Segurança digital para empresas: guia prático contra golpes no pagamento, sequestro de dados e incidentes da LGPD

Quase metade dos pequenos negócios brasileiros sofreu tentativa de golpe digital em um ano, e só 17% deles têm alguma estrutura de segurança, segundo pesquisa do Sebrae com a FGV publicada em julho de 2026. Quando um vazamento de dados acontece, o custo médio no Brasil chega a R$ 7,44 milhões, de acordo com o relatório anual da IBM divulgado em outubro. Este guia mostra, do ponto de vista da empresa, quais golpes miram o caixa, por que o fornecedor virou porta de entrada, quais medidas baratas fazem diferença, o que a Lei Geral de Proteção de Dados exige depois de um incidente, o que o seguro cobre e o que fazer, passo a passo, no dia do ataque.

Os números do Brasil

As duas pesquisas medem coisas diferentes e se completam. A do Sebrae ouviu empresários e mostra o que eles enfrentam no dia a dia: o boleto adulterado, a ligação do falso banco, o Pix para a conta errada. A da IBM mede o custo de incidentes já confirmados, com uma amostra pequena, de 42 empresas, e reúne gastos com investigação, parada, notificação e perda de clientes.

Há um detalhe que pesa para o pequeno empresário. O medo dele está no pagamento, enquanto as médias e grandes temem mais a invasão de sistemas e de e-mails, citada por 47% delas. Mas os dois mundos se encontram: o golpe do pagamento quase sempre começa com um e-mail invadido ou falsificado.

### Números que circulam, mas vêm de quem vende proteção

Esses números aparecem com frequência em apresentações comerciais. Não são necessariamente falsos, mas vêm de quem tem interesse no medo do cliente, e por isso ficam separados dos dados de pesquisa pública.

Os golpes que miram o caixa da empresa

O golpe mais temido pelo pequeno negócio é também o mais simples. No boleto falso, o criminoso intercepta ou imita a cobrança de um fornecedor de verdade e troca o código de barras, de modo que o dinheiro cai na conta dele. A defesa é conferir, antes de pagar, se o favorecido, o CNPJ e o banco do boleto são os mesmos do fornecedor.

No golpe do falso fornecedor, chega um e-mail ou uma mensagem avisando que o parceiro de sempre “mudou de banco” e passando os dados novos. Às vezes o e-mail sai da conta verdadeira do fornecedor, que foi invadida, e por isso parece legítimo.

O golpe do falso diretor é a versão corporativa do falso parente. Alguém se passa pelo dono ou por um executivo e pede ao financeiro uma transferência urgente e sigilosa. Nos Estados Unidos, esse tipo de fraude, chamada de comprometimento de e-mail corporativo, somou cerca de US$ 3 bilhões em perdas declaradas ao FBI em 2025, segundo resumos do relatório anual do órgão.

A inteligência artificial deu ao golpe do falso diretor uma nova roupa: o deepfake, vídeo ou voz falsificados por computador. O caso de referência aconteceu em Hong Kong, em 2024. Um funcionário do financeiro da empresa de engenharia Arup fez 15 transferências, cerca de US$ 25,6 milhões, depois de uma videochamada com um diretor financeiro falso, segundo a CNN; a empresa confirmou o caso. Não há, até aqui, caso brasileiro documentado de deepfake de executivo com transferência consumada, mas a técnica está disponível para qualquer criminoso.

A resposta a todos esses golpes é a mesma regra de processo, e ela não custa nada: toda troca de dados bancários e todo pedido urgente de pagamento se confirmam por telefone, no número que já estava cadastrado, nunca no número que veio na mensagem. Para pedidos por voz ou vídeo, a Cartilha de Segurança do CERT.br, o centro brasileiro de tratamento de incidentes, sugere combinar uma palavra que só a equipe conhece.

