Backup é sua linha de recuperação contra ransomware — não de prevenção. Ele não impede a infecção, mas permite restaurar os dados ao estado anterior ao ataque. Para que isso funcione, o backup precisa ser imutável, offsite e testado. Quando algum desses elementos falta, o backup pode ser tão comprometido quanto a produção.
Como o ransomware se espalha e encontra os backups
Antes de entender como o backup protege, você precisa entender o que o backup enfrenta. O ransomware moderno não é o vírus apressado dos anos 2000 que criptografava o que encontrava pela frente. É uma operação profissional, com fases distintas e objetivos muito claros.
Fase 1 — Acesso inicial. O atacante entra no ambiente. Os vetores mais comuns são phishing (e-mail com link ou anexo malicioso), exploração de VPN ou RDP com credenciais fracas ou vazadas, e vulnerabilidades em software desatualizado.
Fase 2 — Persistência e reconhecimento. O agente malicioso fica quieto, às vezes por semanas. Ele mapeia: quais servidores existem, quais serviços rodam em cada um, onde estão as shares de arquivo, qual solução de backup está instalada, onde ficam os repositórios. Ele também escalona privilégios — de usuário comum para administrador local, depois domínio, depois administrador de backup.
Fase 3 — Destruição de backups. Com mapa completo e privilégios suficientes, o atacante apaga ou criptografa os backups antes de qualquer outra ação. Ele sabe que sem backup, as chances de pagamento aumentam drasticamente.
Fase 4 — Ativação do ransomware. Com os backups destruídos, o ransomware criptografa os dados de produção. A empresa acorda para telas de resgate e sem alternativa de recovery.
Esse é o cenário que o backup imutável é projetado para romper. Se o repositório de backup é imutável, a fase 3 falha — o atacante não consegue destruir os backups. Com backups íntegros, a fase 4 passa a ter resposta: restore dos dados pré-ataque.
O que o backup protege — e com que clareza
Quando o backup está configurado corretamente e resiste ao ataque, ele entrega uma coisa muito específica: os dados existentes antes da infecção.
Isso significa que se o ataque aconteceu às 10h de terça-feira e o último backup bom foi às 23h de segunda, você pode restaurar os dados de segunda à noite. Tudo que aconteceu entre 23h de segunda e 10h de terça — transações, pedidos, comunicações, documentos criados — não está no backup e não será recuperado.
O backup também não elimina o ransomware do ambiente. Restaurar os dados de uma máquina infectada, sem antes limpar o ambiente e encontrar o vetor de entrada, resulta em reinfecção. O processo correto é: isolar o ambiente, identificar e eliminar a ameaça, reconstruir sistemas comprometidos a partir de uma baseline limpa e só então restaurar os dados do backup.
Isso é importante porque significa que o backup resolve a dimensão “perda de dados” do ransomware, mas não a dimensão “comprometimento do ambiente”. A recuperação completa exige as duas.
Os 3 requisitos para o backup ser efetivo contra ransomware
Requisito 1: Imutabilidade. Como explicamos, o ransomware moderno ataca backups antes de atacar a produção. Se seus backups estão em repositório acessível na rede sem proteção de imutabilidade, eles serão destruídos junto com a produção. Backup imutável (Object Lock S3, Hardened Repository Veeam, air-gap) garante que pelo menos uma cópia sobrevive ao ataque.
Requisito 2: Offsite e isolado. Mesmo que o repositório seja imutável logicamente, se estiver na mesma rede que a produção, um atacante com tempo suficiente pode encontrar formas de comprometê-lo. O repositório de backup deve estar em rede separada — idealmente em datacenter diferente, com acesso restrito por credenciais que não existem em nenhum servidor de produção. A cópia offsite da regra 3-2-1 é esse componente.
Requisito 3: Testado e verificado. O backup só é seu plano de recuperação se você sabe que ele funciona. Um backup não testado é uma esperança, não uma garantia. Teste de restore periódico — pelo menos trimestral — confirma que os dados são recuperáveis dentro do RTO definido. O SureBackup do Veeam automatiza parte disso, mas um teste manual de restore completo ainda é necessário periodicamente.
Quando o backup não é suficiente
Existem cenários onde mesmo um backup bem estruturado não resolve o problema completo:
RPO muito longo. Se o backup roda uma vez por dia e o ransomware se ativa às 11h da manhã, você perde um dia inteiro de transações. Para empresas com volume alto de operações — e-commerce, financeiro — isso pode ser devastador mesmo com os dados de ontem disponíveis.
Backup também infectado. Ransomware sofisticado pode ter sido instalado há 45 dias. Se sua retenção de backup é de 30 dias, todos os pontos de restore disponíveis têm o malware dormindo dentro deles. Você restaura o dado, e com ele restaura a infecção. A solução é retenção longa o suficiente para cobrir o tempo médio de dwell dos ataques — especialistas de segurança recomendam pelo menos 90 dias de retenção.
Sem processo de recovery documentado. No calor de um incidente, a equipe de TI sob pressão, com sistemas fora do ar, precisa executar um processo de recovery que nunca foi feito ao vivo. Sem documentação e sem treino, erros acontecem, o processo demora o dobro, e o RTO real é muito pior que o planejado.
Ambiente não limpo antes do restore. Restaurar dados em ambiente ainda comprometido reinicia o ciclo. É o erro mais comum e mais caro da recuperação de ransomware.
Checklist de proteção de backup contra ransomware
Use este checklist para avaliar o nível de proteção atual do seu backup:
- [ ] Repositório de backup tem imutabilidade habilitada (WORM)
- [ ] Pelo menos uma cópia offsite em rede separada da produção
- [ ] Credenciais de acesso ao backup não existem em servidores de produção
- [ ] Retenção mínima de 90 dias para cobrir o dwell time de ataques
- [ ] Restore testado nos últimos 90 dias
- [ ] Processo de recovery documentado e acessível offline
- [ ] Backup de sistemas de backup (configurações, catálogos) em local separado
- [ ] Alertas configurados para falha em qualquer job de backup
- [ ] Verificação de integridade automática habilitada
- [ ] Plano de resposta a incidentes que inclui limpeza do ambiente antes do restore
A Adentro estrutura soluções de backup com os três requisitos anti-ransomware: imutabilidade, isolamento offsite e verificação automática. Fale com um especialista para avaliar seu ambiente.