O ransomware atual raramente depende apenas da criptografia para forçar o pagamento: o atacante costuma copiar os dados antes de travar os sistemas e passa a ameaçar a publicação do material roubado. A organização afetada é qualquer uma que mantenha dados de clientes, funcionários, pacientes ou propriedade intelectual em redes acessíveis com credenciais comprometidas. A ação prioritária, antes de qualquer resposta ao criminoso, é estabelecer o que realmente saiu da rede e o quanto a empresa consegue restaurar sozinha: são essas duas respostas que sustentam a decisão de negociar, recuperar ou combinar as duas coisas.
O guia #StopRansomware Guide, mantido pela CISA em conjunto com MS-ISAC, NSA e FBI, resume a mudança: ao longo do tempo os grupos de ransomware passaram a exfiltrar os dados das vítimas e a pressionar pelo pagamento com a ameaça de divulgação, combinação batizada de extorsão dupla — e, em alguns casos, o roubo seguido da ameaça de vazamento virou a única forma de extorsão, sem empregar criptografia. Quando isso acontece, a recuperação dos ambientes encerra a interrupção operacional, mas não encerra o incidente: o que continua em jogo é o destino dos dados roubados, com obrigações legais de notificação correndo em paralelo. É essa a ampla adoção do roubo de dados como alavanca de pressão que muda a dinâmica da resposta e obriga a equipe defensiva a tratar exfiltração como incidente próprio, e não como detalhe do ataque de criptografia.
Quando o roubo substitui a criptografia
Em operações só de extorsão de dados, o preço de deixar de detectar a saída de informação é alto: sem arquivos criptografados, não existe ferramenta de descriptografia a comprar, e a única moeda de troca oferecida pelo criminoso é a promessa de destruição do que foi copiado — promessa que nenhuma vítima consegue auditar. O lado defensivo tem, em compensação, uma janela própria de detecção. A cópia de volume relevante de dados gera tráfego de saída anômalo, criação de arquivos compactados em servidores de arquivo, uso incomum de serviços de nuvem legítimos para subir o material e consultas concentradas a repositórios de dados sensíveis. Esses sinais costumam aparecer antes de qualquer fase destrutiva e são o que separa um roubo contido de uma negociação sob pressão.
O trabalho de inteligência interna começa pelo inventário: quais compartilhamentos, bases e diretórios a conta comprometida conseguia ler, quais registros de acesso mostram leitura em volume e para onde apontam os destinos externos identificados. Sem esse escopo, qualquer conversa com o criminoso acontece às cegas, e a promessa de apagar os dados não pode ser nem aceita nem contestada com evidência. O roubo de dados pessoais também aciona obrigações próprias de comunicação às pessoas afetadas e ao regulador, com prazos que correm desde a constatação — outro motivo para dimensionar a exfiltração com rigor antes de qualquer anúncio externo.
Negociar é apostar na palavra
O NIST descreve o dilema central em sua página sobre proteção e resposta a ransomware: para o instituto, a direção da organização precisa escolher entre pagar e torcer para que os atacantes cumpram a promessa de restaurar o acesso, ou não pagar e restaurar as operações com os próprios recursos. Em outras palavras, pagar é apostar que o atacante cumprirá a palavra — sem garantia de entrega de uma ferramenta de descriptografia funcional, sem garantia de apagamento do que foi roubado e sem como verificar qualquer uma das duas promessas.
Nenhuma das fontes primárias apresenta o pagamento como caminho preferencial. A decisão, quando existe, é de negócio e de direito, tomada com assessoria jurídica, e depende de duas condições técnicas: a impossibilidade comprovada de restaurar pelo caminho próprio e o escopo conhecido do que foi exfiltrado. A experiência de vítimas anteriores também pesa na avaliação: como o caso do grupo Medusa mostrou, a própria negociação pode virar armadilha, com prazos artificiais e vazamento ocorrendo mesmo depois do contato iniciado.
O que verificar antes de responder
- Escopo da leitura: contas comprometidas, permissões efetivas de cada uma e volume de dados acessível por essas credenciais.
- Evidência de saída: registros de proxy, DNS e tráfego de nuvem que confirmem ou descartem a exfiltração alegada pelo criminoso.
- Capacidade de restauração: inventário de backups offline, integridade verificada por teste recente e tempo real estimado para voltar ao ar.
- Base legal: categorias de dados pessoais envolvidas, obrigações de notificação ao regulador e às pessoas afetadas, e privilégio das investigações.
- Canal de apoio: comunicação com autoridades de aplicação da lei e solicitação de assistência técnica, prática recomendada pelas próprias agências que assinam o guia.
Cada item verificado reduz a assimetria de informação em relação ao criminoso. Sem esse levantamento, a organização negocia sem saber o que o adversário realmente tem, e o preço pedido passa a ser definido apenas pelo medo do vazamento.
Recuperação decide a negociação
A posição na mesa de negociação é construída antes do incidente. Backups offline, testados com frequência, imagens prontas dos sistemas críticos e procedimentos exercitados reduzem o valor da oferta do criminoso: se a operação volta pelo caminho próprio, resta avaliar apenas o risco de vazamento — que, na prática, existe com ou sem pagamento. O guia da CISA recomenda manter backups offline e criptografados justamente porque variantes de ransomware procuram e destroem backups acessíveis na rede para tornar a restauração impossível sem o resgate. Definir e testar RTO e RPO verificáveis transforma a recuperação de esperança em medida gerenciada, com prazo conhecido e responsável nomeado.
Checklist das primeiras horas
O guia conjunto determina que as etapas iniciais da resposta sejam cumpridas na ordem definida, porque cada passo condiciona o seguinte. A regra central da contenção é isolar de forma coordenada e conversar por canal fora da rede: invasores podem monitorar a comunicação da vítima para perceber se foram descobertos, e uma contenção descoordenada pode provocar movimentação lateral ou a execução antecipada da carga destrutiva.
| Etapa | Ação | Prioridade |
|---|---|---|
| Contenção | Determinar os sistemas afetados e isolá-los de imediato, priorizando os críticos para a operação. | P1 |
| Preservação | Em nuvem, gerar cópia pontual dos volumes para investigação forense antes de qualquer alteração. | P1 |
| Comunicação | Migrar toda a coordenação para canal fora da rede comprometida, incluindo telefonemas. | P1 |
| Escopo | Levantar contas, permissões e tráfego de saída para dimensionar a exfiltração alegada. | P2 |
| Recuperação | Triar sistemas para restauração em rede limpa, começando pelos essenciais, com backups verificados. | P2 |
Documente cada decisão tomada nas primeiras horas, com horário, responsável e evidência que a sustentou: essa registro sustenta a comunicação com o regulador, a avaliação do seguro e a revisão posterior do plano de resposta. A decisão sobre o pagamento, se chegar a ser tomada, deve aparecer nesse registro com os critérios técnicos que a fundamentaram — não como resposta a um prazo imposto pelo adversário.