Como recuperar dados criptografados: guia prático

Como recuperar dados criptografados — uma questão que surge após um ataque de ransomware, falha de disco, perda de senha ou erro ao trabalhar com um arquivo criptografado. A principal regra é: não se precipitar, não sobrescrever o dispositivo e não pagar o resgate sem analisar a situação. Neste artigo, vamos discutir quais cenários de recuperação são possíveis, o que fazer nos primeiros minutos, como verificar backups, onde procurar chaves e quando é essa hora de chamar especialistas.

O que significa recuperar dados criptografados

Dados criptografados são arquivos, discos, arquivos ou bancos de dados cujo conteúdo foi transformado por um algoritmo criptográfico. Sem a chave correta, senha ou procedimento de descriptografia, esses dados aparecem como uma sequência de bytes aleatórios.

Portanto, a recuperação pode significar diferentes tarefas:

• restaurar o acesso a arquivos criptografados por ransomware;
• recuperar a senha ou chave de um contêiner criptografado;
• restaurar dados de um backup;
• recuperar um disco criptografado danificado;
• extrair arquivos de um arquivo antigo, se a senha for conhecida;
• restaurar o acesso à nuvem ou ao gerenciador de senhas.

É importante entender a limitação: a criptografia moderna, quando implementada corretamente, não pode simplesmente ser quebrada por força bruta em tempo razoável. Se a chave for perdida para sempre e não houver backups, a recuperação pode ser impossível. No entanto, na prática, muitas vezes permanecem rastros: cópias sombra, backups, sincronização, chaves salvas, versões antigas de arquivos, registros de operações ou um descriptografador para uma família de vírus conhecida.

Primeiras ações após a descoberta do problema

Se os arquivos de repente receberam uma extensão estranha, pararam de abrir ou apareceu uma mensagem de resgate na tela, aja com cautela. Ações incorretas podem destruir as últimas chances de recuperação.

Plano passo a passo nos primeiros 30 minutos

1. Desconecte o dispositivo da rede. Retire o cabo Ethernet, desligue o Wi-Fi e o Bluetooth. Isso reduz o risco de propagação do ransomware para pastas de rede e outros dispositivos.
2. Não desligue o computador abruptamente se a criptografia estiver ativa. Primeiro, desconecte a rede. Depois, avalie a situação. Em alguns casos, os especialistas podem precisar da memória RAM e processos ativos.
3. Não exclua arquivos criptografados e notas com o pedido de resgate. Eles podem conter um identificador da vítima, endereços, extensão dos arquivos e informações sobre a variante do malware.
4. Não reinstale o sistema sobre o antigo. A reinstalação pode apagar cópias sombra, logs e arquivos temporários.
5. Faça uma cópia do dispositivo ou pastas importantes. Trabalhe com a cópia e mantenha o original inalterado.
6. Registre os sinais do incidente. Note a data, horário, extensões de arquivos, texto da nota, nomes de processos suspeitos e últimas ações do usuário.
7. Verifique outros dispositivos e armazenamentos de rede. Se a criptografia alcançou o NAS ou pastas compartilhadas, desconecte-os da rede.

Essa ordem ajuda a preservar evidências e não piorar o estado dos dados.

Identifique a causa da criptografia

O método de recuperação depende da causa. Antes de procurar um descriptografador ou iniciar programas de recuperação de arquivos, é importante entender o que exatamente ocorreu.

Ransomware

Esse é o cenário mais comum. O malware criptografa documentos, fotos, bancos de dados e arquivos, e então exige pagamento por uma chave. Os sinais incluem:

• arquivos com nova extensão;
• pastas contendo arquivos com instruções de pagamento;
• parte dos programas parou de funcionar;
• o antivírus detectou ransomware ou processos suspeitos;
• pastas de rede e discos externos foram criptografados.

Nesse caso, a primeira coisa a fazer é interromper a propagação, identificar a família do malware e verificar a existência de um descriptografador gratuito.

