Ransomware: o que é, como age e como pessoas e empresas se protegem

Um dia, os arquivos do computador não abrem mais. No lugar deles, uma mensagem informa que tudo foi criptografado e que só será liberado mediante pagamento. Em empresas, o cenário é pior: sistemas parados, clientes sem atendimento e, às vezes, ameaças de divulgar dados.

Isso é o ransomware, um dos tipos de ataque mais danosos da atualidade. Este guia explica o que ele é, como os ataques costumam acontecer, quais defesas fazem mais diferença e o que fazer se ocorrer. O conteúdo é defensivo e educativo: não descreve como criar ou executar esse tipo de ataque.

O que é ransomware

Ransomware é um tipo de software malicioso (malware) que bloqueia o acesso a arquivos ou sistemas, normalmente por criptografia, e exige um resgate (ransom, em inglês) para liberá-los. Em muitos casos, o pagamento é pedido em criptomoedas.

Um ataque de ransomware combina técnicas conhecidas de invasão com um objetivo financeiro. Muitos grupos operam como negócios organizados, que vendem ferramentas e acessos a outros criminosos.

Dupla extorsão

Hoje é comum que os criminosos, antes de criptografar, copiem dados da vítima. Assim, mesmo quem tem backup enfrenta a ameaça de ver informações publicadas ou vendidas. Esse modelo é chamado de dupla extorsão, e transforma o ataque em um problema também de privacidade e de conformidade, como a LGPD. Veja em o que é LGPD.

Como um ataque costuma acontecer, em alto nível

Cada ataque é diferente, mas um roteiro geral ajuda a entender onde as defesas atuam.

Repare que a criptografia costuma ser a última etapa. Há oportunidades de detectar e barrar o ataque antes dela.

As portas de entrada mais comuns

• E-mails e mensagens de phishing com links e anexos maliciosos. Veja como identificar phishing.
• Credenciais fracas, reutilizadas ou vazadas, sem autenticação em dois fatores.
• Serviços de acesso remoto expostos à internet, sem proteção adequada.
• Sistemas e aplicativos desatualizados, com falhas conhecidas.
• Programas piratas ou de origem duvidosa, que podem trazer malware embutido.
• Fornecedores e parceiros com acesso à sua rede.

Quem é alvo

Qualquer pessoa ou organização. Empresas de todos os portes, órgãos públicos, hospitais e escolas já foram atingidos, e criminosos tendem a escolher alvos que parecem mais vulneráveis ou que sofrem mais com a paralisação. Pequenas empresas e pessoas físicas também são atacadas, muitas vezes de forma automatizada.

Como se proteger

As medidas abaixo seguem recomendações de agências como a CISA. Elas reduzem o risco e o impacto.

1. Faça backups isolados e teste a restauração

O backup é a defesa que mais reduz o dano da criptografia. Siga a regra 3-2-1: três cópias, em dois tipos de mídia, com uma fora do local. Acrescente estas precauções:

• mantenha ao menos uma cópia desconectada ou imutável, que o ataque não consiga alterar;
• teste a restauração regularmente. Um backup que não restaura não protege;
• proteja o próprio sistema de backup com senhas fortes e autenticação em dois fatores.

2. Mantenha tudo atualizado

Aplique as atualizações de segurança do sistema, do navegador e dos aplicativos, e priorize as correções de falhas já exploradas ativamente por criminosos.

3. Use autenticação em dois fatores

Ative em e-mail, acesso remoto, contas de administrador e serviços na nuvem, preferindo métodos resistentes a phishing. Veja autenticação em dois fatores.

4. Proteja senhas

Senhas únicas e longas, guardadas em um gerenciador, reduzem o risco de invasões por credenciais vazadas. Veja gerenciador de senhas e passkeys.

5. Aplique o princípio do menor privilégio

Usuários e sistemas devem ter só as permissões necessárias. Evite trabalhar no dia a dia com contas de administrador, e separe contas de uso pessoal e de gerência.

6. Reduza a superfície exposta

Desative serviços de acesso remoto que não são necessários e proteja os demais com autenticação multifator e restrições de acesso. Mantenha um inventário do que está exposto à internet.

7. Segmente a rede e monitore

Separar a rede em partes dificulta a propagação. Ferramentas de detecção e o monitoramento de comportamentos suspeitos ajudam a interromper o ataque antes da criptografia.

8. Filtre e-mails e treine as pessoas

Filtros de spam e de anexos reduzem a chegada de mensagens maliciosas, e a conscientização ensina a reconhecer e a relatar tentativas.

9. Prepare um plano de resposta

Defina com antecedência quem faz o quê: quem decide, quem fala com clientes e autoridades, quem contata o suporte técnico e o jurídico. Guarde os contatos e o plano também em formato impresso, já que os sistemas podem estar fora do ar.

