Ransomware é o código malicioso que criptografa os arquivos do computador e cobra resgate para devolver o acesso a eles.
A defesa que funciona não é o antivírus nem a pasta sincronizada na nuvem, e sim uma cópia dos seus arquivos guardada fora do alcance da máquina infectada, porque tudo que estiver conectado no momento do ataque tende a ser criptografado junto com o original.
Essa é a parte que os guias corporativos escrevem em uma linha e seguem adiante.
A Cartilha de Segurança para Internet, mantida pelo CERT.br, é direta ao afirmar que a proteção realmente efetiva contra esse tipo de ataque é o backup periódico mantido desconectado do sistema.
Quem opera sozinho, com o acervo inteiro num notebook e num punhado de discos, é justamente quem costuma não ter essa cópia.
O que este artigo aborda:
- O que é ransomware e por que ele deixou de mirar só grandes empresas?
- Como um sequestro de arquivos acontece na prática
- Por que a operação pequena virou alvo preferencial
- Ransomware, vírus e malware: o que muda entre eles
- Como o ransomware entra no computador?
- Anexo e link de e-mail: a porta de entrada mais comum
- Programa pirata, extensão e download fora da loja oficial
- Acesso remoto mal configurado e senha reaproveitada
- Quais são os tipos de ransomware que mais circulam?
- Ransomware de criptografia
- Ransomware de bloqueio de tela
- Dupla extorsão: quando o vazamento vira ameaça
- Quais são os sinais de que um ataque está em andamento?
- Arquivo renomeado e extensão estranha
- Lentidão súbita e proteção desligada sozinha
- O que fazer nos primeiros minutos
- Como o ransomware se espalha para outros dispositivos da mesma rede?
- Movimento lateral: como o malware salta de máquina em máquina
- Disco externo conectado durante o ataque vira vítima também
- Medidas imediatas para conter o espalhamento
- Por que a nuvem sincronizada não é backup contra ransomware?
- A sincronização replica o arquivo já criptografado
- Versionamento ajuda, mas tem prazo e limite
- A cópia desconectada é a que sobrevive ao ataque
- Cópia sincronizada, versionamento ou cópia desconectada: qual estratégia protege de fato?
- O que cada estratégia faz e o que ela não faz
- Qual combinação faz sentido para quem opera sem equipe técnica
- Como montar uma rotina de cópias que resiste a um ataque?
- A regra 3-2-1 explicada sem jargão
- Onde guardar a cópia offline e com que frequência atualizá-la
- Testar a restauração: o passo que quase ninguém faz
- Arquivos criptografados por ransomware podem ser recuperados sem pagar?
- Quando existe ferramenta de descriptografia gratuita
- Casos em que a recuperação é tecnicamente impossível
- Vale a pena pagar o resgate?
- O que orientam os órgãos oficiais de segurança
- Por que pagar não devolve o acervo
- A quem comunicar o incidente
- Perguntas frequentes sobre ransomware
- Arquivos criptografados por ransomware podem ser recuperados?
- O que fazer nas primeiras horas depois de um ataque de ransomware?
- Backup na nuvem protege contra ransomware?
- Como o ransomware se espalha para outros dispositivos da mesma rede?
- Preciso comunicar um ataque de ransomware a algum órgão?
O que é ransomware e por que ele deixou de mirar só grandes empresas?
Ransomware é o sequestro dos seus próprios arquivos, feito por um programa que embaralha o conteúdo e vende a chave de volta.
O ataque deixou de ser exclusividade de hospital e prefeitura porque o modelo virou serviço, com kits prontos alugados a quem não sabe programar, o que derrubou o custo de disparar campanhas amplas e transformou qualquer máquina com arquivos valiosos em alvo economicamente viável.
Como um sequestro de arquivos acontece na prática
O programa entra, mapeia o que existe de valor e embaralha o conteúdo antes de avisar a vítima.
A execução costuma ser silenciosa no começo.
O código varre pastas de documentos, fotos, projetos e planilhas, identifica extensões que interessam e começa a reescrever cada arquivo em versão cifrada, apagando o original.
Só depois de terminar o trabalho aparece o aviso de resgate, geralmente um arquivo de texto na área de trabalho com instruções de pagamento em criptomoeda.
