Às 7h42 de uma segunda-feira, a equipe de um escritório encontrou arquivos de processos, minutas e documentos financeiros inacessíveis. Na tela, uma mensagem exigia pagamento em criptomoeda. Este caso de recuperação após ransomware jurídico, baseado em um cenário recorrente no setor e com informações adaptadas, mostra por que o incidente não é apenas um problema de TI: ele coloca em risco sigilo profissional, prazos processuais, contratos e a confiança construída com clientes.
O escritório tinha cerca de 40 profissionais, atuação empresarial e trabalhista, além de uma rotina intensa de troca de documentos com clientes. Parte da equipe trabalhava remotamente. A entrada do ataque ocorreu por meio de uma credencial comprometida, utilizada para acessar um ambiente sem autenticação multifator. Em poucas horas, o ransomware criptografou servidores de arquivos e atingiu parte dos backups conectados à rede.
A diferença entre uma crise controlável e uma paralisação prolongada foi definida pelas decisões tomadas nas primeiras horas.
O que estava realmente em jogo para o escritório
Quando um ransomware atinge uma banca jurídica, a indisponibilidade dos arquivos é só a camada mais visível. Há uma interrupção concreta da capacidade de atender clientes, preparar peças, cumprir prazos e localizar evidências documentais. Se dados pessoais, informações estratégicas ou documentos confidenciais tiverem sido acessados ou exfiltrados, surgem ainda obrigações de avaliação sob a LGPD e possíveis impactos contratuais.
Também existe uma questão reputacional. Clientes corporativos costumam enviar questionários de segurança antes de contratar ou renovar contratos. Um incidente mal conduzido, sem registro de decisões, sem plano de comunicação e sem evidências de recuperação, pode comprometer a resposta do escritório nesses processos.
Por isso, a liderança não tratou o caso como uma decisão isolada sobre pagar ou não o resgate. A pergunta correta foi: como preservar a continuidade, investigar o alcance do evento e restaurar a operação sem ampliar a exposição?
Caso de recuperação após ransomware jurídico: as primeiras 24 horas
A primeira medida foi isolar os equipamentos e servidores afetados. Isso significa interromper conexões que poderiam permitir a propagação do ransomware, sem apagar máquinas, arquivos ou registros que seriam importantes para a investigação. Desligar tudo indiscriminadamente pode destruir evidências úteis. Manter tudo conectado, por outro lado, pode ampliar o dano. A contenção precisa ser coordenada.
Em seguida, foi criado um comitê de crise com gestão do escritório, responsável administrativo, liderança de TI, suporte especializado em segurança e responsáveis pelas áreas jurídicas relevantes. A definição de papéis evitou dois erros comuns: mensagens contraditórias aos clientes e decisões técnicas tomadas sem considerar prazos processuais ou dados críticos.
A equipe também levantou quais serviços continuavam disponíveis. O e-mail estava operacional, mas foi submetido a verificações adicionais. O sistema financeiro permanecia separado do ambiente afetado. Já o repositório central de documentos, essencial para o trabalho de quase todos os núcleos, estava indisponível.
Essa classificação permitiu priorizar. Processos com audiência, prazo fatal ou entrega contratual nas próximas 48 horas receberam tratamento imediato. As equipes passaram a trabalhar em um ambiente temporário controlado, com acesso restrito e registro das atividades. Continuidade não é improvisar em aplicativos pessoais ou enviar documentos confidenciais para contas particulares. É oferecer uma alternativa segura enquanto o ambiente principal é analisado.
Por que o pagamento não foi tratado como solução
A nota de resgate prometia uma chave de descriptografia e ameaçava vazar documentos. A pressão era real, principalmente porque a banca atendia empresas com dados sensíveis. Ainda assim, pagar não oferecia garantia de recuperação, de exclusão das cópias subtraídas ou de que os criminosos não voltariam a explorar o mesmo acesso.
Em alguns contextos, a análise de risco pode ser mais complexa e envolver orientação jurídica, seguradora, autoridades e especialistas. Mas o pagamento, por si só, não substitui investigação, contenção, restauração e fortalecimento do ambiente. Ele pode inclusive financiar novas atividades criminosas e criar uma falsa sensação de encerramento.
No caso, a equipe identificou backups imutáveis e desconectados logicamente da rede principal. Eles não estavam comprometidos, mas não foram restaurados de imediato. Antes, foi necessário validar a integridade das cópias, identificar o ponto seguro de recuperação e eliminar a persistência do invasor. Restaurar dados em uma infraestrutura ainda comprometida seria reabrir a porta para o ataque.
