Ransomware em PME: os 7 primeiros passos se for atacado
Cibersegurança · Por Equipa ONEGEST ·
Saiba exatamente o que fazer perante um ataque de ransomware na sua PME. Siga os 7 passos essenciais para isolar a ameaça, proteger os seus dados e recuperar a operação.
Se a sua empresa foi vítima de um ataque de ransomware, deve isolar imediatamente os computadores afetados desligando os cabos de rede e o Wi-Fi, sem reiniciar nem desligar os equipamentos da corrente elétrica. Em seguida, preserve a nota de resgate no ecrã, evite a todo o custo pagar aos atacantes, verifique a integridade dos seus backups e acione o seu parceiro ou equipa de IT para contenção, análise das vulnerabilidades e notificação das autoridades competentes.
O que é o ransomware e porque afeta tanto as PME?
O ransomware é um tipo de software malicioso (malware) que encripta os ficheiros da empresa, impedindo o acesso aos dados operacionais, ao ERP, à faturação e às pastas partilhadas. Os atacantes exigem depois o pagamento de um resgate, geralmente em criptomoedas, em troca de uma chave de desencriptação que pode nem sequer funcionar. Nas pequenas e médias empresas, este ataque traduz-se frequentemente em dias de paragem total da operação, perda irrevogável de dados e elevados prejuízos financeiros.
As PME tornaram-se o alvo preferencial destes ataques devido a uma combinação de redes menos protegidas, ausência de ferramentas de deteção em tempo real e falta de formação da equipa humana. Perceber rápida e concretamente ransomware o que fazer no momento zero faz toda a diferença entre uma paragem temporária contida ou o encerramento forçado da empresa.
7 passos imediatos: o que fazer se a sua empresa for atacada
Quando surge uma mensagem de extorsão no ecrã de um colaborador ou os ficheiros começam a mudar de extensão e a ficar inacessíveis, o pânico é o maior inimigo. Siga estes passos por ordem cronológica para mitigar os danos.
1. Desligue imediatamente o equipamento da rede (cabo e Wi-Fi)
O ransomware espalha-se rapidamente através da rede local para outros computadores, servidores e discos de rede partilhados. Retire imediatamente o cabo de rede Ethernet do computador afetado e desligue o Wi-Fi (ou ative o modo de voo no telemóvel e portátil). Se o equipamento estiver ligado por VPN à infraestrutura central, corte essa ligação de imediato.
2. Não desligue nem reinicie a máquina afetada
Um erro muito comum é desligar o computador no botão de energia ou proceder ao seu reinício. Embora pareça uma reação intuitiva, desligar o sistema pode fazer com que o ransomware finalize rotinas de encriptação pendentes, destrua vestígios na memória RAM essenciais para a investigação forense ou impeça o sistema operativo de voltar a arrancar. Mantenha o computador ligado à corrente, mas totalmente isolado da rede.
3. Alerte a equipa e isole as pastas partilhadas
Avisar rapidamente todos os utilizadores da empresa é vital. Peça à equipa para interromper o envio de ficheiros, fechar aplicações e reportar se notarem comportamentos estranhos nos seus ecrãs. O responsável de IT deve bloquear de imediato as credenciais de acesso e desativar o acesso a pastas partilhadas no servidor ou na cloud para impedir o contágio sequencial.
4. Tire uma fotografia da nota de resgate e preserve evidências
Não feche a janela com a mensagem de extorsão nem apague os ficheiros criados pelo atacante. Tire uma fotografia com o telemóvel ao ecrã onde surja o aviso de resgate, o endereço de contacto fornecido e o ID da infeção. Esta informação é extremamente útil para especialistas em cibersegurança para PME identificarem qual a variante exata do ransomware e se existem ferramentas públicas de desencriptação disponíveis.
5. Não pague o resgate sob qualquer circunstância
Pagar a chantagem dos cibercriminosos não garante que irá receber a chave correta para recuperar os dados. Além disso, financiar estas redes criminosas assinala a sua empresa como um alvo pagador, aumentando drasticamente o risco de sofrer um segundo ataque semanas mais tarde. O foco da gestão deve estar no restauro através de backups seguros.
6. Verifique o estado e o isolamento dos backups
Os ataques de ransomware modernos procuram ativamente apagar ou encriptar as cópias de segurança que encontram na rede local. Antes de tentar qualquer processo de restauro, certifique-se de que o sistema de backup e continuidade de negócio não foi comprometido. As cópias de segurança isoladas fora da rede (offline ou em cloud com imutabilidade) são o único caminho seguro para repor o funcionamento da empresa.
