Descobrir um ataque de ransomware na empresa é uma situação de alta pressão que exige ações rápidas e precisas nos primeiros minutos. A decisão que você toma nas próximas horas pode determinar se seus dados serão recuperáveis ou perdidos permanentemente — e isso inclui não apenas arquivos, mas também bancos de dados críticos, servidores e sistemas RAID que sustentam a operação.
O instinto imediato é tentar “resolver sozinho” ou aceitar as demandas do criminoso, mas ambas as abordagens aumentam drasticamente o risco de perda irreversível. Cada tentativa de acesso, cada boot do sistema, cada ação precipitada pode sobrescrever setores vitais dos seus dados, tornando a recuperação tecnicamente impossível — mesmo para especialistas com laboratório e ferramentas profissionais.
Neste guia, você verá exatamente o que fazer nos primeiros passos após identificar um ataque de ransomware: desde o isolamento correto da infraestrutura até quando e como envolver um especialista em recuperação de dados. A diferença entre uma empresa que recupera seus dados e outra que não consegue geralmente começa aqui.
Primeiros segundos importam: mantenha a calma e não desligue os sistemas imediatamente
A reação instintiva de qualquer pessoa ao ver uma tela de ransomware é pressionar o botão de energia. É compreensível — parece o equivalente digital de “fechar a torneira”. O problema é que, na maioria dos cenários, essa ação pode destruir exatamente as evidências que permitiriam identificar o atacante, rastrear o vetor de entrada e, em alguns casos, recuperar chaves de criptografia que ainda residem na memória RAM. Os primeiros segundos determinam o espaço de manobra que você terá nas próximas horas.
Por que desligar a máquina na hora pode piorar a situação
Quando o ransomware está em execução ativa, parte do processo de criptografia — e em alguns casos a própria chave simétrica usada na sessão — existe temporariamente na memória volátil (RAM). Desligar a máquina apaga essa memória de forma irreversível. Além disso, muitas variantes modernas de ransomware operam em fases: o processo de criptografia pode não ter concluído todos os arquivos no momento em que a tela de resgate aparece. Um desligamento abrupto interrompe esse processo, mas não reverte o que já foi feito — e pode corromper arquivos parcialmente criptografados de forma que nem ferramentas especializadas consigam reconstruir.
Há ainda o aspecto forense: logs de sistema, conexões de rede ativas e processos em execução são evidências críticas para identificar a variante, o vetor de entrada e a extensão do comprometimento. Tudo isso desaparece com o desligamento forçado.
Como confirmar que é realmente um ataque de ransomware e não outra falha
Nem toda tela de erro ou arquivo inacessível significa ransomware. Antes de acionar o protocolo completo de resposta a incidentes, confirme os sinais característicos:
- Extensão de arquivo alterada: arquivos com extensões desconhecidas como .locked, .enc, .WNCRY, .ryuk ou variações aleatórias de letras.
- Nota de resgate: arquivos de texto ou HTML com nomes como README.txt, HOW_TO_DECRYPT.html ou RECOVERY_INSTRUCTIONS depositados em pastas comprometidas.
- Inacessibilidade generalizada: múltiplos arquivos de tipos diferentes (documentos, planilhas, imagens, bancos de dados) tornando-se inacessíveis simultaneamente, não apenas um tipo específico.
- Atividade incomum de disco: leitura e escrita intensas sem ação do usuário, especialmente em horários fora do expediente.
Se apenas um tipo de arquivo está inacessível ou o sistema apresenta erros de leitura em um único dispositivo, pode ser uma falha de hardware ou corrupção de sistema de arquivos — situações distintas que exigem abordagens diferentes. A confirmação correta do tipo de incidente evita que você aplique o protocolo errado e piore o cenário.
Passo 1 — Isole imediatamente os sistemas infectados da rede
Confirmado o ransomware, a prioridade imediata é impedir a propagação lateral. Ransomwares modernos — especialmente variantes corporativas como LockBit, BlackCat e Cl0p — são projetados para se mover automaticamente pela rede, infectando compartilhamentos de arquivo, NAS, storages e outros endpoints antes que qualquer resposta humana seja possível. Cada minuto de conectividade é uma janela de expansão do dano.
