Ransomware em pequenas empresas: como o ataque entra e o que realmente segura o prejuízo

Ransomware criptografa os arquivos da empresa e cobra resgate para devolvê-los. O que quase ninguém explica é a parte que decide o desfecho: na maioria dos casos que chegam à bancada, o backup existia — e foi criptografado junto, porque estava conectado à mesma rede.

Por onde o ataque entra

Em empresa pequena, o caminho raramente é sofisticado. São quatro portas recorrentes:

• Anexo ou link em e-mail. Cobrança falsa, boleto, currículo, nota fiscal. O remetente pode ser um contato real cuja conta foi invadida — por isso "conheço quem mandou" não é critério de segurança.
• Acesso remoto exposto na internet. Área de trabalho remota liberada para fora com senha fraca é o vetor mais explorado em escritórios que precisaram improvisar trabalho fora da empresa.
• Programa desatualizado. Falhas conhecidas em sistema operacional, navegador e utilitários de rede continuam sendo exploradas anos depois da correção existir.
• Credencial reaproveitada. Senha de administrador repetida entre máquinas transforma uma infecção isolada em ataque a toda a rede.

Por que o backup normalmente falha justamente na hora

O ransomware não ataca só o computador onde foi executado. Ele procura tudo que estiver acessível a partir dali: pastas compartilhadas, unidades mapeadas, servidor de arquivos, HD externo plugado e, em vários casos, a pasta sincronizada com a nuvem.

Isso significa que backup em HD externo permanentemente conectado não é proteção contra ransomware — é mais um alvo. O mesmo vale para a pasta sincronizada: se a versão criptografada sobe para a nuvem, o arquivo bom é substituído.

O que resiste tem três características:

• Cópia desconectada, que só é ligada durante a rotina de backup e depois removida.
• Versionamento, que permite voltar a um estado anterior à criptografia mesmo depois da sincronização.
• Credencial separada, para que o usuário infectado não tenha permissão de apagar o destino do backup.

O critério prático de teste é simples e vale mais que qualquer plano no papel: se a empresa não consegue restaurar um arquivo de duas semanas atrás em poucos minutos, o backup ainda não foi validado. O desenho dessa rotina está em backup para empresas.

Primeiras horas depois do ataque

1. Isolar, não desligar às pressas. Tire as máquinas afetadas da rede — cabo e Wi-Fi. Isso interrompe a propagação sem destruir informação que ainda pode ajudar a identificar o que aconteceu.
2. Desconectar os destinos de backup antes que sejam alcançados, se ainda não foram.
3. Não formatar nada enquanto o cenário não estiver mapeado. Formatação apressada elimina a chance de recuperar o que sobrou.
4. Levantar o alcance real: quais máquinas, quais pastas de rede, qual servidor e desde quando.
5. Preservar os arquivos criptografados. Em parte dos casos existe ferramenta de decriptação pública para a variante específica, publicada depois do ataque.

Sobre pagar o resgate

Pagar não garante devolução, não garante que a chave funcione em todos os arquivos e não impede um segundo ataque — pelo contrário, marca a empresa como pagadora. Além disso, o acesso que permitiu a entrada continua aberto enquanto não for fechado. A decisão é da empresa, mas ela precisa ser tomada sabendo que o pagamento não resolve a causa.

O que reduz risco de verdade em empresa pequena

• Fechar o acesso remoto exposto. Se é necessário acesso de fora, ele deve passar por um túnel autenticado, nunca por porta aberta na internet.
• Contas de trabalho sem privilégio de administrador. Grande parte dos ataques depende do usuário poder instalar o que aparecer.
• Senhas distintas por máquina e segundo fator no e-mail. E-mail comprometido é a origem de boa parte das fraudes que vêm depois.
• Atualizações em rotina definida, não quando alguém lembra.
• Filtro de e-mail e bloqueio de anexos executáveis.
• Rotina de restauração testada por amostragem, com registro de quem testou e quando.

Essas verificações fazem parte da rotina descrita em manutenção preventiva para empresas e do acompanhamento em suporte técnico empresarial.

O erro mais caro: tratar como incidente de uma máquina

Quando a empresa limpa apenas o computador que apareceu com a mensagem de resgate e volta a operar, o acesso original continua disponível. Reinfecção em poucas semanas é o desfecho comum. O encerramento correto envolve identificar a porta de entrada, trocar credenciais, revisar o que era acessível a partir da máquina afetada e só então restaurar.

Quando chamar atendimento

Vale acionar suporte imediatamente quando arquivos passaram a abrir com extensão estranha, quando surgiu arquivo de texto pedindo resgate nas pastas, quando o servidor de arquivos ficou inacessível ou quando mais de uma máquina apresentou o mesmo comportamento. O critério de verificação e cobrança está em como funciona o diagnóstico técnico, e a avaliação de dados já atingidos aparece em recuperação de dados.

Resumo prático

Ransomware entra por e-mail, acesso remoto exposto, software desatualizado ou senha reaproveitada. Backup só protege se estiver desconectado ou versionado e se a restauração já tiver sido testada. Diante do ataque, isole a rede, preserve os arquivos, mapeie o alcance e feche a porta de entrada antes de restaurar — limpar só a máquina visível costuma resultar em reinfecção.