Um ataque de ransomware não começa quando a nota de resgate aparece na tela. Na maior parte dos casos, o invasor já passou por reconhecimento interno, movimentação lateral, coleta de credenciais e, muitas vezes, exfiltração de dados. Por isso, responder bem a um ataque de ransomware exige mais do que colocar os sistemas de volta no ar. A empresa precisa entender como o invasor entrou, quais dados foram acessados, quais credenciais foram expostas e o que precisa ser corrigido antes de reconectar o ambiente.

Essa diferença entre confiança e capacidade real aparece com clareza no relatório Data Trust and Resilience 2026 da Veeam: embora 90% dos líderes de segurança digam confiar na própria recuperação após um incidente cibernético, menos de um terço das vítimas de ransomware conseguiu restaurar todos os dados. O dado não precisa assustar, mas orienta uma conclusão prática: planos que não são testados sob pressão tendem a falhar quando a empresa mais precisa deles.

Neste artigo, mostramos o que fazer, em que ordem e qual a lógica por trás de cada etapa, desde a detecção até a retomada operacional. 

Por que as primeiras horas são as mais críticas

Quando o ransomware é detectado, a criptografia pode já estar em curso. A prioridade deixa de ser “resolver tudo agora” e passa a ser conter o avanço, preservar evidências e decidir com base em fatos. A resposta apressada, sem análise, costuma ampliar o dano: sistemas são desligados sem critério, logs são perdidos, backups são contaminados e credenciais comprometidas continuam válidas.

A janela de resposta está menor. Segundo o Global Incident Response Report 2026 da Unit 42, da Palo Alto Networks, o quartil mais rápido dos ataques chegou à exfiltração de dados em cerca de 72 minutos em 2025, contra quase cinco horas no ano anterior. Na prática, isso significa que a contenção precisa começar antes da equipe ter todas as respostas.

Outro ponto importante é o horário. O Active Adversary Report 2026 da Sophos mostra que incidentes investigados por suas equipes continuam fortemente associados a falhas de identidade e atuação fora do horário comercial. Esse contexto reforça a necessidade de ter pessoas, contatos e responsabilidades definidos antes da crise.

Passo 1: detectar, confirmar e não apagar evidências

O primeiro instinto de muitas equipes ao detectar um comportamento anômalo é tentar remover o problema imediatamente. Esse reflexo, compreensível sob pressão, pode destruir evidências forenses essenciais para entender o vetor de entrada, a extensão do comprometimento e a identidade do grupo atacante.

Antes de qualquer ação de remediação, o time responsável precisa confirmar que se trata de um incidente de ransomware e não de uma falha técnica ou de um teste de segurança em andamento. Os sinais mais comuns incluem arquivos com extensões desconhecidas, notas de resgate na tela ou em diretórios, lentidão abrupta de sistemas, impossibilidade de acessar arquivos ou drives compartilhados e alertas simultâneos de múltiplos endpoints. Confirmado o incidente, a prioridade imediata é preservar logs de sistema, registros de acesso, capturas de tráfego de rede e qualquer artefato que possa ser analisado posteriormente pela equipe forense ou pelas autoridades.

Esse processo deve ser orientado pelo guia oficial  #StopRansomware da CISA, publicado em conjunto com o FBI e a NSA, que descreve em detalhes os procedimentos técnicos de detecção, análise e coleta de evidências recomendados para organizações de qualquer porte.

Passo 2: isolar sem desligar

Uma vez confirmado o incidente, o objetivo imediato é conter a propagação sem perder evidências. Isolamento não significa desligamento. Desligar sistemas abruptamente pode corromper dados que ainda não foram cifrados, destruir processos em memória que poderiam ser analisados e comprometer a recuperação posterior.

O isolamento correto envolve desconectar endpoints comprometidos da rede, sem desligá-los, revogar sessões de acesso remoto e VPN ativas, segmentar o ambiente afetado para impedir que o ransomware se propague lateralmente para sistemas críticos ainda íntegros e desabilitar contas de serviço e credenciais administrativas que possam ter sido comprometidas. 

A preocupação com identidade não é exagero. A análise da Semperis para 2026 sobre defesa contra ransomware destaca que ataques bem-sucedidos frequentemente passam por comprometimento de Active Directory ou outros mecanismos de controle de acesso. Por isso, até que a investigação diga o contrário, credenciais críticas devem ser tratadas como potencialmente expostas.

Para entender como as estratégias de backup se relacionam diretamente com a capacidade de recuperação nesse tipo de incidente, leia: Com que frequência devo fazer backup dos dados da minha empresa?

Passo 3: acionar as pessoas certas imediatamente

Um ataque de ransomware não é um incidente exclusivamente técnico. Ele envolve decisões jurídicas, obrigações regulatórias, comunicação com clientes e parceiros e, dependendo do setor, notificação compulsória às autoridades. Todas essas frentes precisam ser acionadas em paralelo, não sequencialmente.

A cadeia de notificação interna deve incluir a liderança executiva, o time jurídico, o encarregado de proteção de dados (DPO), responsável pelas obrigações previstas na LGPD, o time de comunicação, para gerenciar a narrativa com stakeholders, e o parceiro externo de resposta a incidentes, caso a organização possua esse serviço contratado. 

No Brasil, incidentes que envolvam dados pessoais de titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados no prazo definido pela LGPD. Internacionalmente, o FBI recomenda o reporte imediato pelo IC3 e não recomenda o pagamento do resgate. Desde 2022, a agência forneceu chaves de descriptografia a milhares de vítimas por meio de programas parceiros, ajudando organizações a evitar mais de USD 800 milhões em pagamentos.

Passo 4: não pagar antes de entender o que foi comprometido

A questão sobre pagar ou não o resgate é a mais frequente e a que gera mais pressão durante um incidente ativo. A resposta tecnicamente correta exige análise antes de qualquer decisão. Segundo o Verizon 2025 Data Breach Investigations Report (DBIR), 64% das organizações se recusaram a pagar o resgate, percentual que vem crescendo ano a ano e reflete tanto a melhoria das capacidades de backup quanto a influência das recomendações das agências governamentais. 

Há, no entanto, cenários onde a análise de custo-benefício leva organizações a considerar o pagamento: quando não existem backups íntegros e o acesso aos dados é crítico para a sobrevivência do negócio, quando vidas humanas podem estar em risco, como em ambientes hospitalares, ou quando o custo de recuperação supera substancialmente o valor do resgate. Nesses casos, a decisão deve ser tomada com assessoria jurídica especializada, com ciência sobre as implicações regulatórias e, sempre que possível, com o apoio de autoridades que podem ter acesso a chaves de descriptografia de grupos que já foram desmontados por operações de aplicação da lei.

Para entender os erros de segurança que criam as condições para esse tipo de ataque, leia também: Quais erros de segurança mais comuns colocam empresas em risco de ataques?

Passo 5: iniciar a recuperação pela análise forense, não pelo restore

Um erro recorrente em equipes sob pressão é iniciar a restauração de sistemas antes de concluir a análise forense. Restaurar um ambiente que ainda contém o vetor de comprometimento original ou credenciais expostas significa reintroduzir a ameaça junto com os dados recuperados. O resultado é um segundo incidente, frequentemente mais custoso que o primeiro.

A análise forense precisa identificar o vetor inicial de entrada, que na maioria dos casos é phishing, credencial comprometida ou exploração de vulnerabilidade em sistema exposto, a extensão do movimento lateral realizado, quais sistemas foram acessados além dos criptografados, quais dados foram exfiltrados e para onde, e se há backdoors ou ferramentas de acesso persistente instalados pelo atacante que sobreviverão ao restore.

Somente após essa análise é possível determinar com segurança quais sistemas podem ser restaurados, quais precisam ser reconstruídos do zero e qual é o estado mais recente dos backups que ainda pode ser considerado íntegro. A Ayko aborda como o backup offsite e as estratégias de recuperação de desastres sustentam essa capacidade de restauração em: A importância do backup offsite e recuperação de desastres em Data Centers.

Passo 6: recuperar com critério e validar antes de reconectar

A recuperação deve seguir a criticidade da operação, não a facilidade técnica. Sistemas de identidade, serviços de rede, infraestrutura de autenticação e aplicações que sustentam o negócio precisam vir antes de sistemas administrativos ou de apoio.

Cada ambiente restaurado deve passar por validação antes de voltar à rede corporativa: integridade dos dados, ausência de comunicação suspeita, revisão de contas privilegiadas, atualização de sistemas e monitoramento ativo. A reconexão sem validação pode transformar a recuperação em um segundo incidente.

É aqui que a diferença entre backup existente e backup recuperável aparece. Segundo o Data Trust and Resilience Report 2026 da Veeam, muitas empresas confiam na recuperação, mas poucas conseguem restaurar tudo depois de um ataque. Por isso, testes periódicos de restauração, cópias imutáveis e ambientes segregados não devem ser tratados como detalhe técnico. Eles definem a velocidade e a segurança da retomada.

