável. O adversário é organizado, tem processo e aprende com cada negociação, e não é um adolescente de moletom diante de um terminal.

Em maio de 2022, o Conti atacou cerca de 27 instituições do governo da Costa Rica, e o presidente do país declarou emergência nacional em 8 de maio, a primeira declaração desse tipo em resposta a um ataque de ransomware, segundo a imprensa. O governo recusou pagar, e o grupo teria pedido até US$ 20 milhões. Pouco depois, o Conti anunciou o encerramento de sua estrutura pública. Pesquisadores como os da AdvIntel interpretaram o episódio como uma fachada de saída, enquanto os integrantes se dividiam em grupos menores. Outros analistas dizem que não há razão para ver mais do que motivação financeira no ataque. O que parece estável é o resultado: a marca sumiu, e o ecossistema continuou.

O caso: Colonial Pipeline, JBS e a pergunta de pagar

Dois pagamentos em duas semanas

Em 30 de maio de 2021, pouco depois da Colonial, a JBS, a maior processadora de carne do mundo, foi atingida por um ataque que derrubou sistemas e interrompeu operações na América do Norte e na Austrália. O FBI atribuiu o ataque ao grupo REvil. Em 9 de junho, a subsidiária americana da JBS confirmou ter pago o equivalente a US$ 11 milhões em resgate, e o presidente da empresa nos Estados Unidos, André Nogueira, disse ao Wall Street Journal que o pagamento foi em bitcoin. A empresa explicou que a maior parte de suas unidades já estava funcionando quando decidiu pagar, e que o fez para evitar problemas imprevistos e proteger os dados de seus clientes e funcionários. Há um valor de pedido inicial citado por um único veículo, o de US$ 22,5 milhões, que não foi confirmado por outra fonte e que não adoto.

Os dois casos, aproximados no calendário, formam um par útil. A Colonial pagou para voltar a operar e teve parte do dinheiro apreendido. A JBS pagou depois de já ter recuperado boa parte do funcionamento, para reduzir o risco de vazamento e de novos problemas. Em nenhum dos dois os pagamentos foram secretos por muito tempo, e as duas empresas tiveram de explicar publicamente a decisão. É a diferença entre o ransomware na teoria, em que o pagamento é um assunto privado entre vítima e criminoso, e na prática, em que o pagamento de uma grande empresa é um assunto público, regulatório e político.

A anatomia da decisão

A decisão de pagar tem mais variáveis do que a pergunta moral "pagar financia o crime". Ela envolve, na prática, o que a empresa consegue restaurar sem o criminoso e em quanto tempo, o custo por dia de parada, o risco de vazamento e a natureza dos dados, a certeza de que o invasor foi expulso, as obrigações legais e contratuais e o risco de sanções. Nenhuma dessas variáveis é conhecida com certeza na hora. A empresa decide com informação incompleta e sob pressão de diretoria, clientes e imprensa.

O que se sabe sobre o resultado de pagar é menos animador do que os criminosos fazem parecer. Pagar não garante que a chave funcione bem, que todos os dados sejam recuperados nem que o invasor apague as cópias que levou. A palavra de um criminoso é, por definição, a de alguém que não tem compromisso com você. Pagar também pode marcar a empresa como alvo que paga, e o dado roubado pode ser vendido depois. Não é possível afirmar que isso acontece em todo caso. É possível afirmar que ninguém pode prometer o contrário.

A tendência dos números aponta na mesma direção. A empresa de resposta a incidentes Coveware, que acompanha negociações, relatou que em torno de 23% das vítimas pagaram no terceiro trimestre de 2025, o menor patamar que registrou, depois de anos de queda. Nos ataques em que o invasor apenas copia dados sem cifrá-los, o índice foi menor ainda. A empresa atribuiu a queda a defesas melhores e à pressão de autoridades para não pagar. É um dado de uma consultoria, e retrata o universo de casos que ela atendeu, que não é o da população de vítimas. Mas é coerente com o que se vê nos casos públicos: quem se prepara paga menos.

O que um perito diria sobre o pagamento

O livro não vai ensinar como negociar um resgate nem como pagá-lo em criptomoeda, e há uma razão técnica para isso. Esse processo é conduzido por empresas especializadas, com advogados e, quando cabível, com autoridades, e o risco de fazê-lo por conta própria é alto, tanto pela fraude em cima da fraude quanto pelo risco jurídico. O que cabe aqui é o enquadramento.

