Ransomware: o que fazer nas primeiras horas após um ataque

Ver os ficheiros bloqueados e uma mensagem a exigir um resgate é uma das experiências mais stressantes que uma empresa pode viver. O pânico leva a decisões precipitadas, e é nas primeiras horas que se decide se o incidente fica contido ou se se espalha por toda a organização. Ter um plano simples, e conhecido de todos, faz uma grande diferença.

Este guia não substitui um plano de resposta a incidentes feito à medida, mas resume a sequência de ações que a maioria dos especialistas recomenda.

Isolar os equipamentos afetados

O primeiro passo é impedir que o ataque se alastre. Desligue da rede os computadores afetados: retire o cabo, desative o wifi, mas, se possível, não desligue o equipamento da corrente nem o reinicie, para preservar vestígios que podem ser úteis à análise.

Se o ataque atingiu servidores ou partilhas de ficheiros, desligue-os da rede também e suspenda as contas de utilizador que possam ter sido comprometidas. Informe imediatamente a pessoa ou a empresa responsável pela informática e acione o seu plano de contingência, se existir.

Evite a tentação de «limpar» o computador de imediato. Apagar ficheiros ou reinstalar o sistema antes da análise pode destruir provas e impedir a identificação de como o atacante entrou, o que aumenta o risco de novo ataque pelo mesmo caminho.

Avaliar e comunicar

Com a situação contida, é altura de perceber a dimensão. Que equipamentos foram afetados? Que sistemas e dados estão em causa? Há indícios de que dados tenham sido copiados para fora da empresa? Registe tudo por escrito, com horas, para apoiar a análise e as comunicações posteriores.

Defina quem comunica e o quê. Informe a gerência, avise os colaboradores com instruções claras sobre o que podem e não podem fazer e prepare mensagens para clientes e parceiros, caso a operação seja afetada. Se houver dados pessoais envolvidos, a empresa tem obrigações legais de comunicação, que abordamos noutro artigo sobre o RGPD.

Considere também apresentar queixa às autoridades competentes e contactar o seu seguro, caso tenha uma apólice de ciberriscos. Quanto à questão do pagamento do resgate, as autoridades desaconselham-no: não garante a recuperação dos dados e financia novas atividades criminosas.

Recuperar a partir dos backups

A recuperação depende, acima de tudo, da existência de cópias de segurança fiáveis. Antes de restaurar, confirme que o atacante já foi afastado e que a vulnerabilidade foi corrigida, caso contrário os ficheiros recuperados podem ser encriptados de novo.

Restaure primeiro os sistemas críticos, por ordem de importância para o negócio, e valide cada um antes de passar ao seguinte. Altere todas as palavras-passe, sobretudo as de contas com privilégios, e ative autenticação multifator onde ainda não existir.

Depois da crise, faça uma análise do que correu bem e mal e atualize o plano. Cada incidente é uma oportunidade para reforçar as defesas, rever permissões, testar backups e preparar a equipa para uma resposta mais rápida da próxima vez.