Vazamento de dados na empresa: o que fazer pela LGPD se roubaram a base de clientes

Imagine que você tem uma clínica, uma loja online ou uma escola de cursos, e numa segunda de manhã os clientes começam a ligar perguntando sobre uma mensagem estranha que receberam em nome da sua empresa, com o nome completo e o telefone deles. Pouco depois, o pessoal de TI encontra acessos estranhos à base de dados e um download enorme feito de madrugada. Isso é um vazamento de dados na empresa, e acontece com negócios de todos os tamanhos, até com quem faz tudo direito. Não se desesperem: o que vocês fizerem nos próximos dias conta muito mais do que o que já aconteceu, e dá para resolver bem seguindo uma ordem.

Explicamos o que fazer nas primeiras horas se roubaram ou vazou a base de clientes, como e quando comunicar o incidente à ANPD pela LGPD, como avisar os titulares sem causar pânico e como prevenir. Se tudo começou porque alguém da equipe digitou a senha num site falso, os primeiros passos estão em phishing em empresas, e se os golpistas usaram o e-mail de vocês para cobrar os seus clientes, em e-mail da empresa invadido.

Neste artigo

1. O que é um vazamento de dados e por que a responsabilidade é da sua empresa
2. As primeiras horas: o que fazer se roubaram a base de clientes
3. Comunicar o incidente à ANPD em até 3 dias úteis
4. Como avisar os clientes afetados
5. B.O. e denúncia
6. Se também houve pagamentos ou dinheiro envolvido
7. Sinais de que podem ter entrado na base de dados de vocês
8. Como evitar que aconteça de novo
9. Quando procurar ajuda profissional

O que é um vazamento de dados e por que a responsabilidade é da sua empresa

A ANPD chama de incidente de segurança com dados pessoais qualquer evento confirmado que comprometa a segurança desses dados e resulte em divulgação, alteração, perda ou acesso não autorizado. O roubo da base de clientes é o caso mais claro, mas também entram uma invasão ao CRM, um notebook perdido sem criptografia, um ransomware que deixa os dados inacessíveis ou uma planilha com dados de clientes enviada para a pessoa errada.

O ponto principal é o papel da sua empresa. Se são vocês que decidem para que e como esses dados são usados, a empresa é a controladora, e isso significa que a obrigação de tratar o incidente, comunicar a ANPD e avisar os titulares é de vocês, mesmo que os golpistas tenham entrado por uma falha de outra pessoa. Parece muita coisa, mas a própria ANPD diz que a comunicação voluntária é uma demonstração de transparência, cooperação e boa-fé, e que isso é levado em conta numa eventual fiscalização.

Se o vazamento aconteceu no fornecedor

Acontece muito: os dados estavam na plataforma da loja virtual, no sistema do escritório de contabilidade ou num CRM de outra empresa, e o problema foi deles. Esse fornecedor, que trata os dados por conta de vocês (o operador), tem que avisar a sua empresa sem demora e passar todas as informações necessárias, mas quem comunica a ANPD e os titulares continua sendo a controladora. Peçam tudo por escrito e não esperem a resposta dele para começar a agir.

As primeiras horas: o que fazer se roubaram a base de clientes

Não é preciso saber tudo para começar. O ideal é fazer isto junto com o pessoal de TI ou com a empresa que cuida dos sistemas:

1. Anotem quando ficaram sabendo. O prazo de 3 dias úteis da regulamentação da ANPD conta a partir do conhecimento do incidente. Se vocês descobrem numa sexta à tarde, a quarta-feira chega muito rápido.
2. Cortem o acesso, mas sem apagar nada. Troquem as senhas dos servidores, da base de dados e das contas de administrador, ativem a verificação em duas etapas onde não houver e confiram quem tem permissão de administrador, removendo qualquer conta que ninguém reconheça. Se um computador estiver comprometido, tirem-no da rede, mas não o desliguem nem formatem, porque a prova do que aconteceu está ali dentro.
3. Revisem os acessos de terceiros. Fornecedores, ex-funcionários, aplicativos conectados, senhas compartilhadas por e-mail. Muitos vazamentos entram por uma porta que ninguém lembrava que estava aberta.
4. Guardem as provas. Os registros de acesso (os logs), os alertas, os e-mails ou mensagens recebidos e capturas de tela de tudo o que viram. Se alguém escrever dizendo que tem os dados de vocês, não apaguem essa mensagem.
5. Descubram o que levaram. Que dados havia (nomes, telefones, endereços, CPF, dados bancários, dados de saúde), de quantas pessoas, mais ou menos, e se estavam protegidos por criptografia. É com isso que vocês vão decidir se precisam comunicar e quem avisar.
6. Se tem dinheiro envolvido, liguem para o banco. Se os golpistas puderam ver dados de cartões ou contas, ou se já saiu algum pagamento estranho, liguem para o banco pelo canal oficial e expliquem o que aconteceu.

