Ransomware é um tipo de programa malicioso que sequestra os dados da empresa: ele criptografa arquivos e sistemas e cobra um resgate, quase sempre em criptomoeda, para devolver o acesso. Nos ataques atuais, os criminosos também copiam os dados antes e ameaçam publicá-los, o que soma um vazamento ao sequestro.
Pontos-chave
- O ataque entra principalmente por falhas não corrigidas, senhas vazadas e e-mails maliciosos.
- Um anexo aberto por um funcionário pode ser o primeiro passo de uma invasão que só aparece dias depois.
- Pagar o resgate não garante a devolução dos dados nem impede que eles sejam publicados.
- A defesa que funciona é feita em camadas: filtro de e-mail, segundo fator de login, atualização, backup isolado e treinamento.
Neste artigo
- O que é ransomware
- Como funciona um ataque de ransomware
- Como o ransomware entra pelo e-mail
- Exemplos de ransomware que marcaram época
- Como se proteger de ransomware
- O que fazer se a empresa for atacada
- Perguntas frequentes
O que é ransomware
O nome junta ransom, resgate em inglês, com software. O primeiro caso conhecido é de 1989: o AIDS Trojan, distribuído em disquetes, escondia os arquivos do computador e pedia US$ 189 enviados a uma caixa postal no Panamá.
O modelo ganhou escala com as criptomoedas, que facilitaram o pagamento anônimo, e com o ransomware como serviço. Nele, um grupo desenvolve o programa e aluga para afiliados, que fazem a invasão e dividem o resgate com os autores.
Hoje, a maior parte dos ataques segue a dupla extorsão:
- Criptografia: arquivos, servidores e backups ao alcance do invasor ficam inutilizáveis.
- Vazamento: os dados copiados vão para um site do grupo se o resgate não for pago.
Para uma empresa brasileira, a segunda parte pesa tanto quanto a primeira. Pela LGPD, o incidente que possa causar risco ou dano relevante aos titulares precisa ser comunicado à ANPD, e a Resolução CD/ANPD nº 15/2024 dá prazo de três dias úteis.
Como funciona um ataque de ransomware
O ataque raramente começa e termina no mesmo dia. O caminho típico tem cinco etapas:
- Entrada. Um e-mail com anexo ou link, uma senha vazada de acesso remoto ou uma falha não corrigida em um servidor exposto.
- Instalação. O primeiro programa se instala em silêncio e abre uma porta para os invasores.
- Movimentação. Os criminosos procuram contas de administrador, mapeiam a rede e localizam os backups.
- Cópia. Os dados de maior valor saem da empresa: financeiro, clientes, contratos e RH.
- Criptografia. Só no fim o ransomware é disparado, muitas vezes de madrugada ou no fim de semana, junto com a nota de resgate.
Entre a entrada e a criptografia podem passar dias. É nesse intervalo que alertas de login suspeito, envio anormal de e-mails e acesso fora do horário fazem diferença.
Como o ransomware entra pelo e-mail
Segundo o relatório State of Ransomware 2024, da Sophos, o e-mail malicioso foi a porta de entrada de 23% dos ataques. Na frente dele ficaram as vulnerabilidades exploradas (32%) e as credenciais comprometidas (29%), e boa parte dessas credenciais é roubada justamente por phishing.
Os formatos mais comuns na caixa de entrada:
- Anexo com macro. Planilha ou documento do Office que pede para "ativar conteúdo".
- Arquivo compactado. ZIP ou RAR, às vezes com a senha no corpo do e-mail, para escapar do antivírus.
- Imagem de disco e atalho. Arquivos .iso, .img e .lnk, que ganharam espaço depois que a Microsoft passou a bloquear, em 2022, macros de arquivos baixados da internet.
- Link para documento compartilhado. A página imita um serviço de arquivos e baixa o instalador.
- Assunto de rotina. Boleto, nota fiscal, rastreio de entrega e cobrança, que não levantam suspeita no dia a dia de uma empresa.
O e-mail também vira arma depois da invasão. Com acesso à caixa de um funcionário, o criminoso manda o ataque para clientes e fornecedores a partir de um endereço verdadeiro, e a mensagem passa por legítima.
