Ransomware escolhe alvos por um critério simples: quem menos tolera ficar parado. Por essa lógica, a construção civil era uma questão de tempo.
Uma obra parada custa por dia. Equipe mobilizada, equipamento alugado, cronograma contratual com multa, financiamento com marco de medição, cliente com data de entrega prometida. Diferente de uma empresa de serviços, que pode operar improvisando por alguns dias, uma construtora sem seu ERP de obras não sabe o que comprar, o que medir, o que pagar nem o que faturar. E é exatamente essa urgência que o atacante precifica.
O cenário atual
No recorte brasileiro, análises de 2025 apontaram manufatura, construção, tecnologia e saúde como os setores mais visados, combinando alto impacto operacional com vulnerabilidades exploráveis e maturidade de segurança desigual.
E o setor já tem caso concreto no país. Em 2025, a incorporadora Helbor Empreendimentos foi listada como vítima do grupo Akira, que alegou ter obtido mais de 54 GB de dados da empresa, conforme reportado por publicações de segurança. O detalhe técnico importa mais que o nome: o Akira é conhecido por obter acesso inicial via VPN sem autenticação multifator configurada.
Guarde essa frase. Ela descreve, com precisão desconfortável, como metade das construtoras conecta engenheiro, mestre de obras e escritório central hoje.
E não é anedota. A própria Dragos identificou que a causa mais comum de comprometimento nos ataques observados foi o acesso por portais remotos e serviços de virtualização, incluindo portais VPN, interfaces de firewall e túneis de fornecedor. Somado ao tempo médio de permanência de 42 dias antes da detecção, o quadro é claro: o atacante entra por uma porta conhecida e passa mais de um mês dentro do ambiente antes que alguém perceba.
Por que construtoras e incorporadoras viraram alvo prioritário
Não é azar. São cinco características estruturais do setor que, somadas, produzem um alvo atraente.
1. Tolerância a downtime próxima de zero. Cronograma físico-financeiro é contratual. Cada dia parado tem preço conhecido, o que aumenta a pressão para pagar resgate.
2. Perímetro fisicamente distribuído. Canteiro não é escritório. São dezenas de pontos remotos, com conectividade improvisada, rede compartilhada com terceiros e equipamentos instalados por quem entrega a obra, não por quem cuida da segurança.
3. Cadeia de fornecedores longa e heterogênea. Uma obra média envolve dezenas de empreiteiros, projetistas, fornecedores de material e prestadores. Todos com algum acesso a sistema, planilha ou canal de troca de arquivo.
4. Concentração de valor no ERP. Orçamento, medição, contrato, folha de terceiros, suprimentos e faturamento costumam viver em um único sistema. Comprometer um alvo derruba tudo.
5. Maturidade de segurança historicamente inferior à do porte financeiro. Uma incorporadora que movimenta centenas de milhões frequentemente opera com estrutura de TI de empresa média. O atacante conhece essa assimetria melhor que o mercado.
O mapa da superfície de ataque
O padrão que se repete nos incidentes do setor é sempre o mesmo: a entrada acontece na borda e o dano acontece no centro. O invasor entra por um acesso remoto mal configurado ou por um dispositivo de canteiro esquecido, se move lateralmente por uma rede sem segmentação e chega ao ERP, que é onde o negócio realmente mora.
Traduzindo camada por camada
O ponto cego: o canteiro coleta dado sensível todos os dias
Aqui está o que separa este tema de uma pauta puramente de TI, e o que a maioria das construtoras não considerou ainda.
Uma catraca biométrica em canteiro coleta dado pessoal sensível na definição do art. 5º, II, da LGPD. Não é dado cadastral: é biometria, e biometria tem regime jurídico próprio no art. 11, onde a base legal do legítimo interesse não está disponível. Some a isso o fato de que, tipicamente, o equipamento foi especificado pela segurança patrimonial, instalado por um fornecedor e conectado a uma plataforma que ninguém do jurídico jamais leu o contrato.
E incorporadoras acumulam ainda outra camada: dados de compradores. Comprovante de renda, documentos, informações de financiamento, estado civil, composição familiar. É um conjunto de altíssimo valor para fraude, guardado por uma estrutura que raramente foi desenhada para protegê-lo.
O resultado prático: um ransomware em construtora quase nunca é só ransomware. É, ao mesmo tempo, um incidente de segurança com dever de comunicação à ANPD e aos titulares, e potencial gatilho de responsabilização civil. Tratamos essa exposição em detalhe em contencioso de dados e nas regras de comunicação em reconstruindo a segurança após um vazamento de dados.
Vale registrar que a ANPD colocou o tratamento de dados biométricos em sua agenda regulatória, com regulamentação específica prevista. Quem estruturar governança de biometria agora chega preparado. Acompanhamos os eixos de fiscalização em o Mapa de Fiscalização da ANPD para 2026-2027.
