O problema não começa quando os arquivos ficam inacessíveis. Em ataques de extorsão dupla, a organização pode ser pressionada antes, durante ou mesmo sem o bloqueio dos sistemas, porque o invasor combina a cópia de dados com a ameaça de divulgação. Empresas de todos os portes, órgãos públicos e prestadores de serviços críticos são afetados. A ação prioritária é ativar o plano de resposta, isolar o acesso usado na intrusão e preservar evidências antes de desligar máquinas ou iniciar uma recuperação improvisada.
A orientação da CISA sobre ransomware e extorsão de dados descreve essa mudança de comportamento: criminosos podem criptografar arquivos, exfiltrar informações e ameaçar divulgá-las. A agência também reconhece que a exfiltração pode ser usada como forma exclusiva de pressão. Para a equipe defensiva, isso altera a pergunta central. Não basta saber se houve criptografia; é preciso determinar se houve acesso, coleta, transferência ou preparação para publicação de dados.
O que mudou
O ransomware tradicional era associado ao bloqueio de arquivos e à exigência de pagamento pela chave de descriptografia. Esse modelo continua relevante, mas não explica todos os incidentes. O atacante pode roubar bases de clientes, contratos, documentos financeiros, credenciais, pesquisas ou informações pessoais e ameaçar divulgar o material. Também pode publicar uma amostra para provar que possui os dados, pressionar a direção ou contactar clientes e parceiros diretamente.
O impacto operacional pode surgir em camadas. A indisponibilidade interrompe faturamento, atendimento, produção ou logística. O vazamento acrescenta risco jurídico, fraude, dano reputacional e exposição de terceiros. Quando os dois efeitos aparecem juntos, a organização precisa conduzir contenção técnica, continuidade de negócio, comunicação executiva e avaliação de privacidade ao mesmo tempo.
O relatório ENISA Threat Landscape enquadra ransomware e extorsão de dados entre as ameaças que exigem análise contextual, não apenas classificação por ferramenta. Essa abordagem é útil porque desloca a defesa de uma lista de assinaturas para uma cadeia de decisões: como o acesso inicial ocorreu, quais contas foram usadas, que dados estavam ao alcance, que mecanismos de persistência foram criados e que cópias continuam confiáveis.
A primeira decisão
Ao confirmar atividade suspeita, o responsável pelo incidente deve separar contenção de destruição de evidências. Bloquear uma conta comprometida, revogar sessões, retirar um servidor da rede ou suspender uma tarefa de cópia pode reduzir o dano. Reinstalar tudo, apagar discos ou restaurar sistemas sem registrar o estado anterior pode eliminar artefatos necessários para entender o escopo.
| Prioridade | Decisão | Verificação |
|---|---|---|
| P1 | Conter identidades, sessões e canais de acesso associados à intrusão. | Confirmar tokens revogados, chaves substituídas e administradores revisados. |
| P1 | Preservar sistemas, registros e amostras de dados afetados. | Registrar horários, responsáveis, imagens forenses e cadeia de custódia. |
| P1 | Proteger serviços essenciais sem reconectar ambientes contaminados. | Validar dependências, contas de serviço e rotas de administração. |
| P2 | Determinar se houve cópia ou preparação para exfiltração. | Correlacionar acessos, compressão, transferências e destinos incomuns. |
| P2 | Preparar comunicação técnica, executiva e regulatória. | Separar fatos confirmados, hipóteses e lacunas de investigação. |
O primeiro ciclo deve produzir um registro simples: o que foi observado, quando, por quem, em qual ativo e qual decisão foi tomada. Esse documento evita que múltiplas equipes executem ações incompatíveis e ajuda a distinguir a indisponibilidade causada pelo invasor daquela criada pela própria contenção.
Como medir o escopo
A ausência de uma nota de resgate ou de arquivos criptografados não prova que não houve extorsão. Procure sinais anteriores ao impacto visível. Entre eles estão autenticações administrativas fora do padrão, criação de contas, alterações de políticas, acesso em massa a compartilhamentos, consultas anormais a bases, compressão de diretórios, uso de ferramentas legítimas para cópia e conexões de saída para destinos que não fazem parte da rotina.
O time de identidade deve revisar contas humanas, contas de serviço, credenciais de automação e relações de confiança. A troca de senha é insuficiente se sessões persistentes, chaves, certificados ou tokens continuarem válidos. O time de rede deve examinar fluxos de saída e registrar quais controles foram acionados. O time de dados deve classificar os repositórios alcançados: informação pública, dado pessoal, segredo comercial, material regulado e credencial exigem respostas diferentes.
