Módulo 8 · 8.3
Depois de um ataque informático ou de ransomware: recuperar sem voltar a ser infetado
Módulo 8: Quando algo corre mal · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Depois desta lição, será capaz de percorrer a fase de recuperação após um ataque informático ou de ransomware: conter, investigar como aconteceu, restaurar de forma limpa, apresentar queixa, comunicar e aprender com o sucedido.
Conceitos-chave: contenção, isolamento, acesso inicial, persistência, investigação forense, reinstalação limpa, ordem de recuperação, apresentação de queixa, No More Ransom, resgate, seguro cibernético, avaliação
O maior erro: "restaurar tudo" demasiado depressa
Um criador de sites recebe uma terça-feira um alerta: o site WordPress de um cliente está a redirecionar visitantes para uma loja falsa. Restaura a cópia de segurança da semana anterior, o site volta a funcionar, está feito. Na quinta-feira, acontece outra vez. O atacante tinha entrado através de um plugin desatualizado e tinha deixado uma conta de administrador adicional e um ficheiro oculto. A cópia de segurança da semana anterior já continha isso. Restaurar sem saber como alguém entrou, volta também a abrir a porta.
O mesmo acontece com ransomware numa rede de escritório. Os criminosos costumam estar dentro do sistema durante dias ou semanas antes de encriptarem os dados. Durante esse tempo, criam contas adicionais, instalam software de acesso remoto e procuram as cópias de segurança. Quem apenas restaura os ficheiros encriptados mantém o atacante lá dentro.
Por isso, a recuperação faz-se em cinco passos, por esta ordem.
Passo 1: conter
Conter significa: garantir que a situação não piora. Os primeiros minutos estão descritos no seu cartão de incidente (lição 8.1).
- Isole os dispositivos afetados: retire o cabo de rede, desligue o wifi e a rede móvel, ou coloque em modo de avião. O NCSC neerlandês aconselha a não desligar os sistemas afetados, mas sim a desligá-los da rede; a suspensão é permitida. Assim mantêm-se os vestígios na memória de trabalho e para-se a propagação.
- Desligue discos externos e suportes de cópia de segurança e não os ligue a um dispositivo que possa estar infetado.
- Se não conseguir isolar um sistema, interrompa a ligação ao disco de rede. Se toda a rede tiver sido afetada, desligue a do acesso à internet (por exemplo, desligando a ligação à internet ou fechando a firewall).
- Altere as palavras-passe a partir de um dispositivo limpo, começando pelas mais importantes: contas de administrador, e-mail, o gestor de palavras-passe, o banco. Termine sessão em todas as sessões em todo o lado. Não o faça a partir de um computador que possa conter um infostealer ou um keylogger (lição 1.4), pois nesse caso estará a revelar de imediato a nova palavra-passe ao atacante.
- Guarde as provas: fotografia da mensagem de resgate, os e-mails, pedidos de pagamento, endereços de criptomoeda, horários. Não deite nada fora.
No caso de um site invadido, conter significa: colocar o site temporariamente offline ou em modo de manutenção, alterar todas as palavras-passe (administração, FTP, base de dados, alojamento) e contactar a sua empresa de alojamento.
Passo 2: investigar o que aconteceu
Precisa de saber três coisas:
- Como é que entraram? O acesso inicial: um e-mail de phishing, uma palavra-passe roubada sem 2FA, um servidor VPN ou plugin desatualizado, uma ligação de acesso remoto deixada aberta.
- O que deixaram para trás? A persistência: contas adicionais, tarefas agendadas, software de acesso remoto, regras de reencaminhamento nas caixas de correio, ficheiros extra no servidor do site.
- O que levaram? No ransomware moderno, os criminosos costumam copiar primeiro os dados e ameaçar divulgá-los (extorsão dupla, lição 1.3). Nesse caso, também tem uma fuga de dados (lição 8.2).
Para uma pequena empresa, isto raramente é algo que se consiga fazer sozinho. Contacte o seu fornecedor de TI, ou uma empresa especializada em resposta a incidentes. Muitos seguros cibernéticos têm um número fixo para uma equipa deste tipo. Pergunte a uma empresa externa que experiência tem com o seu tipo de incidente e combine previamente o que a investigação abrange.
No caso de um site, ajudam o registo de acessos e o registo de erros do servidor web, uma verificação antimalware dos ficheiros e uma comparação com uma cópia limpa do CMS e dos plugins.
Passo 3: restaurar de forma limpa
Só depois de saber como o atacante entrou e de fechar essa porta é que deve começar a recuperação.
| O quê | Como |
|---|---|
| Computadores infetados | Não "limpar", mas reinstalar por completo a partir de uma fonte fiável. Depois, primeiro todas as atualizações, só depois restaurar os dados. |
| Dados | Restaurar a partir de uma cópia de segurança sobre a qual tenha uma certeza razoável de que é anterior à invasão. Verifique os ficheiros antes de voltarem à rede. |
| Site | Instalação limpa do CMS e dos plugins na versão mais recente, restaurar apenas o seu próprio conteúdo (textos, imagens, base de dados) e verificar esse conteúdo quanto a scripts ou utilizadores estranhos. |
| Contas | Eliminar contas desconhecidas, todas as palavras-passe novamente, ativar a 2FA, revogar sessões e palavras-passe de aplicações. |
Recupere pela ordem que definiu no seu plano (lições 8.1 e 6.3): primeiro aquilo de que a empresa precisa para continuar a funcionar. Mantenha a parte recuperada separada daquilo que ainda não foi verificado.
É aqui que se vê se a sua cópia de segurança é fiável. Uma cópia de segurança que estava ligada à rede é muitas vezes também encriptada ou apagada. Uma cópia de segurança offline ou imutável (lição 6.2) e um procedimento de restauro testado (lição 6.3) fazem a diferença entre dias e semanas de paragem.
