Sexta-feira, 17h40: a anatomia de um ataque de ransomware

O aviso costuma chegar no pior momento possível: uma sexta-feira à tarde, quando metade da equipe já saiu e a outra metade está de olho no relógio. Alguém tenta abrir uma planilha e não consegue. O arquivo tem um nome estranho, uma extensão que ninguém reconhece. Dois minutos depois, outra pessoa reclama do mesmo problema. Em dez minutos, o sistema inteiro está inacessível e há um arquivo de texto na área de trabalho de todos os computadores explicando, em português razoável, quanto custa recuperar o que era seu.

A sensação, para quem vive isso, é de um raio caindo do céu claro. Não é. O raio estava sendo montado havia dias — às vezes semanas —, dentro da sua rede, sem que ninguém percebesse.

E é exatamente aí que mora a boa notícia. Um ataque de ransomware não é um evento instantâneo: é uma sequência de etapas, e cada etapa é uma oportunidade de interrupção. Este texto percorre esse caminho do começo ao fim, do ponto de vista de quem invade, para deixar claro onde ele é barrado — e por que quase sempre ele é barrado por decisões banais, tomadas muito antes da sexta-feira.

Primeiro, desfaça a imagem errada

A imagem popular do ataque é a de um gênio encapuzado escolhendo a sua empresa e quebrando defesas sofisticadas. A realidade operacional é mais parecida com arrombamento de porta destrancada, em escala industrial.

Boa parte dos ataques começa sem alvo definido. Programas varrem faixas inteiras de endereços da internet procurando serviços expostos, sistemas sem atualização, painéis de acesso remoto abertos. Em paralelo, bilhões de combinações de e-mail e senha vazadas em incidentes anteriores circulam à venda. O critério não é “quem vale a pena atacar”, é “onde o esforço é menor”.

Isso muda a pergunta que a empresa precisa fazer. Não é “por que alguém me atacaria?” — é “eu estou entre os mais fáceis da fila?”. Ser pequeno não protege ninguém. Frequentemente é o contrário: empresas menores concentram menos gente cuidando de segurança e mais sistemas antigos que “sempre funcionaram assim”.

Etapa 1 — A entrada

Existem três portas por onde a maioria das invasões começa. Elas se repetem com uma monotonia quase entediante.

A primeira porta: o e-mail

Continua sendo o caminho mais comum. Mas esqueça o golpe do príncipe nigeriano — o phishing atual é bem-feito, contextualizado e, com frequência, chega de um endereço legítimo que já foi comprometido antes.

O padrão mais eficaz é o que se aproveita de uma conversa real. O criminoso entra na caixa de e-mail de um fornecedor, lê a troca de mensagens sobre um pagamento em andamento e responde dentro daquela mesma conversa, com o assunto certo, o tom certo e um anexo ou link que parece a continuação natural do assunto. Não há erro de português, não há urgência artificial. Há contexto — e contexto desarma.

A segunda porta: o acesso remoto

Aquele computador que ficou com acesso remoto habilitado para alguém trabalhar de casa. A VPN que não é atualizada há dois anos. O painel de administração de um sistema que responde na internet aberta. São portas que ninguém lembra que existem, porque foram abertas para resolver um problema pontual e nunca mais fechadas.

Esta é a porta mais silenciosa das três: não exige que ninguém clique em nada. Basta que a porta esteja lá e que a senha seja fraca, reutilizada ou já conhecida.

A terceira porta: a senha que já vazou

Se uma pessoa da equipe usou o e-mail corporativo para criar conta num site qualquer, e aquele site sofreu um vazamento, a combinação dela está à venda. Se ela repetiu a mesma senha no e-mail da empresa — e a repetição é a regra, não a exceção —, o invasor não precisa invadir nada. Ele simplesmente faz login.

A camada que fecha as três portas de uma vez. Autenticação multifator (MFA) transforma senha roubada em senha inútil, porque o acesso passa a exigir um segundo fator que o criminoso não tem. Se a sua empresa for implantar uma única medida depois de ler este texto, que seja esta — começando pelo e-mail, seguido de todo acesso remoto. É a proteção com a melhor relação entre custo, fricção e resultado que existe hoje.

Etapa 2 — O tempo invisível

Entrar não é o objetivo. O objetivo é entrar e não ser notado, por tempo suficiente para entender a empresa por dentro.

É aqui que a narrativa popular se distancia mais da realidade. Entre o primeiro acesso e o momento em que os arquivos são criptografados costumam se passar dias. Nesse intervalo, o invasor:

• Mapeia a rede — quais servidores existem, onde ficam os dados que importam, quem tem acesso a quê.
• Escala privilégios — sai de uma conta comum e busca uma conta de administrador, que abre tudo.
• Localiza os backups — e este é o ponto decisivo, ao qual voltaremos.
• Copia os dados para fora, silenciosamente, antes de qualquer sinal visível.
• Estuda a rotina — quando a equipe sai, quando ninguém está olhando, quando a resposta vai demorar mais.

