Como proteger sua empresa contra ransomware: prevenção, backup e controle de acessos

Uma empresa pode ter computadores funcionando, internet estável e antivírus instalado sem saber como continuaria operando se arquivos, sistemas ou servidores ficassem indisponíveis de uma hora para outra.

Esse é o ponto central da proteção contra ransomware: não basta tentar impedir a entrada da ameaça. É preciso reduzir as oportunidades de invasão, limitar o alcance de um eventual comprometimento e ter condições reais de recuperar a operação.

A avaliação começa com perguntas práticas: quais dados são essenciais, quem pode acessá-los, como os ambientes estão separados e quanto tempo a empresa suporta ficar parada?

O que é ransomware e por que ele pode parar uma empresa?

Ransomware é um tipo de código malicioso usado para bloquear o acesso a dados ou sistemas, normalmente por criptografia, e exigir pagamento. Em alguns incidentes, os criminosos também copiam informações antes de criptografá-las e ameaçam divulgá-las. O CERT.br explica como a ameaça funciona e como reduzir o risco.

Na prática, o impacto pode atingir pastas compartilhadas, sistemas de gestão, documentos fiscais, bancos de dados, estações de trabalho, servidores locais e serviços em nuvem. Mesmo quando parte da estrutura continua ligada, a empresa pode perder a capacidade de atender clientes, emitir documentos ou consultar informações.

O pagamento do resgate não garante a devolução dos dados nem elimina a possibilidade de novas extorsões. Por isso, a estratégia deve ser construída antes do incidente e baseada na continuidade do negócio.

Como um ataque de ransomware costuma começar?

Não existe uma única porta de entrada. A investigação deve considerar pessoas, dispositivos, serviços publicados na internet e fornecedores com acesso ao ambiente. Entre os caminhos mais comuns estão:

• mensagens de phishing que induzem o usuário a abrir um anexo, acessar um link ou informar credenciais;

• senhas reutilizadas, fracas ou já expostas em vazamentos;

• acessos remotos, como RDP ou VPN, configurados sem proteção adequada;

• sistemas, aplicações e equipamentos com vulnerabilidades conhecidas e sem atualização;

• contas administrativas com privilégios excessivos;

• estações ou fornecedores comprometidos que mantêm acesso à rede da empresa.

O guia StopRansomware da CISA reúne recomendações de prevenção e resposta e destaca a importância de proteger identidades, acessos remotos, sistemas expostos e backups.

Proteção em camadas: por que o antivírus sozinho não basta?

O antivírus ou EDR é uma camada importante, mas não controla sozinho permissões, regras de firewall, acessos remotos, segmentação, retenção de backup ou o comportamento de todos os usuários. Uma falha em uma camada não deveria dar acesso irrestrito ao restante do ambiente.

Uma estratégia consistente combina identidade e acesso, atualização dos ativos, proteção dos endpoints, controle da rede, monitoramento e recuperação testada. As medidas precisam conversar entre si e acompanhar as mudanças da empresa.

Acessos, MFA e contas administrativas

Contas válidas comprometidas podem permitir que um invasor pareça um usuário legítimo. Por isso, o controle de acesso deve ir além da troca periódica de senhas.

• remover ou bloquear rapidamente as contas de quem saiu da empresa;

• conceder apenas as permissões necessárias para cada função;

• separar a conta administrativa da conta usada para e-mail e tarefas diárias;

• habilitar autenticação multifator, principalmente em e-mail, VPN, painéis administrativos e serviços críticos;

• revisar contas de serviço, integrações, fornecedores e rotinas de backup;

• registrar quem aprovou cada acesso e estabelecer revisões periódicas.

O princípio do menor privilégio reduz o alcance de uma conta comprometida. Já a autenticação multifator cria uma barreira adicional quando a senha é roubada, embora também precise ser configurada e acompanhada corretamente.

