Ransomware na prefeitura: como se proteger e o que fazer nos 3 dias úteis após o ataque

Quando o ransomware trava os servidores da prefeitura, param a folha, o protocolo, a nota fiscal e a arrecadação. E, se houver dados pessoais envolvidos, começa a correr um prazo curto para avisar a ANPD e os cidadãos.

Equipe técnica Norvia · Governo · Atualizado em 12/11/2026

Pedir diagnóstico

Resposta curta

A proteção que mais reduz o estrago de um ransomware é backup que o atacante não consegue apagar: cópias fora da rede da prefeitura ou imutáveis, testadas com restauração periódica. Somam-se atualização de sistemas, autenticação em dois fatores e acesso mínimo por usuário. Se houver incidente com dados pessoais que possa causar risco ou dano relevante, a Resolução CD/ANPD 15/2024 dá 3 dias úteis para comunicar a ANPD e os titulares, com mais 20 dias úteis para complementar as informações.

Os prazos depois do ataque

Comunicação de incidente com dados pessoais
Comunicar ANPD e titulares3 dias úteis
Complementar a comunicação20 dias úteis
Resolução CD/ANPD 15/2024. O prazo conta do momento em que o controlador sabe que o incidente afetou dados pessoais, não da data do ataque. A comunicação preliminar não deve esperar o fim da investigação.

Cinco camadas que mais reduzem o risco

  1. Backup protegidoRegra 3-2-1: três cópias, em dois tipos de mídia, uma fora do ambiente, de preferência imutável. Teste de restauração todo mês.
  2. AtualizaçãoSistemas operacionais, servidores e equipamentos de rede com correções em dia.
  3. IdentidadeSenha forte, autenticação em dois fatores no e-mail e no acesso remoto, e fim das contas genéricas compartilhadas.
  4. SegmentaçãoRede de servidores separada da rede dos usuários, das câmeras e do Wi-Fi público.
  5. Monitoramento e respostaAlertas de comportamento anormal e um plano escrito de quem faz o quê na primeira hora.

O plano da primeira hora

  • Isolar as máquinas afetadas da rede, sem desligar à força o que pode guardar evidência.
  • Acionar o responsável de TI, o encarregado de dados (DPO) e a gestão.
  • Preservar registros e evidências para investigação.
  • Avaliar se houve dados pessoais afetados e iniciar a comunicação à ANPD no prazo.
  • Restaurar a partir do backup limpo, priorizando os serviços essenciais.
A LGPD também vale para o setor público: o órgão deve adotar medidas de segurança para proteger os dados pessoais (art. 46) e comunicar incidentes que possam causar risco ou dano relevante aos titulares (art. 48).

Perguntas frequentes

A prefeitura precisa comunicar o ataque à ANPD?

Se o incidente envolver dados pessoais e puder causar risco ou dano relevante aos titulares, sim, em até 3 dias úteis do conhecimento (Resolução CD/ANPD 15/2024).

Pagar o resgate resolve?

Não há garantia de recuperação dos dados, e o pagamento não afasta a obrigação de comunicar o incidente. O caminho seguro é o backup protegido.

Antivírus basta?

Não. O ransomware moderno entra por senha vazada, acesso remoto exposto e sistemas desatualizados. A proteção precisa de várias camadas.

Como contratar a proteção?

Como serviço gerenciado mensal, com diagnóstico inicial, backup, monitoramento e plano de resposta, conforme a modalidade adequada ao valor.

Fontes: Lei 13.709/2018 (LGPD), arts. 46 e 48; Resolução CD/ANPD 15/2024. Guia informativo.

Leia também