Ataques RDP em PMEs: como proteger o acesso remoto em 2026
Ataques por RDP (Remote Desktop Protocol) são a porta de entrada preferida do ransomware em pequenas e médias empresas. Segundo o relatório Sophos Active Adversary de 2025, credenciais comprometidas foram a causa raiz em 41% dos incidentes investigados — e em 56% dos casos, os atacantes simplesmente fizeram login com senhas válidas, sem explorar nenhuma vulnerabilidade técnica. Se sua empresa expõe o RDP para a internet, esse artigo é para você.
Como funcionam os ataques RDP
Pense no RDP como a porta da frente do seu servidor. Quando essa porta fica aberta para a internet na porta 3389, qualquer pessoa no mundo pode tentar a chave. O que os atacantes fazem é automatizar esse processo: bots testam milhares de combinações de usuário e senha por minuto contra o seu servidor, usando listas de credenciais vazadas na dark web.
Um honeypot da Sophos registrou mais de 2 milhões de tentativas de login RDP em apenas 15 dias, partindo de 999 endereços IP distintos contra um único servidor exposto. Já um honeypot do Microsoft Sentinel documentou 209 335 logins falhados em 7 dias — cerca de 30 mil por dia numa única máquina. Esses números não são exceções: são o tráfego normal que qualquer servidor RDP exposto recebe diariamente.
O processo segue três etapas. Primeiro, a reconhecimento: scanners automatizados mapeiam servidores com a porta 3389 aberta. Depois, o ataque automatizado: ferramentas como Hydra e Ncrack bombardeiam o alvo com dezenas de milhares de tentativas por minuto. Por fim, a coleta: quando uma combinação funciona, o atacante entra, eleva privilégios, desactiva defesas e implanta o ransomware.
Por que PMEs são o alvo principal
Dados da indústria mostram que 82% dos ataques de ransomware atingem empresas com menos de 1 000 funcionários — e 37% dessas têm menos de 100 colaboradores. Não é coincidência. As PMEs oferecem uma combinação perigosa: orçamento limitado de segurança, equipamentos sem actualização e, muitas vezes, RDP exposto com configuração padrão.
O problema agrava-se com o teletrabalho. Muitas empresas activaram o acesso remoto de forma apressada durante a pandemia e nunca revisaram essa configuração. Contas com o nome "Administrator", senhas fracas e a porta 3389 acessível sem restrições são encontradas com frequência em auditorias de PMEs.
Segundo o Centro Nacional de Cibersegurança de Portugal (CNCS), as pequenas e médias empresas são segmento prioritário de consciencialização justamente pela vulnerabilidade estrutural — falta de pessoal dedicado, ferramentas limitadas e processos de gestão de acessos inexistentes ou informais.
O custo real de uma invasão por RDP
Quando um atacante obtém acesso via RDP, o tempo médio de acção antes da detecção é medido em semanas. Nesse intervalo, ele faz movimentação lateral — explora outros servidores, copia dados sensíveis, instala backdoors e prepara o golpe final. O resultado típico é ransomware com dupla extorsão: os dados são encriptados e ameaçados de publicação.
Para uma PME, o impacto inclui paralisação operacional (às vezes por semanas), perda de clientes, custos forenses e legais, e multas regulatórias sob a CNPD (Portugal) ou a ANPD (Brasil). O prejuízo médio de um incidente de ransomware em PMEs ultrapassa os 150 mil dólares, segundo o relatório da Sophos — um valor que muitas empresas não conseguem absorver.
Três camadas de defesa que funcionam
A defesa eficaz em 2026 organiza-se em três camadas: deteção, prevenção e resposta. Nenhuma ferramenta isolada cobre as três — e apostar numa única camada é o caminho mais curto para ser comprometido.
1. Remover o RDP da internet
A defesa mais forte é aquela que impede o atacante de sequer chegar à porta. Em vez de expor o RDP directamente, use uma VPN (WireGuard, OpenVPN), um gateway RD da Microsoft ou um túnel zero-trust como o Tailscale. O RDP fica acessível apenas através do canal autenticado. Se o seu provedor de cloud ou a sua infraestrutura permite VPN, esta é sempre a primeira medida a implementar.
2. Autenticação multifator (MFA)
O MFA bloqueia ataques baseados em credenciais, mesmo que a senha esteja correcta. Soluções como o Microsoft Entra ID com autenticador, Duo Security (gratuito até 10 utilizadores) ou TOTP impedem que o atacante complete o login. O relatório da Sophos indica que em 56% dos incidentes o atacante usou credenciais válidas — o MFA teria bloqueado a maioria desses casos.
3. Monitorização e bloqueio automatizado
Quando o RDP precisa ficar exposto (por exemplo, em provedores de hosting ou ambientes com clientes externos), a monitorização de eventos de login falhado é essencial. O Windows regista tentativas mal-sucedidas no Event ID 4625. Ferramentas como BruteFence, RdpGuard ou IPBan bloqueiam automaticamente IPs que excedem um limiar de falhas. Num CSOC com Wazuh, esses eventos são recebidos em tempo real e accionam alertas imediatos com bloqueio de IP via firewall integrado.
O que verificar hoje no seu servidor
Se você administra servidores Windows com RDP activo, faça estas verificações imediatas: a porta 3389 está acessível directamente pela internet? Existem contas com o nome "Administrator" habilitadas para login remoto? As senhas seguem o mínimo de complexidade (12+ caracteres, maiúsculas, minúsculas, números e símbolos)? O MFA está activo? Há monitorização de Event ID 4625 com alertas configurados?
Responder "não" a qualquer uma dessas perguntas significa que sua empresa está exposta a um vetor de ataque que os atacantes exploram de forma automática, 24 horas por dia, 7 dias por semana.
Fontes e referências
- Sophos. It Takes Two: The 2025 Sophos Active Adversary Report. 2025.
- BruteFence. RDP Brute Force Protection in 2026: What Actually Works. Abril 2026.
- Kaspersky Securelist. Remote Spring: The Rise of RDP Brute Force Attacks. 2020.
- Centro Nacional de Cibersegurança (CNCS). Recomendações de Cibersegurança para PMEs. Portugal.
- CISA. #StopRansomware Guide. Agência de Cibersegurança dos EUA.