Senha esquecida ou chave perdida

Às vezes, os dados são criptografados com uma ferramenta legítima: BitLocker, VeraCrypt, FileVault, 7-Zip, WinRAR, um sistema DLP corporativo ou a criptografia incorporada em smartphones. O problema surge quando a senha é esquecida, o TPM изменился, a chave de recuperação foi excluída ou a conta está inacessível.

Aqui o foco não é em ações antivírus, mas na busca por chaves, verificação de contas, registros antigos, gerenciadores de senhas e repositórios corporativos.

Danos ao dispositivo ou ao sistema de arquivos

Um disco criptografado pode estar fisicamente danificado. Nesse caso, a senha é conhecida, mas o contêiner não pode ser aberto. A causa pode estar em setores defeituosos, falha do controlador, erro durante atualização ou corte repentino de energia.

Se houver sinais de dano físico, não inicie uma varredura em massa e não tente montar o disco repetidamente. Primeiro, crie uma imagem setorial, se possível, ou contate um laboratório de recuperação de dados.

Erro de sincronização ou serviço em nuvem

Os arquivos podem ter sido criptografados em um dispositivo e, em seguida, sincronizados na nuvem. Mas muitos serviços têm histórico de versões e lixeira. Isso pode se tornar uma maneira rápida de voltar à versão anterior.

Verifique:

• o histórico de versões do arquivo;
• a lixeira da nuvem;
• dispositivos removidos na conta;
• a data da última sincronização;
• a existência de logins suspeitos.

O que não fazer ao recuperar arquivos criptografados

Algumas ações parecem lógicas, mas prejudicam a recuperação.

Não deve-se:

• formatar o disco antes de criar uma cópia;
• executar descriptografadores aleatórios de fóruns;
• pagar o resgate sem consulta e avaliação de riscos;
• fazer upload de arquivos desconhecidos em sites duvidosos;
• seguir as instruções da nota do criminoso;
• limpar arquivos temporários e pontos de restauração;
• continuar a usar o computador infectado normalmente;
• instalar programas de recuperação no mesmo disco onde estão os dados.

Descritografadores falsos são especialmente perigosos. Eles podem roubar senhas adicionais, instalar miners ou criptografar os arquivos novamente. Use apenas fontes confiáveis: sites de desenvolvedores de antivírus, projetos de combate a ransomware, documentação oficial de fornecedores.

Como recuperar dados criptografados após um ransomware

Abaixo está uma sequência segura de ações. Ela não garante sucesso, mas ajuda a usar todas as opções reais.

Passo 1. Isolar o sistema infectado

Desconecte a rede e dispositivos externos. Se o computador estiver em um escritório, avise o administrador. Em um ambiente corporativo, é importante bloquear rapidamente contas, verificar pastas compartilhadas e desconectar máquinas comprometidas.

Se o ransomware ainda estiver ativo, os processos devem ser finalizados com cautela. Para um usuário doméstico, geralmente é mais seguro desconectar a rede e desligar o computador após observar os sinais. Para empresas, é melhor manter o estado do sistema até a chegada de um especialista em resposta a incidentes.

Passo 2. Faça uma cópia dos dados

Copie os arquivos criptografados, notas dos sequestradores e algumas originais não criptografadas, se houver. Armazene a cópia em um disco separado. Se possível, crie uma imagem de todo o dispositivo.

Você deve trabalhar apenas com a cópia. Isso é importante, pois alguns descriptografadores podem danificar os arquivos ao selecionar incorretamente a família do ransomware ou se a chave estiver incompleta.

Passo 3. Determine o tipo de ransomware

Para identificação, é necessário:

• a extensão dos arquivos criptografados;
• o texto da nota;
• endereços de e-mail ou sites contidos no pedido de resgate;
• um exemplo de arquivo criptografado;
• um arquivo original não criptografado da mesma versão, se disponível.

Verifique as informações apenas em recursos confiáveis. Muitas empresas de antivírus publicam bancos de dados de ransomwares conhecidos e utilitários de descriptografia gratuitos. Se um descriptografador existir, leia atentamente as instruções e teste-o primeiro em cópias.

