O cenário da destruição

Imagine chegar ao trabalho na segunda-feira. Você liga o computador e, em vez da sua área de trabalho, encontra uma única mensagem: “Seus arquivos foram criptografados. Você tem 72 horas para pagar ou perderá tudo para sempre.” Contratos, planilhas financeiras, dados de clientes, anos de trabalho — tudo inacessível.

Este não é um filme. Esta é a realidade de um ataque de ransomware, e a pergunta para sua empresa não é se ela será um alvo, mas quando e quão devastador será o impacto. A maioria das estratégias de “segurança” não resistem a um ataque real. Pagar o resgate é uma aposta: não há garantia de que os criminosos devolverão seus dados, e você ainda financia o próximo ataque deles.

Este guia não é mais um artigo técnico comum, é um plano de batalha. Vamos expor as brechas de segurança que 90% das empresas ignoram e mostrar como blindar seu negócio hoje, antes que o cronômetro do sequestrador comece a sua contagem regressiva.

Anatomia de um sequestro digital

Como o desastre acontece…

Para se defender do inimigo, você precisa entender como ele opera. Um ataque de ransomware não é um raio em céu azul; é uma invasão metódica que se desenrola em etapas claras e previsíveis. Pense nele não como um roubo, mas como um criminoso que troca a fechadura de todas as portas da sua empresa e depois tenta lhe vender a única chave a um preço exorbitante.

Etapa 1: A isca perfeita

O e-mail que parece inofensivo

Tudo começa com um clique. O ponto de entrada mais comum é um e-mail de phishing, uma mensagem forjada para parecer legítima. Pode ser um falso boleto de um fornecedor, um currículo para uma vaga inexistente ou um alerta de segurança do seu banco.

O objetivo é um só: fazer com que um colaborador, muitas vezes bem-intencionado, clique em um link ou baixe um anexo. Nesse momento, a porta é aberta.

Etapa 2: O invasor silencioso

Mapeando sua rede em segredo

Uma vez dentro, o ransomware não ataca imediatamente. Ele age como um espião. Silenciosamente, ele começa a mapear toda a sua rede. Onde estão os servidores mais importantes? Onde estão os backups? Quais são as pastas compartilhadas mais críticas? Essa fase de reconhecimento pode durar dias ou semanas. O malware está procurando a jugular da sua operação para garantir o máximo de dano.

Etapa 3: Dia Zero

A criptografia em massa e a mensagem de resgate

Quando o mapeamento está completo, o ataque é executado, geralmente fora do horário comercial para minimizar a chance de detecção imediata. Os arquivos são criptografados em alta velocidade, tornando-se ilegíveis. Pastas inteiras, bancos de dados e até mesmo os backups conectados à rede são “trancados”. Só então a mensagem de resgate aparece. É o xeque-mate digital. O pânico se instala, e a pressão para pagar começa.

Checklist prático na defesa contra o sequestro

Prevenção não é sobre ter um único software mágico. É sobre construir camadas de defesa. Se uma falhar, a próxima segura o ataque. Use este checklist como um guia de implementação imediata.

✅ 1. Backup Imutável: sua apólice de seguro real.

O que é? Um backup que, uma vez gravado, não pode ser alterado ou apagado por um período determinado. Mesmo que um invasor tenha acesso total à sua rede, ele não consegue criptografar ou destruir essa cópia de segurança.

Ação Prática: Implemente a regra “3-2-1”: 3 cópias dos seus dados, em 2 mídias diferentes, com 1 cópia mantida offline ou em um ambiente imutável (cloud com object lock ativado). Teste a restauração desses backups trimestralmente. Um backup que nunca foi testado não existe.

✅ 2. Treinamento da equipe: Transforme colaboradores em sensores humanos.

O que é? Sua tecnologia pode falhar, mas uma equipe bem treinada é sua melhor linha de defesa.

Ação Prática: Realize simulações de phishing regulares e obrigatórias. Ensine a desconfiar de qualquer e-mail com senso de urgência, erros de português ou links suspeitos. Crie uma cultura onde é seguro e encorajado relatar algo estranho, sem medo de punição.

✅ 3. Higiene de acessos e senhas: feche as portas abertas.

O que é? Limitar o acesso de cada usuário apenas ao que é estritamente necessário para seu trabalho (princípio do menor privilégio – Zero Trust).