Não identifiquei, nesta checagem, lei brasileira que proíba ou regule expressamente o pagamento de resgate, e o assunto exige orientação jurídica específica. Nos Estados Unidos, o Tesouro, por meio do Escritório de Controle de Ativos Estrangeiros (OFAC), publicou orientações de que o pagamento a pessoas ou grupos sancionados pode gerar responsabilidade, mesmo sem intenção, o que cria um risco real para empresas com ligações americanas. Seguradoras, quando existem apólices de risco cibernético, têm cláusulas e exigências próprias, e normalmente querem ser avisadas antes de qualquer decisão.

O conselho de quem trabalha com o assunto, com variações, é consistente: não decida sozinho, envolva advogado, resposta a incidentes e a polícia, e use o tempo de que dispuser para saber o que foi roubado e o que é recuperável. O melhor momento de decidir se vai pagar é antes do ataque, quando a decisão pode ser tomada sem pânico e registrada em um plano.

O caso brasileiro: tribunais, varejo e governo

O STJ em novembro de 2020

Em 3 de novembro de 2020, uma terça-feira, o Superior Tribunal de Justiça sofreu um ataque que derrubou a rede do tribunal durante as sessões das turmas. O presidente, ministro Humberto Martins, suspendeu os prazos processuais por meio da Resolução STJ/GP nº 25, de 2020, inicialmente até 9 de novembro, com as urgências, como liminares e habeas corpus, centralizadas na Presidência. Os prazos voltaram a correr em torno de 10 de novembro, e as fontes divergem em um dia sobre a data exata. As sessões foram adiadas, os julgamentos virtuais foram retomados em 12 de novembro e as sessões presenciais em 17, e os serviços de consulta de processos e de jurisprudência voltaram em torno de 15.

A criptografia típica de ransomware apareceu nos relatos, a Polícia Federal investigou o caso sob sigilo, e o tribunal informou que os backups mantidos por ele preservaram as informações de processos e contratos. Esse último ponto é o que mais importa. O dano foi uma semana de paralisia, com efeito sobre prazos de milhares de processos, e não a perda do acervo. A existência de cópias que o invasor não alcançou foi a diferença entre incômodo grave e catástrofe. A Polícia Federal ainda investigava o caso em 2021, e eu não localizei notícia de desfecho com condenação de alguém.

A Lojas Renner em agosto de 2021

Em 19 de agosto de 2021, a Lojas Renner, uma das maiores varejistas de moda do país, informou ao mercado que tinha sofrido um ataque cibernético criminoso em seu ambiente de tecnologia. As lojas físicas continuaram abertas, mas sistemas ficaram indisponíveis. O comércio eletrônico voltou em 21 e 22 de agosto, e a empresa recuperou centros de distribuição e retaguarda na semana seguinte. Em comunicado à CVM, a companhia afirmou que não fez contato, não negociou e não pagou resgate aos autores. Em 30 de agosto, em fato relevante complementar, disse que não havia evidência de vazamento de dados pessoais.

Há pontos que a empresa não confirmou. Ela não declarou oficialmente que o ataque era de ransomware, e circularam relatos de que um grupo chamado RansomEXX estaria por trás, assim como cifras de resgate que não tiveram confirmação e que não repito. O Procon de São Paulo notificou a empresa, pedindo explicações sobre o plano de proteção e recuperação. Sobre uma atuação da Autoridade Nacional de Proteção de Dados no caso, só encontrei menção em um texto de consultoria, sem sanção ou nota da autoridade, e por isso não afirmo. O que o caso demonstra é o que uma empresa preparada consegue: voltar a vender em dois dias, com a loja física intacta, e falar ao mercado com datas.

Governo e dados

Casos como o do STJ mostram que o setor público brasileiro é alvo e que a continuidade de serviço essencial depende do preparo. A Costa Rica, em 2022, é o exemplo extremo de um governo que decretou emergência nacional diante do ataque. Sem entrar em casos em que não verifiquei o estado atual, vale registrar o princípio: órgãos públicos têm dados sensíveis de milhões de pessoas, equipes de TI pequenas, sistemas antigos e contratos de fornecimento complexos. É uma combinação que atrai o ataque.

