Nos últimos anos, o ransomware tornou-se uma das ameaças informáticas mais graves para as empresas. Trata-se de um código malicioso que cifra os ficheiros ou bloqueia os sistemas e exige um resgate para devolver o acesso. Hoje, muitos grupos criminosos vão ainda mais longe: antes de cifrar, copiam os dados e ameaçam publicá-los, numa técnica conhecida como dupla extorsão.
A ameaça do ransomware não é apenas técnica. Afeta a continuidade do negócio, as finanças, a reputação e o cumprimento da lei. Neste artigo, explicamos como funciona este tipo de ataque, que impactos tem, como as empresas se podem proteger e o que fazer se forem atacadas. Mostramos, ainda, o papel das plataformas de gestão documental na prevenção e na recuperação.
O que é o ransomware
O termo resulta da junção de “ransom”, resgate em inglês, com “software”. Em termos simples, é um programa malicioso que impede o acesso aos dados até ao pagamento de um valor, normalmente em criptomoedas. Na maioria dos casos, os atacantes cifram os ficheiros com algoritmos fortes, o que torna a recuperação sem a chave praticamente impossível.
As vias de entrada mais comuns são os e-mails de phishing, as credenciais roubadas de acessos remotos, as vulnerabilidades por corrigir em servidores expostos à Internet e o software descarregado de fontes não fidedignas. Por isso, a prevenção começa muito antes do ataque, na forma como a empresa gere identidades, atualizações e acessos.
Como decorre um ataque típico
| Fase | O que acontece |
|---|---|
| Entrada | O atacante obtém acesso através de phishing, credenciais roubadas ou uma vulnerabilidade |
| Movimento lateral | Explora a rede, procura contas com mais privilégios e localiza as cópias de segurança |
| Exfiltração | Copia dados sensíveis para os usar como pressão adicional |
| Cifra | Cifra ficheiros e sistemas, muitas vezes fora de horas |
| Extorsão | Exige o resgate e ameaça publicar os dados |
Este processo pode demorar dias ou semanas. Por essa razão, uma boa monitorização permite detetar o ataque antes da fase de cifra.
As implicações da ameaça do ransomware
Em primeiro lugar, o impacto mais visível é a paragem das operações. Sem acesso a documentos, sistemas de faturação ou plataformas operacionais, muitas empresas ficam dias ou semanas a funcionar de forma limitada. Acrescem os custos de investigação, recuperação e reforço da segurança, que são normalmente elevados.
Há, ainda, consequências legais. Quando há dados pessoais afetados, a empresa pode ter de notificar a CNPD no prazo de 72 horas e, em certos casos, informar os titulares. As entidades abrangidas pela Diretiva NIS 2 têm ainda obrigações de notificação de incidentes significativos. Por fim, a reputação sofre, sobretudo quando os atacantes publicam dados de clientes ou trabalhadores.
Proteção contra o ransomware
Como nenhuma medida isolada é suficiente, a proteção eficaz combina várias camadas:
- Atualizações: corrigir rapidamente as vulnerabilidades, sobretudo em sistemas expostos à Internet.
- Autenticação multifator: obrigatória em acessos remotos, correio eletrónico e contas de administração.
- Privilégio mínimo: cada utilizador tem apenas os acessos de que precisa.
- Cópias de segurança imutáveis: pelo menos uma cópia isolada da rede e testes regulares de restauro.
- Proteção dos postos de trabalho: soluções de deteção e resposta, bem como bloqueio de macros de origem desconhecida.
- Formação: sensibilização regular para reconhecer phishing.
- Monitorização: alertas para comportamentos anómalos, como cifra em massa de ficheiros.
O papel das plataformas de gestão documental
Uma plataforma de gestão documental em modelo SaaS, bem configurada, reduz a exposição dos documentos. Por exemplo, os ficheiros deixam de estar em pastas partilhadas na rede local, que são um alvo frequente. Além disso, o controlo de versões permite recuperar documentos anteriores ao ataque, e os registos de atividade ajudam a perceber o que foi acedido. Ainda assim, convém confirmar com o fornecedor como faz as cópias de segurança, com que frequência e em que prazos é possível restaurar a informação.
Ransomware e dados de terceiros
Nas plataformas de gestão documental de prestadores, um ataque pode afetar não só a empresa, mas também os trabalhadores de dezenas de outras empresas. Fichas de aptidão, certificados de formação e documentos de identificação são dados que os criminosos podem usar para fraudes ou extorsão. Assim, a minimização de dados é também uma medida de segurança: quanto menos dados desnecessários a empresa guardar, menor é o impacto de uma eventual fuga.
