Ransomware em pequena empresa: o que fazer antes, durante e depois do ataque
O CERT.br reuniu em um documento as práticas mínimas de proteção, detecção e resposta. A lógica é defesa em camadas, porque nenhuma medida isolada segura um ataque.
Ransomware deixou de ser problema de empresa grande. O ataque que criptografa arquivos e cobra resgate atinge escritório de contabilidade, clínica, loja e prestador de serviço, justamente porque esse perfil costuma ter dado crítico e pouca camada de defesa.
O CERT.br, centro nacional de resposta a incidentes, mantém um material com as práticas mínimas para proteção, detecção e resposta. A lógica central é defesa em camadas: medidas que se complementam, porque nenhuma isolada segura o ataque.
Antes: reduzir a superfície
A proteção parte de quatro frentes que atacam os caminhos mais usados pelos criminosos:
Backup que sobrevive ao ataque. Cópia que fica conectada à rede é criptografada junto. O backup precisa ter uma via desconectada ou imutável, e precisa ser testado com restauração de verdade, não apenas verificado no painel.
Atualização em dia. Boa parte das invasões usa falha conhecida e já corrigida pelo fabricante. Sistema operacional, servidor de arquivos, VPN e firewall entram nessa conta.
Acesso remoto controlado. Área de trabalho remota exposta na internet com senha fraca segue sendo porta de entrada frequente. Restringir origem, exigir segundo fator e desligar o que não é usado resolve uma parte grande do risco.
Privilégio mínimo. Usuário comum não precisa de conta de administrador. Quando o atacante alcança uma máquina, o estrago depende do que aquela conta pode fazer.
Durante: perceber cedo
Ataque de ransomware não começa com a tela de resgate. Há uma etapa anterior, de dias ou semanas, em que o invasor circula pela rede, mapeia servidores e localiza o backup.
Sinais que merecem apuração imediata:
- criação de conta de administrador que ninguém reconhece
- ferramenta de acesso remoto instalada sem pedido da equipe
- desativação inesperada do antivírus ou de log de segurança
- pico de tráfego de saída fora do horário comercial
- tentativa de apagar cópia de sombra e ponto de restauração
Quanto antes essa fase é percebida, menor o alcance do ataque.
Depois: a ordem importa
O documento do CERT.br descreve os passos mínimos de resposta, e a sequência não é aleatória:
- Conter, isolando as máquinas afetadas da rede para impedir a propagação
- Eliminar a presença do atacante, porque restaurar com o invasor ainda dentro apenas repete o ciclo
- Erradicar a causa raiz, corrigindo a falha que permitiu a entrada
- Restaurar o ambiente a partir do backup verificado
- Retornar à operação, com monitoramento reforçado nas semanas seguintes
Restaurar antes de expulsar o invasor é o erro mais caro dessa lista.
Sobre pagar o resgate
Pagamento não garante a chave, não garante que os dados não vazem e financia a operação criminosa. Também não encerra a obrigação da empresa: havendo dado pessoal envolvido, o incidente entra no escopo da Lei Geral de Proteção de Dados, com dever de comunicação à autoridade nacional e aos titulares afetados quando houver risco relevante.
A decisão prática se resolve antes do ataque, no backup que funciona. Análises técnicas de casos recentes e de grupos em atividade no país podem ser acompanhadas no blog de segurança do Andrey Escariao.
O material completo do CERT.br, atualizado em outubro de 2025, traz folhetos, infográficos e slides que podem ser usados em treinamento interno.
Fonte: CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil
