Ransomware: a anatomia do ataque e a defesa em camadas que funciona

O ransomware deixou de ser um problema de "azar" para virar um modelo de negócio. Hoje existem grupos organizados que operam como empresas de software, com suporte, programas de afiliados (o chamado Ransomware as a Service) e departamentos de negociação. Para a vítima, o resultado é o mesmo de sempre: sistemas cifrados, operação parada e um relógio correndo. A diferença é que, em 2026, o pagamento do resgate é só metade da chantagem.

Entender como um ataque de ransomware acontece, passo a passo, é o que separa uma empresa que se recupera em horas de uma que fica dias fora do ar e ainda vê seus dados vazados. Este guia percorre a anatomia de um ataque moderno e, principalmente, a defesa em camadas que de fato reduz o risco. Não existe bala de prata contra ransomware. Existe profundidade.

A dupla extorsão mudou o jogo

Por anos, a lógica do ransomware foi simples: cifrar os dados e cobrar pela chave. A defesa clássica também era simples: ter backup. Se você conseguia restaurar, não pagava.

Os atacantes se adaptaram. O modelo dominante hoje é a dupla extorsão: antes de cifrar, o grupo exfiltra (rouba) os dados sensíveis. Depois vem a ameaça dupla. Primeiro, "pague para recuperar seus arquivos". Segundo, "pague de novo, ou publicamos tudo o que roubamos". Alguns grupos já praticam a tripla extorsão, adicionando ataques de negação de serviço ou pressão direta sobre clientes e parceiros da vítima.

A consequência estratégica é dura: backup sozinho não basta mais. Ele resolve a disponibilidade, mas não a confidencialidade. Se os dados já saíram, restaurar não desfaz o vazamento. Por isso a defesa moderna precisa impedir o ataque de progredir, não apenas garantir a volta ao ar.

A anatomia de um ataque de ransomware

Um ataque bem-sucedido raramente é instantâneo. Ele costuma se desenrolar ao longo de dias ou semanas, em fases previsíveis. Conhecer cada fase revela onde a defesa pode interromper a cadeia.

1. Acesso inicial

Tudo começa com uma porta aberta. Os vetores mais comuns são consistentes ano após ano:

• Phishing: um anexo ou link malicioso que entrega o primeiro malware. Ainda é o vetor número um.
• Credenciais válidas: senhas vazadas ou fracas, muitas vezes compradas de outros criminosos, usadas em acessos remotos (VPN, RDP) sem MFA.
• Vulnerabilidades expostas: serviços voltados para a internet sem correção, um clássico caminho de entrada.

2. Estabelecimento e comando

Obtido o primeiro acesso, o atacante instala um mecanismo de persistência e estabelece comunicação com sua infraestrutura de comando e controle (C2). A partir daí, ele opera de dentro, muitas vezes sem pressa, para não disparar alarmes.

3. Movimentação lateral e escalonamento

Esta é a fase decisiva, e a mais silenciosa. O invasor mapeia a rede, coleta mais credenciais e se move de máquina em máquina buscando o prêmio: privilégios de administrador de domínio. Numa rede plana, sem segmentação, essa travessia é rápida. O objetivo é alcançar os sistemas críticos e, sobretudo, os backups, que os atacantes tentam localizar e destruir antes de cifrar.

4. Exfiltração

Antes do golpe final, os dados sensíveis são copiados para fora. É a munição da dupla extorsão. Essa transferência costuma deixar rastros na rede (volumes anormais de saída de dados) que uma boa detecção consegue perceber.

5. Detonação

Só então o ransomware é disparado, muitas vezes de forma coordenada em toda a rede, fora do horário comercial para maximizar o dano antes que alguém reaja. Arquivos são cifrados, backups acessíveis são apagados e a nota de resgate aparece.

O ponto central: quase toda a ação acontece antes da criptografia. A cifragem é o desfecho, não o ataque. Quem defende olhando só para o momento da detonação já perdeu.

A defesa em camadas que funciona

Como o ataque é uma cadeia de etapas, a defesa eficaz também é encadeada. Cada camada que segura ou detecta o atacante em uma fase reduz a chance de ele chegar à seguinte. Este é o princípio da defesa em profundidade.

