Ransomware é um malware que criptografa seus arquivos e exige um resgate para restaurá-los. Veja como funciona e como evitar pagar (sem passos de ataque).
Como funciona: um negócio criminoso com papéis divididos
O ransomware clássico criptografa todos os arquivos que consegue alcançar em um dispositivo ou servidor e deixa um bilhete: "pague se quiser a chave de descriptografia". Mas a real natureza da ameaça de hoje é menos sobre a tecnologia e mais sobre como ela gera dinheiro.
Na dupla extorsão, invasores exfiltram dados antes de criptografar. Então mesmo que a vítima restaure de seus próprios backups, resta uma segunda ameaça: "pague ou publicamos o que roubamos". Essa mudança é o motivo pelo qual "temos backups, então estamos bem" já não se sustenta sozinho. Além disso, o RaaS (Ransomware como serviço) divide o trabalho — quem constrói a ferramenta e quem executa os ataques agora são pessoas diferentes — o que reduziu drasticamente a barreira de entrada.
Principais rotas de entrada
O ransomware não aparece do nada; ele entra por um conjunto previsível de rotas. Bloqueá-las é a primeira defesa.
1. Phishing
via anexos / links de e-mail. A rota mais comum. defesa = MFA, filtragem de e-mail, treinamento
2. VPN/RDP expostos
acesso remoto fraco / sem MFA. defesa = exigir MFA, reduzir exposição
3. Falhas sem patch
vulnerabilidades conhecidas em software exposto à internet. defesa = aplicar patch prontamente
Um exemplo real que cobrimos, o vazamento em massa do MOVEit Transfer, viu um grupo de ransomware explorar uma vulnerabilidade sem patch em software exposto à internet e roubar grandes volumes de dados antes de uma correção estar disponível — um caso de dupla extorsão. É um bom lembrete de que "um anexo de e-mail" não é a única forma de o ransomware entrar.
Ransomware x malware comum
O ransomware é um tipo de malware, mas o objetivo e o momento em que você o percebe são muito diferentes (→ o que é malware).
| Malware comum (spyware e afins) | Ransomware | |
|---|---|---|
| Objetivo | Roubar informações ou controlar o dispositivo sem ser notado | Parar o negócio e fazer o resgate ser pago |
| Quando você percebe | Muitas vezes roda sem ser notado por muito tempo | Aparece de repente, com criptografia e um bilhete de resgate |
| Principal dano | Vazamento de dados, transferências fraudulentas, uso do dispositivo para atacar outros | Paralisação, mais a publicação dos dados roubados |
| O que decide o resultado | Detecção (EDR) e proteção das credenciais | Backups offline e manter os invasores do lado de fora |
Exemplos: incidentes de ransomware no Japão
Estes são casos japoneses tratados neste site. A maioria das portas de entrada foi um appliance VPN exposto à internet ou credenciais roubadas.
| Caso | Porta de entrada relatada | Dano e recuperação |
|---|---|---|
| Capcom (2020) | Um appliance VPN antigo que nunca foi desativado | Dados pessoais de até cerca de 390 mil pessoas possivelmente expostos; recuperação a partir de backups, sem pagar |
| Hospital Handa (2021) (em inglês) | Uma vulnerabilidade sem patch em um appliance VPN | Os backups estavam na mesma rede e também foram criptografados; cerca de dois meses para restaurar o prontuário eletrônico |
| Centro Médico Geral de Osaka (2022) (em inglês) | O dispositivo VPN de uma empresa terceirizada de alimentação | A invasão veio pela terceirizada; atendimento ambulatorial, cirurgias e emergência foram restringidos; pouco mais de dois meses até a recuperação completa |
| KADOKAWA (2024) | Credenciais roubadas por phishing, segundo a explicação da empresa | Muitos serviços do grupo fora do ar por um longo período; vazamento de dados pessoais de cerca de 250 mil pessoas |
| Medica Shuppan (2026) (em inglês) | Invasão usando credenciais de contas legítimas, segundo a empresa | Cerca de 641 mil pessoas notificadas como "possivelmente vazadas" |
O que eles têm em comum é como as portas de entrada expostas à internet eram gerenciadas e onde os backups ficavam. Como proteger appliances VPN é tratado em os dispositivos VPN são a principal porta de entrada do ransomware (em inglês).
Defesa: torne possível a recuperação sem pagar
Mantenha backups offline / imutáveis (o mais importante)
Backups são o que decide a recuperação. Mas um backup sempre online e gravável pode ser criptografado junto com o resto, então mantenha pelo menos uma cópia offline ou imutável (à prova de adulteração), e faça testes de restauração regularmente para confirmar que você realmente consegue recuperar os dados. Veja essenciais de backup e recuperação (3-2-1).
