Ransomware: como se proteger e o que fazer se for infectado

Em 2025, 45% das organizações que pagaram o resgate de um ransomware não recuperaram todos os dados — e ainda assim o número de vítimas continua crescendo. O tempo médio entre o acesso inicial e a criptografia completa dos arquivos caiu para menos de 24 horas, segundo a Securelist. Isso significa que quando você percebe o ataque, geralmente já é tarde para reagir sem preparação prévia.

A boa notícia: as defesas que funcionam são simples, baratas (às vezes gratuitas) e podem ser implementadas hoje.

Como o ransomware entra no sistema

Entender o vetor de entrada é o primeiro passo para bloquear o ataque. Os três mais comuns em 2025-2026:

• Phishing por email: anexo malicioso (PDF, Word com macro, ZIP com executável) ou link para página de download falsa. O atacante não precisa de técnica avançada — basta uma mensagem convincente sobre uma nota fiscal, um rastreamento de entrega ou uma multa.
• RDP exposto: a porta 3389 acessível diretamente na internet, com senha fraca ou reutilizada, é o vetor favorito de grupos como LockBit e BlackCat. Ferramentas como Shodan indexam essas portas publicamente — qualquer criminoso consegue encontrá-las em segundos.
• Vulnerabilidades sem patch: o WannaCry explorou o EternalBlue semanas depois de a Microsoft ter lançado o patch MS17-010. Quem não atualizou foi varrido. O padrão se repete todo ano com CVEs críticos que ficam sem correção por meses.

Credenciais roubadas em vazamentos anteriores também são usadas para acesso inicial via credential stuffing — mais um motivo para nunca reutilizar senha entre serviços.

A regra 3-2-1: backup é a única defesa infalível

Ransomware criptografa arquivos. Se você tiver uma cópia intacta e acessível, o ataque vira um incidente de downtime — chato, mas controlável. Sem backup, as opções são pagar ou perder tudo.

A regra 3-2-1 é o padrão mínimo:

• 3 cópias dos seus dados (o original + 2 backups)
• 2 mídias diferentes (ex: HD externo + nuvem)
• 1 cópia fora do local (nuvem ou endereço físico separado)

Problema: segundo a Veeam, 93% dos ataques de ransomware tentam comprometer ou destruir os repositórios de backup. A resposta é a versão expandida, chamada 3-2-1-1-0:

• Acrescente 1 cópia offline ou imutável — HD externo desconectado após o backup, ou armazenamento em nuvem com proteção contra exclusão (Object Lock no S3, por exemplo).
• 0 erros nas restaurações: teste a restauração pelo menos trimestralmente. Backup não testado é dado perdido com etapas extras.

Detalhe crítico: desconecte o HD externo da tomada e do computador após cada backup. Ransomware ativo enquanto o disco está conectado cifra o backup junto com os arquivos originais.

5 medidas preventivas que eliminam a maioria dos riscos

• Mantenha tudo atualizado. Windows Update, drivers, firmware do roteador, plugins do navegador. A maioria dos ransomwares explora brechas já corrigidas — atualizar é fechar portas abertas.
• Desative o RDP se não precisar. Se precisar, coloque atrás de VPN e restrinja por IP de origem. Porta 3389 exposta na internet sem proteção é o equivalente a deixar a chave na fechadura.
• Ative MFA em todas as contas críticas. E-mail corporativo, VPN, painel de hospedagem, serviço de backup em nuvem. Mesmo que a senha vaze, o segundo fator impede o login.
• Desconfie de anexos e links em email. Extensões perigosas: .docm, .xlsm, .js, .vbs, .exe dentro de ZIP. Urgência artificial ("sua conta será bloqueada em 24h") é o gatilho mais usado em campanhas de phishing.
• Ative o Controlled Folder Access no Windows 11. Esse recurso bloqueia que aplicativos não autorizados escrevam em pastas protegidas (Documentos, Desktop, Imagens). Não impede a infecção, mas interrompe a fase de criptografia de boa parte dos ransomwares.

Para configurar o Controlled Folder Access e outras proteções nativas: Windows 11 mais seguro: 10 configurações para ativar hoje.

Durante o ataque: cada minuto conta

O que fazer assim que detectar um ransomware no computador?

Isole a máquina da rede imediatamente: desconecte o cabo de rede e desligue o Wi-Fi. O ransomware se propaga lateralmente — um nó comprometido pode cifrar compartilhamentos de rede inteiros em minutos. Depois, não reinicie o computador (logs de memória podem conter chaves de descriptografia que pesquisadores conseguem extrair) e documente a nota de resgate antes de qualquer ação.

Nos passos seguintes:

• Identifique a família do ransomware pela extensão dos arquivos cifrados ou pelo nome da nota de resgate (geralmente .txt ou .html na área de trabalho).
• Acesse o site nomoreransom.org — projeto da Europol com ferramentas gratuitas de descriptografia para dezenas de famílias. Alguns grupos tiveram suas chaves comprometidas por pesquisadores de segurança.
• Registre boletim de ocorrência (exigido por algumas seguradoras e útil para investigação).
• Se houver equipe de TI ou contrato de suporte, acione neste momento — não depois de tentar resolver sozinho.

Pagar o resgate: os números que você precisa conhecer

A decisão de pagar parece simples quando você está diante dos dados bloqueados, mas os dados apontam para uma armadilha. Em 2025-2026, 45% das organizações que pagaram o resgate não recuperaram todos os arquivos. Além disso, empresas que pagam tendem a ser alvos novamente — elas viraram pagadoras confirmadas no radar dos grupos criminosos.

Pagar também financia a infraestrutura dos grupos e incentiva novos ataques contra outras vítimas. Do ponto de vista legal, em alguns setores (saúde, financeiro, infraestrutura crítica), pagar a grupos sancionados pode configurar violação de compliance.

A alternativa real é o backup testado e atualizado. Quem tem restauração funcional não precisa negociar com criminoso nenhum.

O padrão se repete há décadas

O WannaCry em 2017 infectou 200 mil sistemas em 150 países em menos de um dia — usando um exploit da NSA contra máquinas sem patch. Quase dez anos depois, o vetor mudou (hoje é muito mais phishing direcionado e RDP do que worm autopropagante), mas a lógica continua a mesma: sistemas desatualizados, credenciais fracas e backups ausentes são os três ingredientes que transformam um ataque em catástrofe.

Backup offline testado + sistema atualizado + MFA ativo. Esses três pilares eliminam a maioria do risco. Para quem quer fechar o restante, o próximo passo é proteger o roteador doméstico — ponto de entrada que poucos configuram corretamente e que pode ser a porta lateral que nenhuma das medidas acima cobre.