Para uso doméstico: o essencial

Se você é usuário comum, o mais importante é:

1. Ter backup das fotos e documentos em um disco externo que fique desligado depois da cópia, ou em um serviço de nuvem com histórico de versões.
2. Manter sistema e aplicativos atualizados.
3. Não instalar programas piratas nem de fontes desconhecidas.
4. Desconfiar de anexos e links inesperados.
5. Usar senhas únicas e autenticação em dois fatores.

Para o panorama completo, veja o guia de segurança digital.

O que fazer se você for atacado

Agir de forma organizada faz diferença. Um roteiro geral, que deve ser adaptado ao seu caso:

1. Isole os equipamentos afetados. Desconecte-os da rede e da internet, cabo e Wi-Fi, para impedir a propagação. Evite apagar ou reinstalar tudo de imediato, porque isso pode destruir evidências.
2. Avalie o alcance. Descubra quais sistemas e dados foram atingidos, e se houve acesso a informações pessoais.
3. Acione as pessoas certas. Em empresas, a equipe de TI ou segurança, a direção e o jurídico. Em casa, um profissional de confiança.
4. Preserve as evidências, como a mensagem de resgate, registros e capturas de tela.
5. Comunique quem for necessário. Se houve incidente com dados pessoais que possa gerar risco ou dano relevante, a LGPD prevê a comunicação à ANPD e aos titulares.
6. Registre a ocorrência junto às autoridades competentes, como a delegacia especializada em crimes cibernéticos ou a Polícia Federal, conforme o caso. Órgãos públicos e serviços essenciais contam com canais específicos, como o CTIR Gov.
7. Recupere com cuidado. Restaure a partir de backups limpos, depois de eliminar a causa da invasão. Troque todas as credenciais e corrija a falha que permitiu a entrada.
8. Aprenda com o incidente e ajuste o plano e as defesas.

E o resgate: pagar ou não?

Autoridades como o FBI e a CISA não incentivam o pagamento. Os motivos:

• não há garantia de que os dados serão devolvidos, ou de que os arquivos serão restaurados por completo;
• o pagamento pode incentivar novos ataques, inclusive contra você;
• os dados roubados podem ser divulgados mesmo assim;
• dependendo do caso, o pagamento pode ter implicações legais.

A decisão, em um caso real, envolve especialistas e assessoria jurídica. Antes de considerar qualquer pagamento, verifique se existe uma ferramenta gratuita de recuperação: o projeto No More Ransom, apoiado por autoridades e empresas de segurança, reúne decodificadores para algumas famílias de ransomware.

Perguntas frequentes

Antivírus protege contra ransomware?

Ajuda, principalmente contra variantes conhecidas, mas não é suficiente sozinho. A combinação de atualizações, backup isolado, autenticação em dois fatores e cuidado com mensagens é o que faz diferença.

Celulares e Macs também são atingidos?

Os ataques mais comuns visam computadores e servidores com Windows, mas há ameaças para outros sistemas, inclusive servidores Linux e dispositivos móveis. O cuidado é válido para todos.

Backup na nuvem me protege?

Pode proteger, se houver histórico de versões e se a conta estiver bem protegida. Um serviço de nuvem sincronizado pode replicar arquivos criptografados, por isso é importante ter versões anteriores ou uma cópia isolada.

O ransomware pode atacar depois de eu ter pago?

Sim. Há relatos de vítimas que voltaram a ser atacadas, e de dados divulgados mesmo depois do pagamento.

Como uma empresa pequena começa a se proteger?

Com backup testado e isolado, atualizações, autenticação em dois fatores, treinamento básico e um plano de resposta simples. Essas medidas cobrem a maior parte do risco.

Conclusão

Ransomware combina invasão, criptografia de dados e extorsão. Suas portas de entrada são conhecidas: phishing, senhas fracas, acessos remotos expostos e falhas sem correção. As defesas mais eficazes também: backup isolado e testado, atualizações, autenticação multifator, menor privilégio e um plano de resposta.

Prepare-se antes, porque durante o ataque o tempo é curto. Este guia foi revisado em setembro de 2026 e se baseia em recomendações de órgãos como a CISA. As ameaças evoluem, então consulte as fontes atualizadas.

Fontes

• CISA. #StopRansomware Guide.
• CISA. Ransomware: visão geral e recursos.
• No More Ransom. Ferramentas de descriptografia e orientações.
• CERT.br / NIC.br. Cartilha de Segurança para Internet: Ransomware.
• Gabinete de Segurança Institucional da Presidência. Segurança da informação e cibernética.
• Presidência da República. Lei nº 13.709/2018 (LGPD).