Exemplos de ransomware que marcaram época
- WannaCry (2017): explorou uma falha do Windows e se espalhou sozinho de máquina em máquina. Atingiu mais de 200 mil computadores em 150 países, entre eles hospitais do sistema de saúde britânico.
- NotPetya (2017): se apresentava como ransomware, mas apagava os dados sem chance de recuperação. Causou prejuízos bilionários a empresas como Maersk e Merck.
- REvil (2021): grupo de ransomware como serviço responsável pelo ataque à JBS, que pagou US$ 11 milhões, e ao fornecedor de software Kaseya.
- Lojas Renner (2021): o ataque tirou do ar o site e parte dos sistemas da varejista, em um dos casos de maior repercussão no Brasil.
Os casos famosos envolvem grandes empresas, mas os ataques automatizados não escolhem pelo tamanho. Empresas menores costumam ter menos camadas de defesa e backups menos testados.
Como se proteger de ransomware
Nenhuma ferramenta resolve sozinha. A proteção que funciona soma camadas, e cada uma cobre uma etapa do ataque:
- Filtro de e-mail com antivírus. O Antispam da Meile analisa anexos e links com o motor Kaspersky antes que a mensagem chegue à caixa de entrada.
- Bloqueio de anexos de risco. Executáveis, scripts e imagens de disco quase nunca têm uso legítimo no e-mail. Bloqueie esses formatos ou desvie para análise.
- Autenticação de dois fatores. Uma senha vazada sem o segundo fator não abre o e-mail, a VPN nem o acesso remoto.
- Atualização em dia. Sistema operacional, VPN, firewall e servidores expostos à internet, com prioridade para falhas que já estão sendo exploradas.
- Menos privilégio. Usuário comum sem acesso de administrador e contas administrativas separadas das de uso diário.
- Backup na regra 3-2-1. Três cópias, em dois tipos de mídia, com uma fora do ambiente e protegida contra alteração. Teste a restauração com frequência.
- Treinamento contínuo. Simulações de phishing mostram quem clica e ensinam a equipe a reportar antes que o problema se espalhe.
Para a camada de backup, o guia de backup e versionamento da Meile detalha o que copiar, com que frequência e como testar.
Também vale manter versões e cópias fora do alcance do invasor. No e-mail, o arquivamento guarda uma cópia das mensagens que continua intacta se a caixa postal for criptografada. Nos arquivos, o versionamento da nuvem corporativa permite voltar à versão anterior ao ataque.
Para o treinamento, o Phishing Educativo da Meile simula golpes brasileiros, como boleto, PIX e nota fiscal, e mostra a orientação logo depois do clique.
O que fazer se a empresa for atacada
As primeiras horas definem o tamanho do estrago. A ordem recomendada:
- Isole. Desconecte da rede as máquinas afetadas, sem desligá-las, para preservar evidências.
- Acione quem responde. TI, segurança, jurídico e diretoria, com um canal de comunicação fora do ambiente atacado.
- Troque as credenciais. Comece pelas contas de administrador, e-mail e acesso remoto, a partir de um dispositivo limpo.
- Avalie os backups. Confirme que as cópias estão íntegras antes de restaurar qualquer coisa.
- Registre e comunique. Boletim de ocorrência, comunicação à ANPD quando houver dados pessoais envolvidos e aviso aos clientes afetados.
- Procure decifradores gratuitos. O projeto No More Ransom, mantido pela Europol, por polícias e por empresas de segurança, reúne ferramentas para dezenas de famílias de ransomware.
Sobre o resgate: pagar não garante uma chave que funcione, não apaga a cópia dos dados que ficou com os criminosos e financia o próximo ataque. A recomendação das autoridades é não pagar.
O e-mail é uma das portas mais usadas pelo ransomware e uma das mais fáceis de reforçar. O Antispam da Meile filtra as mensagens em sete camadas, com Kaspersky integrado e detecção de phishing, antes que elas cheguem ao usuário.
Para fechar as outras portas, o Meile Mail tem 2FA, bloqueio de tipos de anexo e arquivamento das mensagens. Fale com a nossa equipe para revisar a proteção do e-mail da sua empresa.