Como desconectar máquinas da rede sem perder evidências forenses
O isolamento deve ser feito no nível físico de rede, não apenas desativando o adaptador pelo sistema operacional — o malware pode ter privilégios suficientes para reativar conexões por software. O procedimento correto é:
- Desconectar fisicamente o cabo de rede da máquina comprometida.
- Se for uma máquina sem acesso físico imediato (servidor em rack), isolar a porta no switch gerenciável via console de administração.
- Não desligue a máquina — mantenha-a ligada e isolada para preservar a memória RAM para captura forense posterior.
- Documente o horário exato do isolamento — essa informação é relevante para análise forense e para notificações regulatórias.
Wi-Fi, VPN e dispositivos externos: o que desconectar primeiro e em qual ordem
A ordem de desconexão importa porque diferentes vetores têm velocidades de propagação distintas. Siga esta sequência de prioridade:
- Rede local com fio (LAN): maior velocidade de transferência, maior risco de propagação para servidores e NAS.
- Wi-Fi: desative o ponto de acesso ou remova o dispositivo infectado da SSID via controladora wireless.
- VPN ativa: encerre sessões VPN para evitar que o ransomware alcance redes remotas ou filiais conectadas.
- Dispositivos externos conectados: HDs externos, pendrives e cartões de memória plugados na máquina comprometida devem ser desconectados fisicamente — mas não antes de registrar quais dispositivos estavam conectados.
Como identificar quais outros dispositivos podem estar comprometidos na mesma rede
Após isolar a máquina inicial, presuma que a infecção se espalhou. Verifique nos logs do switch ou firewall quais endereços IP tiveram tráfego intenso de escrita nos últimos 30 a 60 minutos antes da detecção. Compartilhamentos de rede mapeados (drives Z:, Y: etc.) são os primeiros alvos de propagação. Servidores de arquivos, NAS corporativos e storages empresariais com compartilhamentos SMB ativos são especialmente vulneráveis. Verifique manualmente se as extensões de arquivo nesses compartilhamentos foram alteradas antes de concluir que estão íntegros.
Passo 2 — Acione o time de resposta a incidentes e comunique as partes certas
Um ataque de ransomware corporativo não é um problema exclusivo de TI. É um incidente com dimensões jurídicas, regulatórias, financeiras e de comunicação que exige envolvimento multidisciplinar desde as primeiras horas. Tratar isso como “problema do pessoal de TI” é um dos erros mais custosos que uma empresa pode cometer nesse momento.
Quem deve ser notificado internamente nas primeiras horas (TI, jurídico, diretoria)
A cadeia de notificação interna deve seguir esta ordem de prioridade:
- Gestor de TI / CISO: para coordenar o isolamento técnico e acionar recursos especializados.
- Diretoria executiva: decisões sobre pagamento de resgate, contratação de especialistas externos e comunicação com clientes exigem autoridade de nível C.
- Jurídico: para avaliar obrigações contratuais, notificações regulatórias e riscos de responsabilidade civil — especialmente se dados de clientes ou pacientes foram afetados.
- DPO (Encarregado de Proteção de Dados): obrigatório se a empresa trata dados pessoais sob a LGPD.
- Financeiro: para avaliar cobertura de seguro cibernético e autorizar gastos emergenciais com especialistas.
Quando e como acionar autoridades externas: CERT.br, polícia e órgãos reguladores
O CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) recebe notificações de incidentes e pode oferecer orientação técnica inicial — o reporte é feito pelo portal cert.br e não implica obrigação de investigação imediata, mas cria registro oficial do incidente. Para fins de investigação criminal, o registro de boletim de ocorrência junto à Delegacia de Crimes Cibernéticos do estado é recomendável, especialmente se houver intenção de acionar seguro cibernético (muitas apólices exigem o B.O. como documentação). Setores regulados — saúde (ANS/CFM), financeiro (Bacen, CVM) e telecomunicações (Anatel) — têm prazos próprios de notificação que o jurídico deve verificar imediatamente.
Obrigações legais de notificação sob a LGPD em caso de vazamento de dados
Se o ransomware envolveu exfiltração de dados pessoais — prática comum em ataques de dupla extorsão, onde os criminosos roubam os dados antes de criptografá-los — a LGPD impõe obrigação de notificação à ANPD (Autoridade Nacional de Proteção de Dados) e aos titulares afetados em prazo razoável, que a própria ANPD tem orientado como sendo de até 72 horas para a comunicação inicial. O não cumprimento pode resultar em sanções administrativas que se somam ao dano já causado pelo ataque. O jurídico deve avaliar se houve exfiltração — a nota de resgate frequentemente indica isso explicitamente — antes de definir o escopo da notificação.
Passo 3 — Preserve as evidências antes de qualquer ação de limpeza
A pressão para “limpar tudo e voltar ao normal” é enorme nesse momento. Resistir a ela é fundamental. Evidências destruídas prematuramente eliminam a possibilidade de investigação forense, podem inviabilizar acionamento de seguro e, em alguns casos, impedem a recuperação de dados que ainda seria tecnicamente possível.
Como registrar logs, capturas de tela e arquivos de nota de resgate sem contaminar provas
- Fotografe a tela de resgate com um celular antes de qualquer interação com o sistema.
- Copie os arquivos de nota de resgate para mídia externa limpa, registrando o caminho completo onde foram encontrados.
- Exporte logs do sistema operacional (Event Viewer no Windows, /var/log no Linux) para mídia externa — não modifique os logs originais.
- Registre todos os endereços IP, nomes de domínio e endereços de e-mail mencionados na nota de resgate.
- Documente quais sistemas estavam ligados, quais usuários estavam logados e quais processos estavam em execução no momento da detecção.
Ferramentas gratuitas para captura forense de memória RAM em máquinas comprometidas
A captura de memória RAM deve ser feita por profissional com conhecimento forense, mas as ferramentas mais utilizadas nesse contexto incluem o Magnet RAM Capture (gratuito, para Windows) e o WinPmem (open source). Ambas criam uma imagem da memória volátil sem instalar software na máquina-alvo — o executável roda diretamente de um pendrive limpo. O arquivo gerado deve ser copiado para mídia externa e preservado com hash MD5/SHA256 para garantir integridade da prova. Essa captura só é possível enquanto a máquina permanece ligada — mais um motivo para não desligar imediatamente.
Passo 4 — Identifique a variante do ransomware para escolher a estratégia de recuperação
Nem todo ransomware é igual. Algumas variantes têm chaves de descriptografia públicas disponíveis — resultado de operações policiais ou vazamentos de chaves pelos próprios grupos criminosos. Identificar corretamente a cepa do ataque pode ser a diferença entre recuperar os dados gratuitamente ou enfrentar meses de negociação.
Como usar o ID Ransomware e o No More Ransom para identificar a cepa do ataque
O ID Ransomware (idransomware.malwarehunterteam.com) permite identificar a variante fazendo upload da nota de resgate e de uma amostra de arquivo criptografado. O serviço cruza essas informações com um banco de dados de mais de 1.000 variantes conhecidas e informa se existe descriptografador disponível. O No More Ransom (nomoreransom.org), iniciativa conjunta da Europol com empresas de segurança, disponibiliza descriptografadores gratuitos para dezenas de variantes — incluindo algumas versões do Dharma, GandCrab e outras famílias amplamente disseminadas. Consultar ambos antes de qualquer outra ação é obrigatório.
