Primeiras 48 horas

Empresa vítima de fraude: o que muda quando a conta é da pessoa jurídica

Quem decide, quem comunica, quando começa o relógio da ANPD, o que a apólice cobre e por que preservar prova numa empresa é mais difícil do que parece.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 15 de dezembro de 2026

O checklist da hora zero vale para todo mundo, e está no guia da vítima. Mas quando a conta é da pessoa jurídica, aparecem quatro problemas que a pessoa física não tem, e nenhum deles é óbvio no meio da confusão.

Um: ninguém sabe quem decide

Na pessoa física, a vítima decide sozinha e age em minutos. Na empresa, o financeiro percebe, avisa o gestor, que aciona o jurídico, que quer falar com o sócio, que está em reunião.

E enquanto isso o valor está sendo repassado.

A providência que resolve isso não é tomada durante a crise, é tomada antes: definir quem tem autonomia para acionar o banco e abrir a contestação sem esperar aprovação. Se esse nome não existe hoje, esse é o item mais barato e mais valioso deste texto.

Dois: o relógio da proteção de dados pode ter começado

Nem toda fraude envolve dado pessoal, mas várias envolvem. Se houve comprometimento de sistema, acesso indevido a base, vazamento de cadastro de cliente ou de funcionário, deixou de ser só um problema financeiro.

A Resolução CD/ANPD nº 15/2024 prevê notificação à Autoridade Nacional de Proteção de Dados e aos titulares afetados em até três dias úteis contados da confirmação de incidente relevante, e a comunicação tardia é expressamente tratada como agravante na dosimetria das sanções.

Três dias úteis é pouco, e o prazo corre enquanto a empresa ainda está tentando entender o que aconteceu. Por isso a avaliação sobre a existência de dado pessoal envolvido precisa acontecer em paralelo à resposta técnica, não depois dela.

Três: quem administra também responde

Na pessoa física, a vítima responde por si. Na empresa, existe a discussão sobre o dever de diligência de quem administra.

A linha que vem se firmando é que alegar invasão externa não afasta responsabilidade por si só, e que cabe ao agente de tratamento demonstrar que adotou medidas adequadas. O ônus se desloca: não basta dizer que foi vítima, é preciso demonstrar diligência anterior ao incidente. O julgado que fixa isso, e o que o STJ separou entre responsabilidade e dano, está em vazamento de dados.

Na prática, isso significa que a pergunta que virá depois não é apenas o que aconteceu, e sim o que existia antes: política, controle de acesso, segregação de função, revisão de alçada, treinamento registrado e plano de resposta.

Quatro: a apólice tem letra miúda

Seguro cyber virou comum e é frequentemente mal compreendido. Vale saber, antes do sinistro, três coisas sobre a sua.

O que ela cobre. Apólices costumam contemplar despesa de resposta a incidente, defesa em processo administrativo e cobertura para multa administrativa, quando a legislação admite. A sanção da lei de proteção de dados pode chegar a 2% do faturamento, com teto por infração, o que dá a medida do risco que se está transferindo.

O que ela exige. Comunicação em prazo, preservação de evidência e envolvimento da seguradora na resposta. Restaurar o ambiente antes de comunicar pode comprometer a cobertura.

O que ela não faz. Seguro transfere risco financeiro residual, não substitui controle. E fraude por engenharia social, em que alguém da empresa autoriza a transferência, costuma ter tratamento próprio na apólice, às vezes com sublimite, às vezes em cobertura separada.

O que preservar, e por que é mais difícil

O guia da vítima trata de celular e conversa. Na empresa, a fonte da prova está espalhada e sob pressão de restabelecimento.

O mínimo, antes de restaurar qualquer coisa:

• Log de acesso e de autenticação dos sistemas envolvidos, com fuso declarado
• Registro do sistema de pagamento e do canal usado, com identificador de cada transação
• Cadeia de e-mails completa, com cabeçalho técnico, quando houve fraude do boleto ou troca de dados bancários
• Registro de quem tinha acesso ao que na data, e de quem alterou algo depois
• Registro das ações da própria resposta, com horário e responsável

Há um conflito real aqui, e é bom nomear: a pressa de voltar a operar destrói a prova de como o incidente aconteceu. Reconstruir máquina, rotacionar credencial e restaurar backup são medidas corretas de resposta e são, ao mesmo tempo, eliminação de vestígio quando feitas sem preservação prévia. Quem decide isso não pode estar decidindo às três da manhã, e as etapas de preservação estão em cadeia de custódia de prova digital.

A empresa do outro lado

Existe uma segunda situação, e ela é mais comum do que a primeira: a empresa não foi fraudada, ela vendeu de boa-fé e recebeu um valor que depois foi retirado da conta dela.

Esse é o efeito colateral do mecanismo de devolução e do bloqueio cautelar, e o prazo para contestar uma devolução é de 30 dias, contados dela. É bem menos que os 80 dias de quem pede, então quem só descobre pelo extrato já perdeu parte da janela. O caminho, com o que reunir e em que ordem, está em como funciona o MED.

Vale reunir a prova da legitimidade da operação antes de precisar dela: pedido ou contrato, nota, comprovante de entrega e histórico daquele cliente. Quem só procura isso quando o dinheiro sai já está atrasado.