Comunicar o incidente à ANPD em até 3 dias úteis

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante, e a Resolução CD/ANPD nº 15/2024 fixou o prazo de 3 dias úteis. Segundo a ANPD, precisa ser comunicado o incidente que, ao mesmo tempo, esteja confirmado, envolva dados pessoais sujeitos à LGPD e possa causar risco ou dano relevante aos titulares. Em palavras simples: se esses dados nas mãos erradas podem causar um problema para os seus clientes (golpes, roubo de identidade, exposição de algo íntimo), é preciso comunicar.

Para avaliar o risco, a ANPD pede que vocês considerem o tipo e a quantidade de dados, quantas pessoas foram afetadas, os possíveis danos materiais, morais ou de reputação, se os dados estavam protegidos de forma a impedir a identificação e se as medidas tomadas depois foram suficientes. Dados sensíveis, dados em grande escala e dados de crianças, adolescentes ou idosos pesam mais.

A comunicação à ANPD é feita pelo encarregado de dados ou por um representante legal da empresa, por peticionamento eletrônico no sistema SEI!ANPD, com o formulário de incidente de segurança. Dá para entrar com a conta gov.br, e vocês vão precisar anexar o documento que comprova que podem representar a empresa.

O que mais preocupa as empresas é não ter tudo claro em 3 dias úteis, e é normal. A ANPD permite fazer uma comunicação preliminar e completá-la depois, de forma justificada, em até 20 dias úteis, no mesmo processo. O que não convém é esperar ter tudo fechado e perder o prazo. E se concluírem que não precisa comunicar, deixem registrado por escrito o motivo e o que foi feito.

Como avisar os clientes afetados

A ANPD é clara: a obrigação do art. 48 não se cumpre só comunicando a ANPD. Havendo risco ou dano relevante, a empresa tem que avisar também os titulares, de preferência de forma direta e individual, pelo canal que já usa com eles (e-mail, SMS, carta, mensagem).

Escrevam o aviso como explicariam para um cliente no balcão: o que aconteceu, quais dados dele foram afetados, que riscos isso traz, o que a empresa está fazendo, a data em que vocês souberam e um contato para dúvidas. E aqui vai uma dica que vale muito: avisem que nos próximos dias eles podem receber e-mails, SMS ou ligações fingindo ser da sua empresa, usando os dados verdadeiros deles para parecer confiáveis, e digam como vocês vão entrar em contato e o que nunca vão pedir. Se alguém chegar a ter contas ou empréstimos abertos no próprio nome, pode seguir os passos de roubo de identidade.

Se não der para saber exatamente quem foi afetado, pode ser necessário avisar todos os que estavam na base. Um aviso claro e rápido quase sempre protege muito mais a confiança dos clientes do que o silêncio.

B.O. e denúncia

Invadir os sistemas de uma empresa e levar os dados dela é crime, então registrem o boletim de ocorrência. Em muitos estados dá para fazer pela delegacia online, e alguns têm delegacias especializadas em crimes cibernéticos. Levem o documento com a cronologia, os registros que guardaram e qualquer mensagem dos golpistas. Explicamos o passo a passo em como denunciar golpe online.

Se alguém entrar em contato dizendo que tem a base de dados de vocês e que vai publicá-la se não pagarem, não respondam por conta própria nem paguem às cegas. Guardem a mensagem como está, incluam no B.O. e peçam orientação antes de dar qualquer passo.

Se também houve pagamentos ou dinheiro envolvido

Às vezes o vazamento vem junto com dinheiro: os golpistas usam os dados para mandar boletos falsos aos seus clientes, trocar dados bancários ou fazer compras com cartões. Se saiu dinheiro da empresa, ou se algum cliente pagou uma conta que não é a de vocês, liguem para o banco o quanto antes. Se foi por Pix, peçam o MED, o Mecanismo Especial de Devolução, pelos canais oficiais do banco. Se o dinheiro ainda está na conta de destino, ele pode ser bloqueado, e em muitos casos é recuperado, principalmente quando se age nas primeiras horas. Se a sua empresa pagou uma cobrança com dados trocados, explicamos esse caso em golpe do boleto falso em empresas.