O que fazer depois da recuperação de dados?

A recuperação técnica marca o fim da crise imediata, não o fim do trabalho. Entre as organizações que vivenciaram ataques, as ações mais comuns adotadas no pós-incidente foram: melhoria dos programas de treinamento e conscientização de colaboradores, atualização das políticas de software para fechar vulnerabilidades, implementação de novas soluções de backup e migração para backup em nuvem ou serviços gerenciados.

O pós-incidente é o momento mais adequado para conduzir uma revisão estruturada da arquitetura de segurança. Isso inclui mapear o vetor de entrada e corrigir a vulnerabilidade ou o processo que o permitiu, revisar as políticas de acesso privilegiado e implementar o princípio de menor privilégio em toda a infraestrutura, implementar ou revisar a segmentação de rede para limitar o raio de impacto de um futuro incidente, e garantir que os backups sejam imutáveis, testados regularmente e que pelo menos uma cópia esteja fora do ambiente primário. A lógica é simples: o mesmo incidente não deveria ser possível uma segunda vez pelas mesmas razões.

Essa revisão pós-incidente também tem dimensão regulatória. A LGPD exige que organizações demonstrem medidas técnicas e organizacionais adequadas de proteção de dados. Um incidente documentado sem evidência de correção das vulnerabilidades identificadas expõe a organização a sanções mais severas em eventuais investigações futuras da ANPD.

Perguntas frequentes sobre resposta a ataques de ransomware

A resposta a um incidente de ransomware envolve decisões técnicas, jurídicas e estratégicas que não seguem um manual único. As dúvidas abaixo reúnem os questionamentos mais recorrentes que chegam até nossos especialistas durante e após incidentes desse tipo, com respostas baseadas nas melhores práticas internacionais e nos dados mais recentes disponíveis.

Devo comunicar o ataque publicamente ou manter em sigilo?

A comunicação pública depende da natureza dos dados envolvidos e das obrigações regulatórias aplicáveis. No Brasil, a LGPD determina que incidentes com dados pessoais que possam causar risco ou dano relevante aos titulares sejam comunicados à ANPD e aos titulares afetados. 

A omissão dessa comunicação configura infração adicional e pode agravar as sanções aplicáveis. Independentemente da obrigação legal, a comunicação proativa e controlada tende a gerar menos dano reputacional do que a divulgação por terceiros, que frequentemente ocorre quando grupos atacantes publicam os dados em sites de vazamento. 

A decisão de quando e como comunicar deve ser tomada com assessoria jurídica especializada, com base na extensão real do comprometimento identificado na análise forense.

Quanto tempo leva para uma empresa se recuperar de um ataque de ransomware?

Depende da extensão do comprometimento, da qualidade dos backups, da maturidade do plano de resposta, da disponibilidade de equipe especializada e da necessidade de reconstruir sistemas do zero. Empresas com backups testados, cópias imutáveis, documentação de dependências e cadeia de decisão definida tendem a retomar a operação com menos incerteza. Empresas que descobrem na crise que seus backups não foram testados podem levar dias ou semanas para recuperar sistemas críticos.

O que é dupla extorsão e como ela muda a resposta ao incidente?

Dupla extorsão é quando o atacante combina criptografia com exfiltração de dados. Mesmo que a empresa restaure os sistemas a partir de backups, o risco de vazamento continua. Isso muda a resposta porque a análise forense precisa identificar quais dados saíram do ambiente, quem pode ser afetado e quais comunicações legais ou contratuais serão necessárias.

Como saber se o ataque foi completamente eliminado antes de reconectar os sistemas?

Não há confirmação confiável sem análise técnica. Os sinais que apoiam a reconexão incluem ausência de comunicação com servidores suspeitos, revisão de contas criadas durante o período de comprometimento, validação dos sistemas restaurados, atualização de vulnerabilidades exploradas e monitoramento contínuo após a retomada. Em ambientes críticos, pode ser mais seguro reconstruir sistemas a partir de imagens validadas do que tentar “limpar” máquinas comprometidas.

Responda com mais velocidade e segurança com quem tem 22 anos de experiência

A Ayko projeta e implementa estratégias de segurança, backup e recuperação de desastres para empresas que precisam estar preparadas para responder a incidentes críticos com eficiência. Desde a avaliação do ambiente atual até a implementação de soluções de backup imutável, EDR e planos estruturados de resposta a incidentes, o trabalho começa sempre por uma análise detalhada da exposição real da sua operação.

Entre em contato com nossos especialistas e descubra como preparar sua empresa para responder a um ataque de ransomware antes que ele aconteça.