A percepção de perda vem toda de uma vez. O usuário abre um documento de trabalho, encontra caracteres sem sentido, tenta outro arquivo e descobre que a pasta inteira virou lixo digital. Nesse momento o estrago já está feito, e a única pergunta que importa é onde existe uma cópia intacta.
Por que a operação pequena virou alvo preferencial
Operação pequena reúne duas condições que interessam ao atacante: dados críticos e defesa improvisada.
O acervo de um criador digital ou de um pequeno empreendedor concentra tudo que sustenta o faturamento, de contratos e notas a fotos originais e projetos entregues.
Ao mesmo tempo, não existe equipe de tecnologia, política de cópia testada nem segmentação de rede. O atacante encontra alto valor percebido e baixa resistência técnica, combinação que torna o resgate mais provável de ser pago.
Há também um cálculo de escala. Campanhas automatizadas atingem milhares de máquinas ao mesmo tempo, e o atacante não precisa que todas paguem. Basta uma fração pequena aceitar a exigência para o esquema se pagar, o que dispensa qualquer seleção cuidadosa de vítima.
Ransomware, vírus e malware: o que muda entre eles
Malware é o guarda-chuva, vírus é um tipo de propagação e ransomware é um modelo de extorsão digital.
A distinção não é preciosismo de vocabulário, porque muda a resposta. Malware descreve qualquer programa criado para agir contra o interesse do dono da máquina, incluindo espião de senha, minerador de criptomoeda e porta dos fundos. Vírus define o mecanismo de replicação, quando o código se anexa a outro arquivo para se espalhar.
O programa de resgate se define pelo objetivo, não pela técnica de entrada. Ele pode chegar como anexo, como instalador falso ou por uma porta de acesso remoto aberta, e continua sendo a mesma ameaça.
Por isso a defesa central não é bloquear a porta de entrada, e sim tornar a perda irrelevante com uma cópia que o ataque não alcança.
Como o ransomware entra no computador?
A entrada mais comum é o próprio usuário, induzido a abrir um anexo, clicar num link ou instalar um programa fora da loja oficial.
O CERT.br descreve dois caminhos principais de propagação, as mensagens que levam a pessoa a executar o código malicioso e as falhas de segurança em sistemas sem atualização, o que explica por que máquina desatualizada e rotina de cliques apressados formam a combinação mais perigosa do dia a dia.
Anexo e link de e-mail: a porta de entrada mais comum
A mensagem imita algo esperado, como boleto, currículo, nota fiscal ou aviso de entrega.
O arquivo anexado raramente é o programa malicioso puro. Costuma ser um documento com macro, uma planilha com script ou um atalho disfarçado que, ao ser aberto, baixa o código de verdade. O disfarce funciona porque a extensão real fica escondida atrás de um nome longo e de um ícone familiar.
O link segue a mesma lógica de pressa. A mensagem cria urgência, o endereço leva a uma página que imita um serviço conhecido e o download começa como se fosse atualização obrigatória. Desconfiar de urgência é a defesa comportamental mais barata que existe.
Programa pirata, extensão e download fora da loja oficial
Instalador quebrado é o veículo perfeito, porque o usuário autoriza a instalação por vontade própria.
Quem procura versão sem licença de um programa caro aceita desativar o antivírus, ignorar avisos e conceder privilégio de administrador, exatamente os três passos que o código precisa para agir sem obstáculo.
O mesmo vale para extensões de navegador instaladas fora das lojas oficiais e para aplicativos baixados de repositórios improvisados.
A conta raramente fecha.
O valor economizado numa licença é pequeno perto do custo de perder o acervo de trabalho, e a instalação fora do canal oficial dispensa o atacante de qualquer engenharia sofisticada.
Acesso remoto mal configurado e senha reaproveitada
Porta de acesso remoto exposta na internet com senha fraca é convite direto.
O cenário é comum em quem configurou acesso à própria máquina para trabalhar de outro lugar e deixou a porta padrão aberta, sem segundo fator e com senha repetida de outro serviço.
Varreduras automatizadas encontram esses endereços o tempo todo e testam combinações vazadas em incidentes antigos até uma funcionar.
Senha reaproveitada amplia o dano.
Uma credencial vazada num serviço qualquer vira chave de entrada no computador de trabalho, no painel do site e no armazenamento em nuvem, o que permite ao atacante apagar as cópias remotas antes mesmo de disparar a criptografia.
