Segurança · 2 min de leitura
O que fazer após um ataque de ransomware: as primeiras 72 horas
Passo a passo para conter um ataque de ransomware na empresa, preservar evidências, recuperar dados e cumprir o prazo de comunicação à ANPD.
Equipe Codlinx · Publicado em
Resposta rápida
Nas primeiras horas após um ataque de ransomware: isole as máquinas da rede sem desligá-las, proteja os backups íntegros, não pague o resgate, troque senhas de um aparelho limpo e registre tudo. Depois, identifique o ransomware e procure decifradores gratuitos no projeto No More Ransom, recupere a partir de backups e, se houver risco relevante aos titulares, comunique a ANPD em até 3 dias úteis.
Se você está lendo isto durante um ataque, veja o passo a passo resumido e fale com um especialista. Abaixo está o roteiro completo, hora a hora.
Primeira hora: conter
- Desconecte da rede as máquinas afetadas: cabo e Wi-Fi. Não desligue.
- Proteja os backups que ainda não foram atingidos: desconecte discos externos e isole servidores de backup.
- Não pague e não negocie antes de entender o que aconteceu.
- Troque senhas a partir de um aparelho limpo, começando por e-mail, administradores e bancos.
- Fotografe a tela de resgate e anote horários e máquinas afetadas.
Primeiras 24 horas: entender
- Identifique o ransomware pela nota de resgate e pela extensão dos arquivos.
- Procure decifradores gratuitos no projeto No More Ransom, que reúne Europol, polícias e empresas de segurança. Muitas ferramentas foram criadas pela Bitdefender. Teste sempre em cópias.
- Descubra a porta de entrada: e-mail de phishing, acesso remoto exposto ou senha vazada. Um EDR responde a isso com a linha do tempo do ataque.
- Avalie se houve cópia de dados, além da criptografia.
Até 72 horas: comunicar e recuperar
Comunicação à ANPD
Se o incidente puder causar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 exige comunicar a ANPD em 3 dias úteis, pelo formulário oficial. A comunicação pede, entre outros itens, a causa principal, a data, os dados afetados, o número de titulares e as medidas técnicas adotadas antes e depois. As informações podem ser complementadas em até 20 dias úteis.
Recuperação
- Restaure a partir de backups íntegros, em máquinas limpas ou reinstaladas.
- Instale proteção com mitigação de ransomware antes de reconectar as máquinas à rede.
- Monitore de perto as semanas seguintes: invasores costumam tentar voltar.
Depois: para não repetir
O custo médio de uma violação de dados no Brasil foi de R$ 7,19 milhões em 2025, segundo a IBM. Depois da crise, o investimento em prevenção costuma ser bem menor que o prejuízo: proteção em camadas, autenticação multifator, backup separado e testado e, se não houver equipe de plantão, MDR 24 horas por dia.