Como um único clique pode custar milhões à tua empresa

Ransomware 101: conhece o teu adversário

Ransomware é o termo genérico para software malicioso que cifra ou bloqueia o acesso aos teus sistemas até alguém pagar. O ecossistema por trás tornou-se uma indústria totalmente profissionalizada. O crypto ransomware cifra os ficheiros com criptografia forte e as vítimas precisam da chave do atacante para conseguirem recuperar fosse o que fosse. Entre as famílias mais conhecidas estão o LockBit, o BlackCat e o Royal.

O locker ransomware vai mais à bruta e tranca o sistema todo, impedindo o acesso ao ambiente de trabalho e às aplicações. É menos comum em empresas mas ainda aparece em ataques dirigidos a sectores específicos.

O modelo de negócio dominante em 2025 é o Ransomware-as-a-Service. Os afiliados alugam kits de ransomware a desenvolvedores que ficam com uma parte de cada resgate bem sucedido. Baixou a barreira de entrada e fez surgir as campanhas de dupla e tripla extorsão que agora vemos com regularidade, em que os atacantes ameaçam leakar dados, perseguir clientes ou derrubar a infraestrutura com DDoS se a vítima se recusar a pagar. O clique é apenas o ponto de partida.

Anatomia de um ataque ransomware moderno

Os grupos de ransomware seguem uma sequência bem afinada. Conhecer cada fase é o que te permite colocar controlos exactamente onde vão mesmo travar o ataque.

1. 1

   Acesso inicial

   Emails de phishing, anexos maliciosos, sites comprometidos ou credenciais roubadas. Aos atacantes basta-lhes um clique ou uma password leakada.
2. 2

   Pé dentro e escalada de privilégios

   Os atacantes lançam loaders, recorrem a ferramentas legítimas (PowerShell, PsExec) e sobem privilégios para se moverem lateralmente pela rede. As fases de dormência podem prolongar-se por semanas.
3. 3

   Reconhecimento e roubo de dados

   Mapeiam a tua rede, identificam os backups e exfiltram em silêncio ficheiros sensíveis. A dupla extorsão começa aqui, antes de qualquer cifra.
4. 4

   A cifragem

   Os payloads correm em paralelo em endpoints, servidores e backups. Quando os alertas disparam, o dano já está feito.
5. 5

   Negociação e recuperação

   As notas de resgate exigem o pagamento. As vítimas correm a repor sistemas, envolver negociadores e informar stakeholders.

O custo verdadeiro, para além do resgate

Pagar o resgate é apenas uma parte do prejuízo financeiro. O relatório «Cost of a Data Breach» 2025 da IBM coloca o total médio em 5,02 milhões de dólares, antes sequer de entrarem coimas regulatórias ou processos. O resgate em si tem uma mediana de cerca de 1,54 milhões de dólares (Coveware Q2 2025), e isso antes de se somarem taxas de cripto, apoio jurídico, negociadores e credit monitoring.

A segunda maior rubrica é a paragem operacional. Uma indisponibilidade de 15 dias é o normal. Traduz-se em receita perdida, SLA falhados, horas extra e entregas em atraso. Para a indústria e a logística, uma semana de paragem pode sair mais cara do que o resgate.

As coimas regulatórias (RGPD, CCPA e equivalentes) podem chegar aos 4 % da receita anual. As notificações obrigatórias chamam os reguladores e uma vaga de processos. Depois há os custos de reconstrução (reimagem de dispositivos, renovação de tooling, retainers de IR), em média à volta dos 750.000 dólares. E ainda fica a reputação. Os clientes hesitam, os parceiros renegoceiam e os colaboradores perdem confiança. Esse dano arrasta-se muito depois de os sistemas estarem outra vez online.

Porque é que as empresas pagam mesmo assim

Apesar de o FBI desaconselhar pagar, muitas organizações sentem que não têm outra hipótese. Os atacantes aproveitam-se de três realidades de negócio.

A primeira são os backups nunca testados. Backups air-gapped não servem de nada se nunca foram ensaiados, e os atacantes vão primeiro atrás dos repositórios de backup para te tirar o colete salva-vidas. Quando a recuperação é incerta e a paragem sai cara, as contas acabam por pender para o lado do resgate.