Quais são os tipos de ransomware que mais circulam?
Os dois formatos clássicos são o que criptografa arquivos e o que bloqueia o acesso ao equipamento inteiro.
A Cartilha de Segurança para Internet separa os tipos de código malicioso que exigem resgate, distinguindo o que impede o acesso aos dados armazenados daquele que impede o acesso ao próprio equipamento, e essa diferença define tanto a gravidade do estrago quanto a chance real de recuperar alguma coisa sem depender do atacante.
Ransomware de criptografia
O tipo cripto embaralha o conteúdo dos arquivos e mantém o sistema funcionando.
O computador liga, o navegador abre e o sistema responde normalmente.
O que mudou é o conteúdo, porque cada documento foi reescrito com uma chave que só o atacante possui, e a extensão do arquivo costuma ganhar um sufixo estranho.
Ferramentas de recuperação de arquivo apagado não ajudam, já que o original foi sobrescrito, não deletado.
É o formato mais grave para quem vive de arquivo. Fotógrafo, editor de vídeo, contador e desenvolvedor perdem o produto do trabalho, não o equipamento. Sem cópia intacta, a única alternativa técnica é esperar que a chave daquela família específica se torne pública algum dia.
Ransomware de bloqueio de tela
O tipo locker impede o uso do equipamento sem necessariamente tocar no conteúdo dos arquivos.
A tela mostra o aviso de resgate e não sai dali, simulando às vezes uma notificação de órgão público para intimidar a vítima. O sistema fica inacessível pelo caminho normal, mas os dados frequentemente continuam íntegros no disco.
A diferença prática é boa notícia.
Um técnico costuma conseguir remover a trava iniciando o sistema por outro meio e recuperar os arquivos do disco, o que torna esse formato bem menos destrutivo que o anterior, mesmo assustando mais na primeira impressão.
Dupla extorsão: quando o vazamento vira ameaça
Na dupla extorsão o atacante copia os dados antes de criptografar e ameaça publicá-los.
O golpe deixa de ser só sobre disponibilidade e passa a ser sobre exposição.
Mesmo quem tem cópia perfeita e restaura tudo em uma tarde continua sob pressão, porque o atacante mantém em mãos contratos, documentos de clientes, fotos e conversas.
Aqui a cópia offline resolve metade do problema, e é honesto dizer isso. A restauração devolve a operação, mas não desfaz o vazamento. Para quem trata dado pessoal de terceiros, esse cenário aciona obrigações legais que existem independentemente de o backup ter funcionado.
Quais são os sinais de que um ataque está em andamento?
Arquivo renomeado com extensão desconhecida, lentidão súbita e proteção desativada sozinha são os três sinais mais confiáveis.
O intervalo entre o início da criptografia e o aviso de resgate é a única janela em que a reação muda o resultado, e reconhecer o padrão nesses minutos costuma ser a diferença entre perder uma pasta e perder o acervo inteiro junto com o disco de cópia conectado.
Arquivo renomeado e extensão estranha
O primeiro sinal visível é o nome do arquivo mudando sozinho.
Documentos ganham um sufixo que não existia, ícones perdem a associação com o programa que os abria e miniaturas de imagem viram quadrados em branco no gerenciador de arquivos.
Abrir qualquer um deles devolve erro de formato ou uma tela de caracteres sem sentido.
O padrão aparece primeiro nas pastas mais óbvias. Documentos, imagens e área de trabalho costumam ser varridos antes das pastas de sistema, o que dá alguns minutos de vantagem a quem percebe cedo.
Lentidão súbita e proteção desligada sozinha
Criptografar milhares de arquivos consome disco e processador, e a máquina responde a isso.
O ventilador acelera sem motivo aparente, o disco trabalha de forma contínua e programas comuns demoram a abrir.
Em paralelo, o antivírus pode aparecer desativado, a restauração automática do sistema some e os pontos de recuperação antigos desaparecem, porque desligar essas defesas faz parte da rotina do código.
Nenhum sinal isolado prova o ataque.
A combinação de disco em atividade constante, proteção desligada sem ação do usuário e arquivo com nome alterado, porém, é forte o bastante para agir imediatamente em vez de investigar com calma.
O que fazer nos primeiros minutos
Desconectar a máquina da rede e da energia elétrica interrompe o processo onde ele estiver.
