Como um ransomware entra numa empresa de 30 pessoas
Quase nunca por uma técnica sofisticada. O relatório de violações de dados da Verizon de 2026, que cobre incidentes de novembro de 2024 a outubro de 2025, registra o fator humano presente em 62% das violações e a exploração de vulnerabilidades como principal porta de entrada; o ransomware aparece em 48% de todas as violações, acima dos 44% do ano anterior. No Brasil, o CERT.br recebeu 470.885 notificações de incidentes em 2025; a maioria esmagadora são varreduras, ou seja, atacantes procurando portas abertas, e é assim que uma empresa pequena é encontrada: não por ser alvo, mas por estar exposta.
A sequência típica: um e-mail de phishing ou uma área de trabalho remota exposta à internet com senha reaproveitada; a partir daí, o atacante escala privilégios, encontra os backups acessíveis pela rede e os apaga ou criptografa, copia os dados que valem extorsão e só então criptografa os servidores. O guia StopRansomware da CISA registra que muitas variantes de ransomware tentam localizar e, em seguida, apagar ou criptografar backups acessíveis. O ataque que a empresa percebe na segunda-feira de manhã começou semanas antes.
MFA e senha: a porta que fecha os casos de entrada barata
A medida com melhor relação entre custo e efeito é a autenticação multifator em tudo que fica exposto à internet: e-mail, VPN, acesso remoto, painel da nuvem, ERP com acesso externo, repositório de código. A CISA afirma que a única autenticação resistente a phishing amplamente disponível é a baseada em FIDO/WebAuthn, ou seja, chaves físicas ou a biometria do próprio dispositivo; códigos por SMS ou aplicativo ainda são melhores que senha sozinha, mas podem ser interceptados por um site falso convincente.
A segunda medida é não ter área de trabalho remota exposta diretamente à internet: acesso por VPN com MFA ou por um ponto de entrada controlado. A terceira é senha única por serviço, gerenciada por um cofre de senhas, porque a senha reaproveitada é o que transforma um vazamento de um site qualquer em acesso ao seu servidor. O artigo sobre o roubo da Binance detalha os controles de acesso privilegiado; aqui o ponto é que os ataques baratos entram por portas baratas de fechar.
Regra 3-2-1 e a cópia que o ransomware não alcança
A regra clássica diz três cópias dos dados, em dois tipos de mídia, uma delas fora do local. Ela continua válida, mas precisa de um complemento que o ransomware tornou obrigatório: pelo menos uma cópia que as credenciais de produção não consigam apagar. A CISA recomenda manter backups offline e criptografados dos dados críticos e observa que alguns provedores de nuvem oferecem armazenamento imutável, em que a cópia não pode ser alterada nem excluída durante um prazo definido, nem pelo administrador. Se o mesmo usuário que administra o servidor consegue apagar o backup, o atacante que assumir esse usuário também consegue.
Dois erros comuns merecem nome. O primeiro é achar que a retenção de um serviço em nuvem é backup: a lixeira do e-mail, o histórico de versões do armazenamento compartilhado e o próprio banco gerenciado do provedor protegem contra erro de usuário, não contra uma conta administrativa comprometida que esvazia tudo. O segundo é o backup que fica no mesmo servidor, ou num disco de rede sempre montado: para o ransomware, é só mais uma pasta.
Teste de restauração: RTO e RPO em português claro
Dois números definem um backup, e nenhum deles é o tamanho. RPO, objetivo de ponto de recuperação, é quanto de trabalho a empresa aceita perder: se o backup é diário às 23h e o ataque acontece às 17h, perde-se o dia. RTO, objetivo de tempo de recuperação, é em quanto tempo o sistema precisa estar de volta: um dia, uma hora, quinze minutos. Os dois são decisões do negócio, não da TI, e cada redução custa dinheiro; a conversa certa é "quanto custa uma hora parada" antes de "qual ferramenta de backup".