Também é necessário comparar o que o invasor poderia acessar com o que os registros demonstram que foi lido ou transferido. Essa distinção reduz conclusões precipitadas. Um diretório exposto a uma conta comprometida não é automaticamente um diretório exfiltrado, mas deve entrar no conjunto de hipóteses até que logs, telemetria ou análise forense permitam excluir a possibilidade.
Para complementar essa revisão, veja como o help desk pode virar um ponto de entrada para ataques contra identidades. O procedimento de recuperação de contas merece atenção porque uma credencial restabelecida durante a crise pode devolver ao invasor o acesso que a contenção tentou retirar.
Recuperar sem reabrir
Restaurar a operação é uma decisão de segurança, não apenas de disponibilidade. Antes de reconectar um sistema, confirme a origem da imagem, a integridade do backup, a situação das contas administrativas e a existência de mecanismos de persistência. Um backup online acessível pela mesma identidade comprometida não deve ser tratado como cópia independente.
A recuperação precisa ocorrer em ambiente controlado, com credenciais novas e acesso administrativo limitado. Sistemas essenciais devem voltar em ordem definida pelo negócio e pelo risco, não pela facilidade técnica. Cada reconexão deve ter um responsável, uma janela de observação e critérios para interromper o procedimento. Se a telemetria voltar a mostrar comportamento anômalo, a equipe deve retornar ao estado de contenção em vez de insistir na restauração.
Teste também os caminhos que normalmente ficam fora do exercício: fornecedores, integrações, VPN, administração remota, contas de emergência, serviços de diretório e mecanismos de suporte. A organização pode restaurar os servidores e ainda manter uma porta aberta por meio de uma conta esquecida ou de uma aplicação conectada.
A pressão do vazamento
A ameaça de divulgação não deve conduzir a decisões técnicas apressadas. Pagar não demonstra que os dados serão apagados, que a chave funcionará ou que o invasor perdeu acesso. A direção precisa receber uma avaliação baseada em evidências, com impacto operacional, exposição de dados, alternativas de recuperação, implicações legais e risco de incentivar novos ataques.
O contato com o criminoso, quando autorizado, deve ser conduzido por uma equipe definida e documentado. Funcionários não devem responder individualmente a mensagens de extorsão, negociar em canais pessoais ou tentar verificar a amostra baixando arquivos sem controle. A coleta de evidências deve preservar cabeçalhos, endereços, horários, instruções de pagamento e arquivos enviados, sem ampliar a exposição interna.
A comunicação externa deve evitar tanto o silêncio indefinido quanto a especulação. Informe o que está confirmado, quais serviços foram afetados, quais medidas foram adotadas e como clientes ou parceiros podem obter orientação. Se houver dados pessoais ou informações reguladas, envolva as áreas competentes cedo, porque a avaliação de notificação depende da natureza do dado, do risco e da jurisdição.
O material da análise sobre ataques que abusam de fluxos legítimos de login ajuda a ampliar a investigação para autorizações, aplicações conectadas e sessões persistentes. Em um caso de extorsão, essa camada pode explicar por que a intrusão continuou mesmo depois da troca de uma senha.
O que fazer hoje
Se a organização ainda não sofreu um incidente, a decisão mais valiosa é verificar se o plano pode ser executado sem depender de um único administrador ou de um sistema possivelmente comprometido. Mantenha contactos de emergência fora do diretório corporativo, defina quem pode isolar ativos, catalogue dados críticos e confirme que os backups podem ser recuperados em ambiente separado.
Faça uma revisão direcionada dos registros de administração, acessos de saída e alterações de credenciais. Não procure apenas o nome de uma família de ransomware. Procure a sequência que antecede a extorsão: acesso anormal, expansão de privilégios, descoberta de dados, coleta, transferência e tentativa de permanecer invisível. Essa sequência é mais útil para a deteção porque sobrevive à troca de ferramentas e nomes usados pelos grupos.
A decisão defensiva é clara: trate a exfiltração como incidente grave mesmo sem criptografia. A equipe que espera o bloqueio total perde tempo, pode perder evidências e permite que o invasor transforme a dúvida sobre o escopo em pressão sobre a direção. Contenção rápida, investigação disciplinada, recuperação isolada e comunicação baseada em fatos reduzem a margem de manobra de quem tenta extorquir a organização.