Em 12 de maio de 2017, o ransomware WannaCry atingiu dezenas de milhares de computadores em mais de 70 países explorando uma falha do Windows já corrigida pela Microsoft em março. No Brasil, o TJ-SP desligou todos os computadores, o INSS teve postos parados e a Petrobras reiniciou a rede.
Em 12 de maio de 2017, uma sexta-feira, o ransomware WannaCry, código malicioso que criptografa arquivos e cobra resgate em bitcoin, se espalhou por organizações de dezenas de países. A Kaspersky registrou mais de 45 mil ataques em 74 países naquele dia, segundo o Baguete, e a Avast falou em 75 mil detecções em 99 países, segundo o Jornal Opção. O ataque explorava uma falha no protocolo de compartilhamento de arquivos do Windows (SMB) para a qual a Microsoft havia publicado correção em 14 de março, segundo o Tecnoblog. No Brasil, o Tribunal de Justiça de São Paulo mandou desligar todos os computadores do estado, o INSS teve postos de atendimento parados e a Petrobras orientou funcionários a salvar o trabalho para reiniciar a rede.
O episódio mostrou, de forma concreta, o custo de não aplicar atualizações de segurança.
Como o WannaCry se espalhou?
Segundo o Tecnoblog, a falha permitia execução remota de código pelo SMB e estava presente em todas as versões do Windows desde o Vista, inclusive as de servidor, o que permitia ao malware se propagar rapidamente entre máquinas vulneráveis de uma mesma rede. O Baguete, citando o Financial Times, relatou que o ataque usou uma ferramenta chamada "eternal blue", supostamente desenvolvida por espiões americanos e roubada da NSA, e que o grupo Shadow Brokers foi associado ao vazamento de uma dessas ferramentas. Segundo o New York Times, citado na mesma reportagem, ninguém havia sido identificado como responsável.
Os atacantes pediam US$ 300 por computador, segundo o Tecnoblog.
Quem foi afetado?
| Organização | Efeito relatado |
|---|---|
| Telefónica (Espanha) | Segundo fontes do El Mundo, cerca de 85% dos computadores infectados; funcionários mandados para casa |
| NHS (Reino Unido) | Hospitais na Inglaterra e na Escócia com sistemas desligados, consultas canceladas e ambulâncias desviadas |
| TJ-SP | Alguns computadores infectados; todos os demais desligados por precaução e prazos processuais suspensos |
| INSS (Rio de Janeiro) | Computadores desligados e postos de atendimento parados, segundo O Globo |
| Petrobras | Aviso interno para salvar o trabalho e reiniciar a rede |
| Ministério Público de SP | Computadores desligados por precaução |
| Vivo (Telefônica Brasil) | Funcionários orientados a não acessar a rede corporativa; empresa disse não ter sido impactada |
Segundo o Gabinete de Segurança Institucional da Presidência, o INSS teve apenas "incidentes pontuais", versão diferente da relatada pela imprensa naquele dia.
O que o governo recomendou?
O GSI divulgou orientações que valem para qualquer empresa:
- Atualizar os sistemas para a versão mais recente.
- Isolar da rede as máquinas infectadas.
- Fazer campanhas internas para que usuários não cliquem em links suspeitos nem baixem arquivos de e-mails desconhecidos.
Em 2016, o CERT.br já havia apontado o backup periódico e desconectado como a única proteção realmente efetiva contra ransomware. Em setembro de 2017, o 6º Fórum Brasileiro de CSIRTs teve uma apresentação da Petrobras sobre incidentes relacionados ao WannaCry.
Que lições o ataque deixou?
- Atualização é defesa: a correção existia havia quase dois meses.
- Rede plana espalha o problema: sem segmentação, uma máquina infectada contamina outras.
- Backup isolado salva a operação: cópias conectadas à rede podem ser criptografadas junto.
- Plano de resposta reduz o dano: desligar, isolar e comunicar rápido exige preparação.
O que isso significa hoje para quem contrata cibersegurança?
Ao contratar uma empresa de cibersegurança ou de sustentação de TI, vale exigir uma política de atualização com prazos definidos, inventário de sistemas desatualizados, segmentação da rede, backups testados e mantidos isolados e um plano de resposta a incidentes ensaiado. O WannaCry mostrou que a pergunta não é se uma falha conhecida será explorada, mas quando.
Fontes
- Tecnoblog: Ataque com ransomware está sequestrando arquivos de empresas ao redor do mundo (12 maio 2017)
- Baguete: Ataques afetam a Telefónica (12 maio 2017)
- Jornal Opção: O que se sabe sobre o ataque hacker global que sequestrou sites de órgãos públicos no Brasil (13 maio 2017)
- CERT.br, via lista de anúncios do NIC.br: Ransomware, saiba como se prevenir (set. 2016)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que foi o WannaCry?
Foi um ransomware que se espalhou pelo mundo em 12 de maio de 2017, criptografando arquivos e cobrando resgate em bitcoin. Ele explorava uma falha no compartilhamento de arquivos do Windows (SMB), corrigida pela Microsoft em 14 de março de 2017.
Quais organizações brasileiras foram afetadas pelo WannaCry?
Segundo a imprensa da época, o TJ-SP teve computadores infectados e desligou os demais, o INSS teve postos parados no Rio de Janeiro e a Petrobras e o Ministério Público de São Paulo tomaram medidas preventivas, como desligar computadores e reiniciar a rede.
Como se proteger de ataques como o WannaCry?
As orientações da época incluíam manter os sistemas atualizados, isolar máquinas infectadas, treinar usuários para não abrir links e anexos suspeitos e, segundo o CERT.br, manter backups periódicos desconectados da rede.