E nada disso vale sem teste de restauração. O artigo sobre manter ou modernizar lista "o backup que ninguém restaurou" entre os sinais de risco de um sistema antigo, e a experiência confirma: backup que nunca foi restaurado é uma hipótese, não um backup. A prática da JBKR é a restauração trimestral num ambiente isolado, usando como prova um processo real do negócio, como emitir o relatório de fechamento do mês a partir da cópia restaurada, e registrar quanto tempo levou. Esse tempo medido é o RTO verdadeiro, e costuma surpreender.
A LGPD não espera: comunicação de incidente à ANPD
O artigo 48 da LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou os prazos: a comunicação à ANPD deve ser feita em três dias úteis contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais; a comunicação aos titulares segue o mesmo prazo; as informações podem ser complementadas em vinte dias úteis.
Há uma obrigação menos conhecida no artigo 10 da mesma resolução: o controlador deve manter registro de todo incidente de segurança, inclusive dos que não foram comunicados à ANPD e aos titulares, por no mínimo cinco anos. Isso significa que a empresa precisa, antes de qualquer incidente, saber quem é o encarregado, onde fica o registro e quem decide se o caso é comunicável. Três dias úteis é tempo de sobra para quem já decidiu isso e tempo nenhum para quem vai descobrir na hora. A página de segurança da JBKR nomeia o encarregado e descreve como tratamos dados no papel de operador.
O que um incidente custa de verdade
O relatório Cost of a Data Breach de 2026, da IBM, calcula o custo médio global de uma violação de dados em US$ 4,99 milhões, recorde e 12% acima do ano anterior; segundo a cobertura da imprensa brasileira do mesmo relatório, o custo médio no Brasil atingiu R$ 7,44 milhões em 2026. Esses números vêm de grandes organizações e não servem para uma empresa de 30 pessoas. O que serve é a estrutura da conta, que é a mesma em qualquer tamanho.
Os componentes: parada, ou seja, receita por hora de operação perdida vezes as horas até a restauração; reconstrução, horas de equipe interna e externa para reinstalar, restaurar e validar; comunicação e jurídico, com a notificação à ANPD, aos titulares e a eventuais clientes com contrato; reputação, os clientes que não voltam e os que pedem desconto; e o resgate, se a empresa decidir pagar, decisão que não garante os dados de volta e que, segundo a Verizon, 69% das vítimas de ransomware em sua base recusaram. Um exercício útil: estime cada componente para o cenário "servidor principal criptografado numa sexta-feira à tarde, backup mais recente de quarta". O total, mesmo grosseiro, costuma ser maior que vários anos de backup imutável e MFA.
Plano de resposta em uma página e próximo passo
O NIST publicou em abril de 2025 a terceira revisão de suas recomendações de resposta a incidentes, alinhada ao Cybersecurity Framework 2.0; para uma empresa pequena, o essencial cabe numa página. Quem decide, quem executa e quem comunica, com telefones fora do sistema, porque o e-mail pode estar comprometido. Isolar: desconectar as máquinas afetadas da rede sem desligá-las, para preservar evidências. Preservar: não apagar logs nem reinstalar antes de copiar o que for possível. Restaurar a partir da cópia imutável, não da cópia que estava na rede. Trocar todas as credenciais, começando pelas administrativas. Comunicar à ANPD e aos titulares dentro do prazo, se houver dados pessoais. E escrever o relatório depois, com o que falhou e o que mudou.
A diferença entre um incidente caro e um incidente administrável não é a ferramenta; é ter decidido tudo isso antes. O caso Legate mostra o outro lado da mesma disciplina: uma migração de integração fiscal feita com zero dias de faturamento parado, porque o caminho de retorno existia antes da virada. Na JBKR o diagnóstico inicial de 30 minutos é gratuito, e a pergunta de abertura sobre backup é uma só: quando foi a última vez que alguém restaurou o seu, e quanto tempo levou?