A ordem prática é direta:
- Desconecte o cabo de rede e desligue o wi-fi para cortar o acesso a pastas compartilhadas e a serviços de sincronização.
- Remova qualquer disco externo, pendrive ou cartão conectado, sem esperar a ejeção segura.
- Desligue a máquina pelo botão físico, porque criptografia interrompida deixa parte dos arquivos intacta.
- Não pague, não reinicie repetidamente e não instale programas de recuperação sobre o disco afetado.
- Registre o que aconteceu, incluindo o texto do aviso de resgate, que costuma identificar a família do ataque.
Desligar no botão contraria o instinto de quem quer salvar o trabalho aberto, e ainda assim é a decisão correta. Cada minuto de máquina ligada significa mais arquivos convertidos.
Como o ransomware se espalha para outros dispositivos da mesma rede?
O programa procura tudo que estiver acessível a partir da máquina infectada, incluindo pastas compartilhadas e discos conectados.
O CERT.br é explícito quanto a esse ponto ao recomendar que os dispositivos com as cópias permaneçam desconectados do sistema, porque os criminosos buscam ativamente outros equipamentos ligados, locais ou em rede, para criptografá-los também durante a mesma execução.
Movimento lateral: como o malware salta de máquina em máquina
O salto acontece por credencial reaproveitada e por compartilhamento de pasta aberto.
Numa rede doméstica ou de escritório pequeno, é comum existir uma pasta compartilhada sem senha, um armazenamento em rede visível para todos e a mesma senha de administrador em todos os equipamentos.
O código usa exatamente esses caminhos, sem precisar de falha exótica.
O roteador também entra na conta.
Painel de administração com senha de fábrica permite alterar configurações de rede e ampliar o alcance, o que transforma um incidente de uma máquina em incidente de escritório inteiro.
Disco externo conectado durante o ataque vira vítima também
Cópia que estava plugada no momento do ataque é criptografada junto com o original.
Esse é o erro mais caro e mais frequente de quem já se preocupou com backup.
A pessoa mantém um disco permanentemente conectado, com cópia automática rodando toda noite, e descobre no pior dia que o programa tratou aquele volume como mais uma pasta local.
Armazenamento em rede sofre do mesmo problema.
Se a unidade aparece mapeada no computador, ela está acessível ao código, e o fato de o equipamento ficar em outro cômodo não muda nada nesse cálculo.
Medidas imediatas para conter o espalhamento
Isolar a máquina afetada e desligar os compartilhamentos limita o dano ao que já foi atingido.
Depois de desconectar o equipamento suspeito, vale desligar temporariamente o wi-fi dos demais, verificar se algum outro computador apresenta arquivo renomeado e só então religar um de cada vez.
Trocar as senhas do painel do roteador, dos serviços de nuvem e do acesso remoto vem logo em seguida, de preferência a partir de um aparelho não afetado.
Restaurar antes de limpar é armadilha comum. Ligar o disco de cópia numa máquina ainda infectada entrega a última versão boa dos arquivos ao mesmo código que criptografou as anteriores.
Por que a nuvem sincronizada não é backup contra ransomware?
Sincronizar não é copiar, porque o serviço replica a alteração, e arquivo criptografado é uma alteração como qualquer outra.
Essa é a falha central que os guias sobre o tema costumam ignorar, já que quase todo mundo hoje mantém documentos numa pasta que espelha automaticamente para a nuvem e acredita, com razão aparente, que existe uma segunda via segura em algum servidor distante.
A sincronização replica o arquivo já criptografado
O serviço enxerga arquivo modificado e envia a versão nova, sobrescrevendo a boa.
O processo é rápido e silencioso. Enquanto o código embaralha as pastas locais, o cliente de sincronização detecta cada alteração e sobe a versão cifrada, arquivo por arquivo.
Ao final, a pasta da nuvem espelha fielmente o desastre local, com o agravante de o estrago já estar propagado para os outros aparelhos ligados na mesma conta.
O celular entra na conta também. Quem mantém a mesma conta no telefone recebe a versão criptografada ali, o que elimina a última cópia acessível fora do computador atingido.
Versionamento ajuda, mas tem prazo e limite
Histórico de versões é uma rede de segurança real, com validade e teto.