7. Notifique as autoridades e cumpra a legislação de dados
No âmbito da proteção de dados (RGPD), se houver probabilidade de os dados pessoais de clientes, fornecedores ou colaboradores terem sido expostos ou extraviados, a empresa tem a obrigação legal de notificar a Comissão Nacional de Proteção de Dados (CNPD) no prazo máximo de 72 horas após tomar conhecimento do incidente. Caso a sua empresa se enquadre no âmbito de diretivas de segurança da informação como a diretiva NIS2, também deve comunicar a ocorrência aos organismos competentes.
Ações imediatas em caso de ataque: o que fazer vs. o que nunca fazer
| O Que Fazer Imediatamente | O Que Nunca Deve Fazer |
|---|---|
| Desligar o cabo de rede e desativar o Wi-Fi | Desligar ou reiniciar o computador na tomada |
| Fotografar o ecrã com a nota de resgate | Pagar o resgate exigido pelos cibercriminosos |
| Avisar a equipa e isolar o perímetro de IT | Ignorar o problema e continuar a trabalhar na rede |
| Verificar a integridade dos backups isolados | Ligar discos externos ou pens USB à máquina infetada |
| Contactar o suporte técnico especializado | Tentar apagar manualmente os ficheiros encriptados |
Como recuperar o negócio e evitar novos incidentes
Após a contenção inicial, a fase de recuperação exige uma limpeza minuciosa de toda a infraestrutura antes de repor os dados operacionais. Caso contrário, o código malicioso pode permanecer dormente na rede e reativar-se dias depois.
Para garantir que o negócio não volta a ficar vulnerável, as empresas devem implementar uma arquitetura de proteção em camadas:
- Proteção de Endpoint (EDR/Antivírus Avançado): Substituir os antivírus tradicionais por soluções de deteção e resposta em tempo real, capazes de bloquear comportamentos suspeitos antes da encriptação dos ficheiros.
- Gestão de Perímetro e Firewalls: Configurar redes privadas virtuais (VPN) seguras e firewalls com inspeção de tráfego para bloquear acessos não autorizados vindo do exterior.
- Gestão de Email e Produtividade Cloud: Como a maioria dos ataques de ransomware entra por mensagens de phishing no correio eletrónico, é indispensável reforçar os filtros de spam e autenticação no email profissional e ferramentas cloud.
- Política de Backup Imutável: Garantir backups automáticos com retenção isolada fora da rede corporativa local para assegurar que a empresa consegue recuperar ficheiros sem pagar resgates.
- Apoio de Suporte Especializado: Contar com um serviço de suporte IT e outsourcing que monitorize a infraestrutura continuamente e responda a incidentes em poucas horas.
Perguntas frequentes
Devo pagar o resgate pedido pelos cibercriminosos?
Não. Não há qualquer garantia de que os atacantes entreguem a chave de desencriptação correta ou que não voltem a atacar a empresa. Pagar o resgate financia atividades criminosas e valida a sua PME como um alvo rentável para futuros ataques.
Como é que o ransomware entra nos computadores da empresa?
A via de entrada mais comum é o correio eletrónico através de ataques de phishing, onde um colaborador clica num anexo infetado ou num link fraudulento. Outras portas de entrada frequentes incluem ligações de ambiente de trabalho remoto (RDP) sem proteção, palavras-passes fracas e sistemas desatualizados sem correções de segurança.
Quanto tempo demora o processo de recuperação após um ataque?
O tempo de recuperação depende do volume de dados, da gravidade da infeção e da qualidade do plano de backups. Se a empresa tiver backups em cloud isolados e atualizados, a reposição dos serviços essenciais pode demorar algumas horas a poucos dias. Sem backups válidos, o processo pode demorar semanas ou resultar na perda permanente da informação.
O antivírus normal protege contra o ransomware moderno?
Os antivírus tradicionais baseados em assinaturas conhecidas já não são suficientes. O ransomware moderno evolui diariamente para contornar estas proteções simples. É necessária uma solução avançada de EDR (Endpoint Detection and Response) capaz de analisar o comportamento dos ficheiros e suspender processos suspeitos em tempo real.
Proteja a sua PME contra ameaças de ransomware
Enfrontar uma paragem de atividade provocada por ransomware exige uma resposta técnica rápida, ponderada e estruturada. Para proteger preventivamente a sua infraestrutura ou rever a maturidade dos seus sistemas de defesa, conheça as nossas soluções completas de cibersegurança para PME. Solicite um diagnóstico inicial gratuito de 20 minutos na página de contactos da ONEGEST e saiba como manter o seu negócio seguro e operacional.