Quando a polícia ataca: Conti, LockBit e o que muda

A Operação Cronos

Em fevereiro de 2024, uma força-tarefa internacional liderada pela Agência Nacional de Crime do Reino Unido, com o FBI, a Europol, a Eurojust e polícias de vários países, derrubou a infraestrutura do LockBit, um dos grupos de ransomware mais ativos do mundo. A operação, batizada de Cronos, tomou servidores, o site onde o grupo publicava dados de vítimas e o painel de seus parceiros, na ordem de algumas dezenas de servidores, segundo os relatos. Em maio de 2024, o Reino Unido, os Estados Unidos e a Austrália identificaram publicamente um cidadão russo, Dmitry Khoroshev, como o administrador do grupo, conhecido pelo apelido de LockBitSupp, e aplicaram sanções contra ele. O Departamento de Justiça americano o acusou e ofereceu recompensa de até US$ 10 milhões por informações que levassem à sua captura. A acusação fala em mais de 2.000 vítimas e mais de US$ 100 milhões em resgates. Khoroshev é, até onde sei, acusado e sancionado, sem condenação, e não está preso. A Agência Nacional de Crime relatou também que o número de parceiros ativos do grupo caiu depois da operação, de 194 para 69, embora outra fonte cite 94.

E depois

A derrubada foi um golpe real, e a história não parou aí. Em maio de 2025, o painel de parceiros do LockBit foi invadido por alguém que o desfigurou e divulgou um banco de dados com conversas de negociação e registros de endereços de carteiras. Quem fez isso não se sabe. Reportagens e análises de empresas de segurança relataram, a partir de abril e setembro de 2025, a promoção de uma nova versão do programa, o LockBit 5.0, e novos ataques ligados a ela. A atribuição dessa volta a um núcleo que teria escapado da operação é uma hipótese de pesquisadores, e não um fato.

A lição da sequência é de método. As derrubadas policiais produzem informação, desorganizam parceiros, destroem confiança entre criminosos e geram dados de inteligência que ajudam outras investigações. Elas não eliminam a demanda, a técnica nem as pessoas. O Conti desapareceu e deu lugar a grupos menores, o LockBit foi atacado e, segundo os relatos, tentou voltar. Quem dimensiona o risco de uma empresa deve contar com o ecossistema existindo daqui a cinco anos, com marcas diferentes.

Defesa da empresa

O que funciona, em princípio

A defesa contra ransomware é um conjunto de medidas de baixo glamour, e a lista é a mesma que as agências de segurança publicam há anos. O relatório anual do IC3 de 2025 traz recomendações que seguem a linha: proteger os pontos de acesso, segmentar a rede para impedir a propagação e manter cópias de segurança, além de apontar que o FBI recebeu mais de 3.600 queixas de ransomware com perdas acima de US$ 32 milhões, número que o próprio relatório adverte ser subestimado, porque não inclui parada de operação, horas de trabalho nem serviços de recuperação, e porque nem toda vítima reporta.

Cópias de segurança são a base. Uma cópia só vale se estiver fora do alcance do invasor, o que significa uma cópia isolada da rede principal, com versões imutáveis ou desconectadas, e se a restauração tiver sido testada. Backup que nunca foi restaurado é uma esperança. O teste deve medir quanto tempo a empresa leva para voltar a operar, porque esse número é o que decide a conta.

A segunda medida é o acesso. Autenticação em dois fatores em acesso remoto, em contas de administrador e em e-mail, senhas únicas, remoção de contas esquecidas e privilégios mínimos reduzem a porta de entrada que o caso Colonial ilustra. A terceira é a atualização, em especial dos sistemas expostos à internet, que são o alvo preferido de quem procura oportunidade. A quarta é a segmentação, que faz com que o comprometimento de uma máquina não signifique o comprometimento de tudo. A quinta é a visibilidade: registros, alertas e alguém, interno ou contratado, que os leia, de modo que uma movimentação estranha numa quinta-feira seja notada antes do sábado.

A sexta medida é a mais esquecida: o plano de resposta. Quem liga para quem, onde estão as informações de contato quando a rede cair, quem fala com a imprensa, qual é o critério para desligar sistemas, quem tem autoridade para decidir sobre pagamento, e onde está o telefone do advogado e do prestador de resposta a incidentes. Esse plano deve existir em papel ou em um local que não dependa da rede atingida, e deve ser ensaiado. Um exercício de mesa de duas horas por ano revela mais problemas do que um relatório de auditoria.

Cenário ilustrativo: o preço de não se preparar

Cenário ilustrativo: os números a seguir são inventados para mostrar o raciocínio e não descrevem nenhuma empresa real.

Uma indústria de médio porte fatura R$ 2.400.000 por mês, ou R$ 80.000 por dia corrido. Descontados os custos variáveis, cada real de venda deixa 40 centavos de margem de contribuição. Um ataque de ransomware cifra os servidores e as cópias de segurança, que estavam na mesma rede, e a empresa fica parada por 9 dias. A venda perdida é de 9 vezes R$ 80.000, ou R$ 720.000, e a margem perdida é de 40% desse valor, ou R$ 288.000. Somam-se R$ 150.000 de consultoria de resposta e recuperação e R$ 40.000 de horas extras e retrabalho. O custo total é de 288.000 mais 150.000 mais 40.000, ou R$ 478.000. Esse valor não inclui multa, indenização, perda de clientes, nem o efeito de um eventual vazamento.

