Tivemos um cliente, um 3PL no leste da China que operava uma instalação de 40,000 metros quadrados para marcas de consumo de giro rápido. Numa manhã de terça-feira de setembro de 2024, a tela de login do WMS deles virou uma nota de resgate. Os atacantes entraram por um servidor de impressão que não recebia patches há anos, criptografaram o banco de dados e exigiram $350,000 em bitcoin: pagar em até 72 horas ou a chave de descriptografia seria apagada.
A primeira pergunta do dono para mim: "Susan, contratamos um seguro cibernético no ano passado, ele paga agora?" Eu disse: calma. Vamos somar primeiro as três faturas e depois olhar a apólice.
Fatura um: o resgate: pagar ou não pagar
Aqui vai um segredo aberto do lado do fornecedor: das empresas que pagam o resgate, menos da metade recebe uma ferramenta de descriptografia que funcione de verdade. O FBI e todas as agências nacionais de cibersegurança dizem "não paguem", mas a realidade é que muitas empresas pagaram em silêncio em 2024, porque o tempo parado custava mais.
Este cliente não pagou. Por quê? A equipe de TI terceirizada avaliou que, embora o banco de dados estivesse criptografado, o WCS (sistema de controle do armazém) e o equipamento de automação estavam num segmento de rede separado, intactos. O picking conseguia seguir com dificuldade usando tíquetes de papel. Pagar $350,000 comprava uma ferramenta de descriptografia que talvez funcionasse; não pagar significava aguentar firme alguns dias de operação manual. Essa conta é diferente para cada armazém: quanto mais automatizada a sua instalação, menos "vamos operar no manual por alguns dias" é uma opção. Quando o WMS de um AS/RS totalmente automatizado cai, o prédio inteiro vira só estanteria de aço cara.
E aqui vem a parte contraintuitiva: a maioria presume que ransomware é sobre roubar dados. Para um armazém, o que mata é criptografar os sistemas de produção. Dados de clientes vazados são um problema jurídico e de imagem; um WMS criptografado é um problema que queima dinheiro a cada minuto.
Fatura dois: o tempo de inatividade: o que um dia parado realmente custa
Das 8h da terça-feira, quando descobriram, até a noite de domingo, quando os sistemas voltaram, ficaram parados seis dias inteiros. Ajudei-os a fazer as contas:
| Item de custo | Valor (6 dias) | Observações |
|---|---|---|
| Pedidos não enviados | ~$900,000 em valor de mercadoria | ~15,000 pedidos/dia, ~$10 de valor médio por pedido |
| Mão de obra temporária | ~$30,000 | 40 temporários extras para operação com tíquete de papel durante 6 dias |
| Reclamações de clientes | ~$80,000 | Dois grandes clientes aplicaram penalidades de SLA conforme o contrato |
| Multas de marketplaces | ~$20,000 | Penalidades por atraso no envio das plataformas de e-commerce |
| Total | ~$1,030,000 | Sem contar o dano à marca |
Olhe com clareza: $350,000 de resgate contra $1,030,000 em perdas por inatividade. O número da nota de resgate nunca é o maior número. O tempo de inatividade é. Por isso algumas empresas pagam em silêncio: $350,000 para estancar uma sangria de $1,030,000 é uma boa conta, mesmo que ninguém admita em público.
Tivemos outro cliente, no início de 2025, um armazém de e-commerce transfronteiriço no sul da China: uma história mais típica. Não foi um ataque direcionado: um funcionário administrativo clicou num e-mail de phishing disfarçado de "fatura", o malware se espalhou lateralmente e, dois dias depois, o sistema financeiro e o WMS estavam criptografados. Instalação pequena, 3,000 pedidos por dia, quatro dias parados, cerca de $150,000 em perdas. O dono me disse: "Susan, eu achava que hackers só atacavam empresas grandes." Hackers não se importam com o tamanho do seu armazém. Eles escaneiam faixas de IP automaticamente e tentam uma por uma. Se entrarem, entraram.