Imagine uma pequena loja online que descobre numa quinta-feira que alguém baixou a lista de clientes usando a senha de um ex-funcionário que ninguém tinha desativado. Se no mesmo dia eles trocam os acessos, guardam os registros, fazem a comunicação preliminar à ANPD e mandam aos clientes um aviso claro dizendo que nunca vão pedir pagamento por SMS ou WhatsApp, quando as mensagens falsas começam a chegar na segunda, a maioria dos clientes já sabe que não deve cair. E se alguém chegar a pagar, avisar o banco naquela mesma manhã dá boas chances de recuperar o dinheiro.

Sinais de que podem ter entrado na base de dados de vocês

Muitas empresas descobrem tarde, e quase nunca por um grande alerta, mas por detalhes que não batem. Estes são os mais comuns:

• Clientes recebendo mensagens falsas em nome da empresa com os dados verdadeiros deles, ou perguntando se vocês mudaram de conta bancária.
• Acessos estranhos nos registros, em horários esquisitos ou de países com os quais vocês não trabalham, e downloads ou exportações grandes que ninguém pediu.
• Contas de administrador novas ou permissões alteradas que ninguém lembra de ter mexido.
• Alguém escrevendo para dizer que tem os dados de vocês, ou uma amostra da base aparecendo na internet.
• Um fornecedor avisando de um incidente na plataforma dele, mesmo dizendo que não afeta vocês.

Se notarem algum desses sinais, comecem a anotar os horários e verifiquem o quanto antes. Pode não ser nada, mas se for, vocês terão ganhado um tempo muito valioso.

Como evitar que aconteça de novo

Para prevenir, não deixem que uma única senha abra a porta para os dados de todos os seus clientes. Ativem a verificação em duas etapas no e-mail, no CRM, na loja virtual e em qualquer sistema com dados de clientes, e não repitam senhas entre serviços. Quando alguém sair da empresa, desativem os acessos dessa pessoa no mesmo dia, inclusive nas ferramentas que ela só usava de vez em quando.

Pensem também em quem vê o quê. Não é preciso que toda a equipe consiga baixar a base inteira: dar a cada pessoa acesso só ao que ela precisa para trabalhar reduz muito o estrago se alguém cair num golpe. E guardem só os dados de que realmente precisam, porque o que vocês não têm não pode vazar.

Com os fornecedores, antes de entregar os dados, perguntem como eles os protegem e coloquem no contrato que vão avisar na hora se tiverem um incidente. Façam backups que não fiquem conectados à rede e testem de vez em quando se dá para restaurar. A Cartilha de Segurança do CERT.br explica esses cuidados de um jeito simples. E mostrem à equipe exemplos reais de como os golpes chegam, porque quase todo vazamento começa com alguém clicando num link ou abrindo um anexo. Explicamos o que fazer nesse caso em phishing em empresas.

Por último, tenham um plano curto pronto para o dia em que acontecer: para quem se liga primeiro, quem fala com a ANPD e quem fala com os clientes. Uma folha com isso vai economizar horas quando vocês mais precisarem.

Quando procurar ajuda profissional

Se vocês não sabem por onde entraram nem o que levaram, se havia dados sensíveis como CPF, dados bancários ou de saúde, se alguém está ameaçando publicar os dados ou se já saiu dinheiro, vale a pena uma avaliação profissional o quanto antes. Um perito em forense digital pode preservar os registros e os equipamentos de forma que depois ninguém possa questionar que foram manipulados, e descobrir por onde os golpistas entraram e o que levaram. Explicamos o que ele faz em perito forense digital e advogado. Um advogado pode ajudar com a ANPD, com o aviso aos clientes, com o B.O. e com o banco.

Somos advogados e peritos especialistas em golpes online, criptomoedas e crimes informáticos, e cada caso é sempre atendido por um advogado ou um perito. Enviem o que tiverem, mesmo que esteja bagunçado: quando descobriram, qual sistema foi afetado, que dados havia e qualquer mensagem que receberam. Analisamos de graça e dizemos o que fazer hoje e quais são os próximos passos. Se houve pagamentos, em muitos casos o dinheiro é recuperado, principalmente quando se age rápido. Na Kironic fazemos todo o possível para recuperar o seu dinheiro.

Um último aviso: depois de um vazamento, às vezes aparecem «especialistas» que garantem recuperar os dados ou o dinheiro 100 % em troca de um pagamento adiantado. Costuma ser o segundo golpe. Explicamos como reconhecer em golpe do falso advogado e falsas empresas de recuperação.