CIBERSEGURANÇA
Ransomware em pequenas e médias empresas: como se proteger
O sequestro de dados deixou de ser um problema só de grandes corporações. Entenda como o ataque acontece, quais medidas realmente reduzem o risco e o que fazer nas primeiras horas se a sua empresa for atingida.
EM 30 SEGUNDOS
- O ransomware criptografa os arquivos e, cada vez mais, rouba os dados antes, para extorquir duas vezes.
- A maioria dos ataques entra por e-mail falso, senha vazada ou sistema desatualizado.
- Autenticação em dois fatores, atualizações e backup offline testado eliminam boa parte do risco.
- Se acontecer: isole as máquinas, preserve as evidências e acione especialistas antes de qualquer decisão.
O que é ransomware
Ransomware é um tipo de ataque em que o criminoso invade a rede, criptografa arquivos e sistemas e exige um pagamento, normalmente em criptomoeda, para devolver o acesso. Nos últimos anos, os grupos passaram a copiar os dados antes de criptografar e a ameaçar publicá-los. É a chamada dupla extorsão: mesmo quem tem backup continua sendo pressionado.
Pequenas e médias empresas viraram alvo preferencial por um motivo simples: costumam ter menos camadas de proteção, ninguém dedicado à segurança e dependem totalmente dos seus sistemas para faturar. Um dia parado já dói; uma semana pode ser fatal.
Ninguém é pequeno demais
Grande parte dos ataques é automatizada. Os criminosos procuram falhas conhecidas e senhas vazadas em milhares de empresas ao mesmo tempo, sem escolher porte ou setor.
Como o ataque acontece, passo a passo
- Acesso inicial
E-mail de phishing com link ou anexo, senha vazada usada em acesso remoto (VPN ou RDP exposto na internet) ou uma falha não corrigida em servidor ou firewall. - Reconhecimento
Já dentro da rede, o invasor mapeia servidores, compartilhamentos e contas com privilégio de administrador. Essa fase pode durar dias sem ninguém perceber. - Roubo de dados
Arquivos de clientes, financeiro e RH são copiados para fora. É o material da segunda extorsão. - Sabotagem dos backups
Antes do ataque final, o criminoso apaga ou criptografa as cópias de segurança que estiverem acessíveis pela rede. - Criptografia e extorsão
Os arquivos são criptografados ao mesmo tempo e aparece a nota de resgate, com prazo e ameaça de vazamento.
Sinais de alerta que merecem atenção imediata
- Contas de administrador novas ou logins em horários incomuns.
- Antivírus ou EDR desativado sem explicação.
- Alto volume de dados saindo da rede, principalmente à noite.
- Ferramentas de acesso remoto ou de compactação instaladas sem pedido da TI.
- Arquivos com extensões estranhas ou que não abrem.
As 8 medidas que mais reduzem o risco
- Autenticação em dois fatores (MFA)
Em e-mail, VPN, acessos remotos e contas de administrador. Uma senha vazada deixa de ser suficiente. - Atualizações em dia
Sistemas, servidores, firewall e VPN atualizados. Falhas conhecidas são a porta de entrada mais explorada. - Backup 3-2-1 com cópia offline
Três cópias, em duas mídias, uma fora da rede ou imutável. E restauração testada periodicamente. - Menor privilégio
Ninguém usa conta de administrador no dia a dia. Acessos revisados quando alguém muda de função ou sai. - EDR nas máquinas
Detecção e resposta que identifica o comportamento do ataque e isola a máquina automaticamente. - Nada exposto sem necessidade
Acesso remoto só por VPN com MFA. Portas como RDP nunca abertas direto para a internet. - Pessoas treinadas
Simulações de phishing e orientação prática. O colaborador atento é uma camada de defesa. - Plano de resposta pronto
Quem decide, quem é acionado e o que fazer na primeira hora, definido antes do problema.
Se acontecer: o que fazer nas primeiras horas
- Isole, não desligue
Desconecte as máquinas afetadas da rede (cabo e Wi-Fi). Desligar pode apagar evidências que ajudam a entender o ataque. - Acione a resposta a incidentes
Chame a equipe ou o parceiro de segurança. Evite que cada pessoa tente resolver por conta própria. - Preserve as evidências
Fotografe a nota de resgate, não apague arquivos e registre tudo o que foi observado, com horário. - Avalie os backups
Verifique se as cópias offline estão íntegras antes de qualquer restauração. - Comunique quem precisa saber
Se houver dados pessoais envolvidos com risco relevante aos titulares, a ANPD deve ser comunicada em até 3 dias úteis (Resolução CD/ANPD nº 15/2024). Registre também boletim de ocorrência.
Pagar o resgate resolve?
Não há garantia de que a chave funcione nem de que os dados roubados sejam apagados. O pagamento também financia novos ataques. A decisão, se chegar a ser discutida, deve envolver diretoria, jurídico e especialistas.
Checklist rápido para a sua empresa
- MFA ativo em e-mail, VPN e contas de administrador
- Servidores, firewall e estações atualizados
- Backup com cópia offline ou imutável
- Restauração testada nos últimos 3 meses
- EDR instalado em estações e servidores
- Nenhum acesso remoto exposto direto na internet
- Treinamento ou simulação de phishing no último ano
- Plano de resposta a incidentes documentado
COMO O CiBER DETETiVE AJUDA
CyberSecurity
Proteja a sua empresa com monitoramento, EDR e resposta a incidentes.
Conteúdo informativo. Não substitui a análise do caso concreto por um profissional. Referências legais citadas conforme as normas vigentes na data de publicação.