Serviços de armazenamento costumam guardar versões anteriores por um período determinado e com limite de espaço, o que ajuda muito quando o ataque é percebido no mesmo dia.
A restauração, porém, é feita arquivo por arquivo em vários serviços, e recuperar um acervo inteiro dessa forma pode ser inviável na prática.
O prazo é o ponto cego.
Ataque percebido depois da janela de retenção encontra apenas versões cifradas, e quem descobre o problema ao voltar de uma viagem longa costuma estar exatamente nessa situação.
A cópia desconectada é a que sobrevive ao ataque
Mídia desligada da máquina não pode ser alterada por um programa que roda nela.
A lógica é física, não digital, e por isso funciona mesmo contra famílias novas de ataque. Um disco que fica na gaveta e só é ligado no momento da cópia é invisível para o código durante a execução do sequestro. Nenhuma credencial vazada, nenhum movimento lateral e nenhuma sincronização automática alcançam um volume desconectado.
O preço dessa proteção é o incômodo de um gesto manual. Plugar, copiar e desplugar é uma rotina chata, e é justamente essa chatice que separa a cópia sobrevivente das que morrem junto com o original.
Cópia sincronizada, versionamento ou cópia desconectada: qual estratégia protege de fato?
Cada caminho resolve um problema diferente, e só o desconectado foi feito para resistir a um ataque de resgate.
A tabela abaixo compara o que cada opção entrega de verdade, sem a promessa genérica de segurança que aparece nas páginas de venda, e serve como critério de decisão para quem precisa montar a própria rotina sem apoio de um time técnico.
O que cada estratégia faz e o que ela não faz
Sincronização protege contra perda de equipamento, versionamento contra erro humano e cópia offline contra criptografia maliciosa.
| Estratégia | Protege bem contra | Comportamento diante do ransomware | Esforço de manutenção |
|---|---|---|---|
| Pasta sincronizada na nuvem | Perda, roubo ou quebra do equipamento | Falha, porque replica o arquivo já criptografado e substitui a versão boa | Nenhum, roda sozinha |
| Versionamento do serviço de nuvem | Edição errada, exclusão acidental, arquivo corrompido | Ajuda parcialmente, com prazo de retenção, limite de espaço e restauração lenta | Baixo, exige saber usar o histórico |
| Cópia em disco externo desconectado | Criptografia maliciosa, falha de conta, apagamento remoto | Resiste, desde que a mídia esteja desligada no momento do ataque | Médio, depende de gesto manual periódico |
| Cópia offline guardada em outro endereço | Incêndio, furto, alagamento, ataque local | Resiste, e ainda cobre desastre físico do local principal | Alto, exige transporte e rodízio de mídia |
Qual combinação faz sentido para quem opera sem equipe técnica
A combinação prática soma sincronização para o dia a dia com cópia desconectada para o pior dia.
Manter a pasta de trabalho sincronizada continua valendo a pena, porque resolve quebra de equipamento e troca de máquina sem drama. O erro é parar aí. A camada que falta é a cópia periódica em mídia desligada, que só entra em cena quando tudo o mais falhou.
Para acervo que sustenta faturamento, vale acrescentar uma terceira via fora do endereço principal. O rodízio de duas mídias, uma em casa e outra em outro lugar, cobre ao mesmo tempo o ataque digital e o acidente físico.
Como montar uma rotina de cópias que resiste a um ataque?
A rotina que resiste tem três cópias, em dois tipos de mídia, com uma delas fora do alcance da máquina.
O NIC.br, braço executivo do Comitê Gestor da Internet no Brasil, divulgou orientações do CERT.br sobre como se prevenir desse código malicioso, e a recomendação central se repete em todo material sério sobre o tema, porque cópia que nunca foi restaurada é uma hipótese, não uma proteção.
A regra 3-2-1 explicada sem jargão
A regra pede três cópias dos dados, em duas mídias diferentes, com uma fora do local principal.
Na prática de uma operação pequena, isso vira:
- 3 cópias: o arquivo original na máquina de trabalho, mais duas cópias completas.
- 2 mídias: um disco externo e um serviço de armazenamento remoto, ou dois discos de fabricantes distintos.
- 1 fora: uma das cópias em outro endereço físico, ou desligada e guardada longe do computador.
