Backup 3-2-1 e 3-2-1-1-0: como proteger dados de ransomware

Uma das primeiras coisas que o ransomware moderno faz ao entrar em um sistema é executar vssadmin delete shadows /all /quiet — um comando que apaga todos os pontos de restauração do Windows em silêncio. Depois, antes de criptografar os dados de produção, o malware mapeia servidores de backup na rede e os destrói também. Se o seu backup estava conectado à mesma rede quando o ataque disparou, ele foi junto. É exatamente aí que a regra 3-2-1 entra — e onde ela precisa evoluir.

O que é a regra 3-2-1 de backup?

O que significa a regra 3-2-1?

A regra 3-2-1 determina manter 3 cópias dos dados, em 2 mídias diferentes, com 1 cópia fora do local principal (offsite). É um padrão criado décadas atrás na fotografia profissional e depois adotado pela indústria de TI como mínimo aceitável de proteção.

Na prática: seu arquivo existe no notebook (cópia 1), em um HD externo (cópia 2, mídia diferente) e em um serviço de nuvem como Google Drive ou Backblaze (cópia 3, offsite). Se o HD do notebook falhar, você tem duas cópias restantes. Se o escritório pegar fogo, a cópia em nuvem sobrevive.

Para décadas de ameaças convencionais — falha de hardware, roubo, incêndio —, a 3-2-1 funcionou bem. O problema é que o ransomware moderno foi construído especificamente para quebrá-la.

Por que a 3-2-1 não basta contra ransomware moderno

Grupos de ransomware como Clop, BlackCat e LockBit não disparam a criptografia no primeiro dia de acesso. Passam dias ou semanas dentro da rede fazendo reconhecimento: identificam servidores de backup (Veeam, Commvault, Windows Server Backup), apagam shadow copies e corrompem repositórios antes de a vítima perceber qualquer coisa.

Segundo o Veeam Data Protection Trends Report 2025, 93% dos ataques de ransomware incluíram tentativa ativa de comprometer os repositórios de backup. Quem não tinha cópia imutável ou desconectada da rede ficou sem opção de recuperação sem pagar o resgate.

Há ainda outro risco negligenciado: o Google Drive, OneDrive e Dropbox em modo de sincronização automática não são backups — são espelhos. Quando o ransomware criptografa os arquivos locais, a sincronização propaga a criptografia para a nuvem em minutos. Você pode estar fazendo "backup" do desastre em tempo real.

Para entender o que acontece depois que um ataque dispara e como conter o dano, veja o post sobre como se proteger de ransomware e o que fazer se for infectado.

A evolução: regra 3-2-1-1-0

A versão atualizada da estratégia adiciona dois dígitos que fecham as brechas criadas pelo ransomware moderno:

• 3 cópias totais dos dados
• 2 mídias ou tecnologias de armazenamento diferentes
• 1 cópia offsite (fora do local principal)
• 1 cópia imutável ou offline (air-gapped)
• 0 erros verificados nos testes de restauração

O "1 imutável" é a peça que muda tudo. Uma cópia imutável é aquela que nenhum processo — humano ou malware — consegue alterar ou apagar depois de gravada. Pode ser:

• Um HD externo desconectado fisicamente da rede após cada backup (air gap simples)
• Uma fita magnética guardada offline
• Um bucket de nuvem com política WORM (Write Once, Read Many) ou Object Lock ativado

O "0 erros" é o item mais ignorado: backups silenciosamente corrompidos são comuns. O zero significa que cada cópia precisa ter sido testada e restaurada com sucesso — não apenas gravada.

Como implementar na prática

Para uso doméstico

1. Cópia local: HD externo com backup semanal usando Windows Backup (nativo), Time Machine no macOS ou rsync no Linux. Custo zero além do hardware.
2. Segunda mídia: pendrive de alta capacidade ou cartão SD mantido separado, atualizado mensalmente. Serve como cópia adicional de arquivos críticos.
3. Offsite/nuvem: Backblaze Personal Backup (armazenamento ilimitado por menos de R$ 15/mês) ou Google One com versionamento configurado para pelo menos 30 dias. Com 30 dias de histórico, você consegue restaurar a versão anterior ao ataque mesmo que os arquivos tenham sido criptografados e sincronizados.
4. Air gap: o HD externo já funciona como air gap quando você o desconecta após cada backup. Pendrive permanentemente conectado na porta USB não é air gap — é uma cópia local exposta à mesma rede.

Para pequenas empresas

Um NAS como Synology ou QNAP centraliza as cópias locais com agendamento automático e suporte a snapshots imutáveis. Combine com replicação para nuvem (Synology C2, Wasabi ou Backblaze B2) e você cobre a 3-2-1 completa. Para o "1 imutável", configure o bucket de destino com Object Lock no modo Compliance — nem o administrador consegue deletar antes do prazo definido, o que impede que credenciais comprometidas destruam os backups.

Ferramentas gratuitas que resolvem

• Windows: Robocopy nativo para cópias incrementais; Veeam Agent for Windows Free para backup completo com restore em bare-metal
• Linux/macOS: rsync com --delete e --backup; BorgBackup com deduplicação e criptografia built-in
• Multiplataforma: Duplicati — criptografado, open source, suporta Backblaze, Google Drive, OneDrive e S3

O teste de restore: o passo que ninguém faz

Agende uma restauração de teste a cada trimestre. Não precisa ser recuperação completa: escolha três arquivos aleatórios do backup, restaure-os em um local diferente e verifique se abrem corretamente. Se o processo falhar ou os arquivos estiverem corrompidos, você descobre isso agora — não durante o incidente.

O "0 erros" da regra 3-2-1-1-0 só existe se você testa. Backup não testado é suposição, não proteção.

Comece com o que você tem

A implementação completa da 3-2-1-1-0 pode parecer intimidadora, mas o essencial cabe em dois passos: configure uma cópia automática para a nuvem com histórico de versões e compre um HD externo que você desconecta da rede após cada uso. Isso já cobre 80% dos cenários de perda de dados — falha de hardware, acidente e variantes comuns de ransomware que não têm sofisticação para esperar semanas antes de disparar.

Para um panorama mais amplo de como reduzir sua superfície de ataque além do backup, o Guia de OPSEC e Privacidade Digital 2026 cobre desde gerenciamento de senhas até escolha de VPN. E se você usa Windows, as 10 configurações de segurança do Windows 11 incluem o Controlled Folder Access — que bloqueia escrita de ransomware em pastas protegidas antes mesmo do backup entrar em cena.