Ransomware é um sequestro digital: um programa malicioso invade a rede da empresa, criptografa os arquivos — notas fiscais, contratos, banco de dados do sistema, tudo — e deixa um recado na tela cobrando resgate para devolver o acesso. Enquanto isso, a operação para: ninguém fatura, ninguém emite nota, ninguém consulta o histórico do cliente.
Se as notícias de ataques têm tirado seu sono, este guia é para você. Sem jargão técnico, vamos mostrar como o ataque entra, quais camadas de defesa realmente reduzem o risco, o que fazer nas primeiras horas se acontecer e por que pagar o resgate costuma ser a pior saída.
Por que todo gestor deveria se preocupar com isso agora
Dois números resumem o cenário. Segundo a Veeam (2025), 69% das organizações sofreram ataque de ransomware no último ano — ou seja, deixou de ser exceção para virar estatística comum. E o custo de um incidente não é pequeno: o relatório da IBM (2025) calcula em R$ 7,19 milhões o custo médio de uma violação de dados no Brasil, somando parada, recuperação, perda de clientes e multas.
Empresa pequena não está fora do radar — está no centro dele. A maior parte dos ataques é automatizada: programas varrem a internet dia e noite procurando senhas fracas, sistemas desatualizados e acessos remotos abertos. O robô não pergunta o faturamento da vítima antes de atacar. E, para um negócio menor, ficar dias sem sistema pode ser mais difícil de absorver do que para uma grande corporação.
Como o ransomware entra na empresa
Ataque de ransomware quase nunca é um gênio invadindo sistemas em tempo real, como no cinema. Na prática, ele entra por três portas conhecidas:
1. E-mail falso (phishing)
Um e-mail que imita um boleto, um currículo, uma intimação ou um aviso do banco. Um clique no anexo ou no link e o programa malicioso está dentro. É de longe a porta de entrada mais comum: segundo a Acronis (2025), 83% das ameaças que chegam por e-mail são phishing. E os golpes estão cada vez mais convincentes — com português correto e visual idêntico ao original.
2. Senha fraca ou vazada
Senhas curtas, repetidas em vários serviços ou anotadas em lugares inseguros. Criminosos compram listas de senhas vazadas e testam em massa. Se a senha do e-mail da empresa é a mesma de um site que vazou, a porta está aberta.
3. Acesso remoto exposto
Depois do home office, muitas empresas liberaram acesso externo ao servidor (a famosa área de trabalho remota) sem proteção adequada. Um acesso remoto aberto para a internet, sem VPN (túnel seguro de conexão) e sem duplo fator de autenticação, é como uma porta dos fundos destrancada: é questão de tempo até alguém testar a maçaneta.
Cenário comum: um funcionário do financeiro recebe um e-mail com "boleto em atraso" de um suposto fornecedor e abre o anexo numa sexta-feira. O programa fica quieto, mapeando a rede. Na madrugada de domingo — quando ninguém está olhando — criptografa servidor, computadores e o HD de backup que estava conectado. Na segunda-feira, a empresa liga as máquinas e encontra o pedido de resgate.
As camadas de defesa que funcionam de verdade
Não existe produto único que resolva o ransomware. O que funciona é defesa em camadas: cada barreira reduz a chance de o ataque entrar e, se entrar, reduz o estrago. Pense em proteger uma casa — muro, portão, fechadura, alarme e seguro cumprem papéis diferentes.
Camada 1 — E-mail e pessoas
Como a maioria dos ataques começa por e-mail, a primeira camada é dupla: um filtro profissional que bloqueia mensagens maliciosas antes de chegarem à caixa de entrada, e orientação para a equipe reconhecer golpes — desconfiar de urgência artificial, conferir o remetente, nunca abrir anexo inesperado. Funcionário treinado é barreira; funcionário sem orientação é porta de entrada.
Camada 2 — Proteção moderna nas máquinas (EDR)
O antivírus tradicional compara arquivos com uma lista de ameaças conhecidas — e o ransomware moderno é feito para não estar nessa lista. O EDR (detecção e resposta em endpoints) trabalha diferente: monitora o comportamento das máquinas e reage a ações suspeitas, como um programa começando a criptografar arquivos em massa. Quando detecta, pode isolar o computador da rede automaticamente, impedindo que o ataque se espalhe.
