Este guia é informativo e não substitui aconselhamento jurídico. Em caso de ataque, peça ajuda técnica de imediato.
O que é ransomware
É software malicioso que cifra os ficheiros e os sistemas da empresa e deixa uma nota a exigir pagamento, quase sempre em criptomoeda. Hoje, muitos grupos também copiam os dados antes de os cifrar e ameaçam publicá-los, para pressionar ainda mais.
Normalmente, a entrada faz-se por um email de phishing, por uma palavra-passe roubada sem autenticação multifator ou por um equipamento exposto à internet e sem atualizações.
As primeiras horas
- Isolar. Desligar da rede (cabo e Wi-Fi) os equipamentos afetados. Não os desligar da corrente: a memória guarda informação útil para a análise.
- Pedir ajuda técnica. Ligar para quem gere a informática ou para uma linha 24/7. Cada hora conta.
- Proteger as cópias de segurança. Cortar o acesso da rede às cópias que ainda estão intactas, para que não sejam cifradas também.
- Não apagar nem reinstalar nada antes de se perceber como o ataque entrou. Fotografar a nota de resgate e registar as horas.
- Mudar palavras-passe a partir de um equipamento limpo, a começar pelas contas de administrador e de email.
- Avaliar se há dados pessoais afetados, porque isso traz obrigações de notificação.
Quem avisar em Portugal
- CNPD: se o ataque afetar dados pessoais e houver risco para as pessoas, o RGPD obriga a notificar a Comissão Nacional de Proteção de Dados em 72 horas.
- CNCS: as entidades abrangidas pela NIS2 têm de enviar um alerta inicial ao Centro Nacional de Cibersegurança em 24 horas, a notificação em 72 horas e um relatório final no prazo de um mês. Veja o guia da NIS2. As restantes empresas podem também reportar o incidente ao CERT.PT.
- Polícia Judiciária: o ransomware é crime. Apresentar queixa ajuda a investigação e é muitas vezes pedido pelas seguradoras.
- Seguradora: se tiver seguro de riscos cibernéticos, leia a apólice. Algumas exigem aviso imediato e indicam a equipa de resposta.
Pagar ou não pagar
As autoridades desaconselham o pagamento. Não há garantia de receber a chave, nem de que os dados copiados sejam apagados, e quem paga fica marcado como alvo que paga. Antes de qualquer decisão, vale a pena consultar o projeto No More Ransom, da Europol e de polícias europeias, que disponibiliza ferramentas gratuitas para recuperar ficheiros de alguns tipos de ransomware.
A melhor posição é não ter de decidir: ter cópias de segurança que permitam recuperar sem pagar.
Como recuperar sem pagar
- Regra 3-2-1: três cópias dos dados, em dois suportes diferentes, uma delas fora das instalações, por exemplo num serviço de hosting profissional.
- Uma cópia isolada: que o ataque não consiga alcançar nem apagar a partir da rede da empresa.
- Testes de recuperação: uma cópia que nunca foi reposta é uma esperança, não um plano.
- Prioridades definidas: saber que sistemas voltam primeiro e em quanto tempo.
Como evitar
- Autenticação multifator em todos os acessos, sobretudo email e acesso remoto
- Atualizações em dia em computadores, servidores, firewalls e routers
- Proteção EDR nos postos e servidores, para detetar e isolar comportamentos suspeitos
- Nenhum acesso remoto aberto diretamente à internet sem VPN
- Contas de administrador separadas e usadas só quando é preciso
- Rede separada em zonas (VLAN), para travar a propagação
- Formação da equipa para reconhecer phishing
Tratamos da prevenção, da monitorização e da resposta a incidentes no serviço de cibersegurança, com a linha 24/7. Para uma primeira leitura em poucos minutos, faça o diagnóstico gratuito.
