Ransomware: como preparar a empresa para um ataque

Os arquivos deixam de abrir e uma mensagem exige pagamento para liberá-los. Diante de um ransomware, a empresa precisa conter o ataque, entender os dados atingidos e decidir como manter o atendimento. A preparação começa antes dessa tela: com responsáveis definidos e conhecimento dos sistemas que sustentam o negócio. Neste artigo, você verá como organizar essas decisões e avaliar os cuidados com dados pessoais.

O que é ransomware e como funciona a extorsão

Ransomware é um programa malicioso usado para bloquear dados ou sistemas e exigir resgate. O ataque também pode envolver o roubo de informações, com ameaça de divulgação. Assim, recuperar o acesso aos arquivos não encerra necessariamente o problema. É preciso investigar se alguém copiou dados de clientes, empregados ou parceiros.

A orientação do CISC sobre extorsão digital descreve entradas por senhas comprometidas, falhas de software e manipulação de pessoas. Depois, o invasor pode ampliar suas permissões e alcançar outros sistemas. O bloqueio visível pode aparecer quando o ataque já avançou. Por isso, a preparação deve olhar além do computador que exibiu o pedido de pagamento.

Comece pelos dados que sustentam a operação

Para preparar a empresa contra ransomware, descubra quais processos dependem dos dados que ela guarda. A metodologia da TOGETHER começa pelo data mapping, o mapeamento de onde os dados entram, circulam e ficam armazenados. Esse levantamento ajuda a escolher prioridades de proteção e recuperação. Em um ataque em andamento, a contenção urgente ocorre sem esperar o mapa ficar completo.

Pense no atendimento de uma distribuidora: a equipe consulta pedidos, endereços e contatos para liberar entregas. Se esse sistema parar, o gestor precisa saber onde buscar registros confiáveis e quem autoriza uma operação temporária. Se a base for copiada, surge também o risco de uso indevido dos contatos. O mesmo processo exige decisões sobre continuidade e sobre proteção das pessoas.

Na preparação, registre o responsável por cada sistema e o fornecedor que consegue prestar suporte. Relacione os dados usados e as outras ferramentas das quais o serviço depende. Confirme também onde ficam as cópias de segurança e quem pode restaurá-las. Esse mapa permite discutir proteção com base no trabalho real da empresa.

Ransomware: reduza as oportunidades de entrada e avanço

Com os processos identificados, priorize as portas de entrada e os acessos mais amplos. O guia de proteção do CERT.br recomenda medidas que se complementam. Entre elas estão corrigir falhas de sistemas, limitar permissões e adotar autenticação multifator, que exige uma confirmação adicional além da senha. A separação da rede em áreas controladas também ajuda a limitar o avanço do invasor.

Na prática, peça à TI que confira contas antigas, acessos de fornecedores e permissões de administrador, capazes de alterar configurações importantes. Para cada exceção, registre quem autorizou e quando será revista. Oriente os funcionários sobre como reconhecer pedidos suspeitos e avisar a equipe responsável. Na distribuidora do exemplo, isso inclui conferir uma solicitação de suporte antes de liberar acesso ao sistema de pedidos.

As cópias de segurança precisam de proteção própria e testes de restauração. Uma cópia acessível pelas mesmas contas comprometidas também pode ser atingida. Peça uma demonstração de recuperação do processo escolhido, com seus arquivos e dependências. O resultado do teste deve orientar o que ainda falta corrigir antes de uma emergência.

Quem decide quando o ransomware é detectado?

Na suspeita de ransomware, acione os responsáveis e a equipe técnica para conter o avanço. O guia de resposta do CERT.br orienta proteger os sistemas ainda preservados e isolar os comprometidos. Esse trabalho precisa considerar a operação e a preservação de evidências. A empresa deve definir previamente quem pode autorizar bloqueios e quem assume na ausência dessa pessoa.

A tabela abaixo é uma proposta prática para distribuir decisões. Ela deve ser ajustada ao tamanho da empresa e aos contratos de suporte existentes. Nomeie pessoas e substitutos, em vez de deixar apenas o nome do departamento. Guarde os contatos também em um meio disponível quando os sistemas internos estiverem fora do ar.

Decisão	Responsável sugerido	Registro esperado
Isolar sistemas e bloquear acessos	TI ou segurança, com autoridade definida	Horário, alcance e motivo da ação
Suspender parte da operação	Direção e gestor do processo	Serviço afetado e alternativa autorizada
Avaliar efeitos sobre pessoas	Privacidade e jurídico, com apoio técnico	Dados atingidos e avaliação de risco
Informar clientes e equipes	Comunicação e atendimento	Mensagem validada e canal de contato

Para a distribuidora, o plano pode prever a suspensão temporária da liberação de entregas até conferir os registros disponíveis. O atendimento precisa receber essa decisão antes de prometer prazos aos clientes. Quem coordena a resposta deve reunir as atualizações em um registro único. Assim, as áreas trabalham com a mesma informação enquanto a investigação avança.

Preserve evidências e descubra o alcance

Depois da contenção inicial, investigue quais dados e contas foram atingidos pelo ransomware. Os registros de atividade dos sistemas, chamados logs, ajudam a reconstruir acessos e alterações. O guia de detecção do CERT.br recomenda protegê-los contra remoção ou mudança indevida. Alertas de segurança e movimentações incomuns de dados também ajudam a orientar a análise.