Não é acidente que tantos ataques disparem numa sexta à noite ou na véspera de feriado prolongado. É escolha operacional. O invasor quer o máximo de horas de vantagem antes que alguém competente olhe para o problema.

Esse período silencioso é, ao mesmo tempo, a parte mais assustadora e a mais esperançosa da história: existe uma janela de dias em que o ataque pode ser detectado e interrompido antes de causar qualquer dano visível. Empresas que monitoram acessos incomuns — um login às três da manhã, uma conta acessando servidores que nunca acessou, um volume de dados saindo da rede fora do padrão — pegam o invasor nessa fase. Empresas que não monitoram nada só descobrem quando o bilhete aparece.

Etapa 3 — A dupla extorsão

Houve um tempo em que a resposta ao ransomware cabia numa frase: “tenha backup”. Essa era acabou.

Quando os backups se tornaram comuns e as empresas pararam de pagar, os grupos criminosos mudaram o modelo. Hoje o padrão é copiar os dados antes de criptografar. Isso cria duas alavancas independentes:

1. Você não acessa seus arquivos — resolvido pelo backup.
2. Seus dados serão publicados se você não pagar — não resolvido por backup nenhum.

A segunda alavanca é a que muda a natureza do problema. Restaurar o sistema devolve a operação, mas não desfaz o vazamento. E vazamento de dados pessoais, no Brasil, tem endereço próprio: a LGPD.

A lei prevê que o controlador comunique à autoridade nacional e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante — com prazos e critérios detalhados em regulamentação da ANPD, que pode ser atualizada. Some-se a isso o dever de reparar danos e a exposição reputacional de ter a base de clientes publicada, e fica claro por que o cálculo “eu restauro e sigo a vida” não fecha mais.

Para clínicas, escritórios de advocacia, contabilidades e empresas de saúde, o problema é ainda mais delicado: parte do que se guarda é dado pessoal sensível, categoria que a LGPD trata com rigor reforçado.

Etapa 4 — O disparo

A criptografia é a última etapa, não a primeira. Quando ela acontece, o invasor já tem o que queria: já sabe onde tudo está, já é administrador, já levou os dados e — quase sempre — já destruiu os backups.

Vale repetir isso, porque é o erro mais caro que uma empresa comete. O invasor procura os backups de propósito, porque backup íntegro é o que arruína o modelo de negócio dele. Se o seu backup está num disco conectado à mesma rede, num compartilhamento que a conta de administrador enxerga, ou num serviço acessível com a mesma senha comprometida, ele será criptografado junto.

O que separa um backup real de um backup imaginário

Três atributos, e todos são obrigatórios:

• Isolamento. Pelo menos uma cópia fora do alcance da rede — desconectada fisicamente ou em armazenamento imutável, que não permite alteração nem exclusão durante um período definido, nem por quem tem senha de administrador.
• Teste. Restauração de verdade, feita periodicamente, com cronômetro. Backup nunca restaurado é uma suposição. O momento de descobrir que a cópia estava corrompida há oito meses não pode ser a sexta-feira do ataque.
• Abrangência. Muita empresa faz backup do servidor de arquivos e esquece do sistema de gestão, do banco de dados do site, da caixa de e-mail, das configurações. Restaurar arquivos sem conseguir restaurar o sistema que os lê resolve pouco.

A pergunta diagnóstica que separa as duas categorias de empresa é curta: “quando foi a última vez que vocês restauraram, e quanto tempo levou?” Se a resposta for hesitante, o backup ainda é uma hipótese.

As sete camadas, em ordem de retorno

Segurança não é um produto que se compra; é uma série de camadas que encarecem progressivamente o trabalho do invasor. Em ordem aproximada de retorno sobre esforço:

1. MFA em tudo que é exposto à internet — e-mail primeiro, acesso remoto em seguida.
2. Backup isolado, imutável e testado — com data da última restauração bem-sucedida anotada.
3. Atualização de sistemas — a maior parte das invasões usa falhas conhecidas, com correção publicada há meses.
4. Privilégio mínimo — ninguém trabalha o dia inteiro com conta de administrador; cada acesso é o menor possível para a função.
5. Fechar portas esquecidas — inventário do que responde na internet e por quê. Quase toda empresa tem ao menos uma surpresa aqui.
6. Monitoramento e detecção — alguém ou algo olhando para comportamento anômalo, capaz de agir dentro daquela janela de dias.
7. Plano de resposta escrito e ensaiado — quem liga para quem, quem decide desligar a rede, quem fala com clientes, quem aciona o jurídico e a seguradora. Um plano lido pela primeira vez durante a crise não é um plano.