Ação Prática: Exija autenticação de dois fatores (MFA) em todos os serviços críticos (e-mail, VPN, sistemas de gestão). Elimine senhas fracas e implemente uma política de senhas fortes. Revise as permissões de acesso de todos os usuários regularmente.

✅ 4. Atualização permanente: um sistema desatualizado é um convite ao ataque.

O que é? Ransomwares frequentemente exploram vulnerabilidades conhecidas em softwares que não foram atualizados.

Ação Prática: Automatize a instalação de atualizações de segurança para sistemas operacionais e softwares (navegadores, Java, Adobe, etc.). Trate qualquer alerta de “atualização disponível” com a máxima prioridade.

FUI ATACADO: Seu plano de ação para os próximos 60 minutos

Se o pior acontecer, o pânico é seu maior inimigo. Ações corretas nos primeiros momentos podem salvar sua empresa. Imprima este guia e o mantenha acessível.

Minuto 1-5: Isole a(s) máquina(s) infectada(s).

AÇÃO: Desconecte fisicamente o cabo de rede do computador. Desligue o Wi-Fi. Não o desligue simplesmente pelo botão, pois isso pode atrapalhar a perícia posterior. O objetivo é impedir que o ransomware se espalhe para outros computadores na rede.

Minuto 5-15: Acione sua equipe de resposta e isole a rede.

AÇÃO: Comunique imediatamente seu gestor de TI ou sua empresa parceira de tecnologia. Considere desconectar da internet os servidores críticos para conter a ameaça enquanto a investigação começa.

Minuto 15-30: NÃO PAGUE O RESGATE. Respire.

AÇÃO: A pressão será imensa, mas pagar não é garantia de nada. Muitos criminosos não enviam a chave de descriptografia, ou ela pode vir corrompida. Pagar financia a indústria do crime e coloca um alvo nas suas costas para futuros ataques.

Minuto 30-60: Inicie a recuperação e a comunicação.

AÇÃO: Com a ajuda técnica, identifique a extensão do dano e comece o plano de restauração a partir do seu backup imutável. Paralelamente, prepare a comunicação para sua equipe, informando sobre o incidente e os próximos passos, evitando pânico e desinformação.

Conheça a teoria

O que é o ransomware?

O ransomware é um tipo de malware que sequestra os dados ou os dispositivos das vítimas e exige um pagamento para liberá-los. É uma das ameaças mais perigosas e lucrativas para os cibercriminosos, que podem atingir desde usuários domésticos até grandes empresas e instituições públicas.

Vamos desvendar tudo sobre ransomware, como funcionam, quais são os seus tipos, como prevenir e como resolver o problema depois que ele acontece.

O termo ransomware vem da junção das palavras em inglês ransom (resgate) e software. Trata-se de um programa malicioso que bloqueia o acesso aos dados ou ao sistema operacional do dispositivo infectado, geralmente usando criptografia, e exibe uma mensagem exigindo um valor em dinheiro, normalmente em criptomoedas, para devolver o controle ao usuário. Caso o pagamento não seja feito, os dados podem ser apagados, corrompidos ou divulgados na internet.

O ransomware é uma forma de extorsão digital que pode causar prejuízos financeiros, danos à reputação, perda de informações confidenciais, interrupção de serviços essenciais e até riscos à segurança física das vítimas. Segundo o IBM Security X-Force Threat Intelligence Index de 2023, os ataques de ransomware representaram 17% de todos os ciberataques em 2022.

Como funcionam

O ransomware funciona de forma semelhante a outros tipos de malware, ou seja, ele precisa ser executado no dispositivo da vítima para iniciar o seu processo de infecção. Para isso, os cibercriminosos usam diversas técnicas de engenharia social, como e-mails falsos, links maliciosos, anexos infectados, downloads fraudulentos, entre outras. O objetivo é enganar o usuário e fazê-lo clicar ou abrir o arquivo que contém o código malicioso.

Uma vez instalado no dispositivo, o ransomware pode se comunicar com um servidor remoto para receber instruções ou baixar componentes adicionais. Em seguida, ele inicia o processo de criptografia dos dados ou do sistema operacional, impedindo o acesso do usuário. Alguns ransomwares também podem se espalhar pela rede local ou pela nuvem, afetando outros dispositivos conectados.