Agora suponha que a empresa tivesse investido R$ 6.000 por mês em cópias imutáveis e testadas, autenticação em dois fatores, segmentação básica e um plano ensaiado, ou R$ 72.000 por ano. O mesmo ataque seria contido, e a restauração levaria 2 dias. A margem perdida seria de 2 vezes R$ 80.000, ou R$ 160.000, vezes 40%, ou R$ 64.000. A recuperação, com ajuda externa menor, custaria R$ 50.000. O total seria de R$ 114.000.

A diferença entre os dois cenários é de 478.000 menos 114.000, ou R$ 364.000. Dividida pelo investimento anual de R$ 72.000, dá pouco mais de cinco anos. Ou seja, a preparação se paga se o ataque acontecer uma única vez em cinco anos, e a probabilidade de um ataque nesse intervalo é a pergunta que cada empresa tem de responder com os próprios dados. Se o resgate pedido fosse de R$ 1.500.000, a empresa despreparada enfrentaria a escolha entre pagar um valor mais de três vezes maior do que o custo da parada, sem garantia de que tudo voltasse, e enfrentar os nove dias. A preparada nem teria de fazer essa conta. O exemplo é simplificado, mas o ponto é real: o preço do backup não se compara com o preço do resgate, e sim com o preço da parada evitável.

A quem avisar, e quando

Depois do ataque, a empresa tem deveres. Em primeiro lugar, o boletim de ocorrência, de preferência em delegacia especializada em crimes cibernéticos quando houver, ou na Polícia Federal, quando o caso envolver órgão federal ou interesse da União. A extorsão é crime previsto no artigo 158 do Código Penal, e o acesso indevido a sistemas está tipificado no artigo 154-A, incluído pela Lei 12.737, de 2012.

Em segundo lugar, a Lei Geral de Proteção de Dados. O Regulamento de Comunicação de Incidente de Segurança da ANPD, aprovado pela Resolução CD/ANPD nº 15, de 2024, estabelece o prazo de três dias úteis, contado do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais, para comunicar a ANPD e os titulares quando houver risco ou dano relevante. O prazo é dobrado para agentes de pequeno porte. Se faltarem informações no prazo, a comunicação à ANPD pode ser complementada, de maneira fundamentada, em até vinte dias úteis. A comunicação deve ser feita pelo controlador; a responsabilidade não se transfere ao operador.

Em terceiro lugar, os contratos e a regulação setorial. Empresas reguladas, como bancos, seguradoras e companhias abertas, têm deveres adicionais. A Lojas Renner, por ser companhia aberta, falou ao mercado por fatos relevantes. Clientes empresariais costumam ter cláusulas de notificação em contratos, com prazos curtos.

Sextorsão: a extorsão que chega ao quarto

O que é e por que este trecho é diferente

Sextorsão é a extorsão baseada em imagens íntimas ou na ameaça de divulgá-las. O ransomware mira organizações e é movido por dinheiro em escala. A sextorsão mira pessoas, e a vítima pode ser um adulto, mas é especialmente grave quando o alvo é um adolescente. Este trecho será cuidadoso: descreve o mecanismo em nível de princípio, não traz detalhe que exponha vítimas, e se concentra no que protege e no lugar onde pedir ajuda.

O relatório do IC3 de 2025 descreve o crime com uma observação que vale reproduzir em ideia: a sextorsão pode começar em qualquer site, aplicativo, plataforma de mensagem ou jogo em que pessoas se encontram. Na maioria dos casos, a pessoa acredita estar conversando com alguém da própria idade, interessado em um relacionamento, ou alguém que oferece algo de valor. Depois que os criminosos têm uma ou mais imagens, ameaçam divulgá-las ou ameaçam violência para obrigar a vítima a produzir mais. O relatório acrescenta que vergonha, medo e confusão costumam impedir a vítima de pedir ajuda ou de denunciar. Essa é a mecânica central: o criminoso não precisa de uma imagem comprometedora tão grave quanto a vítima imagina. Ele precisa que ela tenha vergonha de contar.

