Como comunicar um ciberataque sem perder a confiança.

Com o incidente contido, a decisão deixou de ser técnica. Dizer pouco gera desconfiança; dizer demais pode aumentar a gravidade percebida. Esperar dá informação mais segura, mas pode ser lido como tentativa de esconder o problema. A pergunta era qual resposta protege a confiança quando ela é reavaliada semanas depois. O prazo legal de notificação do caso, na Europa, era de 72 horas.

As cinco respostas foram testadas na mesma população, para separar o efeito do momento, do detalhe, da responsabilidade assumida e das medidas de proteção.

1. Esperar: falar só depois de conhecer a extensão exata do incidente.
2. Minimizar: falar rápido, destacando que o incidente é limitado e está sob controle.
3. Transparência nos fatos: dizer rápido o que se sabe, o que ainda não se sabe e o que já foi feito.
4. Transparência e responsabilidade: reconhecer o incidente e assumir, de forma explícita, a proteção dos clientes.
5. Transparência e proteção: anunciar desde já medidas concretas, como o monitoramento das contas expostas, o contato ativo de um atendente e um canal dedicado.

• Simulaçãoos clientes toleraram até 48 horas, antes do fim do prazo legal de 72; depois, o que o banco dissesse já não compensava a demora.
• Simulaçãoesperar não suspendeu o julgamento. A cada hora sem declaração oficial, outras versões ocuparam o espaço, e a cautela passou a ser lida como tentativa de esconder.
• Simulaçãoa comunicação rápida e evasiva tranquilizou parte dos clientes e piorou muito a posição dos que cruzavam informações. A percepção caiu mais do que no cenário de espera.
• Simulaçãodizer com clareza o que ainda não se sabia aumentou a credibilidade do resto da mensagem.
• Simulaçãoa mensagem centrada no pedido de desculpas teve apoio bem menor que a centrada em medidas de proteção já em curso. Clientes que já desconfiavam só reagiram a provas de ação.
• Simulaçãoa transparência com medidas de proteção teve a trajetória mais estável ao longo do tempo. Por outro lado, deixou mais clara a gravidade inicial e comprometeu o banco com ações verificáveis.

O case não diz qual resposta o banco escolheu. O estudo foi feito sob pressão, junto da gestão técnica do incidente, para uma escolha que precisava ser feita no mesmo dia.

O case não traz resultado medido depois da decisão.

Na simulação, a confiança se manteve quando o banco tornou verificável o que sabia, o que ainda não sabia e o que estava fazendo.

Quero fazer um piloto

A população reconstrói os clientes pessoa física e pessoa jurídica do banco. Ela combina exposição ao incidente, tipo de relação com o banco, uso dos canais digitais, sensibilidade a dados e tempo de relacionamento. Segundo a Imagine All The People, nenhum elemento que identifique o incidente ou o banco é publicado.