Fatura três: a recuperação de dados: se os seus backups salvam você depende de três coisas
Muita gente compra backups e dorme tranquila. Já vi demais "tínhamos backups mas não conseguimos restaurar": backups no mesmo segmento de rede, criptografados junto com a produção; backups rodando há três anos sem um único teste: no dia da restauração aparecem arquivos corrompidos; uma janela de retenção de 7 dias enquanto os atacantes estavam à espreita há 20 dias, então cada backup já carregava o malware.
Se a recuperação salva você depende de três coisas, todas inegociáveis:
- Isolado e fora do local: os backups precisam estar fisicamente isolados da rede de produção: fita offline ou armazenamento imutável. Um backup ao lado da produção não é backup.
- Simulados regulares: faça um simulado de restauração completa a cada trimestre, com cronômetro. Um simulado diz se a sua "recuperação de 4 horas" é mesmo 4 horas ou 4 dias.
- Retenção longa o suficiente: pelo menos 30 dias, idealmente 90. O tempo de permanência do ransomware se mede em semanas. Uma janela de retenção de 7 dias é teatro.
Este cliente acabou gastando $110,000 em recuperação e reconstrução: uma empresa externa de segurança para limpar a rede, reinstalar servidores, restaurar de um backup offline de 40 dias e depois redigitar manualmente seis dias de operação com tíquete de papel. $110,000 compraram uma lição cara.
De volta à apólice: você contratou o seguro cibernético, ele realmente paga?
Agora, à pergunta original do dono. O seguro cibernético normalmente cobre três coisas: o resgate em si (algumas apólices), as perdas por interrupção de negócios e os custos de recuperação de dados. Parece ótimo. Mas aqui vem a parte de bastidor que só o lado do fornecedor conhece: há duas minas enterradas nas exclusões.
A mina um é a "falha em manter segurança razoável". Quase toda apólice tem. Traduzido para linguagem humana: se você nunca aplicou patches e sua senha ainda era admin123, a seguradora pode alegar negligência grave e negar o sinistro. Para o cliente acima, aquele servidor de impressão sem patches quase virou o motivo da recusa: o corretor argumentou com força que a gestão de patches tinha sido terceirizada para o provedor de TI, embaralhando a linha de responsabilidade, e conseguiu um pagamento parcial.
A mina dois é a "exclusão de guerra e atores estatais". Algumas apólices mais novas excluem ataques "atribuíveis a atores estatais", e a própria atribuição é uma bagunça que ninguém consegue provar de forma limpa. A seguradora diz que parece uma operação estatal; boa sorte provando o contrário.
Então meu veredito: o seguro cibernético não é golpe, mas é um produto de pagamento condicional. Os prêmios anuais giram em torno de 1%–3% do valor da cobertura: uma apólice de $2 million custa $20,000–$60,000 por ano. Diante de $1,030,000 em perdas por inatividade, é dinheiro bem gasto, mas só se a sua segurança básica já for boa o bastante para que as cláusulas de exclusão não alcancem você. Caso contrário, o que você comprou não é seguro, é placebo.
Da próxima vez que você negociar um contrato, faça estas três perguntas
Seja negociando a apólice com a seguradora ou a cláusula de responsabilidade de segurança num contrato de armazenagem 3PL com seu cliente, faça estas três:
- "Em 'falha em manter segurança razoável', o que conta especificamente?" Faça-os listar item por item. Uma exclusão que eles não conseguem enumerar é só intimidação.
- "Para interrupção de negócios, vocês pagam perdas reais ou um valor diário fixo?" Se forem perdas reais, pergunte que provas exigem. Se for um valor diário, verifique se ele cobre seu gasto diário real.
- "Os simulados de backup e restauração estão escritos nas condições de cobertura?" Algumas apólices exigem simulados trimestrais com registros arquivados: se você os perder, sua cobertura encolhe. Pergunte antes, não depois do incidente.
E uma palavra honesta do lado do fornecedor: caros clientes, o gasto com segurança sempre parece puro custo, até o dia em que parece o dinheiro que salvou você. Não espere sua tela de login do WMS virar uma nota de resgate para perguntar à Susan se ela conhece um bom corretor de seguros.
Por Susan, Diretora de vendas 3PL
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