Nenhuma dessas camadas depende de orçamento de multinacional. Todas dependem de decisão e de alguém com a responsabilidade explícita de manter cada uma delas viva. Para saber em quais delas a sua empresa já está de pé e quais estão abertas, o diagnóstico de risco digital percorre as sete em poucos minutos.

Onde entra o seguro — e onde ele não entra

Comecemos pelo que o seguro não faz: ele não impede o ataque, não substitui backup e não compra de volta a confiança de um cliente cujos dados foram publicados. Quem vende seguro cyber como alternativa à prevenção está vendendo errado.

O que ele faz é atuar sobre a segunda metade do problema — a que a prevenção, por melhor que seja, não elimina: o que acontece depois, quando o incidente já ocorreu. E é uma metade cara, porque envolve simultaneamente perícia técnica, obrigação legal, comunicação pública e faturamento parado.

As apólices de cyber costumam estruturar-se em torno de alguns eixos — e o desenho varia conforme o produto e as condições contratadas:

• Resposta a incidente — acesso a equipe de perícia forense e resposta, geralmente acionável em regime de urgência. Para a maioria das empresas, esta é a cobertura mais valiosa, porque nas primeiras horas ninguém sabe o que está acontecendo e decisões ruins tomadas no escuro custam caro.
• Recomposição de dados e sistemas — os custos de reconstruir o que foi perdido ou corrompido.
• Interrupção de negócio por evento cibernético — a perda de faturamento durante a parada. Costuma ser o maior prejuízo do episódio, e o menos lembrado.
• Responsabilidade civil por vazamento — reclamações de terceiros cujos dados foram expostos, além de despesas de defesa.
• Custos de notificação e assessoria jurídica — o trabalho de comunicar titulares e autoridade, dentro dos deveres da LGPD.
• Extorsão cibernética — sujeita a análise, autorização prévia e limites, quando prevista.

Um ponto que merece atenção na hora de contratar: a análise de risco em cyber costuma envolver um questionário técnico detalhado — MFA, política de backup, atualização, resposta a incidentes. Responder com precisão é parte do contrato, e informação incorreta prestada na contratação pode comprometer a cobertura justamente quando ela for necessária. Vale envolver quem cuida da tecnologia no preenchimento, em vez de responder de memória.

Há um efeito colateral positivo nisso: o questionário funciona como diagnóstico. Empresas que nunca pararam para pensar em segurança descobrem as próprias lacunas ao tentar respondê-lo — e às vezes o maior ganho da cotação acontece antes de a apólice existir.

O que fazer nas primeiras horas

Se o pior acontecer, a ordem dos primeiros movimentos importa:

1. Isolar, não desligar às cegas. Desconectar da rede as máquinas afetadas limita a propagação. Desligar tudo abruptamente pode destruir evidências úteis à perícia e à decisão sobre o que foi levado.
2. Não negociar por conta própria. Qualquer contato com o criminoso é decisão de direção, com jurídico e — se houver apólice — com a seguradora informada.
3. Acionar a seguradora imediatamente. Nos seguros cyber, a comunicação tempestiva costuma ser condição para o funcionamento da cobertura, e é ela que libera o acesso à equipe de resposta. Ligar antes de contratar consultoria por fora evita despesa não coberta.
4. Preservar registros. Logs, horários, quem notou o quê e quando. É com isso que se descobre por onde entraram e o que saiu.
5. Não restaurar em cima do ambiente comprometido. Restaurar antes de saber por onde o invasor entrou costuma resultar em segundo ataque pela mesma porta, semanas depois.
6. Tratar o dever legal em paralelo. A avaliação sobre comunicar titulares e autoridade corre junto com a recuperação técnica, não depois dela.

O resumo honesto

Ransomware não é azar. É um modelo de negócio, operado por gente organizada, que seleciona vítimas por facilidade e opera dentro da sua rede por dias antes de aparecer.

Isso é uma má notícia disfarçada de boa: se o ataque tem etapas, ele tem pontos de interrupção. A maior parte das empresas que atravessa um incidente sem quebrar não tinha tecnologia superior — tinha MFA ligado, um backup isolado que alguém já havia testado, e um plano que alguém já havia lido.

O resto — a perícia, a negociação, a notificação, o faturamento parado — é o que o seguro cyber existe para absorver, para que um episódio ruim não vire um episódio terminal.

A pergunta que vale fazer na segunda-feira, com calma, é a mais simples de todas: se acontecesse hoje, quanto tempo levaria para voltarmos a operar — e quem, exatamente, faria o quê? Se a resposta não vier rápido, ela acabou de virar a tarefa mais importante da semana.