Uma ameaça que continua se reinventando

O FBI define ransomware↗ como um malware que impede o acesso a arquivos, sistemas ou redes e exige pagamento para devolvê-lo. Hoje, porém, muitos grupos combinam criptografia com roubo de dados. É a chamada dupla extorsão: mesmo que a empresa consiga restaurar seus sistemas, os criminosos ameaçam publicar ou vender as informações copiadas. Em alguns ataques, eles abandonam completamente a criptografia e usam apenas o vazamento como instrumento de pressão.

Os números mostram a velocidade dessa transformação. Segundo o Internet Crime Report 2025 do FBI↗, o IC3 recebeu mais de 3.600 denúncias de ransomware em 2025, com perdas declaradas superiores a US$ 32 milhões. O relatório identificou 63 novas variantes no ano, média de 5,25 por mês. Manufatura crítica, saúde e instalações governamentais estiveram entre os setores mais afetados.

Essa escala é favorecida pelo ransomware como serviço, ou RaaS. Desenvolvedores fornecem a plataforma, afiliados invadem as vítimas e diferentes participantes dividem o lucro. Programas de recompensa anunciados pelo Departamento de Estado dos Estados Unidos↗ contra operações como a LockBit demonstram que o ransomware passou a ser tratado como crime organizado transnacional, e não como ação isolada de um hacker.

A invasão costuma entrar por uma porta conhecida

Os criminosos não precisam, necessariamente, criar uma técnica inédita. Eles exploram falhas previsíveis: vulnerabilidades sem correção, credenciais roubadas, phishing, serviços de acesso remoto expostos, VPNs desatualizadas, contas privilegiadas sem proteção adequada e fornecedores com acesso à rede.

O alerta AA22-040A da CISA↗ já apontava a evolução das táticas e a expansão global da ameaça. Guias mais recentes acrescentam um ponto importante: a engenharia social tornou-se mais convincente. O atacante pode se passar por funcionário diante do suporte, pedir a redefinição de senha, induzir a troca do dispositivo de autenticação ou convencer alguém a instalar uma ferramenta legítima de acesso remoto.

Isso explica por que apenas “ter MFA” não basta. A autenticação deve ser resistente a phishing, aplicada especialmente a e-mail, VPN, administradores e sistemas críticos. O processo de recuperação de contas também precisa verificar rigorosamente a identidade. Caso contrário, o criminoso contorna a proteção explorando pessoas e procedimentos, sem atacar diretamente a tecnologia.

Backup é a última linha de defesa, mas precisa sobreviver

Uma cópia de segurança conectada ao mesmo ambiente e acessível pelas mesmas credenciais pode ser destruída junto com a produção. O guia conjunto StopRansomware↗, produzido por CISA, NSA, FBI e MS-ISAC, recomenda backups offline, criptografados e regularmente testados. O relatório de 2025 do FBI também destaca a imutabilidade, que impede alteração ou exclusão dos dados durante o período definido.

Na prática, uma estratégia resiliente deve separar credenciais administrativas, restringir o acesso ao console de backup, usar MFA, proteger o repositório contra exclusão e manter cópias fora do alcance do domínio comprometido. Também deve cobrir toda a infraestrutura necessária, incluindo servidores, estações críticas, máquinas virtuais, aplicações, identidades, configurações e dados em nuvem.

Mas backup sem teste é apenas uma promessa. A empresa precisa executar restaurações periódicas, validar a integridade das cópias e medir quanto tempo leva para recuperar serviços prioritários. Imagens confiáveis dos sistemas, documentação atualizada e uma ordem clara de recuperação reduzem improvisos. O objetivo não é simplesmente recuperar arquivos; é retomar a operação em ambiente limpo, dentro de um prazo aceitável.

A prevenção funciona melhor em camadas

Não existe uma ferramenta única capaz de eliminar o risco. A defesa combina inventário de ativos, correção rápida de vulnerabilidades exploradas, redução da superfície exposta, MFA resistente a phishing, menor privilégio, segmentação de rede, proteção de endpoints, filtragem de e-mail e monitoramento centralizado.

Logs de endpoints, servidores, rede, identidades e nuvem precisam ser preservados e correlacionados. Sem visibilidade, atividades como criação de contas administrativas, desativação de cópias de sombra, uso anormal de PowerShell, instalação inesperada de software remoto ou grandes transferências de dados podem passar despercebidas. EDR e análise comportamental ajudam a detectar a preparação do ataque antes da criptografia.

Treinamento também precisa sair do formato anual e genérico. Colaboradores, suporte técnico e equipes terceirizadas devem praticar cenários de phishing, ligações falsas, redefinição de credenciais e solicitações urgentes vindas de supostos executivos. Uma cultura segura não culpa quem reporta uma suspeita; recompensa a interrupção rápida de uma fraude.

Quando o ataque acontece, velocidade e método importam

O primeiro passo é seguir um plano previamente aprovado. O guia StopRansomware orienta identificar os sistemas afetados e isolá-los imediatamente. Se vários segmentos estiverem comprometidos, pode ser necessário interromper conexões no nível da rede. Desligar equipamentos deve ser a alternativa quando não for possível desconectá-los, porque a energia cortada pode eliminar evidências presentes na memória.

1. 01

   Conter

   Isolar sistemas e interromper a propagação.

2. 02

   Preservar

   Guardar logs, memória e evidências forenses.

3. 03

   Erradicar

   Remover persistência, malware e credenciais roubadas.

4. 04

   Recuperar

   Restaurar prioridades em uma rede comprovadamente limpa.

Em seguida, a equipe deve preservar registros, capturar evidências, verificar sinais de comprometimento anterior e priorizar a recuperação conforme o impacto no negócio. Restaurar cedo demais, sem remover persistência, credenciais roubadas ou malware precursor, pode reinfectar o ambiente. Comunicações sensíveis devem usar canais alternativos, pois invasores podem acompanhar e-mails, chats ou reuniões da organização comprometida.

O incidente também exige coordenação com direção, jurídico, privacidade, seguradora, especialistas forenses, fornecedores e autoridades competentes. No Brasil, devem ser avaliadas as obrigações legais, regulatórias e contratuais de comunicação, especialmente quando houver possível exposição de dados pessoais.

Pagar o resgate resolve?

O FBI não recomenda o pagamento. Não há garantia de que a chave funcione, de que todos os dados sejam recuperados ou de que as informações roubadas não sejam divulgadas. O dinheiro ainda financia novas operações criminosas e pode envolver riscos de sanções. A decisão nunca deve ser improvisada por uma única pessoa: exige avaliação jurídica, técnica, financeira e institucional, com participação das autoridades quando aplicável.

A melhor negociação é construída antes do ataque, por meio de resiliência. Quando a organização conhece seus ativos, fecha portas de entrada, detecta comportamentos suspeitos, protege cópias imutáveis e ensaia a recuperação, o criminoso perde poder de pressão.

Ransomware continuará mudando de nome, código e abordagem. A resposta sustentável não é tentar adivinhar a próxima variante, mas tornar a empresa difícil de invadir, rápida para detectar e preparada para recuperar. Essa preparação também preserva confiança, reduz o tempo de indisponibilidade e transforma continuidade operacional em uma competência comprovada, não presumida. A pergunta decisiva deixou de ser “temos backup?”. Agora é: “conseguimos reconstruir o negócio com segurança quando tudo estiver sob pressão?”