Passo 4. Verifique backups

Um backup é o caminho mais confiável de recuperação após um ransomware. Mas ele também precisa ser verificado. Às vezes, o ransomware exclui backups locais ou criptografa um disco USB conectado.

Verifique:

• discos externos que não foram conectados durante o ataque;
• NAS com snapshots de estado;
• cópias na nuvem;
• histórico de versões no OneDrive, Google Drive, Dropbox e outros serviços;
• backups no Windows, macOS ou Linux;
• sistemas de backup corporativos;
• arquivos antigos de projetos.

Não conecte o disco de backup ao sistema infectado. Primeiro, limpe o computador ou use um ambiente separado seguro.

Passo 5. Procure cópias sombra e versões anteriores

No Windows, algumas versões de ransomware excluem cópias sombra, mas nem todas fazem isso com sucesso. Verifique por versões anteriores de arquivos e pastas. Você também pode verificar pontos de restauração do sistema, se estiverem ativados.

No macOS, verifique o Time Machine. No Linux, preste atenção nos snapshots do Btrfs, ZFS, LVM ou ferramentas de backup que foram usadas anteriormente.

Se houver cópias sombra, recupere primeiro alguns arquivos de teste. Depois, verifique se o sistema já foi limpo de malware.

Passo 6. Verifique o histórico de versões na nuvem

Se os arquivos foram sincronizados com a nuvem, a restauração de versões pode ajudar mesmo quando as cópias locais estão criptografadas. Muitos serviços em nuvem permitem restaurar um arquivo para um estado anterior a uma certa data.

Proceda assim:

1. Acesse a nuvem a partir de um dispositivo limpo.
2. Altere a senha e ative a autenticação de dois fatores.
3. Verifique o histórico de logins e aplicativos conectados.
4. Encontre pastas onde arquivos criptografados apareceram.
5. Use a recuperação de versões anteriores ou restauração em massa, se o serviço a suportar.
6. Baixe os dados restaurados em um dispositivo seguro.

Passo 7. Use um descriptografador gratuito, se disponível

Descriptografadores gratuitos existem apenas para algumas famílias de ransomware. Eles surgem quando pesquisadores descobrem uma falha na implementação da criptografia, obtêm chaves das autoridades ou analisam a infraestrutura dos criminosos.

Antes de executar:

• verifique se o descriptografador é destinado especificamente para a sua variante;
• baixe a ferramenta do site oficial;
• faça cópias dos arquivos criptografados;
• leia os requisitos para os arquivos originais;
• teste em uma pequena pasta.

Se o descriptografador não funcionar, não execute dezenas de utilitários semelhantes em sequência. Isso pode danificar a estrutura dos arquivos e dificultar a análise.

Passo 8. Limpe o sistema e recupere os dados

Após confirmar a fonte de recuperação, você precisa remover o malware. Uma opção segura é a reinstalação completa do sistema a partir de um dispositivo confiável e a instalação de atualizações. Depois, você pode restaurar os dados de um backup limpo.

Se for um negócio, verifique também:

• contas de domínio;
• RDP, VPN e acesso remoto;
• logs de login;
• anexos de e-mail;
• permissões de pastas de rede;
• a presença de outros nós infectados.

A recuperação de arquivos sem eliminar a causa pode levar à reinfecção.

Como recuperar o acesso com senha ou chave esquecida

Se os dados foram criptografados por você ou sua organização, comece procurando chaves legítimas. Isso é mais seguro e eficiente do que uma abordagem por força bruta.

Verifique gerenciadores de senhas e registros

Procure a senha em:

• gerenciador de senhas;
• armazenamento do navegador;
• notas no telefone;
• anotações em papel;
• e-mails antigos;
• base de conhecimento corporativa;
• arquivos com pistas;
• backups do perfil do usuário.

Também lembre-se de padrões que você usou ao criar o arquivo ou contêiner: idioma, layout do teclado, datas, caracteres especiais, versões antigas da senha.