Quando o ataque entra pelo fornecedor

O caso mais grave do país mostrou que a empresa pode fazer tudo certo e ainda assim ser atingida pelo prestador de serviço. Em julho de 2025, criminosos usaram a senha legítima de um técnico de TI da C&M Software, empresa que liga instituições financeiras ao Pix, para desviar centenas de milhões de reais. Em agosto, outra fornecedora de tecnologia de bancos, a Sinqia, teve seu ambiente do Pix atacado. Os valores dos dois casos mudaram várias vezes na imprensa, como mostra a tabela de divergências mais abaixo.

A lição para a pequena empresa é proporcional. Contador, empresa de sistema de gestão, provedor de e-mail e técnico de informática costumam ter senha de acesso aos sistemas. Vale perguntar a cada um como protege esse acesso, dar a eles só o acesso necessário e cortá-lo quando o contrato acaba.

Sequestro de dados: o que o backup resolve

O sequestro de dados, ou ransomware, é o programa que embaralha os arquivos da empresa e cobra um resgate para devolvê-los. Em agosto de 2026, o estaleiro ICN, em Itaguaí, teve e-mail, sistemas e bancos de dados parados por um ataque desse tipo; a empresa desligou tudo e restaurou as cópias de segurança. Em outubro, a Cohab de Campinas registrou boletim de ocorrência depois de ter um servidor sequestrado com pedido de resgate.

O CERT.br lançou em 2025 um guia gratuito sobre o tema voltado a pequenas e médias empresas, dividido em como acontece, como se proteger, como detectar e como responder. O guia é direto sobre o resgate: pagar não evita novas tentativas de extorsão, não garante a volta dos dados e pode financiar o crime. O que salva a empresa é uma cópia de segurança fora do alcance do invasor, desconectada da rede, e já testada antes do dia do problema.

O checklist barato de proteção

Quase tudo nessa lista é configuração, não compra. A verificação em dois fatores pede, além da senha, um código no celular ou uma chave física, e impede que uma senha vazada abra a porta sozinha. O gerenciador de senhas é um programa que guarda senhas longas e diferentes para cada serviço, para que ninguém precise repetir a mesma em todo lugar.

O backup 3-2-1 é a regra de manter três cópias dos dados, em dois tipos de mídia, com uma delas fora da empresa. A Cartilha do CERT.br fala em pelo menos duas cópias em lugares diferentes; o guia de ransomware do mesmo centro exige que uma delas fique desconectada. Juntar as duas recomendações dá a regra mais segura.

O privilégio mínimo significa que o estagiário não precisa do acesso do dono, e que a conta do funcionário que saiu é desativada no dia da saída. O caso da C&M mostra o tamanho do estrago que uma única senha legítima pode causar.

Os nomes SPF, DKIM e DMARC assustam, mas descrevem registros que o provedor de e-mail configura no domínio da empresa. Eles provam que uma mensagem saiu mesmo do endereço oficial e dificultam que golpistas mandem cobranças falsas em nome do negócio. Desde maio de 2025, a Microsoft exige esses registros de quem envia grande volume de e-mails para contas do Outlook.

Para quem quer ir além do básico, há roteiros gratuitos: o guia do NIST, o instituto americano de padrões, com versão em português para pequenas empresas, e o primeiro grupo de medidas dos Controles do CIS, pensado para empresas com pouca equipe de TI. Há também o guia de segurança da ANPD para agentes de pequeno porte, com uma lista de verificação.

Nuvem: o que continua sendo responsabilidade da empresa

Colocar e-mail, planilhas e sistemas na nuvem não transfere toda a segurança para o provedor. A Microsoft descreve isso como responsabilidade compartilhada: em qualquer modelo de contratação, o cliente continua responsável pelos próprios dados, pelas contas e permissões, pela verificação em dois fatores e pelos aparelhos dos funcionários. O provedor cuida do prédio, das máquinas e da rede; quem deixa uma senha fraca na conta de administrador continua sendo a empresa.

