Atualizado em
Ransomware é um tipo de ataque em que criminosos criptografam os dados da vítima e exigem pagamento para devolver o acesso. A boa notícia: a maioria dos ataques bem-sucedidos explora erros evitáveis. Entender como o ataque funciona é o primeiro passo para construir uma defesa efetiva.
Como o ransomware funciona — do início ao fim
Imagine que um funcionário recebe um e-mail aparentemente normal, de um fornecedor conhecido, com uma planilha em anexo. Ao abrir, nada acontece de imediato — ou pelo menos nada visível. Em segundo plano, o código malicioso se instala silenciosamente, estabelece comunicação com o servidor do atacante e começa a mapear a rede.
Isso é o que os especialistas chamam de fase de acesso inicial. Os vetores mais comuns são phishing (o e-mail com anexo ou link), credenciais comprometidas usadas para acessar VPN ou RDP exposto na internet, e vulnerabilidades não corrigidas em sistemas expostos.
Depois do acesso inicial vem o movimento lateral: o malware — ou o próprio atacante controlando o sistema remotamente — explora a rede em busca de outros sistemas, credenciais adicionais, backups e ativos de alto valor. Essa fase pode durar dias ou semanas antes de qualquer sinal visível de ataque.
A fase de criptografia é quando tudo fica visível — e catastrófico. Arquivos são criptografados em massa, servidores ficam inacessíveis, aplicações param. A nota de resgate aparece em telas por toda a empresa.
A extorsão dupla, que virou padrão nos últimos anos, adiciona uma camada: antes de criptografar, os atacantes exfiltram os dados. Assim, mesmo que você restaure o backup, eles ameaçam publicar as informações — dados de clientes, contratos, segredos comerciais — se o resgate não for pago.
Os 5 erros que mais levam ao comprometimento
O problema real aqui é que na maioria dos casos investigados, o caminho que o atacante percorreu estava pavimentado por decisões técnicas erradas — não por sofisticação do ataque.
Erro 1 — RDP exposto na internet. Remote Desktop Protocol na porta padrão (3389) acessível diretamente pela internet é um convite para ataques de força bruta. Há scanners automatizados varrendo a internet continuamente em busca dessas portas abertas. Se você tem RDP exposto sem MFA e sem bloqueio por IP, é questão de tempo.
Erro 2 — Sem MFA em contas privilegiadas. Credenciais de administrador protegidas apenas por senha são o caminho mais rápido para comprometimento total. Phishing é eficiente demais contra autenticação simples — e uma conta de admin comprometida entrega as chaves do reino. É por isso que gestão de identidade e acesso é o primeiro controle a ser endereçado.
Erro 3 — Backup na mesma rede que a produção. Backup no mesmo servidor ou na mesma rede acessível pelos sistemas de produção é encontrado e criptografado junto. Esse é um dos erros mais críticos: você acha que tem backup, mas no dia do ataque descobre que o backup também foi comprometido. Os quatro requisitos de um backup realmente seguro existem justamente para fechar essa brecha.
Erro 4 — Sistemas sem patch. EternalBlue, a vulnerabilidade que alimentou o WannaCry em 2017, ainda é encontrada em ambientes corporativos hoje. Vulnerabilidades com exploit público em sistemas sem atualização são exploradas de forma automatizada. Não precisa de um atacante sofisticado — scripts automatizados fazem o trabalho.
Erro 5 — Sem segmentação de rede. Quando todos os sistemas estão na mesma rede plana, o comprometimento de uma estação de trabalho dá ao atacante visão e alcance sobre tudo. Segmentação por VLAN limita o raio de dano — um incidente que poderia comprometer o ambiente inteiro fica contido em um segmento.
As 5 camadas de defesa que funcionam
Nenhum controle isolado previne ransomware. A defesa efetiva é construída em camadas — se uma camada falha, a próxima contém o dano.
