Ransomware: O Que É, Como Se Proteger e O Que Fazer Se For Atacado

Ransomware é um tipo de malware que sequestra os seus dados: ele os criptografa, deixando tudo inacessível, e exige um resgate (em inglês, ransom) para devolver o acesso. A tese em uma frase: contra ransomware, a defesa que funciona não é o antivírus — é o backup. Quem tem uma cópia offline restaura e ignora o resgate; quem não tem, perde tudo ou paga a criminosos.

Este guia explica como o ransomware funciona, como a infecção acontece, como se proteger (com destaque para a regra 3-2-1 de backup, a sua melhor defesa) e o que fazer se a sua empresa for atacada.

Como o ransomware funciona

Na base, o ransomware faz criptografia — matemática pura. Ele transforma os dados legíveis em algo ininteligível usando uma chave. Sem a chave certa, descriptografar é inviável (levaria milhares de anos num computador comum).

O truque é que os criminosos usam criptografia assimétrica (como RSA de 2048 bits): existe uma chave pública, que criptografa, e uma chave privada, que descriptografa — e só eles têm a privada. Por isso não adianta tentar quebrar: sem a chave privada, é matematicamente impraticável. E é exatamente por isso que o backup importa tanto — ele é a forma de recuperar os dados sem depender dessa chave.

O ciclo de um ataque, passo a passo

Um ataque de ransomware raramente é instantâneo. Ele segue uma cadeia que pode durar de horas a semanas:

1. Infiltração: o criminoso obtém o acesso inicial (phishing, RDP, uma falha). Nesta fase, você ainda não sabe de nada.
2. Movimento lateral: ele se espalha pela rede, roubando credenciais para chegar aos dados valiosos. Ferramentas como Mimikatz e BloodHound são comuns aqui.
3. Reconhecimento: mapeia onde estão os dados mais críticos e, muitas vezes, os copia para chantagear depois (a "extorsão dupla").
4. Criptografia: dispara o bloqueio em vários servidores ao mesmo tempo — geralmente depois de desativar backups e antivírus.
5. Extorsão: aparece a mensagem de resgate, quase sempre com um prazo curto (5 a 7 dias) para criar urgência.

Como a infecção acontece: os vetores de ataque

A maioria dos ataques entra por poucas portas conhecidas — e todas têm defesa:

• Phishing por e-mail (o vetor mais comum): um e-mail falso com anexo malicioso ou link para uma página que rouba credenciais. Defesa: MFA, treinamento contra phishing e cautela com anexos.
• RDP exposto na internet: o Remote Desktop do Windows, deixado aberto com senha fraca, vira alvo de força bruta. Defesa: nunca expor o RDP; usar VPN, MFA e firewall.
• Falhas não corrigidas: software desatualizado com brechas conhecidas. Defesa: atualização automática e varredura de vulnerabilidades.
• Software pirata: cracks e torrents frequentemente vêm com malware embutido — e não recebem correções de segurança. Defesa: usar alternativas gratuitas legítimas (LibreOffice, GIMP).
• Cadeia de suprimentos: um fornecedor de software é comprometido e distribui o malware aos clientes (como no caso SolarWinds, em 2020). Defesa: auditar fornecedores críticos e segmentar a rede.

A prevenção que realmente importa

A regra 3-2-1 de backup: sua defesa número 1

Se há uma medida que efetivamente derrota o ransomware, é o backup bem-feito. A regra 3-2-1 resume o que "bem-feito" significa:

O ponto crítico é o offline (ou air-gapped). Quando o ransomware criptografa o servidor, ele também tenta alcançar os backups conectados à rede — um NAS sem isolamento é criptografado junto. Uma cópia desconectada é a única que o malware não consegue tocar. Vale a pena se aprofundar na estratégia 3-2-1 para empresas.

E há um detalhe que derruba muita gente: teste o restore. Muita empresa faz backup e nunca verifica se consegue restaurar — até o dia em que precisa e descobre que a cópia estava corrompida. Faça um teste de restauração todo mês.

As outras quatro camadas

• MFA (autenticação em dois fatores): mesmo que roubem a senha, sem o segundo fator não entram. A Microsoft aponta que o MFA bloqueia a esmagadora maioria dos ataques automatizados. Prioridade: e-mail corporativo e qualquer acesso remoto.
• Atualizações em dia (patching): o tempo entre uma falha virar pública e ser explorada em massa é cada vez menor. Deixe as atualizações automáticas ligadas.
• Segmentação de rede: com VLANs separando setores, uma máquina infectada não contamina a empresa inteira — o firewall entre os segmentos limita o estrago.
• EDR + monitoramento: o antivírus tradicional só pega ameaça conhecida. Um EDR observa o comportamento (criptografia em massa, backup sendo desativado) e barra na hora — ainda melhor se os logs forem para um SIEM.