Após o bloqueio, o ransomware exibe uma tela ou um arquivo de texto com as instruções para o pagamento do resgate. Geralmente, os criminosos exigem um valor em criptomoedas, como Bitcoin ou Monero, que são mais difíceis de rastrear. Eles também costumam estipular um prazo para o pagamento, sob pena de aumentar o valor, apagar os dados ou publicá-los na internet. Alguns ransomwares também podem ameaçar os clientes ou parceiros da vítima, usando os dados roubados para atacá-los.

Tipos mais comuns de ramsonware

Existem dois tipos principais de ransomware, de acordo com a forma como eles bloqueiam o dispositivo da vítima:

• Ransomware criptografado ou crypto-ransomware: é o tipo mais comum e perigoso de ransomware, que usa algoritmos de criptografia para codificar os dados ou o sistema operacional do dispositivo, tornando-os inacessíveis. O invasor só fornece a chave de descriptografia após o pagamento do resgate. Exemplos de ransomwares criptografados são o CryptoLocker, o WannaCry, o Locky e o Ryuk.
• Ransomware não criptografado ou locker-ransomware: é um tipo menos comum e menos sofisticado de ransomware, que bloqueia o acesso ao dispositivo da vítima, geralmente impedindo o carregamento do sistema operacional ou exibindo uma tela falsa. O invasor promete desbloquear o dispositivo após o pagamento do resgate. Exemplos de ransomwares não criptografados são o Reveton, o FBI Moneypak e o Winlocker.

Além desses dois tipos, existem também variantes de ransomware que podem ter características específicas, como:

• Ransomware de extorsão dupla ou double extortion ransomware: é um tipo de ransomware que, além de criptografar os dados da vítima, também os rouba e ameaça divulgá-los na internet caso o resgate não seja pago. Isso aumenta a pressão sobre a vítima, que pode ter seus dados expostos ou vendidos para outros criminosos. Alguns ransomwares de extorsão dupla são o Maze, o Sodinokibi e o DoppelPaymer.
• Ransomware de extorsão tripla ou triple extortion ransomware: é um tipo de ransomware que, além de criptografar e roubar os dados da vítima, também os usa para atacar os seus clientes ou parceiros de negócios, exigindo um resgate deles também. Isso aumenta ainda mais o impacto do ataque, que pode afetar toda uma cadeia de fornecedores ou consumidores. Os ransomwares de extorsão tripla mais conhecidos são o SunCrypt, o RagnarLocker e o Egregor.
• Ransomware-as-a-service ou RaaS: é um modelo de negócio em que os desenvolvedores de ransomware oferecem o seu software para outros criminosos, que podem usá-lo para realizar ataques em troca de uma parte do lucro. Isso facilita a disseminação do ransomware, que pode ser usado por pessoas sem conhecimento técnico. Exemplos de serviços de ransomwares sob encomenda são o GandCrab, o Cerber e o REvil.

Como prevenir o ransomware?

A prevenção é a melhor forma de se proteger contra o ransomware, pois uma vez que o dispositivo é infectado, pode ser muito difícil recuperar os dados ou o acesso sem pagar o resgate. Para isso, é preciso adotar uma série de medidas de segurança, como:

• Manter o sistema operacional e os aplicativos atualizados, para corrigir possíveis vulnerabilidades que podem ser exploradas pelos invasores.
• Instalar um software de segurança de qualidade, que possa detectar e bloquear o ransomware antes que ele cause danos.
• Fazer backups regulares dos dados importantes, em dispositivos externos ou na nuvem, para poder restaurá-los em caso de infecção. Os backups devem ser feitos, verificados e desconectados após o uso, para evitar que também sejam infectados. Com certeza, o backup é a medida mais efetiva e importante para a mitigação de riscos e danos causados por um ramsonware.
• Evitar abrir e-mails, links ou anexos suspeitos, que podem conter código malicioso. É preciso verificar a origem e a veracidade das mensagens, e usar o bom senso para não cair em golpes.
• Usar senhas fortes e únicas para cada conta ou serviço, e ativar a autenticação de dois fatores (2FA) sempre que possível, para evitar que os invasores tenham acesso aos seus dados ou dispositivos.
• Educar e conscientizar todos os envolvidos sobre os riscos e as formas de prevenção de ataques cibernéticos, através de cursos, notícias e dicas de especialistas em segurança digital.

