Eat Cook Joy recusou exigência de resgate e recuperou toda a sua plataforma

Em um relato em primeira pessoa para o Crunchbase News, a fundadora Zainab Ghadiyali conta que, em uma manhã de janeiro de 2026, duas semanas antes do lançamento público da Eat Cook Joy — ferramentas de IA para chefs particulares construídas sobre dois anos e meio de montagem de dados —, ela foi bloqueada do acesso ao próprio site. Segundo ela, o ataque apresentava os sinais de um grupo criminoso internacional que visa startups em estágio inicial para exigir resgate, conforme informações do FBI, e cita pesquisa da Veeam que constatou que 93% dos ataques cibernéticos hoje têm como alvo o armazenamento de backup para forçar o pagamento.

Sua resposta, escreve ela, começou com um objetivo não negociável — recuperar todos os dados, restaurar a plataforma, colocá-la online com segurança — e uma equipe montada para isso. A maioria dos conselheiros minimizou a perda ou incentivou uma reclamação; ela contratou Amy Mushahwar, da Lowenstein Sandler, cuja colega Tricia Wagner passou um aniversário consolidando evidências para as autoridades. A estratégia: paciência, evidências detalhadas e destemor — sempre que o grupo negava acesso ou alegava que os dados haviam sido apagados, a equipe respondia com provas em contrário, apoiando-se no conhecimento mais profundo dela sobre o site e nos vínculos dos advogados com as autoridades.

Enquanto as negociações corriam, ela transferiu as operações da Eat Cook Joy para o modo offline para proteger os dados dos clientes, dobrou os recursos de engenharia, corrigiu vulnerabilidades de segurança e reforçou as proteções em torno da propriedade intelectual. Semanas após a exigência, ela diz, o grupo criminoso transferiu tudo de volta. Duas semanas depois de retomar o controle total, o site voltou a receber tráfego de produção; em seis meses desde o lançamento, a rede de chefs triplicou; a empresa estava a caminho de US$ 1 milhão em receita anualizada naquele outono — todos os números autodeclarados no ensaio.

Todos os dados voltaram em semanas; o tráfego foi retomado duas semanas após a recuperação; a rede de chefs triplicou; US$ 1 milhão em ARR a caminho (autodeclarado).

A pesquisa da Veeam citada no ensaio constata que 93% dos ataques cibernéticos têm como alvo o armazenamento de backup para forçar o pagamento, e a maioria dos líderes na posição dela teria feito um acordo.

Os investidores haviam confiado a ela o seu dinheiro, e sua formação como engenheira e empreendedora não permitiria que ela capitulasse.

Ela havia construído infraestrutura em larga escala no Facebook e no Airbnb, então conhecia os detalhes técnicos do site melhor do que os atacantes.

Ela escolheu advogados que compartilhavam o objetivo e tinham relações com as autoridades, e documentou tudo para contradizer cada uma das negações do grupo.

Se os backups e as chaves significam que você pode simplesmente abandonar, recuse-se a pagar: estabeleça um objetivo não negociável, contrate advogados com vínculos com as autoridades e documente evidências que encurralem as mentiras dos atacantes.

Ela relata que o grupo devolveu tudo semanas após a exigência. Duas semanas depois de o controle total ser restaurado, a Eat Cook Joy voltou ao tráfego de produção; a rede de chefs triplicou em seis meses desde o lançamento, e a empresa estava a caminho de US$ 1 milhão em receita anualizada no outono de 2026 — tudo autodeclarado. Ghadiyali agora está construindo a Stackbirds, uma plataforma para tecnologia de agentes de IA.