A leitura correta da regra está na última linha. Ter dois espelhos automáticos do mesmo conteúdo não são duas cópias, e sim um conteúdo replicado duas vezes, o que cai junto no mesmo ataque.
Onde guardar a cópia offline e com que frequência atualizá-la
A cópia offline vive numa mídia que passa a maior parte do tempo desligada e longe da máquina.
Para quem trabalha com poucos terabytes, os HDs externos resolvem bem esse papel, porque são baratos, portáteis e fáceis de manter na gaveta entre uma cópia e outra.
Cartões e pendrives servem para conjuntos pequenos, com a ressalva de perderem dados mais rápido quando ficam parados por muito tempo.
A frequência acompanha o volume de trabalho novo.
Quem produz arquivo todo dia atualiza a cópia semanalmente, quem produz em blocos atualiza ao fim de cada projeto, e a regra que vale para todos é desplugar assim que a transferência terminar.
Guardar em outro endereço é o passo que fecha a rotina.
Deixar a segunda mídia na casa de um familiar ou em outro escritório cobre incêndio e furto, situações que o disco na gaveta ao lado do computador não resolve.
Testar a restauração: o passo que quase ninguém faz
Cópia nunca restaurada é promessa, e promessa não recupera arquivo.
O teste é simples e leva menos tempo do que parece.
Escolha alguns arquivos de projetos diferentes, restaure para uma pasta separada e abra cada um no programa de origem, conferindo se o conteúdo está íntegro e legível.
Fazer isso a cada rodada de cópia revela cedo os problemas clássicos, como transferência interrompida, arquivo corrompido e pasta que nunca entrou na seleção.
Anotar o resultado ajuda mais do que confiar na memória.
Um registro simples com a data da última cópia e do último teste bem-sucedido transforma a rotina em processo verificável, em vez de uma sensação de que está tudo certo.
Arquivos criptografados por ransomware podem ser recuperados sem pagar?
Às vezes sim, quando existe ferramenta pública para aquela família específica, e frequentemente não.
Vale ser honesto quanto ao limite dessa possibilidade, porque a expectativa de recuperação técnica costuma atrasar a decisão mais útil, que é restaurar a partir da cópia desconectada e voltar a trabalhar o quanto antes.
Quando existe ferramenta de descriptografia gratuita
Ferramentas públicas existem para famílias cujas chaves foram apreendidas ou cujo código tinha falha.
Iniciativas conjuntas de polícias e empresas de segurança publicam descriptografadores gratuitos sempre que uma operação policial captura os servidores do grupo ou que pesquisadores encontram um erro na implementação da criptografia.
O caminho seguro para procurar parte de fontes oficiais de resposta a incidentes, e nunca de um programa oferecido em fórum ou anúncio, que costuma ser outro ataque disfarçado de socorro.
Identificar a família é o pré-requisito.
O texto do aviso de resgate e a extensão adicionada aos arquivos são as pistas que permitem essa checagem, e por isso vale guardar esse material antes de formatar qualquer coisa.
Casos em que a recuperação é tecnicamente impossível
Criptografia bem implementada sem a chave do atacante não tem volta por força bruta.
Quando a família usa algoritmo forte e a chave ficou apenas com o criminoso, não existe atalho computacional viável. Nesse cenário, empresa de recuperação que promete devolver o acervo geralmente está apenas negociando o resgate em nome do cliente, com uma taxa por cima.
Guardar o disco cifrado é a única aposta razoável.
Chaves de famílias antigas às vezes se tornam públicas depois de uma operação policial, e um volume barato na gaveta preserva a chance de recuperar o acervo mais tarde sem financiar o crime agora.
Vale a pena pagar o resgate?
Pagar não devolve os arquivos de forma confiável, financia a operação criminosa e marca a vítima como pagadora.
Órgãos oficiais de resposta a incidentes orientam contra o pagamento, e a experiência prática confirma o motivo, porque a promessa do atacante é a única coisa que sustenta a transação, sem contrato, sem suporte e sem qualquer forma de cobrança posterior.
O que orientam os órgãos oficiais de segurança
A orientação padrão é não pagar, isolar o equipamento e restaurar a partir de uma cópia limpa.
Os materiais de segurança do CERT.br e do portal gov.br convergem no mesmo roteiro, que combina cópias periódicas e desconectadas, atualização dos sistemas, desconfiança diante de anexo e link inesperado e tratamento do pagamento como último recurso sem retorno assegurado.
