Por Adriana Prado (Diretora executiva – FTI Consulting)
O ano era 2020. Recém-implementada no Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD) dominava as discussões sobre segurança da informação no país. Foi quando comecei a analisar mais fortemente a incoerência entre discurso e prática na postura das empresas brasileiras em relação a incidentes envolvendo dados pessoais. Embora o dano à imagem já fosse reconhecido como um dos principais impactos de vazamentos e outras situações críticas, raramente se via o aspecto reputacional sendo devidamente considerado nos processos de preparação para crises dessa natureza. Corta para 2026. Hoje, mais de meia década depois, trago estudos recentes para corroborar a constatação de que aquela contradição se mantém. E pior, ela se aplica a um cenário mais amplo, da segurança cibernética.
Realizada pelo MiTi – Markets Innovation & Technology Institute, a 3ª edição da Pesquisa Setorial em Cibersegurança, Inteligência Artificial e Governança de Dados, de 2025, escancara a situação: ainda que 72% das empresas participantes considerem o impacto reputacional de um incidente cibernético mais crítico do que o financeiro, só 19% tem planos formais de Comunicação para tais crises.
Além disso, com base em minha experiência na preparação e resposta a incidentes cibernéticos junto a empresas de diversos setores, noto também uma confusão conceitual que agrava o cenário: quando CISOs, CIOs, DPOs e outros profissionais mais diretamente envolvidos com temas de segurança cibernética falam em “comunicação”, eles comumente estão se referindo a assessoria de imprensa, “redes sociais” e/ou marketing. “Ah, SE tivermos um incidente que se torne público, a nossa área de comunicação vai acabar sendo envolvida”, dizem. Isso até é verdade. No entanto, como as organizações, em geral, dividem as responsabilidades de Comunicação (assim mesmo, com C maiúsculo, enquanto disciplina que impacta todo o negócio) entre diversos departamentos (assuntos regulatórios, jurídico, RH, comercial, relações com investidores, sustentabilidade etc), a equipe de comunicação acaba mesmo cuidando “só” da relação com parte dos stakeholders críticos da companhia. E é aí que mora o perigo.
Em muitos casos, os incidentes cibernéticos repercutem negativamente entre diversos stakeholders críticos para as empresas, mas não chegam à imprensa ou às redes sociais. Isso quer dizer que não houve um dano reputacional? Não mesmo! Como bem define o Glossário de Crise do Observatório Brasileiro de Comunicação de Crise, a “Reputação” é “(…) baseada em percepções, opiniões e julgamentos dos grupos de relacionamento de uma organização sobre o quanto ela é capaz de honrar e cumprir as promessas que faz”. No fim das contas, é a base das tantas relações que permitem que a empresa exista. Tomemos como exemplo uma indústria B2B. Um incidente gera uma disrupção operacional importante, afetando clientes, funcionários, fornecedores e parceiros comerciais, entre outros públicos. Nada sai no jornal, mas a empresa precisa renegociar prazos, acalmar preocupações e até convencer a emissora de certificado de qualidade de que tudo está sob controle. Já vi acontecer. Mais de uma vez.
O que a empresa vai dizer sobre o ocorrido para esses stakeholders pode não ser uma tarefa direta da área de comunicação, mas é uma atividade de Comunicação. Manter a consistência na narrativa talvez seja a lição número 1 de qualquer manual de crise, mas, na prática, raramente é o que acontece quando um risco cibernético se materializa. Como a responsabilidade pelo relacionamento com os diferentes públicos de interesse muitas vezes “mora” em diversas áreas da empresa, alcançar esse alinhamento é desafiador porque, em suma, falta articulação e alinhamento institucional em relação ao tema “segurança cibernética”.
Como todo desafio, isso também representa uma oportunidade para os profissionais de Comunicação, que podem favorecer o diálogo entre as diferentes áreas da companhia sobre o impacto reputacional de crises de origem cibernética – que têm as suas especificidades e ainda são um terreno novo para muita gente.
É comum, por exemplo, que uma empresa só descubra estar sob ataque quando o impacto já é visível de alguma forma. Os criminosos (seja de dentro ou de fora da organização) em geral passam um bom tempo se familiarizando e se movimentando nos ambientes virtuais de suas vítimas antes de “oficializarem” a invasão. A organização pode realmente não ter ideia de que algo errado se passa até ser informada por um público externo (como imprensa, os próprios hackers, clientes, parceiros comerciais e empresas que monitoram ameaças), o que já de início pode passar uma impressão de ineficiência ou até de opacidade.
Isso se relaciona com outra especificidade das crises cibernéticas: os atores que normalmente as provocam não apenas aperfeiçoam suas táticas continuamente, incluindo pressão contínua por meio de atividades de Comunicação, como reagem aos esforços das empresas atacadas em tempo real. Ou seja, o cenário pode mudar a qualquer momento – e surpreender. Um exemplo: em novembro de 2023, ao perceberem que a empresa de tecnologia americana MeridianLink (à época listada na Bolsa de Valores de Nova York) estava ignorando suas tentativas de negociação de resgate, o grupo hacker ALPHV/BlackCat denunciou (de forma até então inédita) a própria vítima à Comissão de Valores Mobiliários (SEC) dos Estados Unidos por violar a lei ao não reportar um ataque “material” no prazo legal de quatro dias úteis.
Porque ainda temos esse complicador: no Brasil e no mundo, já há diversos requisitos de notificação em vigor, dependendo do país onde a empresa opera, se tem ações negociadas na bolsa de valores ou não, da indústria da qual faz parte ou da natureza do incidente (e.g. se envolve dados pessoais ou não etc). E a tendência é que o marco regulatório se torne ainda mais estrito. Ainda que, em vários casos, a necessidade seja de notificar “apenas” o regulador, isso impacta a narrativa sobre o incidente e impõe riscos de exposição.
Além disso, investigações de incidentes cibernéticos levam tempo e não há garantia de que chegarão a uma conclusão. Lidar com story gaps é desafiador em qualquer crise, mas empresas afetadas por incidentes cibernéticos podem, por algum tempo, não ter mesmo absolutamente nada concreto a informar sobre o caso – nem nunca serem capazes de apresentar uma explicação completa para o que aconteceu.
Como profissionais da área, já sabemos que a maneira como uma organização responde a uma crise pode importar mais do que a crise em si. Mas o duradouro impacto reputacional gerado por incidentes cibernéticos de grandes proporções precisa entrar na pauta das lideranças, nos setores público e privado. Como disciplina que perpassa todos os setores das organizações, nosso papel é fundamental.
2026 será o terceiro ano que participo do Guardião Cibernético, simulação de crise cibernética organizada anualmente pelo Comando de Defesa Cibernética (ComDCiber) do Exército Brasileiro para as empresas operadoras de infraestruturas críticas. Falar sobre Comunicação com abordagem focada em não-comunicadores tem dado certo. Uma boa resposta começa com preparação e com uma perspectiva multidisciplinar. Segurança cibernética não se constrói em silos, mas em conjunto. Vamos facilitar esse movimento.
____
Artigos assinados expressam a opinião de seus autores.