O que é atingido num Exchange local
Cada banco de caixas de correio do Exchange é um arquivo .edb acompanhado de uma sequência de logs de transação. Numa restauração, segundo a Microsoft, o Exchange analisa os arquivos recuperados e reproduz os logs para atualizar o banco. Por isso banco, logs e arquivo de checkpoint precisam ser preservados juntos, na mesma estrutura de pastas.
Num DAG, cada banco pode ter cópias em outros membros. A replicação protege contra falha de disco ou de servidor, não contra um invasor com acesso administrativo ao domínio, que alcança todos os membros. Servidores sem atualização ampliam o risco: o suporte do Exchange 2016 e 2019 acabou em 14/10/2025, e desde então eles não recebem correções de segurança.
Exchange Online é outro cenário
Se as caixas estão no Exchange Online, os bancos ficam nos datacenters da Microsoft, que mantém pelo menos três cópias de cada um, inclusive uma com atraso para casos raros de corrupção lógica. Um ransomware nos computadores da empresa não cifra esses bancos. Os riscos ali são outros: contas tomadas, mensagens apagadas, regras de encaminhamento criadas pelo invasor.
Nesse caso, a recuperação passa pela retenção de itens excluídos, pela recuperação de item único e por backups do Microsoft 365, com o administrador do locatário. Não há disco a examinar. Ambientes híbridos misturam os dois cenários: o servidor local pode estar cifrado e as caixas na nuvem, intactas. Separe o que está em cada lugar antes de agir.
Correio funcionando não é caixa conferida
Criar bancos vazios devolve o envio e o recebimento em pouco tempo. É medida de continuidade: as mensagens antigas continuam presas nos bancos atingidos ou nos backups. A Microsoft descreve o banco de recuperação (RDB) como o recurso para montar um banco restaurado e extrair caixas ou itens sem mexer no banco em uso.
Em bancos EDB volumosos, certas variantes cifram só pedaços do arquivo, e o que ficou de fora às vezes mantém páginas legíveis. Cada arquivo precisa ser examinado para saber. A Data Rescue examina EDB, logs e backups isolados, sem atuar em contenção, perícia ou negociação. Como e-mails costumam conter dados pessoais, o jurídico do controlador precisa avaliar cedo o dever de avisar a ANPD.