Atualizações e proteção de endpoints

É difícil corrigir o que a empresa não sabe que possui. Um inventário básico deve relacionar servidores, computadores, sistemas, equipamentos de rede, versões, responsáveis e exposição à internet.

As atualizações precisam seguir prioridade. Ativos expostos, falhas exploradas ativamente e sistemas críticos pedem tratamento mais rápido. Quando uma aplicação antiga não pode ser atualizada imediatamente, a empresa deve adotar controles compensatórios, restringir acessos e planejar sua substituição.

Nos computadores e servidores, a proteção de endpoint deve estar ativa, atualizada e monitorada. Alertas ignorados, agentes desativados ou equipamentos que deixaram de reportar criam uma falsa sensação de segurança.

Firewall, VPN e segmentação de rede

O firewall e a VPN corporativa ajudam a controlar conexões e acessos remotos. A segmentação separa grupos de dispositivos e servidores para limitar os caminhos disponíveis dentro da rede.

Em uma rede totalmente plana, o comprometimento de uma estação pode facilitar tentativas de acesso a servidores, compartilhamentos e equipamentos que não deveriam estar ao alcance daquele usuário. Separar ambientes administrativos, usuários, visitantes, servidores e backups reduz essa exposição.

A segmentação não é apenas criar redes diferentes. As regras entre elas precisam permitir somente as comunicações necessárias, ser documentadas e revisadas quando aplicações ou fornecedores mudarem.

Backup resistente a ransomware: o que realmente importa?

Backup não é apenas uma tarefa marcada como concluída. Uma estratégia de backup empresarial precisa responder o que será recuperado, de qual ponto no tempo, em quanto tempo e por quem.

A revisão deve conferir:

• quais servidores, bancos de dados, arquivos e configurações estão incluídos;

• se existem cópias separadas do ambiente de produção, offline ou com proteção contra alteração e exclusão;

• quem pode administrar, apagar ou reduzir a retenção dos backups;

• se as credenciais do backup são diferentes das usadas no ambiente comum;

• por quanto tempo versões anteriores são mantidas;

• quando ocorreu o último teste de restauração e se o sistema restaurado funcionou;

• se o tempo de recuperação atende à necessidade da operação.

Uma cópia em nuvem pode fazer parte da solução, mas estar na nuvem, por si só, não garante proteção. É preciso avaliar versionamento, retenção, permissões, imutabilidade, autenticação e possibilidade de restauração.

RPO e RTO em linguagem simples

O RPO ajuda a definir quanto de informação recente a empresa admite perder. Se o limite for quatro horas, a estratégia precisa oferecer pontos de recuperação compatíveis com esse intervalo.

O RTO representa o objetivo de tempo para restabelecer um serviço. Recuperar uma cópia em 30 minutos não significa que toda a aplicação voltará nesse prazo: ainda podem existir validações, dependências e configurações a reconstruir.

Esses objetivos devem ser definidos com as áreas do negócio. A TI pode medir o processo, mas quem usa o sistema sabe o impacto de horas ou dias de indisponibilidade.

Monitoramento: quais sinais merecem atenção?

O monitoramento de TI ajuda a perceber comportamentos que precisam de investigação antes que o impacto aumente.

• tentativas repetidas de login ou acessos em horários e locais incomuns;

• criação de contas, elevação de privilégios ou alteração de políticas;

• grande volume de arquivos renomeados, alterados ou excluídos;

• desativação de ferramentas de segurança ou perda de comunicação com agentes;

• falhas de backup, redução inesperada da retenção ou exclusão de cópias;

• novas conexões entre redes e servidores que normalmente não se comunicam.

Alertas precisam ter responsáveis, critérios e um fluxo de escalonamento. Acumular notificações sem análise não reduz o risco.

Um cenário prático: como as camadas reduzem o impacto

Imagine que a senha de um colaborador seja obtida em uma página falsa. Sem MFA, o criminoso pode acessar o e-mail ou um serviço remoto. Se essa conta também tiver privilégios amplos e a rede for plana, a tentativa de alcançar compartilhamentos e servidores encontra menos barreiras.