Os números americanos dão uma ordem de grandeza. Em 2025, o IC3 recebeu mais de 75 mil comunicações sobre sextorsão e encaminhou mais de 5,7 mil que envolviam menores ao Centro Nacional para Crianças Desaparecidas e Exploradas, o NCMEC. Na faixa de menores de 20 anos, o relatório registra 11.316 casos, com perdas financeiras ajustadas de pouco mais de US$ 1,3 milhão, valor baixo se comparado ao das faixas de adultos. A leitura honesta é que o dano nessa faixa não se mede em dinheiro. E esses números contam o que foi comunicado a um órgão americano, o que subestima o problema.

No Brasil, a SaferNet Brasil, organização que mantém a Central Nacional de Denúncias de Crimes Cibernéticos, registrou de janeiro a julho de 2025 cerca de 77 mil notificações, das quais 64% envolviam abuso e exploração sexual de crianças e adolescentes. O número cobre uma categoria mais ampla do que a sextorsão, e não encontrei um recorte específico dela para 2025. Não afirmo, portanto, uma estatística brasileira de sextorsão. Afirmo que o problema existe aqui, que a organização o descreve há anos e que o mecanismo é o mesmo.

O caso documentado

Um caso americano, com condenação, mostra a face mais grave do crime, e é tratado aqui com o cuidado devido. Em setembro de 2024, dois irmãos nigerianos, Samuel e Samson Ogoshi, foram condenados em tribunal federal em Michigan a 210 meses de prisão cada um, mais cinco anos de liberdade supervisionada, por conspiração para explorar sexualmente menores. Segundo o Departamento de Justiça, o esquema tinha atingido mais de cem outras vítimas, e a investigação teve origem na morte de um adolescente de 17 anos de Marquette, em Michigan, que morreu por suicídio cerca de seis horas depois de ser abordado por uma conta falsa que se passava por uma jovem americana. A dor da família e a clareza da decisão são um registro público, e o que o caso ensina é duro: o tempo entre a ameaça e o desespero pode ser de horas.

Por isso, vale dizer com todas as letras o que um adolescente nessa situação precisa ouvir. Você não é culpado. A pessoa que ameaça é que comete o crime. Qualquer sentimento de vergonha é exatamente o que o criminoso quer, e a saída é contar a um adulto de confiança, hoje, antes de qualquer outra decisão. Se você ou alguém que você conhece está em sofrimento agudo ou pensa em se machucar, ligue para o CVV, no 188, gratuito, que atende 24 horas por dia, ou procure o serviço de emergência da sua cidade.

A anatomia, em nível de princípio

O mecanismo tem quatro movimentos. O primeiro é a aproximação por uma identidade fabricada, que oferece afeto, atenção ou uma recompensa. O segundo é a obtenção de uma imagem, por convite, por pressão ou por engano. O terceiro é a virada: a conversa muda de tom, surge a ameaça de divulgação aos amigos, à família ou à escola, e o pedido de dinheiro ou de mais imagens. O quarto é a escalada, com prazos curtos, contagem regressiva e mensagens repetidas, desenhados para impedir que a vítima pare para pensar.

Há uma variante em massa, dirigida principalmente a adultos, em que uma mensagem alega ter gravado a pessoa por uma câmera e cita uma senha antiga, obtida de um vazamento, como suposta prova. Nesses casos, em geral não existe gravação nenhuma, e a mensagem é enviada a milhares de pessoas na esperança de que algumas paguem por medo. A diferença entre essa variante e a que atinge adolescentes é que, na segunda, o criminoso realmente tem a imagem.

Não descrevo roteiros, plataformas preferidas nem formas de abordagem. O que um perito precisa transmitir é o princípio: o criminoso trabalha com vergonha, medo e pressa, e a defesa trabalha com o contrário, que é conversa, tempo e ajuda.

A defesa: proteção e como pedir ajuda

Para o adolescente e para a família, a ordem das ações importa.

Não pague, e não envie mais nada. Pagar costuma levar a novos pedidos, porque mostra ao criminoso que a ameaça funciona. Enviar mais imagens aumenta o dano.

Não apague as conversas. Elas são prova. Guarde capturas de tela do perfil, das mensagens, dos valores pedidos e dos dados de pagamento que o criminoso tenha mencionado, sem apagar a conta nem a conversa antes de reunir o material. Pais e responsáveis podem ajudar a registrar, sem repreender, e sem abrir ou redistribuir as imagens íntimas.

Bloqueie e denuncie dentro da plataforma, depois de guardar as provas. As plataformas têm canais de denúncia para esse tipo de conduta, e a denúncia ajuda a derrubar a conta.

