Ele dizia para não pagar o resgate. A acusação é de que ele pagava em segredo e revendia a chave como tecnologia própria

Isso já tinha sido publicado em 2019

A ProPublica publicou em 15 de maio de 2019 uma investigação de Renee Dudley e Jeff Kao sobre duas empresas americanas de recuperação de dado, a Proven Data e a MonsterCloud. A conclusão era a mesma que a promotoria descreve agora: elas pagavam o resgate. A reportagem registrava que a MonsterCloud às vezes pagava sem contar à vítima, incluindo agências locais de aplicação da lei entre os clientes nessa situação. E trazia uma frase do próprio Pinhasi que envelheceu de um jeito particular: a razão de a taxa de recuperação ser tão alta, disse ele, era que a empresa sabia quem eram os atacantes.

Sete anos e cinco meses separam a reportagem da denúncia. Nesse intervalo a empresa continuou vendendo. Isso diz mais sobre o mercado do que sobre a empresa. Reportagem investigativa não é controle de fornecedor, e entre a vítima em pânico e a fatura não havia nada.

Por que o cliente não conseguia verificar

A assimetria aqui é estrutural, não acidental. A vítima de ransomware contrata no pior dia da sua operação, sem tempo de comparar propostas, sem capacidade técnica de auditar o método e com todo incentivo para não perguntar demais. O entregável é um só: o arquivo voltou. Se voltou por chave comprada ou por engenharia reversa, o cliente não tem como saber, e o contrato pode estar escrito justamente para que ele não precise saber.

A consequência vai além do preço. Quem paga resgate sem saber que pagou não cumpre o dever de comunicação que tem, não avalia exposição a sanção, não registra pagamento a grupo criminoso onde isso precisa ser registrado, e leva ao conselho e à seguradora uma versão dos fatos que não é a dos fatos. Depois, se a história aparece, o problema deixa de ser o incidente e passa a ser a declaração.

O recorte brasileiro

O Brasil é um mercado grande para esse tipo de serviço, e os números explicam por quê. Na edição 2025 do State of Ransomware da Sophos, com 3.400 líderes de TI e segurança em 17 países, 66% das organizações brasileiras atingidas pagaram resgate e recuperaram o dado. O resgate mediano pago no Brasil foi de US$ 400 mil. O custo médio de recuperação, sem contar o resgate, ficou em US$ 1,19 milhão.

Um dado da mesma pesquisa merece destaque: 34% das organizações brasileiras pagaram mais do que o valor inicialmente pedido. Pagar acima da demanda quase nunca é decisão de quem está com a chave na mão. É o que costuma acontecer quando há intermediário, pressão de tempo e ninguém conferindo a conta.

O que pedir no contrato antes do próximo incidente

• Divulgação obrigatória de pagamento. O fornecedor declara por escrito, antes de executar, se vai negociar ou pagar, para quem e quanto. Sem essa cláusula, a resposta padrão do setor é a que está na página de perguntas frequentes da MonsterCloud.
• Separação de linha na fatura. Resgate, negociação e serviço técnico em rubricas distintas. Resgate embutido em honorário é o que torna a margem invisível.
• Direito de auditoria do método. Acesso ao registro de como a chave foi obtida, com prazo de retenção definido. É o único jeito de a promessa de ferramenta proprietária valer alguma coisa depois.
• Vedação de uso de pseudônimo. O fornecedor se identifica à vítima e ao criminoso com o mesmo nome. A ProPublica registrou o uso de pseudônimo com vítimas nas duas empresas que investigou, e pseudônimo é o que permite a uma mesma pessoa ocupar os dois lados da mesa.
• Cláusula de sanção. O fornecedor assume responsabilidade por verificar listas restritivas antes de qualquer pagamento, e entrega a verificação documentada.

A orientação oficial continua a mesma

O comunicado do Departamento de Justiça lembra a recomendação conjunta de FBI e CISA: pagar não garante recuperação do dado, não garante que o sistema está seguro e não garante que o dado não será publicado. A denúncia é só denúncia, e Pinhasi é presumido inocente até prova além de dúvida razoável. Cada uma das três imputações tem pena máxima de 20 anos.

O caso é conduzido pela seção de crime cibernético e propriedade intelectual do Departamento de Justiça, com os promotores Brian Mund e Vasantha Rao, e pela procuradoria do Distrito Leste de Nova York, com Alexander Mindlin e Lindsey Oken. A investigação é do FBI. O procurador Joseph Nocella Jr. resumiu a acusação dizendo que o réu revitimizou os próprios clientes enquanto extraía um lucro substancial.

O efeito provável no mercado

Não espere regulação nova por causa disso. Espere pergunta nova no questionário de contratação. Quem compra serviço de resposta a incidente vai começar a exigir no papel o que até hoje aceitou como promessa comercial, e os fornecedores sérios vão achar isso ótimo, porque é a primeira vez que a diferença entre eles e o resto fica demonstrável em contrato.