Encontre a chave de recuperação do BitLocker

Para o BitLocker, a chave de recuperação pode estar armazenada em vários lugares:

• na conta Microsoft;
• no Azure AD ou Entra ID para dispositivos de trabalho;
• no Active Directory;
• em uma impressão física;
• em um arquivo em um pen drive;
• com o administrador de sistemas;
• na documentação do dispositivo, se a criptografia foi ativada durante a configuração.

Se o sistema solicitar a chave após a alteração da BIOS, TPM ou ordem de inicialização, primeiro volte às configurações anteriores. Às vezes isso resolve o problema sem precisar de descriptografia manual.

Verifique chaves do FileVault e Apple ID

No Mac, a chave do FileVault pode estar associada ao Apple ID ou salva como recovery key. Verifique dispositivos confiáveis, configurações do Apple ID, perfil MDM corporativo e documentos criados ao habilitar a criptografia.

Se a senha do usuário for conhecida, mas o disco não abrir, tente a inicialização em modo de recuperação e utilize as ferramentas padrão do macOS. Se houver sinais físicos de falha, crie primeiro uma imagem do disco.

Avalie a possibilidade de força bruta

A força bruta é possível apenas com senhas fracas ou parcialmente conhecidas. Por exemplo, se você se lembrar da base da senha, mas esqueceu o ano ou um símbolo. Para uma frase longa e aleatória, a força bruta é praticamente inútil.

A força bruta legítima é aceita apenas para seus próprios dados ou com a autorização oficial do proprietário. Não utilize serviços online duvidosos onde você precisa carregar um arquivo confidencial. É melhor trabalhar localmente e com uma cópia do arquivo.

Recuperação de dados criptografados de um dispositivo danificado

Quando o disco faz cliques, desaparece do sistema, funciona muito devagar ou mostra erros de leitura, a principal tarefa é não danificar ainda mais o dispositivo.

Sinais de falha física

Procure ajuda de especialistas se houver:

• sons estranhos do disco rígido;
• cheiro de queimado ou sinais de superaquecimento;
• o disco é reconhecido apenas intermitentemente;
• a velocidade de leitura cai para zero;
• o SMART mostra erros críticos;
• o dispositivo foi molhado ou caiu;
• o SSD de repente se tornou inacessível.

Para discos criptografados, um erro físico é especialmente perigoso. Mesmo um pequeno dano ao cabeçalho do contêiner, área de serviço ou metadados pode bloquear o acesso a todo o seu conteúdo.

Por que primeiro é necessário criar uma imagem

Uma imagem do disco é uma cópia setorial. É possível trabalhar repetidamente com essa imagem, evitando sobrecarregar o dispositivo original. Para discos danificados, são utilizadas ferramentas que podem ignorar setores defeituosos e voltar a eles mais tarde.

Se a senha é conhecida, a sequência geralmente é:

1. Criar uma imagem do dispositivo o mais completa possível.
2. Manter o original sem mais experimentos.
3. Verificar a integridade dos cabeçalhos ou do contêiner.
4. Tentar montar a cópia.
5. Restaurar o sistema de arquivos dentro da imagem descriptografada.

Se a senha não for conhecida e o dispositivo estiver danificado, a tarefa se torna significativamente mais difícil. Nesse caso, é melhor não experimentar.

Comparação de métodos de recuperação

Abaixo está uma tabela resumida que ajuda a escolher o caminho dependendo da situação.

Situação	Melhor primeiro passo	Chance de sucesso	Risco
Existe backup limpo	Limpar o sistema e restaurar o backup	Alto	Baixo
Ransomware conhecido	Encontrar um descriptografador oficial	Médio	Baixo ao trabalhar com cópias
Ransomware desconhecido	Identificação e consulta com especialista	Depende da família	Médio
Senha de arquivo esquecida	Procurar pistas e fazer força bruta local	Baixa ou média	Baixo
Chave do BitLocker perdida	Verificar conta Microsoft, AD ou Entra ID	Médio	Baixo
Disco danificado	Criar imagem ou contatar laboratório	Depende do dano	Alto em tentativas independentes
Arquivos criptografados e sincronizados na nuvem	Reverter histórico de versões	Médio ou alto	Baixo

Vale a pena pagar o resgate

Pagar aos criminosos não garante recuperação. Mesmo que a chave seja enviada, o descriptografador pode funcionar lentamente, danificar parte dos arquivos ou não ser adequado para sua variante. Além disso, o pagamento apóia o esquema criminoso e pode violar políticas internas de empresas ou requisitos regulatórios.