Camada 3 — Firewall na porta da rede
O firewall é o porteiro da rede: controla o que entra e o que sai, fecha portas desnecessárias e obriga acessos remotos a passarem por VPN com autenticação. Também bloqueia a comunicação do ransomware com os servidores dos criminosos — o que pode interromper um ataque em andamento. Se sua empresa acessa o servidor de fora sem VPN, comece por aqui; explicamos o tema no artigo minha empresa precisa de firewall?.
Camada 4 — Atualizações em dia
Boa parte dos ataques explora falhas de segurança que já têm correção publicada — em sistemas operacionais, servidores e até no próprio roteador. Manter tudo atualizado fecha essas brechas antes que sejam usadas. Parece básico, mas em ambientes sem gestão é a camada mais negligenciada: sempre há uma máquina "que ninguém mexe" rodando um sistema antigo.
Camada 5 — Senhas fortes e duplo fator
Senhas únicas e longas, trocadas quando há suspeita de vazamento, e duplo fator de autenticação (aquele código extra no celular) no e-mail e nos acessos críticos. O duplo fator é uma das proteções de melhor custo-benefício que existem: mesmo com a senha roubada, o criminoso não entra.
Backup 3-2-1 imutável: a última linha de defesa
Todas as camadas anteriores reduzem o risco — nenhuma o elimina. Por isso a pergunta decisiva não é "vamos ser atacados?", e sim "se formos, conseguimos voltar?". Quem responde é o backup. E aqui mora um detalhe cruel: o ransomware moderno procura e criptografa o backup primeiro, justamente para forçar o pagamento. HD externo plugado no servidor e pasta de backup compartilhada na rede caem junto com o resto.
A referência de mercado é a regra 3-2-1: três cópias dos dados, em dois tipos de mídia diferentes, com pelo menos uma cópia fora da empresa. E, contra ransomware, um requisito extra: ao menos uma cópia imutável — gravada de um jeito que nem o ataque, nem um criminoso com a senha do administrador, consegue alterar ou apagar durante o período de retenção.
Tão importante quanto fazer o backup é testar a restauração. Backup que nunca foi restaurado é uma promessa, não uma proteção — e os números mostram que a promessa falha com frequência: segundo a Veeam (2025), apenas 10% das organizações atacadas conseguem recuperar mais de 90% dos seus dados. A diferença entre estar nesses 10% ou não está na arquitetura do backup e na rotina de testes. Veja como estruturar isso em backup e recuperação de dados e no comparativo backup em nuvem substitui o backup local?.
Dica da Kllic: faça hoje uma pergunta simples a quem cuida da sua TI: "se o servidor for criptografado agora, de onde restauramos e em quanto tempo?". Se a resposta for vaga, o backup é a sua prioridade número um — antes de qualquer outra camada.
O que fazer nas primeiras horas de um ataque
Se o pior acontecer, as primeiras horas definem o tamanho do prejuízo. A ordem importa:
- Isole, não desligue tudo às cegas. Desconecte da rede as máquinas afetadas (cabo e Wi-Fi) para conter a propagação. Evite formatar ou "limpar" computadores por conta própria: isso pode destruir evidências e até dados recuperáveis.
- Chame ajuda técnica especializada imediatamente. Resposta a incidente não é trabalho para tentativa e erro. Quem age errado nas primeiras horas costuma transformar um incidente contido em perda total.
- Proteja o backup antes de qualquer coisa. Se existe uma cópia ainda intacta, ela precisa ser isolada e verificada antes de qualquer restauração — restaurar sobre um ambiente ainda infectado contamina a cópia boa.
- Troque as senhas críticas. Acessos de administrador, e-mail, sistema de gestão e banco. Assuma que credenciais foram capturadas.
- Registre e comunique. Fotografe a tela de resgate, anote horários e o que foi feito. Registre boletim de ocorrência. Se dados pessoais de clientes ou funcionários podem ter vazado, a LGPD (Lei Geral de Proteção de Dados) exige avaliar a comunicação do incidente à ANPD e aos titulares afetados.
- Só reconecte após limpeza confirmada. Voltar a operar com a porta de entrada ainda aberta é convite para um segundo ataque — que é mais comum do que parece.
