Como prevenir ataques de ransomware

Como prevenir ataques de ransomware — uma das principais questões de cibersegurança para empresas, organizações governamentais e usuários particulares. O ransomware bloqueia o acesso a arquivos e sistemas e, em seguida, exige um resgate. Este artigo explica como reduzir o risco de infecção, proteger backups, treinar funcionários, configurar computadores e preparar um plano de resposta. O principal objetivo não é apenas instalar um antivírus, mas construir uma proteção em múltiplas camadas, onde a falha de um único recurso não leva a um desastre.

O que é ransomware e por que é perigoso

O ransomware é um software malicioso que criptografa arquivos em um computador, servidor ou armazenamento em rede. Após isso, os criminosos exigem dinheiro pela chave de descriptografia. Ataques modernos frequentemente não se limitam apenas ao bloqueio de dados. Os criminosos podem antecipadamente roubar documentos, correspondências, bases de clientes e arquivos contábeis, e depois ameaçar a publicação.

O perigo do ransomware está no fato de que o ataque atinge vários níveis de operação ao mesmo tempo:

• os funcionários não conseguem abrir documentos e aplicativos;
• contabilidade, CRM, ERP e e-mail tornam-se indisponíveis;
• produção, logística ou vendas param;
• a recuperação leva tempo, expertise e backups limpos;
• o vazamento de dados pode levar a consequências legais e de reputação.

Ao mesmo tempo, os ransomware nem sempre entram na rede por meio de vulnerabilidades técnicas complexas. Muitas vezes, basta um único e-mail de phishing, uma senha fraca para acesso remoto ou uma atualização não instalada. Portanto, a prevenção deve combinar medidas técnicas, regras organizacionais e verificações regulares.

Como os ransomware entram no sistema

Para prevenir efetivamente os ataques de ransomware, é importante entender os cenários típicos de infecção. A maioria dos ataques começa com o acesso inicial. Depois disso, os criminosos estudam a rede, aumentam privilégios, desligam a proteção, buscam backups e só então iniciam a criptografia.

E-mails de phishing e anexos maliciosos

O phishing continua sendo um dos métodos mais comuns de infiltração. O usuário recebe uma mensagem que parece ser uma fatura, ato, notificação de entrega, solicitação de um parceiro ou mensagem de um supervisor. Dentro, pode haver um anexo, um link para um site falso ou um arquivo executável em um arquivo compactado.

Particularmente perigosos são documentos com macros, arquivos de formato ISO, LNK, JS, VBS, EXE e arquivos compactados com senha. A senha no e-mail impede que o gateway de e-mail verifique o conteúdo. Portanto, as organizações devem filtrar esses anexos e treinar os funcionários para não abrirem arquivos desconhecidos.

Senhas fracas e acesso remoto

RDP aberto, VPN sem autenticação multifatorial, senhas iguais e contas antigas criam um ponto de entrada fácil para os atacantes. Se o criminoso obtém acesso à conta de administrador, ele pode rapidamente espalhar o ransomware pela rede.

É importante restringir o acesso remoto por endereços IP, usar MFA, fechar portas desnecessárias, revisar regularmente os direitos e desativar contas não utilizadas.

Vulnerabilidades em software e sistemas desatualizados

Sistemas operacionais não atualizados, servidores, gateways VPN, soluções de e-mail, hipervisores e aplicações web frequentemente se tornam pontos de entrada. Vulnerabilidades públicas são rapidamente exploradas por ferramentas automatizadas. Se o patch já foi lançado, mas não instalado, o risco aumenta significativamente.

Sistemas desatualizados sem suporte do fabricante devem ser isolados, substituídos ou protegidos com medidas adicionais. Não se deve considerar que um servidor antigo é seguro apenas porque está em operação há muito tempo e não prejudica ninguém.