O que a nota de resgate revela sobre o grupo criminoso e o tipo de ransomware
A nota de resgate contém informações valiosas além do valor pedido. O endereço de contato (e-mail ou site .onion), o formato da nota, o vocabulário utilizado e as instruções específicas de pagamento são assinaturas que especialistas em threat intelligence usam para atribuir o ataque a grupos conhecidos. Grupos como LockBit, BlackCat/ALPHV e Akira têm comportamentos documentados — incluindo taxa de cumprimento após pagamento, disposição para negociação e histórico de ataques duplos (criptografia + exfiltração). Essa informação é relevante para a decisão sobre pagamento descrita no Passo 6.
Passo 5 — Avalie os backups disponíveis antes de cogitar qualquer pagamento
A existência de backups íntegros é o único fator que, de forma consistente, reduz o impacto de um ataque de ransomware a um problema operacional gerenciável em vez de uma crise existencial para o negócio. O problema é que ransomwares modernos são projetados especificamente para comprometer backups antes de exibir a tela de resgate.
Como verificar se os backups também foram comprometidos ou criptografados
Verifique os backups em ambiente isolado — nunca conecte a mídia de backup a uma máquina que ainda pode estar comprometida. Os pontos de verificação críticos são:
- Extensões dos arquivos no backup: se estiverem alteradas, o backup foi criptografado.
- Data de modificação dos arquivos de backup: se os arquivos foram modificados recentemente (nas horas anteriores ao ataque), suspeite de comprometimento.
- Integridade dos snapshots: verifique se os snapshots do sistema de backup foram deletados — muitos ransomwares executam comandos como vssadmin delete shadows para eliminar cópias de sombra do Windows.
- Backups em fita ou mídia offline: se existirem e estiverem fisicamente desconectados da rede, são os mais provavelmente íntegros.
Backups em nuvem (OneDrive, Google Drive) e como acionar a recuperação de versões anteriores
Serviços de sincronização em nuvem como OneDrive e Google Drive mantêm histórico de versões anteriores dos arquivos. Se o ransomware criptografou arquivos que estavam sendo sincronizados, a versão criptografada pode ter sobrescrito a versão original na nuvem — mas as versões anteriores permanecem acessíveis por período determinado (30 dias no Google Drive, até 180 dias no OneDrive com planos corporativos). O acesso deve ser feito por dispositivo limpo, não comprometido. No OneDrive for Business, a funcionalidade “Restaurar OneDrive” permite reverter todos os arquivos para um ponto no tempo anterior ao ataque.
Regra 3-2-1 de backup: por que ela determina sua capacidade de recuperação agora
A regra 3-2-1 — três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia offsite — é o padrão que determina se você tem ou não opções nesse momento. Empresas que seguiam essa regra com uma cópia em fita ou armazenamento offline conseguem recuperar com impacto limitado. As que dependiam exclusivamente de backups conectados à mesma rede comprometida frequentemente descobrem que todos os backups foram criptografados junto com os dados primários. Essa avaliação determina diretamente se o pagamento de resgate entra ou não na equação.
Passo 6 — Decida sobre o pagamento do resgate com base em critérios objetivos
A decisão de pagar ou não o resgate é uma das mais difíceis que uma empresa pode enfrentar — e precisa ser tomada com base em dados, não em desespero. Envolve considerações técnicas, jurídicas e financeiras que devem ser avaliadas em conjunto.
Pagar o resgate garante a recuperação dos dados? O que os dados reais mostram
Estudos independentes — incluindo relatórios da Coveware e da Sophos — mostram consistentemente que entre 60% e 80% das empresas que pagam o resgate conseguem recuperar ao menos parte dos dados. No entanto, aproximadamente 50% das empresas que pagam sofrem um segundo ataque nos meses seguintes, frequentemente pelo mesmo grupo. Além disso, a descriptografia fornecida pelos criminosos é frequentemente lenta, incompleta e propensa a erros — em muitos casos, a recuperação a partir de backups (quando disponíveis) é mais rápida do que usar a ferramenta de descriptografia fornecida após o pagamento. O pagamento não elimina o risco de que os dados exfiltrados sejam publicados ou vendidos.