Recomendações práticas, ordenadas por retorno
Priorizadas por relação entre redução de risco e esforço de implantação. As três primeiras resolvem a maior parte dos casos reais.
Plano de 90 dias para quem está começando do zero
Dias 1 a 30, estancar o sangramento. MFA em VPN, RDP e e-mail. Levantamento de todas as contas com acesso remoto e desativação das órfãs. Verificação de que o backup existe, está isolado e restaura de fato.
Dias 31 a 60, enxergar. Inventário de ativos, incluindo tudo que está ligado na rede do canteiro. Mapeamento de quais fornecedores acessam o qu. Levantamento dos dados pessoais tratados, com atenção especial à biometria e aos dados de compradores.
Dias 61 a 90, estruturar. Segmentação de rede por zonas. Contratos de tratamento com fornecedores críticos. Plano de resposta a incidentes escrito e simulado uma vez, cronometrado, com o time real.
Nada nessa lista exige tecnologia sofisticada. Exige decisão e alguém responsável pelo acompanhamento.
Perguntas Frequentes sobre Ransomware na Construção Civil
Porque o setor combina tolerância quase zero a paralisação com maturidade de segurança inferior ao seu porte financeiro. Cronograma de obra é contratual, então cada dia parado tem preço conhecido, o que aumenta a pressão para pagar o resgate. Some a isso um perímetro fisicamente distribuído entre canteiros, uma cadeia longa de fornecedores com acesso a sistemas e a concentração de todo o negócio em um único ERP.
Não necessariamente, mas precisa de uma base legal válida do art. 11 da LGPD, e a escolha não é livre. Biometria é dado pessoal sensível (art. 5º, II), e a base de legítimo interesse não está disponível para essa categoria. Na relação de trabalho, o consentimento tende a ser frágil por causa da assimetria entre empregador e empregado, o que costuma levar ao enquadramento em obrigação legal ou regulatória, ou em prevenção à fraude e segurança do titular nos processos de identificação e autenticação. O que não pode acontecer é o registro constar como legítimo interesse, que é o erro mais comum no setor.
Precisa sempre que o incidente possa acarretar risco ou dano relevante aos titulares, conforme o art. 48 da LGPD. O prazo é de 3 dias úteis contados da ciência do incidente, e o conteúdo mínimo é definido pela Resolução CD/ANPD nº 15/2024. Vale notar que a obrigação existe mesmo quando não houve criptografia: se houve exfiltração de dados, houve incidente. E a ANPD já tratou comunicação incompleta como descumprimento autônomo.
MFA em todo acesso remoto e backup isolado com restauração testada. Essas duas medidas cobrem os dois momentos que mais importam: impedir a entrada pelo vetor mais explorado contra o setor e garantir a volta da operação sem depender do atacante. Nenhuma das duas exige tecnologia cara, e ambas valem mais que qualquer ferramenta adicional em um ambiente que ainda não as tem.
Sim. Ser alvo de um crime não afasta a responsabilidade pelo tratamento dos dados. O art. 44 da LGPD considera irregular o tratamento que não oferece a segurança que o titular dele pode esperar, e o art. 43, II, atribui à empresa o ônus de provar que não houve violação à legislação de proteção de dados. Na prática, a defesa é documental e precisa existir antes do incidente: registro de operações, evidência de controles implementados e testados, contratos com fornecedores e plano de resposta acionado no prazo.
Por que isso é decisão de diretoria
Ransomware em construtora deixou de ser risco de TI e virou risco de continuidade e de balanço. Ele atinge simultaneamente o cronograma da obra, o fluxo de caixa, o contrato com o cliente, a relação com o financiador e, quando há dado pessoal envolvido, a exposição regulatória e judicial.
Some ainda o fator comercial: grandes contratantes, fundos e investidores institucionais já incluem due diligence de segurança em suas análises. Cada vez mais, comprovar maturidade deixou de ser diferencial e virou condição para participar. É o mesmo movimento que descrevemos em como a conformidade ajuda a fechar mais contratos.
Na DataGuide, atuamos nas duas frentes que esse cenário exige:
- DPO as a Service: governança do dado pessoal, incluindo biometria de canteiro e dados de compradores, com gestão de fornecedores e resposta a incidentes.
- GAP Analysis: diagnóstico da superfície de ataque e da conformidade, com plano de ação priorizado por risco real.
- ISO/IEC 27001 e 27701: sistema de gestão que produz a evidência exigida em due diligence de contratante e investidor.
- Pentest: teste de intrusão em acesso remoto, portais e aplicações expostas, em parceria com a Vantico.
Se a sua operação tem obra em campo, ERP concentrando o negócio e fornecedor com acesso à rede, o primeiro passo é saber o tamanho da exposição. Fale com um especialista da DataGuide.