A segunda é a pressão dos SLA. As cotadas e as infraestruturas críticas não se podem dar ao luxo de paragens longas. Pagar pode parecer mais barato do que semanas de receita perdida e exposição regulatória, mesmo quando a administração sabe perfeitamente que não é o caminho certo.

A terceira é a extorsão de dados. Se os atacantes ameaçam leakar dados sensíveis ou registos de clientes, pagar pode ser a única forma de escapar a uma catástrofe reputacional. A prevenção sai muito mais barata do que negociar a partir de qualquer destas posições.

Prevenção que funciona mesmo

Checklists há para dar e vender, mas nem todos os controlos têm o mesmo impacto. Três práticas concentram a maior parte da redução de risco na maioria das organizações.

Isolar a navegação de alto risco. As equipas de finanças, RH, gestão de fornecedores e segurança deviam analisar o conteúdo externo dentro de um browser isolado. Mesmo que um link de phishing traga ransomware, rebenta na cloud e não nas máquinas de produção. Só esta mudança já corta o canal de entrega mais comum do ransomware moderno.

Segmentar e monitorizar a rede. O movimento lateral nunca devia ser fácil. A segmentação baseada em identidade, o acesso de menor privilégio e a analytics comportamental apanham actividade de cifra anormal em tempo útil. Aqui falamos menos de prevenção e mais de contenção, e é a contenção que transforma um incidente de seis dígitos num que não termina em seis milhões.

Ensaiar os backups como simulacros de incêndio. Testa os restauros todos os trimestres. Mantém vários backups offline e imutáveis. Documenta os tempos de recuperação para que a liderança perceba o que «15 dias» quer mesmo dizer antes de ter de decidir sobre o resgate com a faca ao pescoço.

O problema dos links por verificar

Os colaboradores recebem links desconhecidos a toda a hora. Facturas suspeitas, portais de contratos, notificações de envio. Dizer-lhes para nunca clicarem não é realista, o trabalho exige-o. Dá-lhes antes uma forma segura de inspeccionar o conteúdo.

O fluxo com um browser isolado é simples. Abre o link dentro de uma sessão browser.lol para que nada toque na máquina local. Grava vídeo ou capturas de ecrã como prova sem te arriscares a uma infecção. Se o site pedir um download, abre primeiro o ficheiro dentro do ambiente isolado. Fechas a sessão e o browser.lol destrói o contentor, levando consigo qualquer malware, cookie ou tracker. O ciclo todo demora um minuto ou dois, curto o suficiente para as pessoas o fazerem mesmo.

O essencial do incident response

A preparação faz a diferença entre um incidente contido e uma crise que se arrasta. Se o ransomware passar, age depressa e com método.

Os primeiros passos: desligar da rede as máquinas infectadas, accionar o teu parceiro de incident response e o apoio jurídico, e preservar logs e provas forenses antes de qualquer reimagem. Reimaginar cedo demais destrói provas de que vais precisar para o seguro e para as autoridades.

O plano de comunicação tem o mesmo peso. Avisa a liderança e os stakeholders críticos em minutos. Tem mensagens pré-aprovadas prontas para colaboradores, clientes e reguladores. Documenta cada decisão, porque autoridades e seguradoras vão querer saber. Um incidente sem notas em condições é um incidente muito mais difícil de fechar.

Um plano de ação a 21 dias

Se estás a montar um programa de resiliência do zero, um sprint por fases ganha sempre a um rollout big bang.

Um clique não tem de virar uma crise

O ransomware vive à custa da natureza humana. Curiosidade, pressa, confiança. As tuas defesas têm de acolher essa realidade em vez de lutar contra ela. Dá à equipa ferramentas em que o comportamento seguro é o default: browsers isolados para conteúdo arriscado, backups ensaiados e um plano de resposta que arranca sozinho, sem precisar de discussão.

Quando o próximo email suspeito chegar, os teus colaboradores não devem ter de jogar às adivinhas. Devem ter à mão um botão «Abrir em segurança» que manda a ameaça directamente para a contenção. A diferença entre um susto e um shutdown mede-se naquilo que preparaste antes de o clique acontecer.