Fase do ataque	Camada de defesa	Controle prático
Acesso inicial	Prevenção de entrada	MFA em todos os acessos, filtro de e-mail, correção de vulnerabilidades
Persistência e C2	Detecção de endpoint	EDR/XDR, bloqueio de domínios maliciosos
Movimentação lateral	Contenção	Microssegmentação de rede, menor privilégio
Exfiltração	Detecção de anomalia	Monitoramento de tráfego de saída, DLP
Detonação	Resiliência	Backups imutáveis e isolados, plano de resposta

Camada 1: reduzir a superfície de entrada

A defesa mais barata é a que impede a porta de abrir. Na prática:

• MFA em tudo, sem exceção para acessos remotos e administrativos. Credencial roubada sem segundo fator vale muito menos.
• Gestão de vulnerabilidades: corrija o que está exposto à internet com prioridade e disciplina.
• Conscientização anti-phishing: treinamento contínuo, porque o e-mail continua sendo o vetor número um.

Camada 2: detectar rápido com EDR

Como nenhuma prevenção é perfeita, o objetivo passa a ser reduzir o tempo de permanência do atacante. Ferramentas de EDR (Endpoint Detection and Response) e XDR observam comportamento, não só assinaturas, e disparam alerta quando um processo age como ransomware (varredura de arquivos, tentativa de apagar backups, cifragem em massa). Quanto antes o comportamento é detectado, menor o estrago.

Camada 3: conter com segmentação e menor privilégio

Aqui está o maior multiplicador de resiliência. A microssegmentação divide a rede em zonas isoladas, de modo que comprometer uma máquina não dê acesso a todas as outras. Somada ao princípio do menor privilégio (cada conta com o mínimo necessário) e à separação de contas administrativas, ela transforma a movimentação lateral de uma corrida fácil em um labirinto cheio de barreiras.

Camada 4: a regra 3-2-1-1-0 de backup

Backup continua sendo a apólice de seguro contra a cifragem. Mas backup de ransomware tem requisitos específicos, resumidos na regra 3-2-1-1-0:

• 3 cópias dos dados.
• 2 mídias diferentes.
• 1 cópia fora do local (offsite).
• 1 cópia imutável ou offline, que o atacante não consegue apagar nem cifrar.
• 0 erros na restauração, comprovados por testes regulares.

O item que mais falha é o último. Um backup que nunca foi testado é uma esperança, não um plano. Restaure de verdade, periodicamente, e cronometre. É esse número que define seu tempo real de recuperação.

Camada 5: um plano de resposta a incidentes testado

Quando o pior acontece, improviso custa caro. Um plano de resposta define quem faz o quê nas primeiras horas: isolar as máquinas afetadas, preservar evidências, acionar comunicação, avaliar o escopo e iniciar a recuperação. Empresas que ensaiam esse plano em simulações reagem com ordem; as que não ensaiam reagem com pânico. Vale lembrar: sob a LGPD, um incidente com dados pessoais pode exigir notificação à ANPD e aos titulares, o que torna o plano também uma obrigação de conformidade.

Pagar ou não pagar?

A recomendação consolidada de autoridades de segurança é não pagar, por três motivos concretos. Primeiro, não há garantia: muitos que pagam não recuperam tudo, ou recebem uma chave de decifragem lenta e defeituosa. Segundo, pagar financia e incentiva o próximo ataque, inclusive contra você de novo. Terceiro, os dados exfiltrados podem vazar mesmo após o pagamento. A decisão real precisa acontecer antes do incidente, na forma de resiliência construída: quem tem backup imutável testado e um plano ensaiado negocia de posição muito mais forte, ou simplesmente não precisa negociar.

Resiliência é construída antes do ataque

Ransomware não é um raio que cai do céu. É uma operação com etapas, rastros e pontos de interrupção. A empresa que entende isso para de apostar tudo em uma única muralha e passa a construir profundidade: dificultar a entrada, detectar rápido, conter a propagação, garantir a recuperação e ensaiar a resposta. Nenhuma dessas camadas é perfeita sozinha. Juntas, transformam um evento potencialmente fatal em um incidente gerenciável.

Na ConstructorTI, ajudamos empresas a construir essa resiliência antes que o relógio comece a correr: avaliação de superfície de ataque e pentest, revisão de segmentação e menor privilégio, desenho de estratégia de backup imutável, e construção e simulação de um plano de resposta a incidentes com apoio de SOC. Se você quer descobrir onde sua rede cederia num ataque de ransomware antes que um grupo criminoso descubra primeiro, converse com o nosso time de CyberSecurity.