Sites comprometidos e fornecedores terceirizados

Às vezes, a infecção ocorre por meio de um site hackeado, uma atualização falsa, publicidade maliciosa ou conta de um contrato. Se um fornecedor tem acesso à sua infraestrutura, sua segurança se torna parte da sua segurança. Portanto, é necessário controlar o acesso externo, celebrar acordos claros e conceder os direitos minimamente necessários.

Princípio da proteção em múltiplas camadas

Uma proteção confiável contra ransomware é construída pelo princípio da defesa em profundidade. Isso significa que você deve ter várias barreiras independentes. Se um funcionário abrir um e-mail malicioso, a filtragem de e-mails, EDR, restrição de direitos, segmentação da rede e backups devem minimizar os danos.

A proteção em múltiplas camadas inclui:

• prevenção da entrada de código malicioso;
• detecção rápida de atividade suspeita;
• limitação da disseminação dentro da rede;
• manutenção de backups imutáveis;
• um plano de recuperação preparado;
• treinamento de pessoas e verificação de processos.

O principal erro é confiar em uma única ferramenta. O antivírus é importante, mas não substitui o backup. Os backups são essenciais, mas não protegem contra vazamentos de dados. A MFA reduz o risco de roubo de senhas, mas não elimina a necessidade de atualizações e controle de direitos.

Plano passo a passo para prevenir ataques de ransomware

A seguir está um plano prático que pode ser usado como uma lista de verificação. Ele é adequado para pequenas empresas, redes de escritório, equipes remotas e infraestrutura doméstica. A escala de implementação será diferente, mas a lógica permanece a mesma.

Passo 1. Faça um inventário de ativos

Não é possível proteger o que você não conhece. Elabore uma lista de dispositivos, servidores, serviços em nuvem, contas, armazenamento em rede, bancos de dados e aplicativos críticos. Marque separadamente os sistemas disponíveis na internet.

O inventário mínimo deve incluir:

1. nome do dispositivo ou serviço;
2. proprietário ou funcionário responsável;
3. sistema operacional e versão do software;
4. nível de criticidade para o negócio;
5. disponibilidade de backup;
6. método de acesso remoto;
7. data da última atualização.

Após isso, será mais fácil entender onde estão os principais riscos: um servidor antigo, uma conta esquecida, RDP aberto ou uma unidade de rede sem backup.

Passo 2. Ative a autenticação multifatorial

A MFA é uma das medidas mais eficazes contra o roubo de contas. Ative-a para e-mail, VPN, painéis em nuvem, contas de administrador, sistemas de acesso remoto e aplicativos críticos para negócios.

É melhor usar aplicativos autenticadores, chaves de hardware ou confirmações por push com verificação adicional. SMS é melhor do que não ter MFA, mas menos resistente a alguns ataques. Para administradores, é aconselhável aplicar métodos mais rigorosos.

Passo 3. Restrinja os direitos dos usuários

O usuário não deve operar sob uma conta de administrador. Quanto menos direitos uma conta pirateada possui, mais difícil é para o atacante desligar a proteção, criptografar recursos da rede e se espalhar.

Aplique o princípio do menor privilégio:

• conceda direitos apenas para tarefas específicas;
• revise regularmente os acessos;
• mantenha contas comuns e administrativas separadas;
• desative administradores locais onde não forem necessários;
• não use senhas compartilhadas para vários dispositivos;
• remova contas de funcionários demitidos imediatamente.

Passo 4. Configure o backup seguindo a regra 3-2-1

Os backups são a última linha de defesa quando a prevenção falha. A regra 3-2-1 significa: mantenha pelo menos três cópias dos dados, em dois tipos diferentes de mídia, e uma cópia fora da infraestrutura principal. Para proteção contra ransomware, cópias offline ou armazenamento imutáveis são especialmente importantes.

Verifique não apenas a existência de backups, mas também a possibilidade de recuperação. Um backup que ninguém testou pode ser inútil no dia do ataque.

Passo 5. Atualize sistemas e feche vulnerabilidades

Crie um processo regular de instalação de atualizações. Sistemas acessíveis pela internet devem ter prioridade: VPN, servidores de e-mail, servidores web, gateways de acesso remoto, hipervisores e painéis de controle.

