Ransomware: Como Proteger a Empresa do Sequestro de Dados

03 de setembro de 2025

Poucos eventos são tão devastadores para uma empresa quanto chegar em uma segunda-feira e encontrar todos os arquivos criptografados, os sistemas travados e um bilhete na tela exigindo pagamento em criptomoeda para devolver o acesso. O ransomware transformou o crime digital em uma indústria bilionária, e o alvo deixou de ser apenas a grande corporação: hospitais, prefeituras, indústrias e empresas de médio porte estão na mira todos os dias, justamente porque muitas se defendem menos.

Este artigo explica, sem alarmismo e sem jargão, o que é ransomware, como o ataque realmente acontece, por que pagar o resgate quase nunca é a solução, e, principalmente, quais controles concretos protegem a empresa. No fim, você vai saber o que priorizar para reduzir drasticamente o risco e o que fazer se, apesar de tudo, a infecção acontecer.

O que é ransomware

Ransomware é um tipo de software malicioso (malware) que sequestra dados. Ao infectar um sistema, ele criptografa os arquivos, tornando-os inacessíveis, e exige o pagamento de um resgate, geralmente em criptomoeda, em troca da chave que devolveria o acesso. O nome vem do inglês ransom, que significa resgate.

O que torna o ransomware tão perigoso é a combinação de dano e alcance. Diferente de um vírus que apenas atrapalha, o ransomware ataca diretamente a disponibilidade da informação, um dos três pilares da segurança da informação. Quando os dados que fazem a empresa funcionar ficam presos, a operação para: não há faturamento, não há produção, não há atendimento. Cada hora de indisponibilidade tem um custo, e é essa pressão que os criminosos exploram para forçar o pagamento.

Nos últimos anos, o modelo evoluiu para algo ainda mais cruel, a dupla extorsão. Antes de criptografar, os atacantes copiam os dados para fora da empresa. Assim, além de bloquear o acesso, ameaçam vazar publicamente as informações roubadas caso o resgate não seja pago. Isso neutraliza parcialmente a defesa clássica do backup: mesmo que você restaure os arquivos, ainda sofre a chantagem do vazamento. Há também a tripla extorsão, em que os criminosos estendem a pressão a clientes e parceiros da vítima.

Como o ataque acontece na prática

Entender a cadeia de um ataque de ransomware é o que permite quebrá-la. A maioria dos ataques segue etapas parecidas:

Acesso inicial: o criminoso entra na rede. Os caminhos mais comuns são phishing (um e-mail que engana o usuário a clicar ou abrir um anexo), exploração de vulnerabilidade em sistema desatualizado e acesso remoto exposto com senha fraca.
Movimentação lateral: uma vez dentro, o atacante se espalha pela rede, buscando mais máquinas, servidores e, principalmente, os backups.
Escalação de privilégios: ele tenta obter acesso administrativo para ter controle amplo do ambiente.
Exfiltração de dados: copia informações sensíveis para fora, preparando a dupla extorsão.
Criptografia: dispara a criptografia em massa, muitas vezes fora do horário comercial para maximizar o dano antes de ser notado.
Extorsão: apresenta o pedido de resgate.

Um detalhe crítico é que, entre o acesso inicial e a criptografia, costumam se passar dias ou semanas em que o atacante já está dentro da rede sem ser detectado. Esse intervalo é uma oportunidade de ouro: uma operação de monitoramento que percebe o comportamento anômalo, como um acesso incomum ou uma tentativa de alcançar os backups, pode interromper o ataque antes da criptografia. Enxergar o que acontece na rede é, por isso, uma das defesas mais valiosas.

Por que não pagar o resgate

Diante de uma operação parada, a tentação de pagar é enorme. Mas autoridades de segurança, como o FBI e a CISA americana, recomendam consistentemente não pagar, por razões sólidas:

Não há garantia de recuperação: uma parcela relevante das vítimas que paga não recupera todos os dados, seja porque a chave falha, seja porque os criminosos simplesmente somem.
Você vira alvo preferencial: quem paga sinaliza que paga, e frequentemente é atacado de novo.
Financia o crime: o pagamento sustenta e profissionaliza a indústria criminosa, incentivando mais ataques.
A dupla extorsão continua: pagar pela chave não garante que os dados exfiltrados não serão vazados mesmo assim.

Isso não significa que a decisão seja simples no calor de uma crise. Mas a lição estratégica é clara: a empresa não pode chegar ao ponto de o pagamento parecer a única saída. E a forma de nunca chegar lá é ter backup íntegro e um plano de resposta. Quem consegue restaurar sozinho não negocia com criminoso.

A defesa que mais importa: backup na regra 3-2-1

Se houvesse uma única medida para destacar contra ransomware, seria o backup bem feito. Ele é o que devolve à empresa a capacidade de recuperar seus dados sem depender dos atacantes. Mas não é qualquer backup: precisa ser resistente a um ataque que, lembre, procura ativamente destruir as cópias de segurança.

A referência de mercado é a regra 3-2-1:

3 Manter ao menos três cópias dos dados 2 Em pelo menos dois tipos de mídia diferentes 1 Com ao menos uma cópia fora do local (offsite) e, idealmente, isolada da rede

A parte mais importante contra ransomware é a cópia isolada, chamada de imutável ou air-gapped, que o atacante não consegue alcançar nem apagar a partir da rede infectada. Uma evolução da regra, o 3-2-1-1-0, acrescenta uma cópia offline ou imutável e a exigência de zero erros nos testes de recuperação.

