Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Plataformas

Ransomware no SAP: o que preservar no HANA, no ECC e no S/4HANA

Num ataque a um ambiente SAP, o ransomware costuma cifrar o banco de dados (SAP HANA ou, no ECC, bancos como Oracle, SQL Server ou Db2), as áreas de backup e os diretórios do sistema, como o transport directory. Preserve volumes, backups e o catálogo de backups antes de reinstalar. A equipe Basis e a resposta a incidentes conduzem o ambiente; a análise dos arquivos isolados não garante recuperação.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

S/4HANA
roda sobre o banco SAP HANA
ECC
sobre SAP HANA ou outros bancos, como Oracle, SQL Server ou Db2
Backup do HANA
backups de dados, backups de log e o catálogo de backups
Transport directory
diretório compartilhado pelos sistemas do grupo de transporte; no UNIX, por padrão, /usr/sap/trans
Quem conduz
equipe Basis, DBA, resposta a incidentes, consultoria e jurídico
Atendimento
Atendido, para volumes, discos e backups isolados

O que costuma ser atingido num ambiente SAP

Um sistema SAP é mais que o banco. No S/4HANA, os dados estão no SAP HANA, que grava em volumes de dados e de log no disco. No ECC, o banco pode ser o HANA ou outro, como Oracle, SQL Server ou Db2. Em volta ficam kernel, perfis, diretórios das instâncias e o transport directory, por onde passam os transportes entre os sistemas.

A CISA já alertou que aplicações SAP desatualizadas ou mal configuradas são alvo de ataques e que o impacto pode incluir ransomware. Como o acesso administrativo ao sistema operacional alcança banco, backups locais e diretórios compartilhados ao mesmo tempo, um servidor comprometido pode afetar desenvolvimento, qualidade e produção quando eles dividem armazenamento ou credenciais.

Backups do HANA e o catálogo

O SAP HANA trabalha com backups de dados e backups de log e mantém um catálogo de backups, o registro que diz quais conjuntos combinar numa recuperação. Sem os backups de log, só dá para voltar ao instante de um backup de dados. Procure cópias fora do servidor: storage separado, ferramenta de backup integrada, nuvem com retenção. Anote datas e quais conjuntos estão completos.

A documentação da SAP explica que o catálogo é copiado e versionado a cada backup e descreve como recuperar sem ele e como reconstruí-lo. Por isso nenhum arquivo de backup deve ser descartado porque parece velho ou incompleto. Com bancos de outros fabricantes, valem os cuidados de cada um: veja Oracle e SQL Server.

Sistema no ar não é dado conferido

A equipe Basis, que administra a base técnica do SAP, pode reinstalar servidores e restaurar o banco. Isso devolve o logon, mas não prova que os documentos estão completos. Antes de liberar usuários, confira com as áreas de negócio os últimos lançamentos financeiros, documentos fiscais, ordens e estoques, comparando com fontes externas ao SAP.

Volumes e backups de um SAP costumam ser enormes, e a cifragem parcial, comum em várias famílias, às vezes poupa trechos. Vale examinar, sem expectativa de resultado certo. O trabalho da Data Rescue é analisar discos, volumes e arquivos de backup isolados, sem operar o SAP, conter o ataque, investigar ou negociar. Citar a documentação da SAP não indica parceria com a fabricante.

Como o ataque aparece no SAP

  • Usuários não conseguem logon e as instâncias não sobem.
  • O banco não abre e os volumes de dados ou de log mostram arquivos alterados.
  • Pastas de backup vazias ou com arquivos renomeados.
  • O transport directory e os diretórios das instâncias têm arquivos com extensão nova.
  • Houve acesso administrativo incomum ao sistema operacional ou ao banco pouco antes.

O que não fazer

  • Não reinstale o banco nem a instância por cima dos volumes atingidos.
  • Não apague backups de log antigos para liberar espaço.
  • Não restaure em produção um backup que não foi examinado em ambiente isolado.
  • Não religue interfaces e jobs antes de conferir a base.
  • Não tome a decisão sobre resgate sozinho: direção, jurídico e especialistas precisam participar.

O que fazer agora

01

Contenção é com a resposta a incidentes

Ela decide como isolar servidores de aplicação, banco, backup e interfaces com outros sistemas. Não reinicie instâncias por conta própria.
02

Preserve banco e backups

Volumes de dados e de log, backups de dados e de log, catálogo e arquivos da ferramenta de backup. Se houver cópia, que seja num destino separado.
03

Preserve os diretórios do sistema

Transport directory, perfis, kernel e diretórios das instâncias. Anote versões, SIDs e a arquitetura do ambiente.
04

Reúna Basis, DBA e consultoria

A equipe Basis, o DBA, a consultoria que mantém o ambiente e o suporte do fabricante definem a ordem de restauração.
05

Leve o jurídico desde o início

Sistemas SAP guardam dados de clientes, fornecedores e funcionários. Avisar a ANPD e os titulares, nos moldes da Resolução CD/ANPD nº 15/2024, é decisão do controlador com seu jurídico.
Perguntas frequentes

Perguntas sobre
SAP.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Volumes do HANA criptografados podem ser lidos?
Depende de como foram cifrados e se há backups. Volumes cifrados por inteiro, sem a chave, não são legíveis. Se sobrou parte, ou se há backups anteriores ao ataque, a análise mostra o que dá para usar.
A SAP ou a consultoria restaura os dados?
O suporte da SAP e a consultoria cuidam do sistema, das versões e da restauração a partir de backups. Quando os backups também foram atingidos, analisar os arquivos é outro trabalho, que a Data Rescue também faz.
Perdemos o catálogo de backups. E agora?
Preserve todos os arquivos de backup de dados e de log, com nomes e datas originais. A documentação da SAP descreve como recuperar sem o catálogo e como reconstruí-lo. Não renomeie nem reorganize pastas.
Pagar o resgate devolve o SAP?
Nada assegura. CISA e FBI não recomendam o pagamento, e mesmo com a chave o banco precisa ser conferido. Peça à equipe de resposta para checar o No More Ransom e reúna as cópias existentes antes de decidir.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo