Como se Defender de Ransomware em 2026

O ransomware deixou de ser apenas criptografia

O modelo de ataque mudou. Os grupos criminosos hoje combinam exfiltração com criptografia: antes de sequestrar qualquer arquivo, copiam documentos, bases de clientes e contratos para servidores externos. A extorsão passa a ser feita sob ameaça de vazamento, e não apenas pela chave de decriptação.

Por isso, restaurar de um backup resolve metade do problema. A outra metade é impedir a saída dos dados e conseguir provar, com log, exatamente o que foi acessado — exigência que aparece com força em qualquer investigação ligada à LGPD 13.709/2018.

A cadeia de ataque típica

A entrada quase nunca é um exploit sofisticado. O caminho mais comum é phishing com anexo malicioso, credencial vazada em outro serviço, RDP exposto na internet ou VPN sem MFA. A partir do primeiro host comprometido, o atacante mapeia o domínio, coleta credenciais privilegiadas e move-se lateralmente até um servidor de arquivos ou de backup.

Somente então vem a criptografia em massa, junto com a destruição ou corrupção das cópias de backup acessíveis na rede. Bloquear a cadeia em qualquer elo interrompe o resultado final.

Defesa em camadas: o que realmente bloqueia

Antivírus por assinatura reconhece ameaças conhecidas, mas ransomware novo é, por definição, desconhecido no primeiro minuto. É aí que entram as camadas comportamentais: EDR observa o comportamento do processo e bloqueia a sequência típica de criptografia, como criação massiva de arquivos com extensão alterada.

EDRs modernos agregam modelos de IA treinados em telemetria de execução, o que ajuda a separar comportamento legítimo de abuso. A camada de rede e o princípio de menor privilégio complementam a proteção no endpoint.

• EDR com bloqueio comportamental e rollback de arquivos criptografados
• Segmentação de rede para conter a movimentação lateral
• MFA resistente a phishing nas contas administrativas e de acesso remoto
• Filtro de e-mail e DNS bloqueando domínios de distribuição de payloads

Backup imutável: a rede de segurança que o atacante não apaga

Backup só é confiável quando o atacante não consegue alterá-lo nem excluí-lo. É para isso que serve a imutabilidade baseada em WORM (Write Once, Read Many): os pontos de restauração ficam retidos por um período definido e não podem ser modificados por ninguém, nem pelo administrador do sistema.

A regra 3-2-1 evolui para 3-2-1-1-0: três cópias, dois tipos de mídia, uma fora do site, uma imutável e zero erros na verificação de restore. Testar a restauração é tão importante quanto o backup em si.

• Imutabilidade WORM impedindo alteração e exclusão dos pontos de restore
• Cópia offsite gerenciada, isolada da credencial de domínio comprometida
• Verificação periódica de integridade e teste real de restauração
• Definição clara de RPO e RTO antes de escolher a solução

Detecção, contenção e resposta

Quando algo passa pelas camadas preventivas, a diferença entre um incidente contido e uma crise está no tempo de reação. Um serviço de detecção e resposta gerenciado monitora alertas 24 horas por dia, isola o endpoint afetado e aciona o processo de contenção sem esperar o horário comercial.

Antes de contratar um MDR, peça por escrito qual é o tempo de resposta e quem executa a contenção fora do horário comercial. Ter um runbook assinado — quem isola, quem comunica, quem restaura, em qual ordem — evita decisões improvisadas no pior momento.

• Monitoramento 24/7 com triagem de alertas por analista
• Isolamento imediato do host e revogação de sessões comprometidas
• Runbook de resposta testado com papéis e canais definidos
• Registro forense preservado para investigação e para a LGPD

Roteiro de 30 dias para reduzir o risco

Nenhuma empresa elimina o risco de ransomware em uma tarde. O caminho realista é priorizar o que tem maior impacto: fechar acessos expostos, proteger identidades e garantir que existe um backup que sobrevive à invasão.

Use o roteiro abaixo como pauta de projeto e evolua em ciclos mensais, medindo cobertura de agente, status de MFA e resultado dos testes de restore.

Antivírus tradicional não protege mais contra ransomware?

Ele continua útil para bloquear ameaças conhecidas, mas ransomware novo é desconhecido no primeiro momento e pode não ter assinatura. A proteção eficaz combina antivírus com EDR comportamental, que detecta a sequência de criptografia pelo comportamento do processo, além de backup imutável e MFA nas contas críticas.

Qual a diferença entre RPO e RTO em um plano anti-ransomware?

RPO é a quantidade máxima de dados que você aceita perder, medida em tempo desde o último backup válido. RTO é o tempo máximo para restaurar a operação após o incidente. Definir esses dois números antes de escolher a solução evita comprar uma tecnologia que não atende à realidade do negócio.

Quanto tempo devo manter os backups?

Não existe prazo universal: depende do setor, da exigência regulatória e da política interna. Ambientes com dados pessoais devem considerar prazos maiores — e registrar a decisão por escrito. O ponto central é a imutabilidade: cópias retidas como WORM não podem ser apagadas durante a janela, o que impede o atacante de destruir a última linha de defesa.

O que significa a regra 3-2-1-1-0 citada no artigo?

São três cópias dos dados, dois tipos de mídia, uma cópia fora do site, uma cópia imutável e zero erros na verificação de restore. A cópia offsite e a imutável são o que sobrevive a um ataque que comprometeu a credencial de domínio.

Próximo passo: Quer medir a exposição da sua empresa a ransomware e conferir a maturidade das camadas de defesa? Fale com a vWare e solicite um diagnóstico de conformidade. Diagnóstico de conformidade