Para empresas, é útil manter um registro de atualizações e prazos para instalação de patches críticos. Se não for possível atualizar o sistema de uma só vez, aplique medidas temporárias: desative a funcionalidade vulnerável, restrinja o acesso por IP, isole o servidor ou ative monitoramento adicional.

Passo 6. Proteja e-mail e tráfego web

O gateway de e-mail deve verificar anexos, links e domínios dos remetentes. Configure SPF, DKIM e DMARC para o e-mail corporativo, para diminuir o risco de falsificação de domínio. Bloqueie tipos de arquivos perigosos, a menos que sejam necessários para o trabalho.

Para o tráfego web, utilize filtragem DNS, proteção contra domínios maliciosos e restrição de download de arquivos executáveis. Isso não resolverá todos os problemas, mas diminuirá o número de infecções acidentais.

Passo 7. Implemente EDR ou proteção moderna de endpoints

Um antivírus comum verifica arquivos por assinaturas e comportamentos. O EDR, além disso, monitora processos, cadeias de inicialização, conexões de rede, tentativas de modificações em massa de arquivos e ações com credenciais. Para organizações, essa é uma camada essencial de proteção.

Ao escolher uma solução, leve em consideração não apenas o nome do produto, mas também o processo de resposta. Quem recebe os alertas? Quem analisa o incidente à noite ou em um feriado? Quão rapidamente é possível isolar um computador infectado da rede?

Passo 8. Segmente a rede

Se todos os dispositivos estão em uma única rede plana, o ransomware se espalha mais facilmente. Divida a infraestrutura em segmentos: estações de trabalho, servidores, contabilidade, produção, Wi-Fi para convidados, câmeras, ambientes de teste e administração.

Entre os segmentos, deve haver regras de acesso. Por exemplo, uma estação de trabalho de um gerente não precisa de acesso direto ao hipervisor ou controlador de domínio. Quanto menos conexões desnecessárias, menor será a área de ataque.

Passo 9. Prepare um plano de resposta

Um plano de resposta é necessário antes do ataque, não durante a pandemia. Deve conter contatos responsáveis, um procedimento para isolar dispositivos, uma lista de sistemas críticos, regras de comunicação e um cenário de recuperação a partir de backups.

Um bom plano responde às perguntas:

• quem toma a decisão sobre a desconexão de um segmento da rede;
• como entrar em contato com a equipe se o e-mail corporativo estiver indisponível;
• onde está a lista de backups e senhas de acesso de emergência;
• quem avisa a alta administração, advogados, clientes e reguladores;
• quais sistemas são recuperados primeiro;
• como as evidências são registradas para investigação.

Comparação das principais medidas de proteção

Esta tabela ajudará a estabelecer prioridades. É melhor implementar as medidas em conjunto, mas se os recursos forem escassos, comece com as mais críticas: backups, MFA, atualizações, restrição de direitos e proteção de e-mail.

Medida de proteção	O que previne	Dificuldade de implementação	O que é importante verificar
Backup 3-2-1	Perda de dados após criptografia	Média	Há cópia offline ou imutável, foi testada a recuperação
MFA para e-mail, VPN e administradores	Roubo de contas	Baixa ou média	Não há exceções para protocolos antigos e contas de serviço
Atualizações regulares	Exploração de vulnerabilidades conhecidas	Média	Serviços públicos são atualizados primeiro
Restrição de direitos	Disseminação em massa e desativação de proteção	Média	Os usuários funcionam sem direitos de administrador
Filtragem de e-mail	Phishing e anexos maliciosos	Baixa ou média	Tipos de arquivos e links perigosos são bloqueados
EDR e monitoramento	Atividade oculta de atacantes	Média ou alta	Há uma pessoa responsável pela análise de alarmes
Segmentação de rede	Disseminação rápida dentro da infraestrutura	Média ou alta	Conexões desnecessárias entre segmentos estão bloqueadas
Treinamento de funcionários	Erros ao trabalhar com e-mails e arquivos	Baixa	Treinamentos regulares e análise de exemplos estão sendo realizados

Como proteger backups de ransomware

Muitos ransomware primeiro procuram e destroem backups. Portanto, não basta apenas conectar um disco externo ou um armazenamento em rede. Se o backup estiver acessível a partir de um computador infectado para gravação, ele também pode ser criptografado.