Previna a invasão: MFA e patches
Exija autenticação multifator (MFA) nas maiores rotas (logins propensos a phishing e acesso remoto exposto) e aplique patches em vulnerabilidades conhecidas prontamente em tudo o que estiver exposto à internet. Só isso já detém uma grande parcela das invasões (→ escolhendo MFA).
Limite o dano: privilégio mínimo e segmentação
Para que um comprometimento não criptografe a empresa inteira, mantenha privilégios no mínimo necessário e segmente a rede. Projetar para que uma única máquina comprometida não se espalhe por toda parte mantém o dano local.
Tenha detecção e um plano de 'depois que formos atingidos'
Mesmo com essas defesas, a prevenção nunca é perfeita. Então detecte anomalias cedo e decida com antecedência — em um plano de resposta a incidentes — quem faz o quê (isolar, notificar, restaurar, nessa ordem). Construa a capacidade de conter e restaurar antes que alguém entre em pânico e pague.
A visão deste site: não conte com pagar; prepare-se com antecedência
Sobre pagar ou não, nossa posição é clara: construa a capacidade de não pagar, com antecedência. Pagar não garante a descriptografia; com a dupla extorsão também não detém o vazamento; e financia o crime ao mesmo tempo em que o marca como um pagador que será atacado de novo.
Então o que importa é a preparação, não a resposta a incidentes: um backup offline que você consegue restaurar, mais MFA e patches que mantêm os invasores do lado de fora. Com ambos no lugar, o dano do ransomware fica no nível de um incidente irritante, mas recuperável.
Primeiros passos ao perceber uma infecção
Desconecte da rede
Tire o cabo de rede e desligue o Wi-Fi para impedir que ele se espalhe para outros dispositivos e para os backups. Evite reinicializações ou desligamentos precipitados, que podem apagar registros de que os investigadores precisam.
Contate os responsáveis internos e as autoridades externas
Em uma organização, use os contatos combinados com antecedência. Comunique a polícia ou o canal nacional de denúncia de crimes cibernéticos e, se dados pessoais podem ter vazado, verifique as regras de notificação da autoridade de proteção de dados (no Brasil, a ANPD).
Procure um descriptografador e backups limpos
Se o bilhete de resgate indicar a família, procure no No More Ransom uma ferramenta gratuita de descriptografia. Ao mesmo tempo, confirme que você tem backups que o ataque não atingiu.
Como verificar a sua própria configuração
- Liste os nomes de produto e as versões dos seus appliances VPN e firewalls expostos à internet, e consulte os avisos do fabricante e o CVE / KEV Lookup em busca de vulnerabilidades exploradas ainda presentes
- Garanta que a Área de Trabalho Remota (RDP, normalmente na porta 3389) não possa ser acessada diretamente pela internet
- Verifique se as contas de VPN e de acesso remoto exigem autenticação multifator (MFA) e se não restam contas sem uso
- Confirme que pelo menos um backup fica em um lugar que as credenciais de produção não conseguem apagar (offline, ou com imutabilidade ativada), e de fato restaure um arquivo a partir dele
"Temos backups" já não significa "estamos seguros"
Backups costumavam tornar o ransomware inofensivo. Mas agora que a dupla extorsão é a norma, conseguir restaurar é um problema diferente de impedir o roubo de dados. Invasores extraem os dados antes de criptografar e então exigem pagamento "ou publicamos". Então a defesa precisa das duas coisas: não apenas conseguir restaurar (backups), mas também impedir que os invasores entrem ou levem dados (prevenção de invasões). O ponto de partida da defesa moderna contra ransomware é recusar-se a parar em "mas temos backups".
Fontes (primárias)
- Agência Nacional de Polícia do Japão, "Medidas de prevenção de danos por ransomware" (em japonês) — npa.go.jp (o que fazer quando atingido, e prevenção)
- No More Ransom, "About the project" — nomoreransom.org (em inglês; ferramentas gratuitas de descriptografia)
- CISA, "#StopRansomware Guide" — cisa.gov (em inglês; backups offline e checklist de resposta)
- Comissão de Proteção de Informações Pessoais do Japão, "Resposta a vazamentos" (em japonês) — ppc.go.jp
Leia a seguir
- Aprenda: essenciais de backup e recuperação (o básico para se recuperar sem pagar, incluindo a regra 3-2-1)
- Aprenda: escolhendo o MFA do jeito certo (bloqueie a principal rota de entrada)
- Glossário: o que é phishing (corte a principal rota de entrada em si)
- Caso: o vazamento em massa do MOVEit Transfer (dupla extorsão via falha sem patch) · o ransomware na Capcom (2020) (um dispositivo VPN antigo foi a porta de entrada; recuperou sem pagar)
- Glossário: o que é C2 (comando e controle) (o canal pós-infecção pelo qual os invasores operam)
- Glossário: o que é malware (uma visão geral do software malicioso, incluindo o ransomware, e da defesa comum)