Em um ambiente organizado, o MFA dificulta o uso da senha roubada, o menor privilégio limita os recursos disponíveis, a segmentação restringe a circulação, a proteção de endpoint pode detectar comportamentos suspeitos e o monitoramento acelera a resposta. Se ainda houver impacto, backups isolados e testados tornam a recuperação mais previsível.

Nenhuma camada oferece garantia absoluta. O objetivo é diminuir a probabilidade, conter a propagação e reduzir o tempo de paralisação.

O que fazer se já houver suspeita de ataque?

Um incidente em andamento exige avaliação específica. O CERT.br orienta sobre as primeiras ações de resposta, incluindo isolar sistemas comprometidos e proteger os dados críticos, especialmente os backups.

• acione imediatamente o responsável técnico e informe os sintomas observados;

• isole os equipamentos afetados da rede quando isso puder ser feito com segurança;

• proteja backups e credenciais administrativas contra novos acessos;

• preserve registros e evidências que possam ajudar na investigação;

• evite apagar, formatar ou reinstalar sistemas antes de avaliar o impacto;

• documente decisões, horários, equipamentos e contas envolvidas.

A resposta deve considerar o ambiente real. Desligar indiscriminadamente equipamentos ou iniciar restaurações sem entender o alcance pode eliminar evidências ou contaminar cópias que ainda estavam protegidas.

Checklist para começar a revisão

• A empresa sabe quais sistemas e dados são essenciais para funcionar?

• Existe inventário de equipamentos, versões, responsáveis e serviços expostos?

• Contas inativas e privilégios administrativos são revisados?

• MFA está ativo no e-mail, na VPN e nos painéis críticos?

• Atualizações e alertas de endpoint são acompanhados?

• A rede separa usuários, servidores, visitantes e infraestrutura de backup?

• Os backups possuem cópias protegidas contra alteração ou exclusão?

• A restauração já foi testada do início ao fim?

• RPO e RTO foram definidos para os serviços mais importantes?

• A equipe sabe quem acionar e o que fazer diante de uma suspeita?

Respostas desconhecidas não significam necessariamente que tudo está errado. Elas mostram onde a avaliação deve começar e quais decisões precisam de responsáveis.

Dúvidas frequentes sobre proteção contra ransomware

Antivírus impede ransomware?

Ele reduz parte do risco e pode bloquear ou detectar comportamentos maliciosos, mas não substitui MFA, gestão de privilégios, atualizações, segmentação, monitoramento e backup.

Backup na nuvem é suficiente?

Depende da configuração. A cópia precisa incluir os dados corretos, manter versões adequadas, ter acessos separados e permitir uma restauração testada dentro do prazo necessário.

Empresa pequena também precisa desse planejamento?

Sim. O desenho deve ser proporcional ao tamanho, à exposição e à criticidade da operação. Uma estrutura menor pode adotar controles simples, desde que sejam consistentes e verificados.

Pagar o resgate garante a recuperação?

Não. Não existe garantia de que a chave funcionará, de que todos os dados voltarão ou de que informações copiadas serão eliminadas. A empresa deve buscar apoio técnico e orientação jurídica adequada ao incidente.

Como a Install Technology pode ajudar?

A Install Technology avalia o ambiente e organiza medidas de prevenção e recuperação conforme a realidade da empresa. O trabalho pode envolver revisão de acessos, proteção de endpoints, firewall, VPN, segmentação, monitoramento, backup e testes de restauração.

A proposta não é aplicar uma lista genérica de ferramentas, mas identificar os ativos críticos, as dependências da operação e as prioridades técnicas. A partir disso, é possível construir um plano por etapas, com responsabilidades e critérios de validação.

Sua empresa sabe quais sistemas conseguiria recuperar e quanto tempo levaria para voltar a operar?

Converse com a Install Technology para avaliar os controles atuais e definir os próximos passos para reduzir o risco de ransomware.