Ransomware: o que fazer nas primeiras 24 horas

Por que isolar não é o mesmo que desligar

Desligar uma máquina comprometida parece a reação segura, mas apaga a memória volátil — e é nela que costumam estar processos ativos, conexões abertas, credenciais em uso e, em parte dos casos, material criptográfico. Uma vez perdida, essa informação não volta, e com ela vai a chance de entender como o atacante entrou.

Isolar resolve a urgência sem esse custo: remover o cabo de rede, desativar o Wi-Fi ou mover a porta para uma VLAN de quarentena interrompe a propagação e a comunicação com o servidor de comando, mantendo o sistema ligado para coleta.

Regra prática: contenha a rede, preserve o equipamento. Quem desliga primeiro costuma descobrir o vetor de entrada tarde — ou nunca.

A ordem das decisões nas primeiras horas

1. 1Isolar os ativos afetados da rede, sem desligar, e conter o alcance lateral (segmentação, bloqueio de contas de serviço, revogação de sessões).
2. 2Congelar e rotacionar credenciais privilegiadas, começando pelas de administração de domínio, backup e hipervisor — são os alvos que transformam um incidente em desastre.
3. 3Preservar evidência antes de qualquer reinstalação: imagens de disco, memória quando viável, logs de EDR, firewall, VPN, e-mail e autenticação, com registro de quem coletou, quando e de onde.
4. 4Mapear o escopo real: quais sistemas, quais dados, se houve exfiltração além da criptografia, e desde quando existe sinal de presença.
5. 5Verificar os backups antes de confiar neles — existência não é integridade, e cópia acessível pela mesma credencial comprometida não é backup.
6. 6Acionar o jurídico e o encarregado de dados, porque prazos regulatórios contam do conhecimento do fato, não do fim da recuperação.
7. 7Controlar a comunicação interna e externa com uma mensagem única, evitando que versões paralelas circulem antes dos fatos.
8. 8Avaliar as obrigações de notificação a titulares, reguladores, seguradora e clientes contratualmente cobertos.

Backup só conta se for isolado e testado

Grupos de ransomware maduros procuram o backup antes de criptografar o restante, porque é ele que retira a alavanca da negociação. Uma cópia que fica na mesma rede, autenticada pelo mesmo diretório e alcançável pela conta de administrador local tende a cair junto com a produção.

• Uma cópia offline ou imutável, fora do alcance das credenciais do ambiente produtivo.
• Restauração testada de ponta a ponta, com tempo medido — não apenas o job marcado como concluído.
• Restauração feita em ambiente limpo: recuperar sobre uma rede ainda comprometida costuma resultar em segunda criptografia.

Pagar o resgate: por que a decisão não é técnica

O pagamento não garante a chave, não garante que a cópia exfiltrada será destruída e não encerra a exposição — em vários casos a mesma vítima é procurada de novo. Além disso, a transação envolve avaliação de risco jurídico, contratual e reputacional, e eventuais restrições sobre a contraparte. Por isso a decisão pertence à direção com o jurídico, informada pela técnica, e não ao contrário.

Erros que encarecem a recuperação

• Desligar ou reinstalar estações antes da coleta, destruindo a prova do vetor inicial.
• Restaurar sobre um ambiente ainda comprometido, sem fechar a porta de entrada.
• Negociar sem registro, sem assessoria e sem verificar se há de fato capacidade de decriptação.
• Comunicar cedo demais um escopo que ainda vai mudar, criando contradição pública.
• Tratar o caso apenas como falha de TI, quando desde a primeira hora ele já é um caso de prova e de prazo regulatório.