Nas primeiras 24 horas de um ataque de ransomware, a empresa deve isolar as máquinas afetadas sem apagá-las, preservar evidências, acionar o plano e o fornecedor de resposta, proteger os backups, avaliar se houve dados pessoais afetados e preparar a comunicação à ANPD, que tem prazo de três dias úteis.
Nas primeiras 24 horas de um ataque de ransomware, a prioridade é conter o dano sem destruir evidências: isolar da rede as máquinas e contas afetadas, proteger os backups, acionar o responsável pelo incidente e o fornecedor de resposta, registrar tudo e avaliar se dados pessoais foram atingidos. Se foram, começa a contar o prazo de três dias úteis para comunicar a ANPD e os titulares, previsto na Resolução CD/ANPD nº 15/2024.
Ransomware é um tipo de código malicioso que bloqueia ou criptografa dados e sistemas e exige pagamento para liberá-los. Em muitos casos, os criminosos também copiam os dados antes e ameaçam divulgá-los. Por isso, um ataque de ransomware costuma ser, ao mesmo tempo, um problema de disponibilidade e um possível vazamento.
O que fazer na primeira hora?
A primeira hora define o tamanho do estrago. O objetivo é impedir que o ataque se espalhe, sem tomar decisões irreversíveis.
- Isole, não desligue no impulso. Desconecte da rede, cabeada e sem fio, as máquinas com sinais de criptografia. Desligar um equipamento pode apagar informações úteis à investigação; a decisão de desligar deve ser de quem conduz a resposta.
- Proteja os backups. Desconecte imediatamente cópias de segurança acessíveis pela rede. Backups ligados ao ambiente atacado podem ser criptografados também.
- Acione o plano. Avise o responsável pela resposta a incidentes e a diretoria. Se houver fornecedor de resposta contratado, acione-o agora.
- Comece um diário do incidente. Anote horários, o que foi observado, quem fez o quê. Esse registro será usado na investigação, na comunicação à ANPD e no registro obrigatório de incidentes.
- Use um canal de comunicação fora do ambiente afetado. Se o e-mail ou o chat corporativo podem estar comprometidos, combine um canal alternativo para a equipe de crise.
O que fazer entre a primeira e a sexta hora?
Com o espalhamento contido, a equipe passa a entender o que aconteceu.
- Delimite o alcance. Quais servidores, estações, contas e serviços de nuvem foram afetados? Há sinais de acesso a sistemas que guardam dados de clientes ou funcionários?
- Bloqueie acessos suspeitos. Redefina credenciais de contas administrativas e de serviços que possam ter sido usadas pelo atacante, a partir de um equipamento confiável.
- Preserve evidências. Guarde registros de eventos (logs), a nota de resgate e cópias de máquinas afetadas, conforme orientação do fornecedor de resposta.
- Não negocie sozinho. Qualquer contato com os criminosos deve ser decidido pela diretoria, com apoio jurídico e técnico. Pagar não garante a devolução dos dados nem impede a divulgação.
- Envolva o jurídico e o encarregado de dados. A avaliação sobre dados pessoais começa aqui, não no terceiro dia.
O que fazer entre a sexta e a vigésima quarta hora?
Nesta fase entram as decisões de negócio e as obrigações legais.
Avalie se dados pessoais foram afetados. O regulamento da ANPD define incidente de segurança como qualquer evento adverso confirmado que viole confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Um ransomware que apenas torna indisponível um banco de dados de clientes já pode se enquadrar, mesmo sem prova de cópia.
Avalie o risco aos titulares. A comunicação à ANPD é obrigatória quando o incidente pode causar risco ou dano relevante. O regulamento considera, entre outros fatores, se há dados sensíveis, financeiros, de autenticação, de crianças, adolescentes ou idosos, ou dados em larga escala.
Prepare a comunicação. O prazo de três dias úteis para comunicar a ANPD e os titulares conta a partir do momento em que o controlador sabe que dados pessoais foram afetados. Se a investigação não terminou, a ANPD admite comunicação preliminar, complementada em até 20 dias úteis. Detalhes estão no guia de comunicação de incidente à ANPD.
Planeje a recuperação. Identifique quais sistemas são críticos para a operação e em que ordem voltar. Restaurar de backups só é seguro depois de entender como o atacante entrou; caso contrário, o ambiente pode ser atacado de novo.