A recuperação começou pela confiança nos dados
A restauração ocorreu por fases. Primeiro, foram reconstruídos os controles de identidade: redefinição de senhas, revogação de sessões ativas, aplicação de autenticação multifator e revisão das permissões administrativas. Depois, servidores e estações foram avaliados, atualizados ou reconstruídos conforme o risco identificado.
Somente então os dados foram restaurados em um ambiente segmentado. A equipe começou pelos sistemas necessários para cumprir prazos críticos, seguiu para os repositórios de documentos ativos e, por fim, tratou arquivos históricos e áreas de menor impacto operacional. Essa ordem reduziu o tempo de interrupção das atividades mais sensíveis.
O processo levou dias, não horas. Esse é um ponto que gestores precisam considerar ao desenhar um plano de recuperação. Um backup existente não significa recuperação imediata. É necessário medir o tempo aceitável para retomar cada serviço e a quantidade de informação que o escritório aceita eventualmente perder entre uma cópia e outra. Esses parâmetros, conhecidos como objetivos de recuperação, precisam refletir a rotina jurídica, não apenas a capacidade técnica disponível.
No quarto dia, o escritório havia retomado o acesso aos documentos prioritários, normalizado a comunicação com clientes e restabelecido os principais fluxos internos. A recuperação completa continuou com validações, monitoramento reforçado e investigação sobre eventual exfiltração de dados.
Comunicação: transparência com critério
O escritório não enviou um comunicado genérico para toda a base de contatos antes de saber o que havia acontecido. Isso teria criado ansiedade e informação imprecisa. Em vez disso, manteve uma comunicação interna objetiva, orientando colaboradores a não conectar dispositivos pessoais, não reutilizar senhas e encaminhar qualquer atividade suspeita ao time responsável.
Para clientes diretamente impactados por prazos ou entregas, os responsáveis fizeram contato individual, informando a indisponibilidade temporária e as medidas de continuidade adotadas. A mensagem priorizou fatos confirmados, impacto prático e canal de atendimento. Transparência não é especulação. É comunicar com responsabilidade, no momento adequado e com informações verificadas.
Em paralelo, foi feita uma análise estruturada sobre a natureza dos dados envolvidos, a possibilidade de acesso indevido e a necessidade de medidas adicionais sob a LGPD. Esse trabalho exige documentação. Registros de decisões, evidências técnicas, cronologia do incidente e ações de mitigação demonstram diligência e ajudam o escritório a responder com segurança a clientes, parceiros e órgãos competentes, quando aplicável.
O que mudou depois do incidente
A recuperação não terminou quando os arquivos voltaram a abrir. O incidente revelou dependências que antes não estavam claras: contas com privilégios excessivos, falta de segmentação entre ambientes, regras de acesso remoto permissivas e uma rotina de testes de backup insuficiente.
O escritório estabeleceu uma revisão periódica de acessos, implementou autenticação multifator em todos os serviços críticos e reforçou a proteção de e-mail. Também passou a testar a restauração de backups com cenários reais, incluindo a recuperação de documentos específicos e sistemas completos. Testar não é um detalhe operacional. É a única forma de saber se a cópia disponível será útil quando houver pressão de prazo.
A conscientização da equipe foi redesenhada para o contexto jurídico. Em vez de treinamentos genéricos, os profissionais passaram a reconhecer mensagens que simulavam intimações, pedidos urgentes de clientes, compartilhamento de documentos e alterações de dados bancários. A engenharia social explora rotina, urgência e confiança. No escritório de advocacia, esses elementos estão presentes todos os dias.
Por fim, a gestão adotou um plano de resposta a incidentes com contatos atualizados, critérios de escalonamento, responsáveis por comunicação e procedimentos de continuidade. A Lobios apoia escritórios nesse tipo de estrutura, conectando segurança, recuperação de dados, análise de impacto e obrigações de confidencialidade em uma estratégia aplicável à prática jurídica.
A lição para sócios e gestores jurídicos
O ransomware raramente avisa quando vai testar a maturidade do escritório. A pergunta não é se a equipe possui algum backup ou antivírus instalado. É se a banca consegue continuar atendendo, preservar o sigilo e tomar decisões claras quando seus sistemas deixam de estar disponíveis.
Uma recuperação segura começa antes do incidente: com inventário de dados, acessos controlados, cópias testadas, treinamento direcionado e um plano que reflita os prazos e as responsabilidades da operação jurídica. Quando essa preparação existe, a crise ainda exige atenção, mas deixa de decidir sozinha o futuro do escritório.