Use cópias imutáveis e offline

Um armazenamento imutável não permite alterar ou excluir uma cópia durante um período específico. Uma cópia offline está fisicamente ou logicamente desconectada da rede principal. Ambas as abordagens ajudam a manter os dados mesmo com a compensação de contas.

Opções práticas:

• um disco externo que é conectado apenas durante a cópia;
• armazenamento em nuvem com versionamento e bloqueio contra exclusão;
• modo WORM ou bloqueio de objeto em storages compatíveis;
• um servidor de backup separado em um segmento isolado;
• contas para backup sem direitos de login interativo.

Separe o acesso aos dados e backups

A conta de administrador de domínio não deve automaticamente ter acesso total aos backups. Se uma única senha abre todas as portas, o ataque rapidamente se torna crítico. Use contas separadas, senhas diferentes, MFA e registre as ações.

Também é útil manter as configurações do sistema de backup e instruções de recuperação separadas. Em uma situação de crise, a equipe deve saber onde estão as cópias e como restaurar serviços sem acesso à documentação comum.

Teste a recuperação

A verificação da recuperação precisa ser regular. O teste pode ser simples: uma vez por mês, restaurar alguns arquivos, e uma vez a cada trimestre, um servidor crítico em um ambiente isolado. Para negócios, é importante conhecer RPO e RTO. RPO mostra quanto tempo de dados pode ser perdido. RTO mostra quão rapidamente o serviço precisa ser restaurado.

Se a empresa não conhece esses indicadores, não conseguirá avaliar realisticamente as consequências de um ataque e configurar uma programação de cópia corretamente.

Configuração de estações de trabalho e servidores

A maior parte dos ataques começa com um computador comum ou servidor vulnerável. Portanto, a higiene básica dos dispositivos finais é crucial.

O que fazer em computadores de trabalho

Para estações de trabalho, aplique o perfil seguro padrão:

• desative a inicialização automática de dispositivos externos;
• proíba a execução de macros da internet, a menos que sejam necessárias;
• exiba extensões de arquivos no explorador;
• limite a execução de programas de pastas temporárias e do perfil do usuário;
• use controle de aplicativos onde for possível;
• ative o firewall local;
• criptografe os discos dos laptops;
• bloqueie a tela automaticamente;
• remova software desnecessário e extensões de navegador.

Preste atenção especial aos usuários que trabalham com grande quantidade de documentos externos: contabilidade, departamento de vendas, RH, compras e secretaria. Eles costumam receber anexos de novos remetentes.

O que fazer em servidores

Servidores devem ser minimalistas. Quanto menos serviços desnecessários, menor o risco. Separe funções: controlador de domínio, servidor de arquivos, banco de dados, servidor web e sistema de backup não devem ser combinados em uma única máquina sem necessidade.

Para servidores, é importante:

• desligar serviços e portas não utilizadas;
• restringir a administração a uma sub-rede ou VPN;
• ativar o registro de acessos e mudanças;
• usar senhas fortes e MFA onde for possível;
• monitorar grupos de administradores;
• atualizar o sistema operacional e aplicativos pontualmente;
• armazenar segredos não em scripts e arquivos de texto, mas em um armazenamento seguro.

Proteção de contas e senhas

A compromissão de credenciais muitas vezes é mais perigosa do que a infecção de um único arquivo. Obtendo uma senha, o atacante pode agir como um usuário legítimo e contornar parte dos sistemas de proteção.