Procure ajuda. No Brasil, a SaferNet Brasil mantém o serviço de denúncia e um canal de orientação para casos de violência na internet. O Disque 100, serviço do governo federal para direitos humanos, recebe denúncias de violação de direitos de crianças e adolescentes. A polícia deve ser acionada: a extorsão é crime, e, quando a imagem é de menor de 18 anos, o caso envolve também a legislação de proteção à infância e à adolescência. As delegacias de proteção à criança e ao adolescente e as especializadas em crimes cibernéticos, onde existem, são o caminho natural. A vítima adolescente deve ser tratada como vítima, e o sistema de proteção à infância e à juventude foi desenhado para isso.

Procure a remoção das imagens. O NCMEC mantém o serviço Take It Down, que permite a quem tem imagem nua, parcialmente nua ou sexualmente explícita feita antes dos 18 anos pedir que plataformas participantes a bloqueiem. A imagem não sai do aparelho; o que se envia é uma impressão digital dela. O serviço funciona para plataformas que aderiram e, segundo o próprio NCMEC, em serviços públicos ou não criptografados, de modo que não é garantia de remoção em toda a internet. Para imagens de pessoas com 18 anos ou mais, existe o StopNCII, que funciona de forma parecida. Os serviços estão disponíveis em inglês e espanhol, e é prudente conferir a situação atual antes de recomendá-los.

Cuide da pessoa. O atendimento psicológico e a rede de apoio contam tanto quanto a ação policial. Em sofrimento agudo, o CVV, no 188, está disponível o tempo todo.

Para a prevenção, a conversa vale mais do que a proibição. Pais que combinam, antes de qualquer problema, que contar não gera castigo criam o canal que o criminoso precisa destruir. Perfis privados, lista de contatos conferida e desconfiança de quem pede para mudar de aplicativo ou de quem oferece algo bom demais ajudam, mas nenhuma configuração substitui a certeza do adolescente de que pode procurar um adulto.

O que a lei diz

A extorsão, prevista no artigo 158 do Código Penal, consiste em constranger alguém, mediante violência ou grave ameaça e com o intuito de obter vantagem econômica indevida, a fazer, tolerar que se faça ou deixar de fazer alguma coisa, com pena de reclusão de quatro a dez anos. Conforme o caso, o Ministério Público e a polícia podem enquadrar condutas adicionais, como as previstas no Estatuto da Criança e do Adolescente para quem produz, armazena ou divulga imagem sexual de menor, ou crimes contra a dignidade sexual. A qualificação exata depende dos fatos, e a vítima não precisa saber de direito para pedir ajuda: a delegacia e a organização de apoio fazem a análise.

Verdades desconfortáveis

A primeira é que muita empresa só leva o backup a sério depois do primeiro ataque. O discurso de segurança é fácil. O orçamento para testar restauração, segmentar rede e ensaiar um plano é difícil, porque o resultado é invisível: o dinheiro vai para evitar algo que não acontece. A diretoria que cobra a conta de segurança no ano seguinte a um ataque mostra o mesmo viés da que nunca a pagou.

A segunda é que a pergunta moral sobre pagar é menos útil do que a pergunta operacional. É confortável dizer que não se paga resgate, e é fácil dizer isso quando não se está com o hospital parado ou a folha de pagamento do mês cifrada. Políticas públicas que proíbem o pagamento sem oferecer apoio de recuperação empurram a decisão para a clandestinidade. Políticas que toleram o pagamento sem exigir comunicação às autoridades financiam o negócio. Nenhuma das duas é boa, e a discussão séria é sobre incentivos.

A terceira é que o cibercrime depende, em boa medida, de santuários. Os grupos mais ativos operam a partir de países em que as autoridades não os alcançam ou não têm interesse em alcançá-los. As acusações e sanções contra líderes, como as de maio de 2024, têm valor de pressão e de inteligência, e raramente chegam a prisão. Quem espera que o Estado resolva o problema espera algo que, até agora, não aconteceu em escala.

A quarta é que a segurança de uma empresa é limitada pelo seu fornecedor mais fraco. Um prestador de serviços com acesso à rede, um escritório contábil com credencial, uma empresa de suporte terceirizada ampliam o perímetro. As grandes empresas olham seus fornecedores quando já foram atacadas pelos fornecedores.

A quinta é que o mercado de seguro cibernético, ao pagar resgates, pode estimular o crime. Os dados que existem são insuficientes para afirmar com segurança, e a hipótese é discutida por especialistas. O que se pode dizer é que seguro sem exigência de controles mínimos transfere o risco para a seguradora e deixa a empresa onde estava.

A sexta, sobre a sextorsão, é que as plataformas sabem como o crime acontece e que a proteção dos menores é uma conta de custo e de atrito. Recursos como restringir contatos de adultos desconhecidos com adolescentes, limitar o compartilhamento de imagens e responder depressa a denúncias existem em parte e variam muito de uma plataforma a outra. A responsabilidade não é só da família.

Protocolo de defesa

Para a empresa, antes do ataque:

• Mantenha cópias de segurança isoladas da rede principal, com versões imutáveis ou desconectadas, e teste a restauração pelo menos uma vez por ano, medindo quanto tempo ela leva.
• Exija autenticação em dois fatores em acesso remoto, e-mail e contas de administrador.
• Atualize com prioridade os sistemas expostos à internet e remova acessos esquecidos.
• Segmente a rede e dê a cada pessoa e a cada fornecedor só o acesso de que precisa.
• Tenha alguém, interno ou contratado, lendo os alertas, com poder de agir fora do horário comercial.
• Escreva um plano de resposta com contatos que não dependam da rede, critérios de desligamento, responsáveis por cada decisão e a política de pagamento já discutida com a diretoria e o advogado.
• Faça um exercício de mesa por ano e corrija o que o plano não resolver.
• Contrate o seguro cibernético, se houver, lendo as exigências e os avisos obrigatórios.

Para a empresa, durante e depois do ataque:

• Isole as máquinas afetadas sem desligar tudo às cegas, e preserve registros e cópias do que for possível.
• Acione advogado e prestador de resposta a incidentes antes de qualquer contato com o criminoso.
• Registre o boletim de ocorrência e informe a seguradora, quando houver.
• Avalie, com o advogado, a comunicação à ANPD e aos titulares dentro do prazo, e as obrigações contratuais e setoriais.
• Não decida pagamento sem apoio jurídico e sem ter avaliado o que é recuperável sem pagar.
• Troque credenciais e confirme a expulsão do invasor antes de restaurar, para não ser atacado de novo.
• Registre a linha do tempo das decisões, que será útil para a polícia, para a seguradora e para a autoridade de dados.

Para o adolescente e a família:

• Não pague e não envie mais imagens.
• Guarde as provas antes de bloquear ou apagar qualquer coisa.
• Conte a um adulto de confiança, hoje.
• Denuncie na plataforma, na SaferNet e na polícia; o Disque 100 recebe denúncias de violação de direitos de crianças e adolescentes.
• Peça a remoção das imagens por serviços como o Take It Down, sabendo dos limites.
• Em sofrimento, procure o CVV, no 188, ou o serviço de emergência.

Sinais de alerta

Na empresa:

• Alertas de antivírus desativado ou de contas de administrador criadas fora de hora.
• Acessos remotos de origens incomuns, sobretudo em fim de semana ou madrugada.
• Cópias de segurança apagadas ou falhas repetidas de backup sem explicação.
• Arquivos que mudam de extensão ou sistemas que ficam lentos sem causa.
• Mensagem de fornecedor ou de parceiro informando que foi atacado e que talvez você também tenha sido.
• Contato de alguém que diz ter dados da empresa e exige pagamento.

Na sextorsão:

• Perfil novo, simpático e disponível, que quer logo mudar para outro aplicativo.
• Pedido de imagem íntima em troca de afeto, presente ou dinheiro.
• Mudança brusca de tom, com ameaça de divulgar para amigos, família ou escola.
• Contagem regressiva, mensagens repetidas e pedido de pagamento por canal difícil de rastrear.
• Adolescente que fica retraído, ansioso, evita o celular ou o usa escondido sem explicação.

Exercícios

1. Descubra quanto tempo sua empresa, ou uma empresa que você conheça, levaria para restaurar os sistemas essenciais a partir das cópias de segurança. Se ninguém souber, essa é a primeira descoberta. Entrega: uma estimativa por sistema, com a fonte da estimativa e a data do último teste real de restauração.

2. Refaça o cenário da indústria com os números do seu negócio: faturamento diário, margem de contribuição, dias de parada com e sem preparo, custo de recuperação e investimento anual. Entrega: uma tabela com os dois cenários e o tempo de retorno do investimento.

3. Escreva uma página de plano de resposta a ransomware para uma empresa pequena: quem decide, quem chama quem, o que fazer nas primeiras duas horas, onde ficam os contatos fora da rede e quem fala com clientes. Entrega: o plano, com os telefones substituídos por marcadores, e uma lista de três pontos em que ele depende de uma decisão que ainda não foi tomada.

