Ransomware: o que fazer nas primeiras 24 horas num pequeno negócio

Ransomware é o ataque em que os seus arquivos são trancados e o criminoso cobra resgate pra devolver. Já falamos aqui de como se prevenir, com a regra de backup 3-2-1-1-0. Este post trata do momento seguinte: o aviso de resgate apareceu na tela. O que você faz nas primeiras horas pesa muito na chance de recuperar tudo, e boa parte dos erros acontece por pânico.

Nos primeiros 15 minutos

• Isole o computador da rede. Tire o cabo de rede e desligue o Wi-Fi e o Bluetooth. A ideia é impedir que o ataque se espalhe pra outros aparelhos e pro backup.
• Anote o que está acontecendo: a hora em que você percebeu, quem notou e o que apareceu na tela. Tire foto do aviso de resgate.
• Proteja o que ainda não foi atingido: desconecte HDs externos, pastas compartilhadas e a nuvem, se possível, e não ligue o backup em máquinas suspeitas.
• Chame suporte técnico o quanto antes. Se você não tem equipe de TI, procure um profissional de confiança agora.

E se não der pra desconectar? Desligar à força?

A regra é preferir desconectar da rede. Mas o guia #StopRansomware da CISA, a agência de segurança cibernética dos EUA, diz que, se não for possível desconectar o aparelho, a alternativa é desligá-lo pra limitar a propagação, e só quando não dá pra derrubar a rede temporariamente. Há um custo: desligar apaga dados que estavam só na memória e podem servir de evidência. Por isso, no pequeno negócio, o caminho é desconectar primeiro e deixar o desligamento como último recurso.

Da primeira hora até o fim do dia

• Troque as senhas de e-mail, banco e serviços do negócio, a partir de outro aparelho que não esteja infectado, e encerre sessões abertas.
• Descubra como o ataque entrou. Anexo de e-mail, acesso remoto aberto ou programa desatualizado costumam ser as portas. Enquanto a entrada não for fechada, restaurar não adianta.
• Avalie o backup antes de usá-lo: ele foi atingido? Existe uma cópia fora da rede ou imutável? Qual é o último ponto limpo?
• Pense na LGPD. Se dados pessoais de clientes foram afetados e há risco ou dano relevante pra eles, a comunicação à ANPD e aos titulares deve ser feita em 3 dias úteis, segundo a Resolução CD/ANPD nº 15/2024. Dá pra enviar uma comunicação preliminar e completar em até 20 dias úteis. Não presuma prazo diferente pro seu caso sem conferir o texto da resolução. Mais no post sobre LGPD pra autônomo e MEI.

Restaurar só depois de limpar

A recuperação segue uma ordem: identificar o tipo de ataque, remover o invasor, fechar a porta de entrada e só então restaurar os dados, começando pelo que o negócio mais precisa. Quem restaura cedo demais costuma perder o trabalho de novo.

Pagar o resgate resolve?

O CERT.br avisa na Cartilha de Segurança que o pagamento do resgate não garante que você vai conseguir acessar os dados de novo, e o projeto No More Ransom, apoiado pela Europol, traz como conselho principal não pagar. Antes de qualquer decisão, vale checar o No More Ransom: ele reúne ferramentas gratuitas de decifragem pra certos tipos de ransomware. Nem todo tipo tem solução, então a recuperação nunca é garantida, e é por isso que o backup fora da rede continua sendo a melhor defesa.