Política de senhas sem complicações desnecessárias

As senhas devem ser longas e únicas. É melhor usar frases de senha e um gerenciador de senhas do que forçar as pessoas a criar combinações curtas e complexas, que elas anotam em papel. Para cada serviço, uma senha separada é necessária.

Recomendações:

• o comprimento mínimo é mais importante do que a complexidade artificial;
• proíba o reuso de senhas corporativas em serviços pessoais;
• verifique se as senhas estão presentes em vazamentos conhecidos;
• não envie senhas por mensagens ou e-mails;
• use um gerenciador de senhas para a equipe;
• mude a senha imediatamente ao suspeitar de comprometimento.

Contas privilegiadas

As contas administrativas requerem controle separado. Use contas distintas para o trabalho cotidiano e administração. Não abra e-mails e sites com conta administrativa. Limite o acesso dos administradores apenas a sistemas necessários.

Para infraestrutura madura, soluções PAM que concedem privilégios temporariamente, registram sessões e reduzem o risco de privilégios permanentes são úteis.

Treinamento de funcionários sem formalidades

As pessoas não são o elo fraco, mas uma parte do sistema de proteção. No entanto, o treinamento deve ser prático. Uma apresentação longa uma vez por ano raramente muda o comportamento. É melhor realizar sessões regulares curtas, mostrar exemplos reais de e-mails e explicar onde reportar suspeitas.

Os funcionários devem ser capazes de reconhecer sinais de phishing:

• pressão por urgência e medo;
• pedido para abrir um arquivo inesperado;
• endereço do remetente estranho;
• link levando a um domínio semelhante, mas diferente;
• solicitação de senha após clicar em um link;
• arquivo compactado com senha;
• pedido incomum de supervisor ou parceiro.

É importante criar uma cultura na qual a pessoa não tenha medo de relatar um erro. Se um funcionário abrir um arquivo suspeito, uma rápida ligação para a TI pode salvar toda a rede. Punições e vergonha, ao contrário, fazem com que as pessoas fiquem em silêncio.

Monitoramento e detecção precoce

Prevenção é importante, mas é preciso estar preparado para que parte dos ataques passe pelas primeiras barreiras. A detecção precoce reduz os danos. Fique de olho em sinais que possam indicar uma preparação para a criptografia.

Sinais de um possível ataque

Sinais suspeitos:

• renomeação ou alteração em massa de arquivos;
• aumento repentino de erros de acesso aos arquivos;
• acessos em horários incomuns ou de países incomuns;
• criação de novas contas administrativas;
• desativação do antivírus ou logs;
• execução de ferramentas de administração remota sem consentimento;
• escaneamento da rede a partir de um computador de usuário;
• tentativas de acesso a backups com contas atípicas.

Configure a coleta centralizada de logs para pelo menos sistemas críticos: controladores de domínio, VPN, e-mail, EDR, servidores de backup e armazenamentos de arquivos. Se não houver uma equipe própria de monitoramento, considere os serviços de um SOC ou MSSP externo.

O que fazer ao primeiro sinal de infecção

Se você notar sinais de ransomware, não desligue tudo de forma caótica. Em alguns casos, uma desconexão brusca pode complicar a investigação, mas a hesitação também é perigosa. Aja de acordo com o plano:

1. Isole o dispositivo suspeito da rede: desconecte o cabo, o Wi-Fi ou bloqueie a porta.
2. Não delete arquivos e não reinstale o sistema até registrar os dados essenciais.
3. Informe os responsáveis pela TI e segurança.
4. Bloqueie as contas comprometidas.
5. Verifique dispositivos e recursos de rede adjacentes.
6. Pare a disseminação: desative pastas compartilhadas ou segmentos, se necessário.
7. Salve logs e amostras de arquivos maliciosos para análise.
8. Restaure os sistemas apenas de backups limpos e verificados.

Deve-se pagar o resgate?