4. Pesquise no site da ANPD o texto do regulamento de comunicação de incidente de segurança em vigor e compare com a descrição do capítulo. Entrega: os prazos e critérios que você confirmou, a versão consultada e as diferenças que encontrou.

5. Monte uma conversa de dez minutos para ter com um adolescente da família sobre imagens íntimas e extorsão, sem sermão, deixando claro que contar nunca gera castigo. Entrega: os cinco pontos que você diria e as duas frases que você evitaria.

Prompt de estudo

Vou descrever, sem nomes nem dados reais, a estrutura de TI de uma empresa de pequeno ou médio porte: como são feitas as cópias de segurança, quem tem acesso remoto, como são as senhas e se há um plano de resposta. Quero que você aja como um perito em resposta a incidentes e me diga quais são os três maiores riscos de um ataque de ransomware, que perguntas eu deveria fazer ao meu prestador de TI e que decisões precisam ser tomadas antes do ataque, e não durante. Não explique técnicas de invasão, não sugira como negociar ou pagar resgate e, se não souber algum prazo legal, diga que preciso conferir com um advogado.

Faça-me dez perguntas curtas sobre este capítulo: o que é dupla extorsão, o que os vazamentos do Conti revelaram, o que diferencia os casos da Colonial e da JBS, por que o backup do STJ importou, o que a Operação Cronos mudou e não mudou, e o que um adolescente que sofre sextorsão deve fazer primeiro. Depois de cada resposta minha, diga se acertei e explique o que faltou.

Fontes e leituras

• Departamento de Justiça dos Estados Unidos, comunicado da apreensão de 63,7 bitcoins pagos à DarkSide no caso Colonial Pipeline (07/06/2021); a declaração juramentada oficial informa o pagamento de 75,0005 BTC e descreve a apreensão por meio do controle da chave privada do endereço.
• JBS USA, comunicado de 9 de junho de 2021 confirmando o pagamento de US$ 11 milhões; a declaração do presidente ao Wall Street Journal informa que o pagamento foi em bitcoin.
• Superior Tribunal de Justiça, Resolução STJ/GP nº 25, de 2020, e cobertura de Consultor Jurídico, Migalhas, Exame e AASP (novembro de 2020 a junho de 2021).
• Lojas Renner, comunicados à CVM de 19, 25 e 30 de agosto de 2021, conforme TecMundo, Baguete, Convergência Digital, Mercado & Consumo, Tecnoblog e Trademap. Os textos integrais dos fatos relevantes não foram abertos.
• Conti: Check Point Research, "Leaks of Conti ransomware group paint picture of a surprisingly normal tech start-up, sort of" (2022); Rapid7, Security Affairs e Bitdefender sobre o vazamento de fevereiro de 2022; Gray et al., estudo acadêmico sobre as mensagens do Conti (arXiv, 2023); Wikipédia, "2022 Costa Rican ransomware attack", como ponte para a cobertura.
• Operação Cronos e LockBit: Europol, comunicado de 20/02/2024; National Crime Agency (Reino Unido); DOJ sobre a acusação de Khoroshev, sanções e recompensa, maio de 2024; BleepingComputer, Infosecurity Magazine e The Hacker News sobre o andamento; Trellix, TRM Labs e Flare sobre vazamento do painel em maio de 2025 e LockBit 5.0.
• FBI, Internet Crime Complaint Center, Internet Crime Report 2025, em ic3.gov: seções sobre ransomware e sextorsão.
• Coveware, relatório do terceiro trimestre de 2025 sobre taxas e valores de pagamento, segundo SecurityWeek, BleepingComputer e Security Affairs.
• ANPD, Resolução CD/ANPD nº 15/2024 e orientação oficial sobre Comunicação de Incidente de Segurança: três dias úteis; prazo em dobro para agentes de pequeno porte; complementação fundamentada em até vinte dias úteis.
• Departamento de Justiça dos Estados Unidos, comunicado sobre a condenação dos irmãos Ogoshi (05/09/2024) e cobertura da BBC sobre o intervalo de cerca de seis horas.
• SaferNet Brasil, Nota Técnica 02/2025, em arquivos.safernet.org.br; NCMEC, Take It Down, em takeitdown.ncmec.org; StopNCII, em stopncii.org.
• CVV, Centro de Valorização da Vida, telefone 188, 24 horas, gratuito.
• Código Penal, artigos 154-A e 158; Lei 12.737, de 2012; Lei 13.709, de 2018 (LGPD), em planalto.gov.br.
• Capítulo 11 deste livro, para engenharia social contra funcionários, e capítulo 19, para as primeiras horas depois de um golpe e a saúde mental da vítima.