River Financial Corporation, um banco americano, está adotando uma abordagem no mínimo heterodoxa para lidar com um ataque de ransomware. Em um comunicado a reguladores, a instituição afirmou ter "tomado medidas para tentar suprimir os dados afetados, incluindo a obtenção de representações do ator da ameaça de que ele deletou os dados em sua posse". A reportagem original é do The Register.

A linguagem corporativa mal disfarça a realidade: o banco parece ter confiado na palavra de um grupo de cibercriminosos. A decisão expõe o dilema que empresas enfrentam sob ataque e serve como um estudo de caso sobre os limites da negociação com o submundo digital. A aposta é alta, e o ceticismo do mercado, justificado.

A lógica da extorsão

O problema fundamental na estratégia do River Bank é a assimetria de confiança. O modelo de negócio do ransomware é a extorsão, não a prestação de serviços confiáveis. Não há qualquer incentivo para que um grupo criminoso honre sua parte no acordo após receber um pagamento. A história recente corrobora essa visão. Quando autoridades desmantelaram a infraestrutura do grupo LockBit em 2024, encontraram evidências de que os dados das vítimas eram mantidos mesmo após o pagamento do resgate.

A decisão do banco, portanto, parece mais um ato de desespero para conter o vazamento de dados e mitigar danos reputacionais do que uma manobra estratégica sólida. A expressão "obter representações" soa como um eufemismo para o pagamento de um resgate, uma aposta baseada mais na esperança do que na evidência.

O preço da confiança

Mesmo que a intenção fosse estancar a crise, a realidade se impôs rapidamente. O River Bank já enfrenta quatro ações coletivas movidas por clientes, mostrando que "confiar" no agressor não oferece qualquer blindagem legal. Pelo contrário, a admissão de que se baseou na "representação" de um criminoso pode ser explorada nos tribunais como uma falha no dever de diligência para proteger os dados dos clientes.

Para outras companhias, inclusive no Brasil, o caso é um alerta. A cartilha de especialistas em segurança é clara: não pagar o resgate, pois isso não garante a devolução ou destruição dos dados e ainda financia a indústria do crime cibernético. O episódio do River Bank funciona como um teste de estresse dessa recomendação, e os resultados iniciais sugerem que a sabedoria convencional prevalece.

A investigação do River Bank ainda não foi concluída, e a extensão total do impacto permanece incerta. O que está claro é que a instituição fez uma aposta arriscada. O custo final deste "acordo de cavalheiros" com o crime digital ainda será medido, mas o episódio já se consolida como uma dura lição para conselhos de administração por toda parte.

Com reportagem de Brazil Valley

Source · The Register