Ransomware na PME: como reduzir o risco antes do pior
Ransomware na PME se reduz, na prática, a quatro medidas tomadas antes do ataque: backups offline testados com regularidade, segundo fator nas contas administrativas, correção rápida do que está exposto na internet e um plano de resposta de uma página. Segundo a CISA, o ransomware é uma forma de malware em evolução constante projetada para criptografar arquivos em um dispositivo e deixar inutilizáveis os arquivos e os sistemas que dependem deles, com criminosos exigindo pagamento em troca da descriptografia. Nenhuma dessas quatro medidas exige equipe grande nem orçamento de grande empresa; exige decisão, rotina e uma tarde por mês de manutenção.
Pequenas empresas não são alvo por acaso. O mesmo kit automatizado que atinge uma multinacional varre a internet em busca de acesso remoto aberto, senha fraca e backup inexistente — e, na PME, os dias parados pesam mais no faturamento do que o próprio resgate. O atacante não precisa de motivo específico; precisa de oportunidade. Reduzir o risco, portanto, é reduzir oportunidades visíveis, e o resto deste guia mostra onde elas se concentram.
Backups que resistem ao sequestro
O backup é a única medida que devolve a operação quando todo o resto falhou — e é também a mais mal executada nas pequenas empresas. A regra prática é simples: a cópia precisa ser offline ou imutável, porque ransomware moderno procura e apaga backups acessíveis com as mesmas credenciais da rede comprometida. Uma unidade externa desconectada após a cópia, ou um serviço de nuvem com versionamento imutável, resolve a maior parte dos cenários reais.
A orientação oficial britânica para pequenas organizações segue essa direção. O guia do NCSC recomenda proteger as cópias de segurança online ativando a verificação em duas etapas, o 2-step verification (2SV), na conta que controla o armazenamento — sem esse fator, a caixa de e-mail do dono costuma ser o caminho mais curto até o apagamento dos arquivos na nuvem. Vale também combinar meios distintos: uma cópia online e outra em dispositivo físico, para o caso de perda, roubo ou falha de um deles.
O que entra na cópia: sistema de faturamento, e-mail e agenda corporativos, documentos financeiros, base de clientes, credenciais guardadas em cofre de senhas e a configuração dos serviços essenciais. Se a lista não couber em uma folha, o primeiro passo é enxugá-la antes de automatizar qualquer coisa.
Testar é parte do controle, não um extra. Marque uma data mensal no calendário para restaurar um conjunto pequeno de arquivos e anotar o tempo gasto; esse número é o argumento que você vai apresentar quando alguém perguntar por que perder tempo com backup. Para montar a rotina completa do zero, nosso guia de backups 3-2-1 e teste de restauro para PME traz o passo a passo mínimo.
Fechar as portas de entrada
O caminho mais comum até a criptografia da rede começa longe do servidor. Segundo o NIST, um ataque típico começa quando o usuário é enganado a clicar em um link malicioso que baixa um arquivo de um site externo; a partir daí, o código se propaga explorando vulnerabilidades nos computadores da organização até criptografar tudo de uma vez. Esse roteiro define exatamente as três portas que uma PME consegue fechar sozinha:
- E-mail e downloads: filtro antiphishing no provedor e treinamento curto e recorrente da equipe — o link clicado por engano continua sendo o gatilho dominante, e ensinar a desconfiar custa menos do que qualquer ferramenta.
- Acesso remoto: nada de RDP ou SSH exposto direto na internet; use VPN ou gateway com segundo fator obrigatório e contas nominais, nunca compartilhadas entre pessoas.
- Atualização: inventário simples de equipamentos e software com ciclo quinzenal de correção, priorizando o que tem endereço público ou faz parte do caminho de entrada.
O segundo fator é o divisor de águas: com MFA ativado nas contas de e-mail, no firewall e nos provedores, a senha vazada deixa de bastar para o invasor. A CISA coloca os backups testados, a correção de software e a proteção de contas no mesmo bloco de hábitos básicos contra ransomware — três cuidados que cabem em uma tarde de trabalho e cobrem a maior parte do risco real de uma pequena empresa.
Separe também o que não é prioridade: comprar uma ferramenta nova antes de fechar o acesso remoto aberto, ou contratar um serviço caro de monitoração sem ter backup testado, é gastar na ordem errada. A sequência correta quase sempre é portas fechadas, contas com fator e cópia testada; só depois vem visibilidade.
Plano de resposta enxuto
Quando a tela de resgate aparece, o que falta é decisão rápida, não tecnologia. Um plano de uma página, impresso e guardado fora dos computadores, vale mais do que qualquer aquisição feita às pressas na hora do incidente. A estrutura mínima, na ordem:
- Isolar: desconectar o equipamento da rede (cabo e Wi-Fi) e pausar compartilhamentos, sem desligar a máquina antes de registrar o que está na tela.
- Acionar: definir quem decide e quem executa — na PME, quase sempre a mesma pessoa, com um contato técnico externo já salvo no celular.
- Notificar e registrar: anotar hora, equipamentos afetados e mensagens exibidas; se houver dados pessoais envolvidos, avaliar com o encarregado os prazos legais de comunicação.
- Restaurar: usar a cópia testada começando pelo essencial da operação e trocar todas as credenciais antes de reconectar qualquer máquina.
Esse roteiro não substitui um processo formal de segurança; é o degrau inicial que evita as piores decisões na primeira hora. Um modelo mais completo, com detalhes de cada etapa, está no nosso artigo sobre plano inicial de resposta a incidentes sem equipe de segurança.
Checklist de 30 dias
Exemplo próprio da redação, desenhado para caber no ritmo de uma pequena empresa — uma frente por semana:
- Semana 1: inventário das contas com poder administrativo e ativação do segundo fator em todas, começando pelo e-mail.
- Semana 2: cópia dos dados críticos em meio offline e primeiro teste de restauração, com o tempo anotado.
- Semana 3: revisão do que está exposto na internet (portas, painéis, acesso remoto) e fechamento do que não é necessário.
- Semana 4: plano de resposta de uma página impresso, contato técnico externo salvo e treinamento de 20 minutos com a equipe.
O objetivo do mês não é a perfeição, e sim sair da posição em que um clique errado para a empresa por dias inteiros. Se quiser uma leitura externa do ponto de partida, o diagnóstico da AtalaiaSec avalia exposição, backups e contas de uma PME e indica a ordem de correção com maior retorno — sem compromisso de contratação.