Nas primeiras horas de um ataque de ransomware, a ordem é isolar os sistemas afetados sem desligá-los, acionar o comitê de crise, preservar evidências, entender até onde o ataque chegou, verificar a integridade dos backups e só então decidir como recuperar. Restaurar antes de entender o que aconteceu é o erro que mais prolonga um incidente.
O ransomware atual combina duas extorsões: o atacante criptografa os dados para parar a operação e, cada vez mais, copia esses dados antes, para ameaçar publicá-los. Este conteúdo é orientação técnica e de gestão, e não substitui a orientação do jurídico sobre comunicações obrigatórias.
Os números ajudam a dimensionar o problema. O FBI identificou 63 novas variantes de ransomware em 2025, e o M-Trends 2026, do Google Cloud, mostra que um comprometimento anterior foi o vetor de entrada mais comum nos casos de ransomware, presente em 30% deles. No Brasil, a ANPD registrou 723 comunicações de incidentes de segurança entre o segundo semestre de 2023 e o primeiro semestre de 2025.
Da hora 0 à hora 1: conter sem apagar evidências
Desconecte da rede os equipamentos afetados, por cabo, Wi-Fi e VPN, sem desligá-los: a memória guarda evidências que se perdem no desligamento. Segmente a rede, suspenda conexões entre unidades e interrompa acessos remotos de terceiros para conter a propagação.
Corte qualquer conexão entre o ambiente atacado e os backups, que costumam ser um dos primeiros alvos. E não faça contato com o atacante antes de uma decisão formal sobre isso.
Da hora 1 à hora 4: quem decide e com que informação
As decisões sobre comunicação, pagamento, interrupção da operação e envolvimento de terceiros cabem ao comitê de crise. Se a empresa tem plano de continuidade, ele define essas pessoas. Abra um canal de comunicação fora do ambiente atacado, porque e-mail e chat corporativo podem estar comprometidos.
Acione o fornecedor de SOC ou de resposta a incidentes e, se houver seguro cibernético, avise a seguradora cedo, porque muitas apólices exigem notificação rápida. Comece o diário do incidente, com hora, ação, responsável e decisão.
Da hora 4 à hora 24: entender o tamanho do incidente
Descubra quais sistemas foram criptografados, por onde o atacante entrou, há quanto tempo estava no ambiente e que contas usou. A entrada costuma ter acontecido dias ou semanas antes da criptografia. Procure sinais de cópia de dados, porque a restauração resolve a parada, mas não o vazamento.
Teste o backup antes de confiar nele: verifique se está íntegro, se é anterior à entrada do atacante e se não carrega o mesmo artefato malicioso. Troque as credenciais administrativas e de serviço a partir de equipamentos limpos.
Da hora 24 à hora 48: comunicar e começar a recuperar
Se houver dado pessoal envolvido, a LGPD exige comunicação à ANPD e aos titulares quando o incidente puder gerar risco ou dano relevante, e o regulamento da ANPD estabelece prazo de três dias úteis. Setores regulados têm obrigações adicionais. Registre boletim de ocorrência e prepare a comunicação com clientes e funcionários.
A ordem de restauração deve seguir a criticidade dos processos definida na análise de impacto no negócio, como mostra o artigo sobre continuidade de negócio. Mantenha o monitoramento ativo, porque o atacante pode ter deixado acessos de reserva.
Pagar ou não pagar o resgate
Não há resposta universal, mas alguns fatos precisam estar na mesa do comitê. Pagar não garante a chave, nem que ela funcione, nem que os dados copiados sejam apagados. Pode haver restrições legais conforme o grupo atacante, e empresas que pagam costumam ser atacadas de novo. A melhor posição de negociação é um backup que funciona, construído antes do ataque. A CISA mantém um guia público sobre ransomware.
O que define a duração do incidente
No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, apenas 23% tinham processo estruturado de continuidade, e o impacto médio dos ataques simulados foi 8,28 numa escala de 0 a 10. A preparação prévia pesa mais que a sofisticação do ataque:
- Backup isolado: separado do ambiente de produção, com restauração testada.
- Prioridades definidas: o que restaurar primeiro, segundo o BIA.
- Papéis com substitutos: quem decide, mesmo na ausência do titular.
- Canal alternativo: comunicação fora da infraestrutura corporativa.
- Análise pós-incidente: por onde entraram, por que não foram detectados e o que o plano não previu.
Preparação antes do incidente
A Vultus apoia a preparação com plano de continuidade, simulados de crise e monitoramento contínuo. Conheça a gestão de crises e continuidade de negócio da Vultus e o SOC Vultus by Google SecOps.