A ênfase recai sempre na prevenção, porque a fase de resposta oferece poucas alternativas boas.
Registrar o incidente também faz parte da orientação. Além de permitir acompanhamento estatístico do problema no Brasil, o registro é o que dá base a operações policiais que eventualmente liberam chaves de descriptografia.
Por que pagar não devolve o acervo
A chave prometida pode não chegar, chegar incompleta ou falhar na restauração.
Relatos recorrentes de vítimas incluem ferramenta de descriptografia lenta demais para o volume de arquivos, chave que recupera parte do acervo e deixa o resto ilegível, e grupos que simplesmente desaparecem após o pagamento.
Não existe recurso nenhum nesse cenário, porque a contraparte é anônima e o valor foi enviado em criptomoeda.
Há ainda o efeito de segundo round.
Quem paga demonstra capacidade e disposição de pagar, e passa a figurar em listas usadas em campanhas seguintes, às vezes pelo mesmo grupo com outro nome.
A quem comunicar o incidente
Empresa que trata dado pessoal de terceiros tem obrigação legal de comunicar o incidente à autoridade e aos titulares.
A Autoridade Nacional de Proteção de Dados, a ANPD, mantém o canal de comunicação de incidente de segurança com dados pessoais para essa finalidade, e a Lei Geral de Proteção de Dados prevê aviso também aos titulares quando o episódio traz risco relevante, exigência que não desaparece só porque o backup funcionou e a operação voltou ao normal.
A sequência de avisos segue esta ordem:
- Comunicar a ANPD em até 3 dias úteis, quando o incidente envolve dados pessoais e traz risco relevante.
- Avisar os titulares afetados, descrevendo os dados envolvidos e as medidas tomadas.
- Registrar boletim de ocorrência, que sustenta as tratativas contratuais e a apuração policial.
O registro policial vale mesmo sem expectativa de recuperação. Boletim de ocorrência sustenta questões contratuais com clientes, dá suporte a conversas com seguradora e alimenta o mapa de incidentes usado por autoridades de investigação, e conforme a natureza do caso a apuração pode ficar com a Polícia Civil ou com a Polícia Federal.
Para quem atende clientes, avisar cedo protege a relação. Comunicar um vazamento antes que a informação apareça por outro caminho preserva a confiança de uma forma que nenhuma nota posterior consegue reconstruir.
Perguntas frequentes sobre ransomware
Reunimos as dúvidas mais comuns de quem enfrenta ou teme um ataque de ransomware, com respostas diretas baseadas em orientações de órgãos oficiais brasileiros de segurança.
Arquivos criptografados por ransomware podem ser recuperados?
Depende da família do ataque. Existem descriptografadores gratuitos publicados após operações policiais ou falhas no código do atacante.
Quando a criptografia foi bem implementada e a chave ficou só com o criminoso, a recuperação técnica não é viável, e a cópia desconectada vira a única saída.
O que fazer nas primeiras horas depois de um ataque de ransomware?
Desconecte a máquina da rede, remova discos externos e desligue o equipamento pelo botão físico. Não pague e não instale programas de recuperação sobre o disco afetado. Guarde o aviso de resgate, que identifica a família, e restaure a partir de uma cópia offline em outra máquina limpa.
Backup na nuvem protege contra ransomware?
Pasta sincronizada não protege, porque o serviço replica o arquivo já criptografado e substitui a versão boa. O histórico de versões ajuda quando o ataque é percebido dentro do prazo de retenção. A proteção confiável é a cópia guardada em mídia desconectada da máquina.
Como o ransomware se espalha para outros dispositivos da mesma rede?
O código procura pastas compartilhadas, unidades de rede mapeadas e discos conectados a partir da máquina infectada. Senha de administrador repetida entre equipamentos acelera o salto. Por isso o CERT.br recomenda manter os dispositivos de backup desconectados do sistema.
Preciso comunicar um ataque de ransomware a algum órgão?
Quem trata dados pessoais de terceiros precisa comunicar o incidente à ANPD e, havendo risco relevante, também aos titulares afetados. Pessoa física que perdeu apenas arquivos próprios não tem essa obrigação, mas o registro policial e o aviso ao provedor continuam recomendados.
Artigos relacionados:
