Atualizado em
Prevenção de ransomware: guia completo [2026]
Ransomware continua sendo a principal ameaça cibernética para empresas brasileiras — e evoluiu significativamente em 2024–2025. Os grupos de RaaS (Ransomware as a Service) agora combinam criptografia com exfiltração de dados, IA para personalizar ataques de phishing e pressão tripla (criptografia + vazamento + DDoS). Este guia atualiza as estratégias de prevenção com os vetores e técnicas mais recentes.
Infraestrutura com backups imutáveis e isolamento de rede.
A Adentro oferece cloud privada com snapshots de VM, backup offsite e segmentação de rede — base técnica para resistir a ataques de ransomware mesmo que algum endpoint seja comprometido.
1. Ransomware em 2026: o que mudou
Fontes: IBM X-Force Threat Intelligence Index 2025, CISA Ransomware Guide 2025, dados de mercado brasileiro.
O ransomware atual difere substancialmente do de 5 anos atrás:
- RaaS (Ransomware as a Service): grupos como LockBit, ALPHV/BlackCat e seus sucessores vendem acesso ao ransomware para afiliados. Isso profissionalizou os ataques — qualquer criminoso sem conhecimento técnico pode executar um ataque sofisticado.
- Dupla extorsão: além de criptografar, os atacantes exfiltram dados antes e ameaçam publicá-los se o resgate não for pago. Mesmo com backup funcionando, a empresa pode pagar para evitar vazamento.
- Tempos de permanência: atacantes ficam em média 10–21 dias na rede antes de acionar a criptografia — mapeando backups, desativando proteções e elevando privilégios.
- Phishing aprimorado por IA: e-mails de phishing gerados com LLMs são indistinguíveis de comunicações legítimas, tornando a detecção por usuários muito mais difícil.
2. Vetores de ataque mais comuns em 2026
- Phishing / spear phishing (38%): e-mails com links maliciosos ou anexos que instalam o loader inicial. Cada vez mais personalizados com dados do LinkedIn e redes sociais da vítima.
- Credenciais comprometidas (26%): uso de usuário/senha comprados em dark web ou obtidos via info-stealer em endpoints não protegidos. VPNs e RDP com senha fraca são os alvos favoritos.
- Exploração de vulnerabilidades (18%): sistemas sem patch — especialmente VPNs corporativas (Fortinet, Pulse, Cisco), Exchange e aplicações web expostas.
- Supply chain (10%): comprometimento de fornecedores de software ou MSPs para atingir múltiplos clientes de uma vez.
- Insider / acesso privilegiado mal controlado (8%): funcionários descontentes ou contas privilegiadas comprometidas.
RDP exposto na internet é convite: scanners automatizados varrem a internet 24h/dia em busca de portas 3389 abertas. Um servidor RDP exposto com senha fraca é comprometido em horas. Nunca exponha RDP diretamente — use sempre VPN ou bastion host.
3. Os 10 controles de prevenção
3 cópias dos dados, em 2 mídias diferentes, 1 offsite, 1 imutável (air-gapped ou WORM). O backup imutável é a única garantia de que o ransomware não pode apagar ou criptografar suas cópias de segurança. Teste a restauração mensalmente.
MFA (autenticação multifator) em VPN, RDP, Office 365, ERP e qualquer acesso remoto elimina a maioria dos ataques via credencial comprometida. É o controle com melhor custo-benefício em prevenção de ransomware. Use app autenticador (TOTP), não SMS.
Vulnerabilidades em VPNs, firewalls e sistemas Windows são exploradas em horas após a publicação do exploit. Mantenha um processo de patch com janela de manutenção definida — sistemas críticos expostos à internet devem ser patcheados em <72h após CVE crítico.
Solução de e-mail security com sandboxing de anexos (executa o arquivo em ambiente isolado antes de entregar), reputação de links em tempo real e verificação de spoofing (SPF, DKIM, DMARC). Reduza a superfície de phishing antes de o e-mail chegar ao usuário.
Isole servidores críticos em VLANs separadas. Restrinja comunicação lateral entre máquinas (impede o ransomware de se propagar pela rede). Remova direitos administrativos de usuários comuns — a maioria do ransomware precisa de privilégio elevado para criptografar drives de rede.
Antivírus tradicional não detecta ransomware moderno. EDR (Endpoint Detection and Response) analisa comportamento em tempo real — processo que começa a criptografar arquivos em massa é identificado e bloqueado antes de criptografar tudo. Microsoft Defender for Business, CrowdStrike, SentinelOne são opções.
Macros maliciosas em documentos Word/Excel são um vetor clássico. Desative macros por política de grupo (GPO) para usuários que não precisam. Restrinja PowerShell a administradores — muitos loaders de ransomware usam PowerShell para baixar o payload principal.
Simulações de phishing + treinamento mostram aos funcionários como identificar tentativas reais. Inclua exemplos de e-mails “de” RH, diretoria, fornecedores e bancos — os mais usados em ataques de spear phishing. Frequência mínima: trimestral.
SIEM com alertas para comportamentos típicos de ransomware: volume anormal de operações de arquivo, tentativas de desativar shadow copies, comunicação com C2 (command-and-control) externo, movimentação lateral. Detectar na fase de reconhecimento permite interromper antes da criptografia.
Quando o ransomware atinge, cada minuto conta. Um IR plan documentado define: quem aciona o incidente, quem isola os sistemas, quem contata o provedor de resposta a incidentes, como comunicar clientes. Sem o plano, equipes paralisam em pânico. Teste com tabletop exercise anual.
4. O que fazer se sua empresa for atacada
- Isolar imediatamente: desconecte da rede os sistemas afetados (não desligue — pode destruir evidências forenses). Desligue o Wi-Fi do setor afetado.
- Não reiniciar, não pagar (ainda): reiniciar pode apagar evidências. Pagar não garante descriptografia e financia o criminoso.
- Ativar o plano de IR: notifique o time de crise, acione o provedor de resposta a incidentes se houver contrato.
- Identificar o alcance: quais sistemas foram afetados, quais dados foram potencialmente exfiltrados.
- Restaurar a partir de backup limpo: restaurar somente após garantir que o vetor inicial foi eliminado — caso contrário, será infectado novamente.
- Notificar autoridades e ANPD: boletim de ocorrência (cybercrimes). Se houver dados pessoais comprometidos, notificação à ANPD em até 72h conforme LGPD.
Sobre pagar o resgate: em cerca de 50% dos casos, empresas que pagam recebem a chave de descriptografia, mas ficam marcadas como “pagantes” — e frequentemente são atacadas novamente nos meses seguintes. Além disso, pagar pode violar sanções internacionais se o grupo estiver em lista de OFAC. Consulte um especialista antes de qualquer decisão.
5. Checklist de proteção anti-ransomware
- Backup diário com retenção de 30+ dias, cópia offsite imutável
- Restauração de backup testada nos últimos 30 dias
- MFA ativado em todos os acessos remotos (VPN, RDP, SaaS)
- Nenhum RDP exposto diretamente na internet
- Patch de sistemas críticos em <72h após CVE crítico
- EDR instalado em todos os endpoints (não apenas antivírus)
- Segmentação de rede: servidores em VLANs separadas de estações
- Usuários comuns sem direitos administrativos
- Macros desativadas por GPO para usuários não-técnicos
- Filtragem de e-mail com sandboxing e bloqueio de extensões perigosas
- Plano de resposta a incidentes documentado e distribuído
- Simulação de phishing realizada nos últimos 6 meses
Conteúdos relacionados
Perguntas frequentes
