Ransomware é um código malicioso que torna inacessíveis os dados de um equipamento, em geral criptografando os arquivos, e exige um resgate para devolver o acesso. O CERT.br distingue dois tipos: o locker, que trava o aparelho inteiro, e o crypto, que criptografa os dados armazenados. Os dois costumam procurar outros dispositivos conectados, locais ou em rede, para se espalhar.

O cenário piorou com a dupla extorsão. Segundo o guia #StopRansomware da CISA, agência de cibersegurança dos Estados Unidos, os grupos passaram também a copiar os dados da vítima antes de criptografá-los e a ameaçar publicá-los se o resgate não for pago. Com isso, o backup resolve a parte da indisponibilidade, mas não a do vazamento.

Um caso brasileiro recente

Em julho de 2026, a ANPD abriu processo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que administra unidades públicas de saúde em seis estados. Um ataque de ransomware em 2025 afetou cerca de 500 mil registros de pacientes, segundo a própria entidade, com cerca de 78,7 mil de crianças e adolescentes e dados sensíveis como exames, prontuários e diagnósticos.

O processo não trata do ataque em si, mas do que veio antes e depois. A ANPD apontou falta de medidas de segurança técnicas e administrativas adequadas e uma comunicação falha às vítimas: só um aviso no site, sem a data do incidente, sem dizer quais dados foram afetados e sem as medidas adotadas. Ou seja, a forma como a organização se prepara e responde pesa tanto quanto a invasão.

Outro episódio, de natureza diferente, mostra o valor do backup. Em novembro de 2020, o Superior Tribunal de Justiça sofreu um ataque hacker que derrubou sua rede e suspendeu os prazos processuais de 3 a 9 de novembro. Em comunicado de 6 de novembro, a presidência do tribunal informou que o backup estava "100% íntegro" e que os dados de cerca de 255 mil processos estavam preservados; os julgamentos foram retomados em 17 de novembro. As notas oficiais falam em "ataque hacker" e não detalham o tipo de código usado.

Por onde o ransomware entra

O guia da CISA organiza as portas de entrada mais comuns em seis grupos:

Porta de entradaComo aconteceDefesa principal
Falhas em sistemas expostos à internetServidor, VPN ou roteador sem atualizaçãoAtualizar primeiro o que está exposto
Credenciais comprometidasSenha vazada ou reutilizada em VPN, e-mail, acesso remotoAutenticação resistente a phishing
PhishingE-mail ou mensagem com anexo ou link que executa o códigoFiltro de e-mail, macros desativadas, treinamento
Malware precursorUm vírus anterior, não removido, abre caminhoInvestigar e limpar infecções antigas
Engenharia social avançadaGolpista se passa por suporte técnicoVerificar por outro canal
Terceiros e prestadores de TIAcesso do fornecedor é usado como ponteLimitar e monitorar acessos de terceiros

O acesso remoto merece atenção especial. A CISA observa que criminosos frequentemente entram por serviços remotos expostos e mal protegidos e recomenda não deixar o RDP (área de trabalho remota do Windows) aberto para a internet.

Checklist para casa

  • Backup automático do celular e do computador ativo (Google One, iCloud, Histórico de Arquivos do Windows ou similar).
  • Uma segunda cópia em disco externo, conectado só durante o backup. O CERT.br lembra que o ransomware cifra e apaga também os backups que encontra acessíveis.
  • Restauração testada: abra o backup e recupere um arquivo qualquer a cada poucos meses.
  • Sistema e aplicativos atualizados, com atualização automática ligada.
  • Proteção do sistema ativa (no Windows, o Microsoft Defender já vem instalado).
  • Verificação em duas etapas no e-mail e na nuvem onde está o backup. Veja como em verificação em duas etapas.
  • Nenhum programa instalado a pedido de desconhecidos, nem anexos inesperados abertos, mesmo de contatos conhecidos.