O mesmo vale para o trabalho remoto. A Cartilha do CERT.br recomenda que o computador de trabalho seja usado só para trabalho e que o prestador que usa máquina própria reserve uma exclusiva para o serviço.

LGPD e ANPD: o que a lei exige

A Lei Geral de Proteção de Dados vale para qualquer empresa que guarde dados de clientes, funcionários ou fornecedores, do cadastro da clínica à lista de clientes da loja. A regra que mais importa no dia do incidente é o prazo: três dias úteis para avisar a Autoridade Nacional de Proteção de Dados e as pessoas afetadas, contados de quando a empresa soube que o incidente atingiu dados pessoais. A pequena empresa enquadrada como agente de pequeno porte tem o prazo em dobro.

Nem todo incidente precisa ser comunicado. A regra vale para o caso confirmado que envolve dados pessoais e traz risco relevante, por exemplo quando atinge dados de saúde, dados financeiros, senhas, dados de crianças ou de idosos, ou muita gente ao mesmo tempo. Mas todo incidente, comunicado ou não, deve ficar registrado internamente por cinco anos. A comunicação é feita pelo sistema eletrônico da ANPD, em formulário próprio.

A fiscalização tem crescido. A primeira multa da lei, em 2023, foi aplicada a uma microempresa, a Telekall, no valor de R$ 14.400, por tratar dados sem base legal, não ter encarregado e não responder à autoridade. Segundo levantamento do escritório BMA, até julho de 2026 a ANPD abriu 24 processos sancionadores e 22 apurações de incidente no ano; em casos de sequestro de dados, chegou a perguntar se a empresa pagou o resgate. Num processo de 2026, a autoridade apontou como infração o nome do encarregado estar a vários cliques de distância no site.

Seguro cibernético: o que cobre e o que fica de fora

O seguro contra riscos cibernéticos cresce no país. Entre janeiro e abril de 2026, as indenizações chegaram a quase R$ 30 milhões, alta de 253%, segundo dados da CNseg, a confederação das seguradoras. Conforme a apólice, ele costuma pagar perícia, recuperação de sistemas, gestão de crise, despesas jurídicas, lucro que deixou de entrar e responsabilidade por vazamento.

O ponto de atenção está nas exclusões. Reportagem da Gazeta do Povo mostra que muitas apólices não cobrem o dinheiro desviado no próprio golpe, a engenharia social, ação de funcionário e falha já conhecida e não corrigida. Antes de contratar, a pergunta à corretora é direta: o que acontece se o financeiro pagar um boleto falso? E se pagarmos um resgate?

Se o ataque acontecer: passo a passo

A ordem importa. Isolar primeiro evita que o ataque se espalhe; não apagar nada preserva as provas que a polícia, a seguradora e a ANPD vão pedir. No caso do Pix, o tempo conta: quanto antes a contestação, maior a chance de o banco bloquear o dinheiro pelo Mecanismo Especial de Devolução, o MED.

O que dizem os responsáveis

Onde as fontes divergem

Por onde começar

Segurança digital, para a pequena empresa, começa por três decisões que cabem numa reunião: a regra de confirmar todo pagamento fora do padrão por telefone, a verificação em dois fatores no e-mail e no banco, e uma cópia de segurança desconectada que alguém já tentou restaurar. Depois vêm o canal de contato exigido pela LGPD, o registro de incidentes e o plano escrito para o dia do ataque. Nada disso exige equipe de TI própria, e quase tudo é gratuito.

Fontes: 1 · 2 · 3 · 4 · 5 · 6 · 7 · 8 · 9 · 10 · 11 · 12 · 13 · 14 · 15 · 16 · 17 · 18 · 19 · 20 · 21 · 22 · 23 · 24 · 25 · 26 · 27 · 28 · 29 · 30 · 31 · 32 · 33 · 34 · 35 · 36 · 37 · 38