Resolver o problema e reduzir os danos

Se o seu dispositivo foi infectado por um ransomware, não entre em pânico. Existem algumas possíveis soluções para o problema, que podem variar de acordo com o tipo e a complexidade do ataque. Veja algumas dicas de como resolver o problema do ransomware:

• Não pague o resgate. Essa é a recomendação dos especialistas em segurança, pois pagar o resgate não garante que você terá os seus dados ou o seu dispositivo de volta, e ainda incentiva os criminosos a continuarem com os ataques. Além disso, você pode estar financiando atividades ilegais ou terroristas.
• Desconecte o dispositivo da internet e da rede local, para evitar que o ransomware se espalhe para outros dispositivos ou serviços conectados. Isso pode limitar o impacto do ataque e facilitar a remoção do malware.
• Identifique o tipo e a variante do ransomware, para saber se existe alguma forma de desbloquear o dispositivo ou os dados sem pagar o resgate. Você pode usar sites como o ID Ransomware ou o No More Ransom, que podem reconhecer o ransomware a partir da mensagem ou do arquivo de resgate, e indicar se existe alguma ferramenta de descriptografia disponível.
• Remova o ransomware do dispositivo, usando um software de segurança confiável. Você também pode usar um disco de recuperação ou restaurar o sistema operacional para uma versão anterior, se possível. Se não for possível, você deve recuperar os seus dados a partir de um backup.

Mantenha-se atualizado

O ransomware é uma ameaça que está em constante evolução, e os cibercriminosos estão sempre buscando novas formas de infectar e extorquir as vítimas. Por isso, é importante se manter atualizado sobre as novidades e as tendências desse tipo de ameaça para poder se proteger e evitar surpresas desagradáveis.

Uma boa forma de se manter atualizado sobre segurança digital é acompanhar os sites e os blogs de empresas e organizações especializadas em segurança digital, como o Kaspersky, o Malwarebytes e a Trend Micro. De fato, existem muitas ótimas fontes de informação. Esses sites costumam publicar artigos, relatórios, alertas e dicas sobre segurança cibernética, explicando como ele funciona, quais são os seus tipos, como preveni-lo e como removê-lo.

Também vale a pena seguir as redes sociais e os podcasts de profissionais e pesquisadores que estudam e combatem ameaças digitais, como Lawrence Abrams, Brian Krebs, Graham Cluley, Rachel Tobac, entre outros. Esses profissionais costumam compartilhar informações, análises, opiniões e experiências sobre segurança cibernética mostrando os bastidores e os desafios da luta contra essa ameaça.

Existem eventos, cursos e webinars sobre o tema, que podem oferecer uma visão mais aprofundada e atualizada sobre o ransomware, além de permitir a interação e o aprendizado com outros profissionais e especialistas. Alguns exemplos de eventos, cursos e webinars sobre o ransomware são o Ransomware Summit, promovido pelo SANS Institute, o Ransomware: Prevention and Response do FBI, e o Ransomware: What You Need to Know, uma parceria da Europol com a Checkpoint, entre outros ótimos materiais e eventos.

Impacto e o olhar sobre o futuro

O ransomware é um dos maiores problemas de segurança digital da atualidade, que pode causar sérios danos às vítimas, tanto financeiros quanto sociais e emocionais. Todas as pessoas que tomam parte nesse processo sentem-se atingidas na sua integridade, na sua segurança e na sua dignidade, dado o grau de terror imposto.

Do ponto de vista governamental pode haver a parada de serviços essenciais à população ou colocar a segurança nacional em risco. Por mais que os governos invistam bilhões de dólares em segurança, a divergência ideológica e política sempre pode ser um grande motivador para ataques que conseguem sucesso a partir da colaboração de membros internos.

Pela ótica empresarial, que é o nosso maior foco, um ataque cibernético desse porte se compara a um incêndio ou perda catastrófica da infraestrutura, e nesse caso o melhor é sempre contar com políticas fortes de segurança de adoção obrigatória e backups consistentes de acordo com as melhores práticas e com um plano de recuperação de desastres que tenha um RPO e um RTO reduzidos. Lembre-se: a prevenção é a melhor defesa.

Artigo publicado em 11/2023 e atualizado em 07/2025.