Riscos legais e financeiros de pagar grupos de ransomware sancionados
O Departamento do Tesouro dos EUA (OFAC) mantém lista de grupos de ransomware sancionados — incluindo Evil Corp, Conti e variantes. Pagar resgate a grupos sancionados pode configurar violação de lei antilavagem e de sanções internacionais, com consequências legais para a empresa pagadora, mesmo que a empresa seja brasileira e o pagamento seja feito em criptomoeda. O jurídico deve verificar se o grupo identificado no Passo 4 consta em listas de sanções antes de qualquer pagamento ser autorizado.
Passo 7 — Inicie a contenção, erradicação e recuperação controlada dos sistemas
Com o incidente contido, evidências preservadas e estratégia de recuperação definida, começa a fase mais longa: reconstruir os sistemas de forma segura. Pressa nessa etapa é o principal vetor de reinfecção.
Como limpar e reconstruir sistemas comprometidos sem reinfectar a rede
A abordagem recomendada é nunca tentar “limpar” um sistema comprometido no local — a probabilidade de deixar componentes do malware ativos é alta. O procedimento correto é:
- Criar imagem forense dos discos comprometidos antes de qualquer ação (relevante para recuperação de dados e para investigação).
- Formatar e reinstalar o sistema operacional a partir de mídia limpa e verificada.
- Aplicar todas as atualizações de segurança antes de reconectar à rede.
- Restaurar dados a partir de backups verificados como íntegros.
- Alterar todas as credenciais de acesso — senhas, chaves de API, certificados — antes da reconexão.
Nos casos em que não há backup e os dados precisam ser recuperados dos discos criptografados, o envio a um laboratório especializado em recuperação de dados é o caminho técnico adequado. Tentativas de usar ferramentas de recuperação caseira em discos com ransomware frequentemente sobrescrevem estruturas que ainda poderiam ser recuperadas por especialistas — especialmente em arranjos RAID corporativos e o prazo para essa recuperação depende diretamente do estado em que o dispositivo chega ao laboratório.
Ordem recomendada para restaurar sistemas críticos: priorização por impacto no negócio
A restauração deve seguir uma ordem de prioridade baseada em impacto operacional, não em facilidade técnica. A sequência típica para ambientes corporativos é:
- Infraestrutura de identidade: Active Directory, servidores de autenticação — sem eles, nenhum outro sistema pode operar com segurança.
- Sistemas de comunicação: e-mail e ferramentas de colaboração necessários para coordenar a própria recuperação.
- Sistemas financeiros e ERP: para retomada de operações críticas do negócio.
- Bancos de dados operacionais: MySQL, SQL Server, Firebird — que sustentam aplicações de negócio.
- Compartilhamentos de arquivo e sistemas secundários.
Como validar que o ransomware foi completamente removido antes de reconectar à rede
A validação não pode ser feita apenas com um antivírus. O processo adequado inclui análise de comportamento de rede (monitorar tráfego de saída para endereços suspeitos), varredura com ferramentas de EDR (Endpoint Detection and Response) em todos os endpoints antes da reconexão, e revisão dos logs de autenticação para identificar contas comprometidas que possam ser usadas para reinfecção. Sistemas de monitoramento contínuo devem ser configurados antes da reconexão — não depois. A reconexão de sistemas à rede corporativa deve ser feita de forma gradual e monitorada, nunca em bloco, para que qualquer sinal de reativação do malware seja detectado antes de se propagar novamente.
Empresas que operam com RAID 5 ou RAID 6 em ambiente corporativo devem ter atenção redobrada na fase de validação: a complexidade dos arranjos cria mais superfície para que componentes comprometidos passem despercebidos em varreduras superficiais. A reconstrução de um RAID após ataque de ransomware, quando os dados precisam ser recuperados dos discos originais, exige análise técnica especializada que vai além do escopo de uma equipe de TI interna — e tentar forçar um rebuild sem essa análise pode resultar em perda definitiva dos dados que ainda poderiam ser recuperados.
