Como ativar o Acesso controlado a pastas contra ransomware

O ransomware não precisa de privilégio de administrador para estragar seu dia: basta rodar com o seu usuário e começar a reescrever tudo o que está em Documentos, Imagens e Área de Trabalho. Foi pensando nisso que a Microsoft colocou no Windows um recurso que quase ninguém liga: o Acesso controlado a pastas (Controlled Folder Access, ou CFA). Ele funciona como uma lista de convidados: só apps confiáveis podem alterar suas pastas importantes. Aqui vai o passo a passo para ativar, liberar o que for legítimo e conferir o que foi bloqueado.

O que o Acesso controlado a pastas faz?

O que é o Controlled Folder Access do Windows?

É um recurso do Microsoft Defender que impede aplicativos não confiáveis de modificar arquivos em pastas protegidas, o que atrapalha diretamente o comportamento típico de um ransomware: abrir, criptografar e sobrescrever seus arquivos.

Segundo a documentação da Microsoft, o recurso protege por padrão pastas de sistema comuns, como Documentos, Imagens, Vídeos, Música, Favoritos e Área de Trabalho, e você pode acrescentar outras. O Defender decide quais apps são confiáveis com base em reputação e prevalência; o resto precisa de liberação manual. Ele não substitui o backup 3-2-1, mas é uma camada barata que aumenta a chance de o ataque morrer no primeiro arquivo, e não no milésimo.

Passo 1: ativar pela interface do Windows 11

1. Abra Segurança do Windows (Iniciar, digite o nome).
2. Vá em Proteção contra vírus e ameaças.
3. Role até Proteção contra ransomware e clique em Gerenciar proteção contra ransomware.
4. Ligue Acesso controlado a pastas e confirme o aviso do UAC.

Um requisito que pega muita gente: o recurso depende do Microsoft Defender como antivírus ativo e com proteção em tempo real ligada. Se você instalou outro antivírus que assumiu o papel principal, a opção pode aparecer desativada ou nem funcionar.

Passo 2: ativar (e testar antes) pelo PowerShell

A Microsoft recomenda começar em modo de auditoria, em que nada é bloqueado e tudo vira registro no log. Dá para ver quais dos seus programas seriam barrados antes de enforcar a regra. Num PowerShell como administrador:

# Modo auditoria: só registra, não bloqueia
Set-MpPreference -EnableControlledFolderAccess AuditMode

# Depois de alguns dias sem surpresas, ativar de verdade
Set-MpPreference -EnableControlledFolderAccess Enabled

# Conferir o estado atual (0 = desligado, 1 = ativo, 2 = auditoria)
(Get-MpPreference).EnableControlledFolderAccess

Em um PC doméstico, é razoável pular direto para Enabled e liberar o que quebrar. Se o PC for de trabalho, com software de contabilidade, ERP ou ferramentas antigas, vale a semana de auditoria.

Passo 3: proteger outras pastas e liberar apps legítimos

As pastas padrão cobrem o básico, mas dados do trabalho costumam morar em D:\Projetos ou numa pasta de fotos em outro disco. Acrescente-as, e libere os programas que precisam gravar nelas:

# Adicionar uma pasta à lista de protegidas
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projetos"

# Permitir um app específico (caminho completo do executável)
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\MeuApp\meuapp.exe"

# Listar o que já está configurado
(Get-MpPreference).ControlledFolderAccessProtectedFolders
(Get-MpPreference).ControlledFolderAccessAllowedApplications

Pela interface, o caminho é o mesmo do passo 1: Pastas protegidas e Permitir que um aplicativo use o acesso controlado a pastas. Só libere executáveis que você reconhece. Liberar o app errado só para fazer a notificação sumir é jogar fora a proteção.

Passo 4: o que fazer quando algo é bloqueado

Por que o Windows diz "Alterações não autorizadas bloqueadas"?

Porque um aplicativo que o Defender não considera confiável tentou gravar numa pasta protegida; se você conhece o programa, libere o executável dele, e se não conhece, deixe bloqueado e investigue.

Esse aviso é o recurso funcionando. Antes de liberar, pergunte: eu acabei de abrir esse programa? Instalei algo hoje? Se a resposta for não, trate como suspeito e siga o roteiro para saber se o PC foi hackeado. Os bloqueios ficam registrados no Visualizador de Eventos, em Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational. Segundo a Microsoft, o evento 1123 indica acesso bloqueado, o 1124 indica acesso registrado em modo de auditoria e o 5007 indica mudança de configuração. Pelo PowerShell:

Get-WinEvent -FilterHashtable @{
  LogName = 'Microsoft-Windows-Windows Defender/Operational'
  Id      = 1123, 1124
} -MaxEvents 20 | Select-Object TimeCreated, Id, Message

Se você quer ir além na leitura de logs, o post sobre Get-WinEvent explica filtros e armadilhas. E o evento 5007 vale monitorar: um ransomware com privilégio pode tentar desligar a proteção antes de agir.

O que o Acesso controlado a pastas não resolve

• Não protege contra quem já tem o controle. Malware com privilégio de administrador pode alterar a configuração. Por isso as demais defesas continuam valendo, como as listadas em como se proteger de ransomware.
• Não impede roubo de dados. Ransomware moderno copia os arquivos antes de criptografar, e ler uma pasta não é o mesmo que alterá-la.
• Pode gerar falsos positivos com programas antigos, jogos que salvam em Documentos e scripts próprios. Calibre com a auditoria.
• Não substitui backup. Se o disco morrer ou o arquivo for apagado por você, o CFA não ajuda.

Checklist rápido

1. Defender ativo e com proteção em tempo real ligada.
2. Acesso controlado a pastas em AuditMode por alguns dias (ou Enabled direto, em PC doméstico).
3. Pastas de dados fora do padrão adicionadas à lista.
4. Apps legítimos liberados pelo caminho completo.
5. Backup offline testado, porque é ele que salva quando a defesa falha.

É um ajuste de cinco minutos que muda o resultado do pior cenário. Para o restante das configurações que vale revisar no sistema, siga com as 10 configurações que deixam o Windows 11 mais seguro.

Fontes: documentação da Microsoft sobre Controlled Folder Access, como ativar e como avaliar em modo de auditoria.