Antes de qualquer decisão, avalie:

• existem backups;
• existe um descriptografador gratuito;
• quais dados são realmente críticos;
• quanto tempo levará a recuperação de backups;
• existem restrições legais;
• é necessário notificar clientes, parceiros ou reguladores;
• os dados foram roubados antes da criptografia.

Para organizações, é importante envolver um advogado, especialista em segurança da informação e a administração. Às vezes, o incidente está relacionado não apenas à perda de acesso, mas também à vazamento de dados.

Como aumentar a probabilidade de recuperação bem-sucedida

Mesmo que a situação já tenha ocorrido, algumas ações aumentam a probabilidade de sucesso.

Preserve todos os artefatos

Guarde notas dos sequestradores, exemplos de arquivos, logs, e-mails com anexos suspeitos, lista de extensões e capturas de tela. Eles ajudam a determinar a família do ransomware e compreender o vetor de infecção.

Procure originais não criptografados

Os originais podem ter permanecido:

• em anexos de e-mail;
• no telefone;
• em mensagens;
• em um antigo notebook;
• com colegas;
• em um pen drive;
• no cache de aplicativos;
• na pasta de downloads;
• na lixeira da nuvem.

Às vezes, para o descriptografador, é necessário um arquivo criptografado e sua versão original. Portanto, não exclua duplicatas.

Separe recuperação e investigação

O objetivo da recuperação é restaurar os dados de trabalho. O objetivo da investigação é entender como o incidente ocorreu. Esses processos estão relacionados, mas não devem se interferir. Por exemplo, você pode rapidamente restaurar o serviço de um backup limpo enquanto mantém o servidor infectado como imagem para análise.

Prevenção: como não perder dados criptografados novamente

A melhor maneira de recuperar arquivos criptografados é ter um plano preparado com antecedência. Ele deve ser simples e verificável.

Use a regra 3-2-1

Mantenha no mínimo três cópias de dados em dois tipos diferentes de dispositivos, sendo uma delas fora do sistema principal. Por exemplo: computador de trabalho, disco externo e nuvem com histórico de versões.

Para proteção contra ransomware, cópias imutáveis são especialmente úteis. Esses são backups que não podem ser alterados ou excluídos por uma conta comum. No mundo corporativo, são utilizados armazenamentos WORM, snapshots com proteção contra exclusão e contas separadas para backup.

Verifique a recuperação, não apenas a criação de backups

Um backup é valioso apenas quando é possível recuperar dele. Portanto, realize testes regularmente:

1. Selecione alguns arquivos importantes.
2. Restaure-os em uma pasta separada.
3. Verifique se abrem.
4. Compare datas e versões.
5. Registre o tempo de recuperação.
6. Atualize as instruções, se houver problemas.

Esse teste leva pouco tempo, mas mostra antecipadamente os pontos fracos.

Limite permissões de acesso

O ransomware geralmente opera com os direitos do usuário que o executou. Se o usuário tiver acesso a todas as pastas de rede, o dano será maior. Use o princípio do menor privilégio: acesso apenas aos dados necessários para o trabalho.

Além disso, desconecte acessos remotos desnecessários, proteja RDP e VPN com autenticação multifatorial, mantenha os sistemas atualizados e filtre anexos em e-mails.

Armazene chaves de recuperação separadamente

As chaves do BitLocker, FileVault, VeraCrypt e senhas de arquivos devem ser armazenadas separadamente dos dados criptografados. Uma boa opção é um gerenciador de senhas seguro com acesso de emergência, um kit de emergência impresso em um cofre ou um repositório corporativo de segredos.

Não armazene a chave de recuperação em um arquivo de texto no mesmo disco criptografado. No momento da falha, ela estará inacessível.