Passo 4: apresentar queixa, notificar e o resgate
Apresentar queixa. Apresente queixa à polícia. Reúna as provas (mensagem de resgate, e-mails, dados de pagamento). A apresentação de queixa é necessária para a investigação, ajuda a polícia a identificar ligações, e as seguradoras pedem-na frequentemente.
No More Ransom. Em https://www.nomoreransom.org (uma iniciativa, entre outros, da Europol e da polícia neerlandesa) pode fazer identificar um ficheiro encriptado ou a mensagem de resgate. Para algumas famílias de ransomware existe um desencriptador gratuito. Para a maioria das variantes mais recentes não, mas não custa nada verificar.
Notificar. Verifique quais as notificações necessárias: uma fuga de dados à CNPD no prazo de 72 horas (lição 8.2), um incidente significativo através do registo junto da autoridade nacional de cibersegurança se estiver abrangido pela transposição da NIS2 (lição 9.1), e o que tiver combinado com clientes ou contratantes.
Resgate. O NCSC neerlandês aconselha a não pagar o resgate, e a polícia diz "de preferência, não pague". As razões:
- Não tem garantia de que recebe uma chave funcional, nem de que os dados não acabem por ser divulgados na mesma.
- Os dados que recupera podem estar danificados ou alterados.
- Quem paga fica conhecido como alguém que paga. As vítimas são por vezes extorquidas novamente ou atacadas de novo mais tarde.
- Está a financiar o próximo ataque.
Se, ainda assim, considerar pagar, ou se já tiver pago, denuncie sempre à polícia: os dados de pagamento podem ajudar a investigação. Esta decisão cabe à pessoa responsável pela decisão no seu plano de incidentes, não a quem vir a mensagem em primeiro lugar.
Seguro cibernético. Um seguro cibernético pode cobrir custos de investigação, recuperação e prejuízos para a empresa, e frequentemente dá acesso a uma equipa de resposta a incidentes. Leia as condições: muitas apólices exigem medidas básicas como a 2FA e cópias de segurança, e pedem que notifique rapidamente. O NCSC neerlandês escreveu em abril de 2025, com base numa investigação a mais de 500 incidentes de ransomware em pequenas e médias empresas, que os atacantes, depois de entrarem, procuram ficheiros com nomes como "seguro" ou "apólice" para reforçar a sua posição negocial. Verifique, portanto, com que facilidade um intruso encontra a sua apólice, e, de preferência, não a guarde num disco partilhado. Um seguro não substitui as medidas de segurança: paga os danos, mas não os evita.
Passo 5: comunicar e aprender
Deixe que o responsável pela comunicação do seu plano transmita uma única história clara aos colaboradores, clientes e fornecedores: o que aconteceu, o que isso significa para eles, o que devem fazer (por exemplo: estar atentos a e-mails que parecem vir da nossa empresa) e quando voltarão a ter notícias suas. Ser honesto e atempado funciona melhor do que ficar em silêncio até que se saiba por fora.
Planeie, dentro de algumas semanas, uma avaliação: o que correu bem, o que correu mal, o que vai mudar? Quase sempre surgem os mesmos pontos: faltava a 2FA nalgum lado, um sistema não estava atualizado, a cópia de segurança não tinha sido testada, ou ninguém sabia quem podia decidir. Inclua esses pontos no seu plano da lição 9.3, com um responsável e uma data.
Na prática: é assim que se apresenta
No caso de um site invadido num pacote de alojamento, trabalha-se frequentemente com as ferramentas da sua empresa de alojamento. Na WebOké, são, por exemplo, uma verificação antimalware (Imunify360), os ficheiros de registo no DirectAdmin, a restauração de uma cópia de segurança a partir do WebOké Backups e um plano de passos no manual do DirectAdmin. Noutras empresas de alojamento existem ferramentas semelhantes; pergunte ao seu fornecedor o que existe e até que ponto no passado vão as cópias de segurança, antes de precisar disso.
Resumo
- Recuperação em cinco passos: conter, investigar, restaurar de forma limpa, apresentar queixa e notificar, comunicar e aprender.
- Isole, não desligue, e altere as palavras-passe apenas a partir de um dispositivo limpo.
- Não restaure nada antes de saber como o atacante entrou; caso contrário, volta também a abrir a porta.
- Reinstale os dispositivos infetados e recupere a partir de uma cópia de segurança anterior à invasão.
- Apresente queixa, consulte o No More Ransom, e, de preferência, não pague o resgate.
Questionário
Exercício
Exercício A8.3: Coloque a recuperação pela ordem correta. Recebe um caso e dez passos soltos (por exemplo, "restaurar cópia de segurança", "retirar o cabo de rede", "apurar como o atacante entrou", "apresentar queixa"). Coloque-os pela ordem correta. O programa verifica se as regras de ordem fixas estão corretas (por exemplo: isolar antes de restaurar, apurar a causa antes de restaurar, reinstalar antes de restaurar os dados) e explica, para cada erro, o motivo.
Para saber mais
Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.
- Manual DirectAdmin 18.2: O meu site foi pirateado: plano de ação
- Ajuda! O meu site foi pirateado. Como posso resolver ou evitar isso?
- Scanner Immunify360
- WebOké Backups: visualizar, restaurar ou transferir uma cópia de segurança
- NCSC neerlandês, O que fazer em caso de ataque de ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
- NCSC neerlandês, Ransomware nas pequenas e médias empresas: os cibercriminosos aumentam o resgate quando há seguro cibernético: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
- No More Ransom: https://www.nomoreransom.org