Ransomware em pequenas empresas: como se preparar

Quando uma empresa perde acesso aos sistemas, o impacto vai além da equipe de TI. Pedidos deixam de ser processados, documentos ficam indisponíveis e a operação passa a depender de informações que talvez não estejam acessíveis.

Em um incidente de ransomware, também pode haver roubo de dados, mesmo quando os arquivos continuam disponíveis.

Preparar uma pequena empresa não exige começar pela ferramenta mais cara. Exige entender o que precisa continuar funcionando, reduzir caminhos de entrada e combinar como agir se algo sair do controle.

A seguir, veja uma sequência prática para gestores e responsáveis por tecnologia.

O que é ransomware e como ele afeta o negócio

Ransomware é um tipo de ataque em que criminosos tentam extorquir a organização, frequentemente por meio da criptografia de arquivos ou da ameaça de divulgar informações roubadas. Nem todo incidente segue o mesmo roteiro.

O acesso pode começar por credenciais comprometidas, sistemas expostos ou uma mensagem que leva alguém a executar conteúdo malicioso.

Para uma PME, as consequências dependem dos sistemas atingidos e da capacidade de reação. Uma loja pode perder acesso ao cadastro e aos pedidos.

Um escritório pode ficar sem os documentos de trabalho. Uma indústria pode ter dificuldades para consultar informações necessárias à produção.

Esses são exemplos de impacto, não previsões sobre um ataque específico.

A primeira pergunta útil é: quais atividades precisam ser retomadas primeiro? Uma lista de sistemas, dados, responsáveis e dependências ajuda a tomar decisões antes de uma crise.

Comece pelo inventário do que é essencial

Reúna gestão e TI para listar aplicações, servidores, computadores e serviços em nuvem usados nas atividades críticas. Registre quem administra cada item, quem é o fornecedor e como entrar em contato caso o acesso normal esteja indisponível.

Depois, classifique as consequências de uma parada. Um sistema pode ser importante.

Mas ter um procedimento manual temporário. Outro pode impedir o faturamento em poucas horas.

A classificação ajuda a definir a ordem de recuperação e onde investir primeiro.

Inclua também informações pessoais e contratos relevantes no levantamento. Se houver exposição de dados, a empresa precisará avaliar os impactos sobre as pessoas afetadas e as possíveis obrigações de comunicação.

O inventário não precisa ser complexo: uma planilha mantida atualizada já pode servir como ponto de partida.

Proteja acessos e reduza oportunidades de entrada

Contas com privilégios administrativos merecem atenção especial. Revise quem realmente precisa delas, desative acessos que não são mais usados e evite compartilhar contas entre pessoas.

Ative autenticação multifator onde estiver disponível, principalmente para e-mail, acesso remoto, contas administrativas e serviços em nuvem.

Também é importante manter sistemas e dispositivos atualizados. Isso inclui sistemas operacionais, aplicativos e equipamentos de rede.

Nem toda atualização pode ser aplicada imediatamente. Portanto defina responsáveis, avalie impacto e priorize correções conforme exposição e criticidade.

Verifique quais serviços estão acessíveis pela internet e por quê. Uma conexão remota necessária deve ter configuração adequada e acesso restrito.

A revisão precisa considerar o ambiente completo, inclusive fornecedores que acessam sistemas da empresa.

Prepare backup para recuperar, não apenas copiar

Os dados essenciais precisam de cópias protegidas contra exclusão e alteração indevida. Considere manter uma cópia isolada ou com proteção adequada contra modificações, de acordo com a solução utilizada.

Separe as credenciais de administração do backup das contas usadas no trabalho diário sempre que possível.

Uma cópia não é suficiente como evidência de recuperação. Combine testes periódicos para restaurar arquivos e, quando apropriado, sistemas.

Registre o tempo necessário, quem participou e quais obstáculos apareceram. O objetivo é descobrir problemas em uma situação controlada.

Pergunte ao fornecedor quanto de informação pode ser perdido entre dois pontos de recuperação e quanto tempo é necessário para retomar cada serviço. Essas respostas dependem da frequência das cópias, da arquitetura e do resultado dos testes.

Elas devem ser confrontadas com o que o negócio consegue tolerar.

Combine detecção e responsáveis

Uma ferramenta de proteção pode gerar alertas. Mas alguém precisa analisá-los.

Defina quais dispositivos estão cobertos, quem recebe os avisos, em quais horários e como uma ocorrência é encaminhada. Se o atendimento for terceirizado, confirme quem pode tomar cada ação e como o gestor será informado.

Uma rotina viável para uma empresa pequena pode começar com a revisão de equipamentos sem proteção ativa, falhas recorrentes e alertas que precisam de decisão. Acompanhe também contas privilegiadas e alterações inesperadas em sistemas críticos, conforme as possibilidades da solução contratada.

Treinamento faz parte da prevenção. Oriente a equipe a confirmar pedidos incomuns por outro canal, desconfiar de solicitações urgentes e informar rapidamente mensagens ou comportamentos suspeitos.

Evite tratar um erro como motivo para esconder o problema: a rapidez do aviso ajuda na resposta.

O que fazer diante de uma suspeita

Tenha um plano curto e acessível fora dos sistemas principais. Ele deve apontar quem decide, quem executa, como acionar o suporte e como registrar os acontecimentos.

Inclua contatos da equipe técnica, fornecedores e responsáveis por privacidade e comunicação.

Ao identificar sinais suspeitos, acione imediatamente os responsáveis. O isolamento de um dispositivo ou de uma conta pode ser necessário.

Mas deve seguir orientação técnica para reduzir propagação sem destruir evidências úteis. Registre horários, alertas e ações tomadas.

Evite reiniciar, apagar dados ou restaurar sistemas indiscriminadamente antes de entender a situação.

Recuperação com a causa investigada

A recuperação deve ocorrer em ambiente avaliado, com a causa investigada e credenciais comprometidas tratadas. Restaurar uma cópia sem corrigir a origem do acesso pode permitir uma nova invasão.

A decisão sobre comunicação a clientes, autoridades e outras partes depende dos fatos e deve envolver os responsáveis competentes.

Transforme o plano em rotina

Escolha um responsável por acompanhar as pendências e marque uma revisão após mudanças importantes, como troca de fornecedor, sistema ou forma de acesso remoto.

Faça um exercício simples com a equipe: simule que o principal sistema ficou indisponível e pergunte quem seria acionado, quais informações estariam disponíveis e como a empresa continuaria operando.

Não é necessário resolver tudo em um único projeto. Comece pelos acessos administrativos, pelos dados essenciais e por um teste de restauração.

Em seguida, trate os riscos encontrados em uma ordem compatível com o impacto para o negócio. Conheça os serviços de segurança da AETRI para entender as opções de consultoria, implantação, suporte e gestão.