Atenção: não comunique o incidente pelos canais que podem estar comprometidos. Se o e-mail da empresa foi invadido, o criminoso pode estar lendo as mensagens — inclusive as tratativas sobre o próprio ataque. Combine um canal alternativo com a equipe.
Por que pagar o resgate é uma má ideia
Diante da operação parada, pagar parece o caminho rápido. Na prática, é uma aposta ruim por quatro motivos:
- Não há garantia nenhuma. Você está negociando com criminosos. Chaves de descriptografia que não funcionam, dados corrompidos na volta e cobranças adicionais após o primeiro pagamento são desfechos documentados.
- Os dados podem vazar mesmo assim. Muitos grupos copiam os dados antes de criptografar e usam a ameaça de publicação como segunda extorsão. Pagar não apaga a cópia que ficou com eles.
- Pagar pinta um alvo nas suas costas. Empresa que pagou uma vez entra na lista de quem paga — e ataques repetidos à mesma vítima são um padrão conhecido.
- O dinheiro financia o próximo ataque. Cada resgate pago sustenta a indústria do ransomware e a torna mais sofisticada, inclusive contra a sua própria empresa no futuro.
A única saída que devolve o controle de verdade é ter de onde restaurar. É por isso que o backup imutável e testado não é um item de TI: é a apólice de continuidade do negócio.
Por onde começar na sua empresa
Você não precisa implantar tudo de uma vez. Uma sequência realista para a maioria das empresas:
- Descubra onde está o risco hoje. Faça um levantamento honesto: como está o backup? Há acesso remoto exposto? O antivírus é gerenciado ou cada máquina está por conta própria? Nosso checklist de segurança ajuda a fazer essa autoavaliação em minutos.
- Feche o básico primeiro: backup com cópia isolada e teste de restauração, duplo fator no e-mail, fim dos acessos remotos sem VPN.
- Suba as camadas: EDR gerenciado nas máquinas, firewall configurado por especialista, rotina de atualizações.
- Dê um dono para a segurança. Camada sem responsável é camada que degrada em silêncio. Alguém precisa monitorar os alertas, conferir o backup diariamente e responder quando algo foge do padrão.
Desde 1997, a Kllic cuida da TI e da segurança de empresas de Laurentino, Rio do Sul e região do Alto Vale do Itajaí, com monitoramento 24/7 e parceria com fabricantes como Veeam e Acronis. Se você quer saber em que ponto sua empresa está, oferecemos um diagnóstico gratuito de segurança: avaliamos e-mail, máquinas, firewall, acessos e backup, e entregamos um plano claro de prioridades. Ligue (47) 3546-1036 ou chame no WhatsApp.
Sua empresa resistiria a um ataque de ransomware?
A Kllic faz um diagnóstico gratuito de segurança: avaliamos e-mail, antivírus, firewall, acessos remotos e backup, e você recebe um plano claro do que corrigir primeiro. Sem custo e sem compromisso.
Perguntas frequentes
Minha empresa é pequena. Ransomware não ataca só empresa grande?
Não. A maioria dos ataques é automatizada: robôs varrem a internet procurando qualquer porta aberta ou e-mail desprotegido, sem olhar o tamanho da vítima. Empresas pequenas costumam ser alvos mais fáceis justamente porque investem menos em proteção.
Tenho antivírus em todas as máquinas. Isso não basta?
Antivírus tradicional ajuda, mas o ransomware moderno é desenhado para passar por ele. A proteção atual recomendada é o EDR, que monitora o comportamento das máquinas e consegue isolar um computador infectado antes de o ataque se espalhar pela rede.
Se eu pagar o resgate, recupero meus dados?
Não há garantia nenhuma. Você estaria negociando com criminosos: há casos de chave que não funciona, de dados vazados mesmo após o pagamento e de novos ataques à mesma empresa. A recuperação confiável vem de um backup íntegro e testado, não do pagamento.
Meu backup fica em um HD externo conectado ao servidor. Estou protegido?
Provavelmente não. O ransomware criptografa tudo o que alcança pela rede, incluindo HDs externos e pastas compartilhadas de backup. A proteção real exige ao menos uma cópia isolada ou imutável, que o ataque não consiga alterar nem apagar.