Ransomware na fintech PagBem: prazo de comunicação, titulares e dosimetria
Na noite de quinta-feira, o time de segurança da PagBem, fintech com 2 milhões de clientes e faturamento de R$ 3 bilhões no Brasil, detectou que um atacante usou credenciais válidas de um fornecedor e exfiltrou, ao longo de 11 dias, nome, CPF, e-mail, telefone e os quatro últimos dígitos do cartão de 420 mil titulares. Cem clientes já relataram transações fraudulentas. O acesso foi contido no domingo; o jurídico só soube na segunda-feira. A diretoria decidiu não comunicar a ANPD nem os titulares antes da conclusão da perícia forense, prevista para 60 dias, "para não gerar pânico e nem expor a empresa". O time de segurança estima que as credenciais vazaram porque o fornecedor não tinha autenticação multifator. A empresa tem programa de governança e encarregado, mas nunca fez teste de resposta a incidentes.
1. Quando e a quem a PagBem deve comunicar o incidente? Qual é o conteúdo mínimo e o que muda com a comunicação em duas etapas?
Read the worked answer
A obrigação está no Art. 48: o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A lei fala em prazo razoável, e o Regulamento de Comunicação de Incidentes da ANPD concretiza o prazo em 3 dias úteis contados do conhecimento do incidente, admitindo comunicação em duas etapas: uma inicial, com as informações disponíveis, e uma complementação posterior, com a investigação concluída.
O conhecimento se deu na quinta-feira à noite, quando o time de segurança detectou a exfiltração - não na segunda, quando o jurídico soube, nem ao fim da perícia. Esperar 60 dias descumpre o prazo e agrava a dosimetria.
Conteúdo mínimo (Art. 48, §1º): descrição da natureza dos dados afetados; informações sobre os titulares envolvidos; medidas técnicas e de segurança adotadas, resguardados segredos comercial e industrial; riscos relacionados ao incidente; motivos da demora, se houver; e medidas para reverter ou mitigar os efeitos.
A comunicação inicial não precisa ser perfeita, mas precisa ser tempestiva e verdadeira. A ANPD pode determinar complementações e, se necessário, a publicização da infração.
2. É necessário comunicar os titulares? A decisão de aguardar a perícia para "não gerar pânico" se sustenta?
Read the worked answer
Sim, a comunicação aos titulares é devida. O critério do Art. 48 é risco ou dano relevante, não a mera ocorrência. Aqui há vários indicadores convergentes: dados de identificação direta (nome, CPF, e-mail, telefone), dados de cartão, 420 mil titulares e cem fraudes já confirmadas. O risco de fraude e de engenharia social é concreto e atual.
A comunicação deve ser clara, destacada e em linguagem simples, informando quais dados foram afetados, os riscos, as medidas adotadas e o que o titular pode fazer - monitorar faturas, desconfiar de contatos, trocar senhas. Pode ser individual (e-mail, SMS, carta) e, quando não for possível atingir todos, por comunicação pública no site ou na imprensa, com justificativa.
Não é preciso esperar a perícia: a lei admite comunicação inicial com complementação. A decisão de silenciar "para não gerar pânico" é exatamente o que a norma não permite, e a avaliação de risco deve ser documentada com critérios objetivos (sensibilidade dos dados, volume, facilidade de identificação, chance de fraude). A omissão agrava a dosimetria e pode levar a ANPD a determinar a comunicação por conta própria.
3. Como a ANPD enquadraria o caso e aplicaria as sanções? Discuta o teto da multa, os critérios de dosimetria e o que a empresa pode fazer para mitigar.
Read the worked answer
Enquadramento provável: falha de segurança (Art. 46), falha ou atraso na comunicação do incidente (Art. 48) e deficiências de governança - fornecedor sem autenticação multifator, ausência de testes de resposta. As sanções do Art. 52 incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio, eliminação, suspensão do funcionamento do banco de dados por até 6 meses, suspensão da atividade de tratamento e proibição parcial ou total.
Com faturamento de R$ 3 bilhões, 2% seriam R$ 60 milhões, mas o teto de R$ 50 milhões por infração prevalece. O limite é por infração, não por processo, e as sanções podem ser cumuladas conforme a dosimetria (regulamento próprio da ANPD).
Critérios: gravidade e natureza da infração e dos direitos afetados, boa-fé, vantagem auferida, porte econômico, reincidência, grau do dano, cooperação, políticas de governança, pronta adoção de medidas corretivas e proporcionalidade. Agravam: 420 mil titulares, dados financeiros, fraude consumada, 11 dias sem detecção, falta de MFA e a decisão deliberada de não comunicar. Atenuam: contenção, cooperação ativa, comunicação imediata assim que revista, medidas de mitigação e programa de governança existente.
Mitigação: comunicar em duas etapas de imediato, oferecer suporte aos titulares, rever o contrato do fornecedor, exigir MFA, testar resposta a incidentes e documentar cada decisão e avaliação de risco.