Os contratos com os fornecedores de plataformas devem, igualmente, prever a comunicação imediata de incidentes, a cooperação na investigação e o apoio na notificação às autoridades. Dessa forma, a empresa consegue cumprir os prazos legais mesmo quando o incidente ocorre num sistema de terceiros. Por fim, convém confirmar periodicamente que o fornecedor testa a recuperação dos dados e mantém cópias isoladas, pedindo evidências desses testes.
O que fazer em caso de ataque
Em primeiro lugar, isolar os sistemas afetados da rede, sem os desligar de imediato, para preservar evidências. Depois, ativar o plano de resposta a incidentes e contactar especialistas. Em seguida, avaliar o impacto nos dados pessoais e cumprir as obrigações de notificação. Também é recomendável comunicar o incidente às autoridades competentes, como o CNCS e a Polícia Judiciária. Por fim, restaurar a partir de cópias de segurança limpas, mas só depois de eliminar a causa do ataque.
As autoridades desaconselham o pagamento do resgate, porque não garante a recuperação dos dados, não impede a divulgação da informação roubada e financia novos ataques.
Exemplo prático: Recuperação a partir de cópias imutáveis
Considere-se uma empresa de serviços que encontra os seus servidores de ficheiros cifrados numa segunda-feira de manhã. Os documentos operacionais estavam numa plataforma de gestão documental na nuvem, e os servidores locais tinham cópias imutáveis diárias. A equipa isola a rede, identifica a conta comprometida e restaura os servidores a partir da cópia de domingo. Como resultado, a empresa retoma a atividade em dois dias, sem pagamento de resgate.
Lista de verificação contra o ransomware
- Inventário de sistemas e dados críticos.
- Autenticação multifator em todos os acessos remotos.
- Cópias de segurança 3-2-1-1-0 com testes de restauro.
- Plano de resposta a incidentes testado.
- Contactos de emergência atualizados.
- Formação regular dos colaboradores.
Preparar a organização antes do ataque
A capacidade de resposta depende muito do que é feito antes do incidente. A organização deve, portanto, ter identificados os sistemas e os documentos críticos, saiba quanto tempo pode estar sem cada um deles e tenha definido a ordem de recuperação. Além disso, o plano de resposta deve indicar quem decide, quem comunica com clientes e autoridades e onde estão os contactos de emergência, incluindo cópias em papel.
Do mesmo modo, os exercícios de simulação permitem testar o plano e corrigir falhas sem a pressão de um ataque real. Por exemplo, um exercício de mesa sobre ransomware revela rapidamente se a equipa sabe restaurar as cópias de segurança e em quanto tempo. Assim, quando o ataque acontece, as decisões são mais rápidas e mais seguras.
Erros comuns a evitar
Um erro frequente é guardar as cópias de segurança na mesma rede e com as mesmas credenciais dos sistemas principais. Nesse caso, o ransomware cifra também as cópias. Outro erro é nunca testar o restauro, descobrindo apenas no pior momento que as cópias estão incompletas. Muitas empresas deixam, ainda, acessos remotos sem autenticação multifator, uma das portas de entrada mais exploradas.
Perguntas frequentes
As pequenas empresas também são alvo?
Sim. Muitos ataques são automatizados e procuram qualquer sistema vulnerável, independentemente da dimensão da empresa. Aliás, as pequenas empresas são muitas vezes alvos mais fáceis, por terem menos recursos de proteção.
Os ficheiros na nuvem estão protegidos?
Estão mais protegidos, mas não são imunes a este tipo de ataque. A sincronização pode propagar ficheiros cifrados, por isso o controlo de versões e as cópias de segurança continuam a ser essenciais.
Quanto tempo demora a recuperação?
Depende da preparação. Com cópias imutáveis testadas e um plano claro, muitas empresas recuperam em poucos dias. Sem essa preparação, a recuperação pode demorar semanas e, em alguns casos, parte dos dados perde-se definitivamente.
O seguro cobre ataques de ransomware?
Alguns seguros de riscos cibernéticos cobrem custos de resposta e recuperação. No entanto, as seguradoras exigem cada vez mais medidas mínimas, como autenticação multifator e cópias de segurança isoladas.
Conclusão: Como enfrentar a ameaça do ransomware
A ameaça do ransomware é persistente e está em constante evolução. A melhor defesa combina prevenção, deteção precoce e capacidade de recuperação. Atualizações, autenticação multifator, cópias de segurança imutáveis, formação e um plano de resposta testado reduzem significativamente o risco e o impacto.
Em suma, as empresas devem tratar o ransomware como um risco de negócio, e não apenas como um problema informático. Com preparação, é possível recuperar sem pagar resgates e proteger a confiança de clientes e parceiros.
Leia também: Ransomware e backups: como garantir que a recuperação é realmente possível e Como evitar ataques de phishing: Estratégias e boas práticas.
Para alertas e recomendações sobre ciberameaças, consulte o Centro Nacional de Cibersegurança (CNCS).