Peça à equipe especializada que preserve o material necessário antes de apagar ou reinstalar equipamentos. Organize uma linha do tempo com o primeiro alerta, as ações executadas e as descobertas posteriores. Separe fatos confirmados de questões ainda abertas. Uma tela de cobrança comprova a exigência recebida, mas não informa sozinha quais bases foram copiadas.

Use o mapa de dados para fazer perguntas específicas ao fornecedor e à equipe técnica. Quais informações estavam no sistema de pedidos? Há indícios de acesso aos cadastros de empregados? A conta comprometida alcançava arquivos de outras áreas? Essas respostas orientam tanto a recuperação quanto a avaliação do risco para as pessoas.

Quando comunicar o incidente à ANPD e às pessoas?

A avaliação de ransomware deve considerar também a perda de acesso aos dados. A ANPD explica que incidentes podem comprometer a disponibilidade das informações, mesmo sem divulgação comprovada. A comunicação é obrigatória quando o incidente confirmado envolve dados pessoais sujeitos à LGPD e pode causar risco ou dano relevante às pessoas. Cabe ao controlador, quem decide como esses dados são usados, avaliar e cumprir essa obrigação.

Pela Resolução CD/ANPD nº 15/2024, a regra geral é comunicar à ANPD e às pessoas afetadas em três dias úteis. A contagem começa quando o controlador sabe que o incidente afetou dados pessoais. Organizações pequenas que atendem aos critérios da ANPD para receber esse benefício têm prazo em dobro. Para comunicar à ANPD, prevalece o prazo específico previsto em outra lei, quando houver. Confirme o enquadramento e registre a data de conhecimento desde o início.

A investigação pode continuar depois da comunicação inicial. A empresa pode enviar as informações que faltam à ANPD em até vinte dias úteis após a primeira comunicação. É preciso justificar a complementação. Esse prazo também é dobrado para as organizações pequenas que atendem aos critérios citados. A mensagem às pessoas precisa explicar o ocorrido em linguagem simples, os riscos e as medidas adotadas. Na distribuidora, o atendimento deve saber encaminhar dúvidas sobre os dados, além de responder sobre atrasos nas entregas.

Retome a operação com critérios definidos

Para encerrar a resposta ao ransomware, a equipe precisa corrigir a entrada explorada e verificar o ambiente antes da reconexão. Restaurar uma cópia sem eliminar acessos do invasor pode permitir novos ataques. O CERT.br também alerta que pagar o resgate não garante a recuperação total nem a confidencialidade dos dados. A decisão sobre a exigência recebida deve envolver direção e assessoria jurídica, sem promessa de solução.

Defina com o gestor do processo o que precisa funcionar para autorizar a retomada. No exemplo da distribuidora, confira se pedidos e endereços estão íntegros e se as permissões foram revistas. Registre quem validou o retorno e quais limitações permanecem. Mantenha acompanhamento reforçado para identificar novos sinais de atividade indevida.

Como a TOGETHER apoia a preparação

A preparação para ransomware exige que a direção entenda o que está protegendo e quem assume cada decisão. A consultoria em LGPD da TOGETHER parte do mapeamento de dados para organizar riscos, prioridades e responsabilidades. O DPO as a Service é o serviço de responsável externo pela proteção de dados. Ele oferece apoio contínuo às decisões de privacidade, incluindo avaliação de incidentes e comunicação com pessoas afetadas. A investigação e a recuperação técnica devem ser coordenadas com a equipe de segurança responsável.

Com os papéis definidos, um simulado de incidente LGPD ajuda a conferir se o plano funciona. A empresa pode testar contatos e decisões usando um cenário controlado. As dificuldades encontradas viram tarefas com responsáveis e prazo. Esse exercício prepara as equipes para agir com informações ainda incompletas.

Conclusão

Preparar a empresa para ransomware começa por conhecer os dados e os processos que precisam continuar funcionando. Escolha um serviço importante, identifique seus responsáveis e confira como acionar suporte sem depender do sistema afetado. Depois, teste proteção, recuperação e comunicação com as equipes envolvidas. Converse com a TOGETHER para transformar esse levantamento em prioridades de proteção de dados e decisões práticas.

Perguntas frequentes

Ransomware sempre significa que houve vazamento?

Não. O bloqueio dos arquivos e a cópia indevida são situações diferentes, que precisam ser investigadas. A indisponibilidade de dados pessoais também pode caracterizar um incidente. A avaliação deve considerar o risco para as pessoas, além da paralisação da empresa.

Ter backup resolve um ataque de ransomware?

A cópia de segurança ajuda a recuperar dados se estiver preservada e puder ser restaurada. Ela não desfaz uma cópia roubada nem corrige o acesso explorado pelo invasor. Por isso, a retomada exige verificar o ambiente e os efeitos sobre os dados pessoais.

Uma empresa pequena também precisa se preparar para ransomware?

Sim. O artigo 46 da LGPD exige medidas para proteger dados pessoais. A preparação deve considerar a operação e os riscos da empresa. Um ponto de partida é definir contatos de emergência e testar a recuperação do serviço mais importante.