Camada 1 — MFA + controle de acesso rigoroso: MFA em todas as contas com acesso remoto e acesso privilegiado. Sem exceção para o CEO. Desativar ou restringir acesso a serviços como RDP diretamente na internet. Usar VPN ou ZTNA com autenticação forte como pré-requisito para qualquer acesso remoto — a lógica por trás do modelo Zero Trust.
Camada 2 — EDR (Endpoint Detection and Response): Antivírus tradicional não detecta ransomware moderno — ele usa técnicas para evitar detecção por assinatura. EDR monitora comportamento: processos que criptografam arquivos em massa, comunicação com servidores de comando e controle, movimentação lateral via credenciais — e alerta ou bloqueia em tempo real. A correlação desses eventos com o resto do ambiente é papel de um SIEM.
Camada 3 — Backup imutável e offsite: Backup com imutabilidade (impossível de ser deletado ou modificado por qualquer usuário, incluindo administradores) e armazenado em local separado da produção — fisicamente ou logicamente isolado. O Backup Corporativo da Adentro inclui opções de imutabilidade com dados armazenados no Brasil, faturados em Real. Teste de restauração é parte do processo — backup não testado é hipótese, não garantia.
Camada 4 — Segmentação de rede: Isolar workloads críticas em segmentos separados com controle de tráfego entre eles. Servidores de backup em segmento com acesso restrito. Servidores de aplicação sem acesso direto à internet. Estações de trabalho sem comunicação direta com servidores de arquivo de outros departamentos. Um firewall gerenciado com política revisada é o que sustenta essa separação no dia a dia.
Camada 5 — Treinamento de conscientização: A maioria dos ataques começa com um humano clicando em algo que não deveria. Simulações de phishing periódicas, treinamento sobre engenharia social e um processo claro de reporte de e-mails suspeitos são controles de baixo custo e alto impacto.
O que fazer nas primeiras horas de um ataque
Se você identifica sinais de ransomware em andamento — arquivos com extensão estranha aparecendo, sistemas inacessíveis, alertas do EDR — as primeiras horas são críticas.
Isolamento imediato: Desconecte da rede os sistemas comprometidos ou suspeitos. Não desligue necessariamente (memória volátil pode conter evidências), mas isole o tráfego de rede. Isso limita o movimento lateral e a velocidade de criptografia.
Acione o time de resposta a incidentes: Se você tem um provedor de serviços gerenciados ou um time de IR (Incident Response), acione agora. Cada minuto conta para contenção.
Preserve evidências: Não reinstale sistemas imediatamente. Logs, imagens de memória e arquivos de sistema são necessários para a investigação forense — entender como o atacante entrou, o que foi acessado e o que foi exfiltrado.
Avalie os backups: Antes de qualquer outra decisão, verifique a integridade e a data dos backups disponíveis. Isso define o horizonte de recuperação e a necessidade de negociação.
Pagar resgate ou recuperar de backup?
A resposta direta: não pague se você tiver backup íntegro e imutável. Pagar financia o crime organizado, não garante recuperação (chaves defeituosas acontecem) e sinaliza que você é um pagador — o que aumenta a probabilidade de novos ataques.
Na prática, empresas sem backup adequado ficam diante de uma escolha difícil. Nesse cenário, consulte as autoridades (Polícia Federal tem unidade de crimes cibernéticos) e especialistas em IR antes de qualquer decisão sobre pagamento.
A prevenção efetiva transforma essa decisão em irrelevante: com backup imutável, testado e offsite, a resposta ao ransomware é técnica — isola, investiga, restaura. O tempo que essa recuperação leva é o que você definiu como RTO e RPO.
Quer avaliar se o backup da sua empresa resistiria a um ataque de ransomware? O time da Adentro pode fazer uma análise do seu ambiente atual — entre em contato ou comece pelo Cloud Checkup, nosso diagnóstico gratuito de maturidade em TI.