Perguntas frequentes sobre recuperação de dados criptografados

É possível recuperar dados criptografados sem chave

Às vezes é possível, mas não através da quebra de criptografia forte. As opções reais são backups, histórico de versões na nuvem, cópias sombra, uma chave encontrada, erro no ransomware ou um descriptografador oficial. Se o algoritmo estiver implementado corretamente, a chave estiver perdida e não houver cópias, a recuperação pode ser impossível.

Um programa de recuperação de arquivos excluídos ajudará

Ele pode ajudar se os arquivos originais foram excluídos após a criação das cópias criptografadas e seu espaço no disco ainda não foi sobrescrito. Mas em SSDs com TRIM, a chance é menor. É importante instalar o programa em outro disco e escanear a cópia do dispositivo, não o original.

É possível descriptografar arquivos após ransomware gratuitamente

Sim, se existir um descriptografador gratuito para a família específica. Ele deve ser buscado em sites de empresas de antivírus conhecidas e projetos especializados. Se não houver descriptografador, a recuperação gratuita é possível através de backups, cópias sombra ou versões na nuvem.

O que fazer se as fotos no telefone estiverem criptografadas

Primeiro, desconecte a internet e não exclua os arquivos. Verifique as cópias na nuvem: Google Photos, iCloud, OneDrive ou outro serviço. Confira a lixeira e o histórico de alterações. Se um cartão de memória foi usado, faça uma imagem dele e trabalhe com a cópia. Não instale aplicativos desconhecidos para descriptografar.

É possível recuperar dados após formatar um disco criptografado

Às vezes sim, se a formatação foi rápida e a chave é conhecida. Mas se os cabeçalhos do contêiner criptografado foram excluídos ou os metadados foram sobrescritos, a tarefa se torna mais complicada. Após a formatação, pare imediatamente de gravar no disco e crie uma imagem.

É necessário chamar a polícia

Em caso de um ataque de ransomware, essa é uma medida prudente, especialmente para empresas. Relatar ajuda a documentar o incidente e pode ser necessário para seguros, reguladores ou investigações internas. Além disso, as autoridades às vezes obtêm chaves de grupos criminosos conhecidos.

Quando consultar especialistas

Ações autônomas são adequadas se você tem um backup, um cenário claro e não há sinais de falha física. Mas a ajuda de um especialista é necessária quando:

• os dados são críticos para o negócio;
• servidores, bancos de dados ou contabilidade estão criptografados;
• há sinais de vazamento de informações;
• o disco está danificado;
• não há backups;
• o tipo de ransomware é desconhecido;
• é necessário preservar evidências;
• é preciso recuperar uma infraestrutura complexa.

Ao escolher um executante, pergunte como eles trabalham com cópias, se fornecem um laudo de diagnóstico, se mantêm a confidencialidade e se não exigem imediatamente a entrega do dispositivo original sem descrever o procedimento.

Lista de verificação rápida para recuperação

Use esta lista como um guia rápido:

1. Desconecte o dispositivo infectado da rede.
2. Não exclua arquivos criptografados e notas.
3. Faça uma cópia dos dados ou uma imagem do disco.
4. Identifique a causa: ransomware, chave esquecida, falha do dispositivo ou sincronização em nuvem.
5. Verifique backups e o histórico de versões.
6. Encontre chaves de recuperação e senhas.
7. Verifique a disponibilidade de um descriptografador oficial.
8. Restaure apenas em um ambiente limpo.
9. Após a recuperação, elimine a causa do incidente.
10. Configure backups seguros e armazenamento de chaves.

Conclusão

Recuperar dados criptografados é real nem sempre, mas a sequência correta de ações aumenta bastante as chances. Primeiro, isole o dispositivo, preserve as cópias e identifique a causa. Depois, verifique os backups, versões na nuvem, chaves de recuperação e descriptografadores oficiais. Se os dados forem importantes ou se o dispositivo estiver danificado, não experimente: chame especialistas e trabalhe apenas com cópias. Comece com a lista de verificação acima agora mesmo — este é o caminho mais seguro para recuperação e proteção dos dados no futuro.