E aqui está o ponto que separa empresas protegidas de empresas que só acham que estão: um backup que nunca foi testado não é um backup, é uma esperança. A recuperação precisa ser testada de verdade, com regularidade, para garantir que os dados voltam quando importa. Muitas vítimas descobriram que o backup estava corrompido, incompleto ou também criptografado justamente no pior momento possível.

Os controles de prevenção

O backup é a rede de segurança, mas o ideal é nem cair. Os controles que reduzem a probabilidade de o ataque acontecer, alinhados às recomendações da CISA e do NIST, são:

Autenticação multifator (MFA): especialmente em acessos remotos, e-mail e contas administrativas. Bloqueia a maioria dos acessos iniciais por senha roubada.
Atualização de sistemas (patching): fechar vulnerabilidades conhecidas remove as portas mais exploradas.
Filtro de e-mail e antiphishing: como o phishing é o vetor número um, filtrar e-mails maliciosos corta a origem.
Segmentação de rede: dividir a rede em zonas limita a movimentação lateral e contém o estrago.
Menor privilégio: menos contas com poder administrativo significa menos alvos valiosos.
Proteção de endpoint com detecção e resposta (EDR): identifica comportamento malicioso, não só assinaturas conhecidas.
Monitoramento contínuo: detectar a intrusão no intervalo entre o acesso e a criptografia.
Treinamento das pessoas: ensinar a equipe a reconhecer e-mails e mensagens suspeitas.

Nenhuma dessas medidas é uma bala de prata sozinha. A defesa eficaz contra ransomware é feita em camadas, o conceito de defesa em profundidade: se uma camada falha, a próxima segura. E todas essas camadas exigem operação contínua, alguém atualizando, monitorando e respondendo. É esse trabalho que a Ródio Tech sustenta na monitoração de ambientes de clientes, transformando controles em proteção real.

O que fazer em caso de infecção

Mesmo com boa defesa, é prudente ter um plano para o pior. Se a infecção acontecer, os passos essenciais são:

Isole imediatamente: desconecte as máquinas afetadas da rede para conter a propagação, sem desligar sem orientação (o desligamento pode destruir evidências úteis).
Acione o plano de resposta a incidentes: com os responsáveis definidos e os contatos à mão.
Não pague de imediato: avalie a recuperação por backup antes de qualquer decisão sobre resgate.
Preserve evidências: logs e imagens do sistema ajudam na investigação e em obrigações legais.
Notifique quem precisa ser notificado: dependendo dos dados envolvidos, há obrigação de comunicar a ANPD e os titulares, conforme a LGPD.
Restaure a partir de backup limpo: só depois de garantir que a ameaça foi removida do ambiente.
Investigue a causa raiz: entender como o atacante entrou para fechar a porta e evitar reincidência.

Ter esse roteiro escrito antes do incidente reduz o caos e o tempo de recuperação. Improvisar durante uma crise custa caro em horas de parada e em erros.

Conclusão

Ransomware é a materialização do pior pesadelo da segurança da informação: os dados que fazem a empresa funcionar, sequestrados. A boa notícia é que a defesa é conhecida e acessível. Backup íntegro na regra 3-2-1, com cópia isolada e testada, tira dos criminosos o poder de barganha. Controles de prevenção em camadas, MFA, patching, antiphishing, segmentação e monitoramento, reduzem drasticamente a chance de o ataque sequer acontecer. E um plano de resposta escrito transforma uma catástrofe em um incidente gerenciável. A empresa protegida não é a que tem sorte: é a que se preparou.

A Ródio Tech está no mercado desde 2004, é certificada Great Place to Work, tem nota 9.4 no oHub e atende clientes como C&A, Fleury, CERC e SoftwareOne. Ajudamos empresas a estruturar backup resiliente, monitoramento contínuo e resposta a incidentes. Conheça a monitoração.

Referências

CISA. #StopRansomware Guide (guia conjunto CISA, FBI, NSA e MS-ISAC). https://www.cisa.gov/stopransomware
NIST. Cybersecurity Framework (CSF) e SP 1800-25/1800-26 sobre proteção e recuperação contra ransomware. https://www.nist.gov/cyberframework
FBI. Orientações sobre ransomware e recomendação de não pagar resgate. https://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-frauds-and-scams/ransomware
ISO/IEC 27001. Information security management systems. https://www.iso.org/standard/27001
Autoridade Nacional de Proteção de Dados (ANPD). Comunicação de incidentes de segurança com dados pessoais. https://www.gov.br/anpd/

Principais pontos

Regra 3-2-1: a defesa de referência contra ransomware é manter ao menos três cópias dos dados, em pelo menos dois tipos de mídia diferentes, com ao menos uma cópia fora do local e isolada da rede.
Dupla extorsão: antes de criptografar, os atacantes costumam copiar os dados para fora da empresa e ameaçam vazá-los publicamente caso o resgate não seja pago, neutralizando parcialmente a defesa do backup.
Cadeia do ataque: o ataque típico segue seis etapas (acesso inicial, movimentação lateral, escalação de privilégios, exfiltração de dados, criptografia e extorsão), com dias ou semanas de intervalo entre a entrada e a criptografia.
Não pagar o resgate: autoridades como o FBI e a CISA recomendam não pagar, porque não há garantia de recuperação, o pagamento transforma a empresa em alvo preferencial e financia o crime.
Controles de prevenção: autenticação multifator, atualização de sistemas, filtro de e-mail, segmentação de rede, menor privilégio, EDR e monitoramento contínuo formam a defesa em camadas recomendada pela CISA e pelo NIST.