Comunique com cuidado. Prepare mensagens para funcionários, clientes e parceiros. Diga o que se sabe, o que está sendo feito e quando haverá nova atualização. Evite afirmações que ainda não foram confirmadas.
Quem faz o quê nas primeiras 24 horas?
| Papel | Responsabilidade principal | Decisões que não pode delegar |
|---|---|---|
| Diretoria | Coordenar a crise e aprovar decisões de negócio | Pagar ou não, parar operações, comunicação pública |
| Responsável pela resposta | Conduzir contenção e investigação | Isolar sistemas, acionar fornecedor |
| Fornecedor de resposta | Investigação técnica, preservação de evidências, apoio à recuperação | Recomendações técnicas, não decisões de negócio |
| Jurídico e encarregado | Avaliar obrigações legais e contratuais | Comunicação à ANPD e aos titulares |
| TI interna | Executar contenção, proteger backups, restaurar | Ordem de restauração, junto com o negócio |
| Comunicação | Mensagens a funcionários, clientes e imprensa | Texto final, aprovado pela diretoria |
Que erros pioram um ataque de ransomware?
Os mais frequentes são evitáveis:
- Formatar e reinstalar máquinas antes de preservar evidências.
- Restaurar backups sem fechar a porta de entrada do atacante.
- Manter backups conectados à rede durante a crise.
- Esperar o fim da investigação para começar a pensar na ANPD.
- Deixar a negociação nas mãos de uma pessoa sem apoio jurídico.
- Comunicar clientes com informações incompletas ou contraditórias.
- Não registrar o incidente. O regulamento da ANPD exige registro de todos os incidentes, comunicados ou não, por no mínimo cinco anos.
O que precisa estar pronto antes do ataque?
Quase tudo o que funciona nas primeiras 24 horas foi preparado antes. Um plano de resposta a incidentes escrito e testado, contatos de emergência atualizados, backups isolados e testados, um critério para avaliar risco aos titulares e, se fizer sentido, um contrato de resposta a incidentes já assinado. A estratégia de cópias de segurança está detalhada em backup 3-2-1 e recuperação de desastres.
Próximo passo
Se a sua empresa não tem um fornecedor de resposta a incidentes, compare as empresas de cibersegurança e veja os rankings da categoria. Se você presta serviços de resposta a incidentes, crie ou reivindique o perfil gratuito para ser encontrado por quem precisa de ajuda rápida.
Fontes
- ANPD — Comunicação de incidente de segurança — prazo de três dias úteis, comunicação preliminar e complementação em 20 dias úteis
- CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15 — definição de incidente, incluindo violação da disponibilidade
- Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — critérios de risco ou dano relevante, marco inicial do prazo e registro por cinco anos
- Fórum Brasileiro de CSIRTs 2024 (CERT.br) — apresentação sobre a Resolução CD/ANPD nº 15/2024 — registro de todos os incidentes, inclusive os não comunicados
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de comunicar incidente (art. 48)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Devo pagar o resgate?
A decisão é da diretoria, com apoio jurídico e técnico. Pagar não garante a recuperação dos dados nem impede que eles sejam divulgados, e pode financiar novos ataques. Antes de qualquer decisão, avalie se é possível recuperar a partir de backups íntegros.
Ransomware sempre precisa ser comunicado à ANPD?
Não sempre. A comunicação é obrigatória quando o incidente envolve dados pessoais e pode causar risco ou dano relevante aos titulares. Mesmo quando a conclusão é não comunicar, o incidente precisa ser registrado com a avaliação feita.
Posso desligar todos os computadores?
Desligar tudo pode apagar evidências e atrasar a investigação. A orientação mais comum é isolar da rede os equipamentos afetados e deixar a decisão sobre desligar para quem conduz a resposta. Em situações extremas, a diretoria pode decidir parar a operação inteira.
Quanto tempo leva para voltar a operar?
Depende do alcance do ataque, da qualidade dos backups, da documentação dos sistemas e da preparação da equipe. Empresas com backups isolados e testados e com plano de recuperação definido tendem a voltar mais rápido. Não há um prazo padrão.
Preciso registrar boletim de ocorrência?
Registrar a ocorrência policial é recomendável e pode ser exigido por seguradoras ou parceiros. Converse com o jurídico sobre o momento e o conteúdo do registro, sem atrasar as medidas de contenção.