Introdução
O custo de um ataque informático a uma PME portuguesa costuma ser muito superior ao valor do resgate pedido. A maior parte da fatura não vem do resgate em si — vem da paragem de atividade e da recuperação técnica que se arrasta depois.
“Só vamos pagar o resgate e seguimos em frente.” É assim que muitas empresas imaginam um incidente. Um valor, uma decisão, fim da história. Não é bem assim. O resgate costuma ser o item mais pequeno da conta. Os dias de operação parada, os clientes que não voltam, as horas de trabalho de reconstrução e, cada vez mais, as contas a acertar com reguladores pesam mais do que aquilo que os atacantes pedem.
Neste artigo mostramos para onde vai o dinheiro quando uma empresa portuguesa é atacada. E como evitar que essa fatura chegue a existir.
O que compõe realmente a fatura de um ataque?
A maioria dos gestores pensa apenas no resgate quando imagina o custo de um ataque informático. Na prática é normalmente o item mais pequeno da conta.
Há o custo direto: o eventual pagamento de resgate, honorários de peritos forenses para perceber o que aconteceu e travar a propagação, e o trabalho técnico de reconstrução de sistemas, servidores e postos de trabalho. Depois há a paragem de atividade — e este costuma ser o item que ninguém orçamenta a sério. Uma loja online parada um fim de semana inteiro. Uma clínica sem acesso a marcações. Uma contabilidade que não entrega declarações a tempo. O relógio não para de contar só porque os sistemas estão desligados.
Há também os custos indiretos: comunicação a clientes e fornecedores, contratos perdidos por quebra de confiança, prémios de seguro mais altos quando existe apólice, semanas de gestão desviadas da operação normal do negócio. E, cada vez com mais peso em Portugal, os custos regulatórios: notificação obrigatória à CNPD quando há exposição de dados pessoais, possíveis indemnizações, coimas por incumprimento de obrigações de cibersegurança.
Porque as PME portuguesas subestimam este custo
Há uma ideia instalada de que o custo de um ataque se resume ao que os atacantes pedem. E essa ideia leva a decisões más: negociar apenas o resgate sem contabilizar o resto, ou assumir que “não temos seguro, mas também não temos assim tanto para perder”.
O problema é que os custos que mais pesam — paragem de atividade, perda de clientes, horas de recuperação — não aparecem numa fatura única. Diluem-se ao longo de semanas, por vezes meses, e por isso ficam de fora da conta quando alguém decide quanto vale investir em prevenção. Quem nunca calculou o custo de um ataque informático à sua própria empresa acaba a comparar o preço de uma solução de segurança apenas com o valor de um eventual resgate. E conclui, erradamente, que prevenir não compensa. O caso mais abaixo mostra bem como essa conta muda quando se soma tudo.
Como pode proteger financeiramente a sua empresa?
Reduzir o custo esperado de um incidente não é só evitar que aconteça. É também limitar o estrago no dia em que acontecer.
Comece por calcular o custo real de uma hora parada: faturação diária, salários de colaboradores parados, compromissos com clientes. Este número, não o valor de um eventual resgate, é que deveria orientar o investimento em segurança.
Tenha um plano de resposta a incidentes por escrito — quem contacta quem, que sistemas se isolam primeiro, que decisões podem ser tomadas sem esperar por reuniões de urgência. Isto sozinho já reduz dias de paragem a horas.
Vale a pena considerar um seguro de cibersegurança. Cobre parte dos custos forenses, legais e de comunicação, embora normalmente exija medidas mínimas de segurança já implementadas como condição para a apólice.
Garanta cópias de segurança testadas e isoladas da rede principal. Um backup que o atacante também consegue encriptar não reduz custo nenhum. Só a recuperação testada, verificada de vez em quando, é que serve para alguma coisa.
Tenha um contacto de resposta a incidentes já identificado, antes de precisar dele — negociar um contrato de emergência a meio de um ataque custa sempre mais caro do que ter esse parceiro já definido. Forme os colaboradores, porque grande parte dos ataques com maior impacto financeiro começa por um erro humano perfeitamente evitável. E documente a conformidade regulatória aplicável ao seu setor, para que a fatura de um incidente técnico não se transforme também numa fatura de incumprimento legal.
O incumprimento da Diretiva NIS2 pode ainda gerar coimas até 10 milhões de euros ou 2% do volume de negócios anual. Isto muda por completo a conta para as empresas abrangidas pelo novo quadro regulatório europeu. Saiba se a sua empresa está abrangida pela NIS2 →
Um caso real (anonimizado)
Uma empresa de serviços profissionais na região de Lisboa, com cerca de 25 colaboradores, foi vítima de um ataque de ransomware que encriptou o servidor central de ficheiros e o sistema de faturação. Não existia backup isolado da rede. As cópias de segurança estavam ligadas ao mesmo servidor e foram encriptadas também.
O resgate pedido rondava os 15 mil euros. A empresa optou por não pagar. Achou que ia sair mais barato assim. Não saiu.
Quatro dias úteis de paragem total da faturação e do atendimento a clientes. Cerca de três semanas até a reconstrução completa dos sistemas ficar pronta, com apoio de uma equipa externa. Dois contratos perdidos — clientes que optaram por não renovar, alegando falta de confiança na continuidade do serviço. E uma fatura de recuperação técnica e consultoria que ultrapassou os 20 mil euros. Mais do que o resgate que evitaram pagar.
O que decidiu o custo final não foi o valor do resgate. Foi a falta de um backup isolado e testado, e a inexistência de um plano que permitisse decidir os primeiros passos sem improvisar. É exatamente este tipo de lacuna que a NIS2 tenta eliminar nas empresas abrangidas pelo diploma.
Perguntas frequentes
O Centro Nacional de Cibersegurança desaconselha o pagamento. Não garante a recuperação dos dados — e, mesmo pagando, a paragem de atividade e a perda de clientes já aconteceram.
Normalmente cobre custos forenses, legais e de notificação. Raramente cobre a totalidade da perda de faturação por paragem de atividade, e quase nunca cobre a perda de clientes a médio prazo.
Varia muito consoante o setor e a dimensão da empresa. Mas quando se soma o resgate à paragem de atividade e à recuperação técnica, o total fica quase sempre bem acima do valor pedido pelos atacantes — como no caso descrito acima.
Não. A maior parte dos ataques a PME é automatizada, não seletiva. A dimensão da empresa raramente entra na equação dos atacantes, mas entra sempre, e a peso, no impacto financeiro final.
Sim. As obrigações da NIS2 aplicam-se com base no setor e na dimensão da empresa, não no histórico de incidentes.
Pode ir de alguns dias a várias semanas. Depende sobretudo de haver, ou não, backups isolados e testados, e um plano de resposta já pensado antes de precisar dele.
Calcule primeiro o custo de uma hora de paragem total dos sistemas críticos. Multiplique depois pelos dias médios de recuperação que vê em empresas parecidas com a sua. Na maioria dos casos, esse exercício simples já chega para perceber que prevenir sai mais barato.
Não deixe que o custo de um ataque informático seja uma surpresa.
A ITH Solutions ajuda PME portuguesas a pôr números reais por trás do risco de cibersegurança, e a reduzir esse risco antes que se transforme em fatura. Conheça o Plano Avançado.