O que fazer se você for atacado

Nos primeiros 60 minutos

1. Não pague nada por impulso. Você tem mais tempo do que a tela sugere — o prazo existe justamente para te pressionar. Decida com calma.
2. Isole os equipamentos infectados. Desconecte da rede (cabo e Wi-Fi), mas não reinicie (pode disparar mecanismos anti-forense). Desligue também as máquinas vizinhas para conter a propagação.
3. Identifique o alcance. Quantas máquinas? Quais dados? Procure por extensões estranhas (.locked, .encrypted) surgindo em massa.
4. Acione a Polícia Federal. Registre a ocorrência — a PF tem unidade de crimes cibernéticos, e o registro costuma ser exigido pelo seguro.
5. Comunique quem precisa saber. Se houve exposição de dados pessoais, a LGPD obriga a notificação. Transparência aqui é melhor que constrangimento depois.

Nas primeiras 24 a 48 horas

• Chame um especialista forense. Ele identifica como você foi invadido, qual é a família de ransomware (às vezes há descriptografador gratuito) e se sobraram portas dos fundos. Se você tem seguro cyber, isso costuma estar coberto.
• Não pague sem consultoria. Boa parte de quem paga não recupera os dados, e pagar sinaliza que você é um alvo que paga.
• Restaure a partir do backup offline. Se você seguiu o 3-2-1, aqui está a boa notícia: você não está perdido.

Reconstrução

Prepare um ambiente limpo (formatação segura + sistema e patches novos), só então restaure os dados — restaurar em máquina infectada reinfecta tudo. Por fim, feche a brecha que causou o incidente: MFA, patching automático, EDR, backup 3-2-1 e segmentação.

Famílias de ransomware conhecidas

Perguntas frequentes sobre Ransomware

Se meus dados estão criptografados, devo pagar o resgate?

Não. Autoridades como FBI, CERT.br e Europol recomendam formalmente não pagar: pagar não garante a chave, financia mais ataques e marca você como alvo pagante. Com um bom backup 3-2-1, o pagamento é desnecessário.

Qual a chance de recuperar dados sem pagar e sem backup?

Praticamente zero. A criptografia RSA de 2048 bits é inviável de quebrar por força bruta. As saídas raras são uma ferramenta de descriptografia gratuita para aquela família (existe para alguns ransomwares antigos) ou um erro do criminoso. É mais barato manter um backup 3-2-1 do que esperar um milagre.

RDP é sempre inseguro ou posso deixá-lo exposto com proteções?

RDP exposto é um dos maiores riscos. Se for inevitável, use MFA obrigatório, firewall limitando a IPs específicos e uma VPN na frente. Melhor ainda: não exponha o RDP e acesse por VPN, que dá criptografia e controle sem deixar o serviço aberto.

Por quanto tempo o ransomware fica na rede antes de criptografar?

De horas a semanas. Grupos sofisticados estudam a rede por semanas para roubar o máximo de dados; os oportunistas criptografam em horas. É nessa janela que a detecção por comportamento (EDR) consegue barrar o ataque.

Se eu pagar, os criminosos deixam uma porta dos fundos?

É um risco real — alguns deixam um backdoor para atacar de novo ou vender o acesso. Por isso, se houver pagamento, uma auditoria forense completa é obrigatória. Melhor mesmo é restaurar de um backup limpo.

Como detectar ransomware antes de tudo ser criptografado?

Sinais de alerta: CPU alta sem motivo, tráfego de rede incomum (exfiltração), arquivos mudando de extensão em massa e serviços de antivírus/backup sendo desativados. Um EDR detecta isso automaticamente; o antivírus tradicional, não. Monitoramento proativo é o que compra tempo.

Conclusão

Ransomware não é uma questão de "se", mas de "quando" — e a diferença entre um susto e uma catástrofe está inteiramente na preparação. A boa notícia é que a defesa é conhecida e acessível.

Em ordem de prioridade: backup 3-2-1 (a defesa nº 1), MFA (barra o acesso inicial), patching (fecha as brechas) e treinamento contra phishing (evita o clique fatal). Com esses quatro, você já fica à frente da maioria das empresas. Para orientação oficial, o CERT.br mantém cartilhas e recomendações de segurança. E, se o pior acontecer, tenha o plano de resposta à mão: isolar, acionar a PF, buscar forense e restaurar do backup.