O pagamento não garante a recuperação dos dados. Os criminosos podem não enviar a chave, enviar uma ferramenta que não funciona ou atacar novamente a organização. Além disso, o pagamento apoia a economia criminosa e pode ter riscos legais, dependendo da jurisdição e do destinatário dos fundos.

A decisão sobre as próximas ações deve ser tomada com a participação da administração, advogados, especialistas em segurança e, se necessário, das autoridades policiais. Mas a melhor estratégia é garantir antecipadamente que o resgate não seja a única opção. Para isso, é necessário ter backups confiáveis, um plano de recuperação e minimizar o vazamento de dados.

Particularidades para a proteção de pequenas empresas

Pequenas empresas frequentemente não têm uma grande equipe de TI, mas as principais medidas ainda estão disponíveis. Comece com um conjunto simples e mensurável:

• ative MFA para e-mail, banco, CRM, nuvem e acesso remoto;
• configure backups automáticos com uma cópia protegida separada;
• adquira ou configure uma proteção confiável para dispositivos finais;
• atualize computadores, roteadores, NAS e servidores;
• proíba o trabalho sob administrador para tarefas comuns;
• treine os funcionários a verificar e-mails e anexos;
• mantenha uma lista de contatos para eventuais incidentes;
• verifique quem tem acesso a pastas compartilhadas.

Se não houver um administrador interno, considere contratar um prestador de serviços confiável para auditoria. É importante não apenas instalar programas, mas garantir que os backups sejam restaurados, que a MFA esteja realmente ativada e que o acesso remoto não esteja aberto para toda a internet.

Particularidades para a proteção de usuários domésticos

Usuários domésticos também enfrentam ransomware. O risco aumenta com softwares piratas, cracks, downloads duvidosos, atualizações desativadas e a falta de backups.

Medidas práticas para casa:

• use software licenciado e faça o download de programas de sites oficiais;
• ative atualizações automáticas do Windows, macOS, navegador e aplicativos;
• mantenha cópias de fotos e documentos importantes na nuvem com versionamento;
• periodicamente faça uma cópia offline em um disco externo;
• não desligue a proteção embutida do sistema sem razão;
• não abra anexos suspeitos;
• use um gerenciador de senhas e MFA para e-mails;
• crie uma conta separada sem direitos de administrador para o trabalho cotidiano.

Para a família, é útil explicar as regras básicas para crianças e idosos. Um único arquivo baixado pode criptografar pastas compartilhadas, discos conectados e arquivos familiares.

Erros comuns na proteção contra ransomware

Até organizações com boas intenções cometem erros. Alguns deles parecem pequenos, mas aumentam muito o risco.

Uma cópia de segurança sempre conectada à rede

Se um disco ou armazenamento em rede estiver constantemente acessível para gravação, o ransomware pode alcançá-lo. É necessária uma cópia separada que não possa ser alterada a partir da rede comum.

MFA não ativada em todos os lugares

Às vezes, a MFA é ativada para supervisores, mas se esquece dos administradores, VPN, protocolos de e-mail antigos ou contas de serviço. Os atacantes procuram exatamente por exceções.

Todos os usuários têm muitos direitos

Se um funcionário tem acesso a todas as pastas compartilhadas, a infecção do computador dele pode danificar dados de vários departamentos. Os direitos devem corresponder ao papel.

Não há verificação de recuperação

O backup pode ser incompleto, corrompido ou muito antigo. Testes regulares de recuperação são uma parte obrigatória da proteção e não uma opção adicional.

Incidentes são escondidos por medo

Se os funcionários têm medo de punições, eles relatam tarde demais ações suspeitas. Isso dá tempo aos atacantes. Melhor é encorajar relatórios rápidos e analisar erros sem pressão pública.

FAQ: respostas para perguntas populares

Como saber se o computador está infectado por ransomware

Sinais típicos incluem arquivos que deixaram de abrir, novas extensões apareceram, uma nota de resgate está na área de trabalho ou nas pastas, o computador funciona de forma notavelmente lenta e o antivírus avisa sobre alterações em massa de arquivos. Ao suspeitar, isole imediatamente o dispositivo da rede e entre em contato com um especialista.

