Seguros cibernéticos no Brasil: empresas pagam resgates sem cobertura
Destaques
- •A maioria das empresas brasileiras afetadas por ransomware cede ao pagamento de resgates, mas muitas apólices de seguro cibernético não cobrem esses custos.
- •O pagamento de resgates sem consulta prévia à seguradora e sem seguir cláusulas contratuais pode levar à negação do reembolso, gerando prejuízos adicionais.
- •Empresas devem realizar auditorias jurídicas de apólice para alinhar as exigências operacionais à cobertura do seguro antes que um sinistro ocorra.
O custo médio de um vazamento de dados no setor de saúde no Brasil atinge R$ 11,43 milhões, segundo a IBM. Além disso, 66% das empresas brasileiras que sofrem ataques de ransomware acabam cedendo ao pagamento de resgates, conforme aponta a Sophos. No entanto, uma parcela significativa dessas companhias está contratando apólices de seguro que não cobrirão seus maiores prejuízos em caso de incidentes cibernéticos.
A advogada especialista em grandes seguros, Débora Schalch, destaca um descompasso entre a urgência em restabelecer operações críticas e o rigor dos contratos de seguro. Em setores como hospitais ou distribuidoras de energia, a prioridade é religar sistemas rapidamente para evitar tragédias, o que pode levar ao pagamento precipitado de resgates aos criminosos.
Pagamento de resgate e cobertura de seguro
Muitas empresas acreditam que a apólice de seguro cibernético garantirá o reembolso dos valores pagos a cibercriminosos. Contudo, essa presunção é um erro comum. Se o pagamento do resgate for efetuado sem o cumprimento estrito das cláusulas contratuais, como a consulta prévia ao comitê da seguradora e a checagem de regras internacionais anticorrupção, o reembolso será negado.
Essa situação agrava o prejuízo, pois a empresa sofre a perda com o ataque e, adicionalmente, perde o direito à indenização. A especialista alerta que o momento de discutir a cobertura não é durante o sinistro, mas sim na fase de contratação e auditoria.
Multas da ANPD e a cobertura de seguros
Outro ponto de atrito jurídico reside na aplicação das sanções da Lei Geral de Proteção de Dados (LGPD). Com a Autoridade Nacional de Proteção de Dados (ANPD) intensificando fiscalizações e aplicando multas que podem chegar a R$ 50 milhões por infração, a busca por proteção financeira cresceu. Contudo, a cobertura de multas administrativas pela seguradora enfrenta barreiras legais.
A legislação e a doutrina securitária vetam a transferência da punição decorrente de atos ilícitos dolosos ou negligência grave. Como a multa da ANPD possui caráter punitivo e pedagógico, cobri-la anularia seu efeito educativo. O ciberseguro é essencial, mas cobre custos de defesa jurídica, notificação, perícia forense e danos civis causados a terceiros, e não o valor da sanção administrativa pura.
Erros comuns na contratação de seguros cibernéticos
A especialista Débora Schalch aponta quatro erros comuns que as empresas cometem em relação aos seguros cibernéticos:
- Pagar o resgate às pressas e presumir reembolso automático, sem consultar a seguradora ou checar regras anticorrupção.
- Esperar que a apólice cubra multas da ANPD, que podem chegar a R$ 50 milhões por infração, quando o seguro cobre a defesa jurídica, não a penalidade.
- Contratar apólice padrão de TI para proteger operações de Tecnologia Operacional (OT), que comanda infraestruturas industriais, ignorando suas especificidades.
- Declarar na contratação uma segurança de rede diferente da realidade técnica, o que pode ser enquadrado como agravamento intencional do risco e desobrigar a seguradora.
Para evitar esses problemas, é fundamental que as empresas realizem auditorias jurídicas de apólice (gap assessment) para alinhar as exigências operacionais da infraestrutura às cláusulas de exclusão dos contratos de seguro.