Checklist para pequena empresa

Além dos itens acima:

  • Backup em três cópias, duas mídias, uma fora do escritório, com pelo menos uma cópia offline ou imutável. A CISA recomenda backups offline e criptografados, testados regularmente.
  • Inventário do que está exposto à internet: servidor de arquivos, câmeras, roteador, sistema de gestão, acesso remoto.
  • RDP fechado para a internet. Se precisar de acesso remoto, use VPN com autenticação multifator e bloqueio após tentativas erradas.
  • Autenticação multifator em e-mail, VPN e painéis administrativos, de preferência resistente a phishing (passkey ou chave física).
  • Contas de administrador separadas das contas de uso diário, e só para quem precisa.
  • Senhas únicas guardadas em um gerenciador de senhas da equipe, não em planilha.
  • E-mail filtrado, com aviso visual em mensagens externas, DMARC configurado no domínio e macros desativadas em arquivos do Office.
  • Acesso de fornecedores de TI limitado e registrado.
  • Plano de resposta impresso, com telefones de quem decide, do suporte técnico e do responsável pela LGPD. Impresso porque, durante o ataque, os arquivos digitais podem estar inacessíveis.

As primeiras horas de um ataque: plano de resposta

Os passos abaixo seguem a lista de verificação de resposta do guia da CISA, adaptados para quem não tem equipe de segurança.

Nos primeiros minutos

  1. Isole os aparelhos afetados. Tire o cabo de rede e desligue o Wi-Fi. Se vários equipamentos parecem atingidos, desligue a rede no switch ou no roteador.
  2. Não desligue os computadores, se puder isolá-los de outra forma. A CISA explica que desligar apaga evidências na memória que ajudam a investigar o ataque.
  3. Não apague a nota de resgate e fotografe as telas.

Nas primeiras horas

  1. Acione o suporte técnico e liste os sistemas atingidos, por ordem de importância para a operação.
  2. Proteja o backup: confirme que ele está desconectado e não o ligue à rede infectada.
  3. Procure sinais de acesso anterior, como contas de administrador novas e programas de acesso remoto que ninguém instalou. Muitas vezes o ransomware é a última etapa de uma invasão que começou dias antes.
  4. Troque senhas de contas administrativas e de e-mail a partir de um aparelho limpo, e só depois da limpeza do ambiente troque as demais.

Nos dias seguintes

  1. Registre boletim de ocorrência e guarde as evidências.
  2. Consulte o No More Ransom (nomoreransom.org), projeto mantido pela Europol e pela polícia holandesa com parceiros privados, que reúne ferramentas gratuitas de descriptografia para algumas famílias de ransomware. Nem toda variante tem solução.
  3. Reconstrua os sistemas a partir de instalações limpas, em ordem de prioridade, e restaure os dados do backup.

Obrigações pela LGPD

Se o ataque atingiu dados pessoais de clientes, funcionários ou pacientes, entra em cena a LGPD. Pelo Regulamento de Comunicação de Incidente (Resolução CD/ANPD nº 15, de abril de 2024), o controlador tem três dias úteis, contados de quando soube que o incidente atingiu dados pessoais, para comunicar a ANPD e os titulares quando houver risco ou dano relevante. As informações podem ser complementadas depois, e todo incidente, comunicado ou não, deve ficar registrado internamente por pelo menos cinco anos.

O caso Isac mostra o que a autoridade examina: se havia medidas de segurança, se o aviso às vítimas foi individual e completo e se a organização tem um encarregado identificado.

Pagar ou não pagar o resgate

O CERT.br é direto: o pagamento não garante que você conseguirá restabelecer o acesso aos dados. O projeto No More Ransom também recomenda não pagar, porque isso mostra aos criminosos que o modelo funciona e não há garantia de receber uma chave que funcione. Com a dupla extorsão, pagar também não garante que os dados copiados deixem de ser publicados ou vendidos.

A decisão, quando chega a esse ponto, envolve a direção da empresa, o jurídico e a polícia. O que muda o jogo é chegar ao ataque com um backup testado e desconectado, como mostrou o caso do STJ.

Fontes