Ransomware: o que fazer nas primeiras horas

Checklist das primeiras horas

1. Isole

• Desconecte da rede os computadores e servidores afetados: tire o cabo, desligue o Wi-Fi.
• Se puder, não desligue os equipamentos às pressas. A memória pode conter informações úteis para a investigação.
• Desative acessos remotos e VPN até entender o que aconteceu.

2. Chame os responsáveis

• TI interna ou fornecedor de TI.
• Direção da empresa e jurídico.
• Uma equipe especializada em resposta a incidentes, se a empresa não tiver.

3. Preserve

• Não apague arquivos criptografados nem a nota de resgate.
• Fotografe as telas e anote o horário em que o ataque foi percebido.
• Guarde registros de sistemas, firewall e antivírus.

4. Proteja os backups

• Não conecte discos de backup à rede infectada para "ver se estão bons". O ransomware pode atingi-los também.
• Verifique os backups em um ambiente separado e limpo.

5. Mapeie o estrago

• Quais equipamentos, servidores e sistemas foram atingidos?
• Há indício de que dados foram copiados para fora, e não só criptografados?

Sobre pagar o resgate

O FBI e a CISA, em alertas conjuntos como o AA24-109A, dizem que não incentivam o pagamento: ele não garante a recuperação e pode financiar novas ações criminosas. A empresa deve envolver seus responsáveis por segurança e jurídico; uma transferência não resolve por si só a exposição dos dados. Antes de qualquer negociação, vale saber o que pode ser recuperado por outros caminhos.

Possibilidades que precisam ser avaliadas

• Backups e cópias antigas não atingidos.
• Arquivos parcialmente criptografados, quando ainda existem estruturas úteis; tamanho de arquivo sozinho não determina recuperabilidade.
• Dados que ainda estão no disco, de antes da criptografia.
• Bancos de dados e máquinas virtuais com trechos íntegros.
• Arquivos de variantes para as quais existe ferramenta pública de descriptografia.

Nenhuma dessas possibilidades é certa, e a avaliação mostra quais se aplicam ao seu caso.

Comunicações obrigatórias

Se o incidente puder causar risco ou dano relevante aos titulares de dados pessoais, o controlador precisa avaliar as obrigações de comunicação à ANPD e aos titulares. A análise jurídica e de segurança deve começar desde o início, sem aguardar a recuperação dos arquivos. Consulte a orientação oficial da ANPD.

Depois da crise

Ataques costumam explorar senhas fracas, acessos remotos expostos e sistemas desatualizados. Backup protegido contra alteração, autenticação em dois fatores, atualizações em dia e treinamento da equipe reduzem muito o risco.

Fontes e leitura complementar

• CISA: guia StopRansomware de prevenção e resposta.
• CISA e FBI: alerta conjunto AA24-109A.

Para uma análise do dispositivo, consulte as opções de avaliação da Data Rescue.