Um antivírus pode prevenir completamente um ataque de ransomware?

Não. A proteção moderna de dispositivos finais é importante, mas não oferece garantia absoluta. Backups, MFA, atualizações, restrição de direitos, filtragem de e-mail, segmentação de rede e um plano de resposta são necessários.

Com que frequência os backups devem ser feitos?

A frequência depende de quanto dado você está disposto a perder. Se a perda de um dia é crítica, os backups precisam ser feitos mais de uma vez por dia. Para bancos de dados importantes, pode ser necessário fazer cópias várias vezes ao dia ou replicação quase contínua. O principal é manter pelo menos uma cópia protegida fora do alcance do ransomware.

O que fazer se o ransomware já criptografou arquivos?

Desconecte dispositivos infectados da rede, não pague imediatamente e não execute de forma aleatória descriptografadores da internet. Preserve a nota dos sequestradores e amostras de arquivos, consulte especialistas, verifique os backups e a recuperação em um ambiente limpo. Além disso, mude as senhas e verifique se houve vazamento de dados.

Deve-se desconectar a internet durante um ataque?

Às vezes, desconectar temporariamente o acesso externo ou segmentos de rede específicos ajuda a parar a disseminação. Mas é melhor agir com base em um plano previamente preparado. É importante isolar dispositivos infectados, preservar logs e não destruir evidências que ajudem a entender a magnitude do incidente.

Lista mínima de verificação para os próximos 7 dias

Se você precisa reduzir rapidamente o risco, comece com um plano curto. Ele não substitui um programa de segurança completo, mas traz efeito rápido.

1. Verifique se há backups de dados críticos e se pelo menos um arquivo pode ser restaurado.
2. Faça uma cópia offline ou imutável dos dados mais importantes.
3. Ative MFA para e-mail, VPN, serviços em nuvem e administradores.
4. Feche RDP aberto e outros serviços desnecessários da internet.
5. Instale atualizações críticas em sistemas públicos e estações de trabalho.
6. Remova direitos de administrador local de usuários comuns.
7. Verifique quem tem acesso a pastas compartilhadas e backups.
8. Configure a filtragem de anexos perigosos no e-mail.
9. Realize um breve treinamento: como reconhecer phishing e onde reportar.
10. Anote contatos e procedimentos em caso de infecção.

Como avaliar a prontidão para um ataque

Uma pergunta útil: o que acontecerá se amanhã de manhã metade dos servidores estiver criptografada? Se a resposta não for clara, é necessário melhorar a preparação. Realize um exercício de mesa. Junte TI, administração, jurídico, proprietários de processos-chave e passe por um cenário sem desconectar realmente os sistemas.

Verifique:

• quem detectará o ataque e quão rapidamente;
• quais serviços serão interrompidos primeiro;
• quais dados serão recuperados primeiro;
• onde estão as instruções, se o servidor de arquivos estiver indisponível;
• há contas limpas para recuperação;
• quanto tempo levará para o funcionamento mínimo da infraestrutura;
• como você se comunicará com funcionários e clientes.

Esse exercício frequentemente revela lacunas simples, mas críticas: não há canal de comunicação de reserva, senhas de acesso de emergência são armazenadas apenas no sistema criptografado, e a pessoa responsável pelos backups está de férias e ninguém sabe o procedimento de recuperação.

Conclusão

Prevenir ataques de ransomware completamente é impossível, mas é possível reduzir drasticamente a probabilidade de infecção e se preparar para uma rápida recuperação. Comece com inventário, MFA, atualizações, restrição de direitos e backups protegidos. Depois, adicione filtragem de e-mail, EDR, segmentação de rede, monitoramento e treinamento regular. Não procrastine: escolha três medidas da lista de verificação, nomeie responsáveis e implemente-as na próxima semana.