Resposta a ransomware em startup: o que fazer nas primeiras horas

Contenção: isolar sem destruir a evidência

O reflexo de quem descobre um ransomware é desligar tudo. É um erro. O guia NIST SP 800-61 (Computer Security Incident Handling Guide) trata a contenção como uma fase deliberada, e o desligamento abrupto apaga evidências voláteis que vivem apenas na memória: chaves de criptografia que o malware ainda mantém em RAM, processos ativos, conexões de rede com o servidor de comando e controle e indicadores de comprometimento que orientam toda a investigação seguinte.

A ação correta é o isolamento de rede: desconecte o cabo ethernet, desative o Wi-Fi e remova o host dos segmentos compartilhados, mantendo a máquina ligada. Em ambientes de nuvem ou virtualizados, isso equivale a aplicar regras de security group que bloqueiam todo o tráfego, ou tirar a instância da sub-rede, sem encerrar a VM. O objetivo é cortar a propagação lateral e a comunicação com o atacante sem perder o estado do sistema.

Em paralelo, contenha as credenciais. Ransomware moderno se move lateralmente usando contas com privilégios elevados, então revogue sessões ativas, force a rotação de senhas de contas administrativas e de serviço, e desabilite acessos de integração comprometidos. Documente cada ação com horário: essa linha do tempo será central para a investigação e para a notificação regulatória depois.

Acionar a resposta a incidentes e por que velocidade decide o prejuízo

Ransomware não é um evento pontual, é uma operação em andamento. Quando os arquivos começam a ser criptografados, o atacante já costuma estar há dias ou semanas dentro do ambiente, mapeando ativos e, em muitos casos, exfiltrando dados antes de disparar a criptografia, a chamada dupla extorsão. Por isso a resposta precisa começar enquanto a operação ainda está ativa, não depois que o estrago se consolidou.

O ciclo do NIST SP 800-61 organiza essa resposta em preparação, detecção e análise, contenção, erradicação e recuperação, e atividade pós-incidente. Numa startup enxuta, raramente existe uma equipe dedicada com plantão para executar isso sob pressão às três da manhã. É aqui que um parceiro de resposta a incidentes muda o jogo: a Decripte oferece Resposta a Incidentes em menos de 1 hora e um SOC que monitora, contém e investiga enquanto sua equipe mantém o produto de pé. Quanto mais cedo o acionamento, menor a janela de criptografia e de vazamento. Comece pelo nosso plano gratuito e tenha o canal de emergência mapeado antes de precisar dele.

Antes de erradicar, identifique o que aconteceu: qual variante de ransomware, qual foi o vetor de entrada (phishing, credencial vazada, VPN ou serviço RDP exposto, vulnerabilidade não corrigida) e que dados foram acessados. Sem essa análise, a recuperação vira tentativa e erro, e há o risco real de restaurar o ambiente com a mesma porta de entrada ainda aberta.

Por que não pagar o resgate

A pressão para pagar é enorme quando o produto está fora do ar e os clientes cobram. Mesmo assim, a orientação consolidada do CISA na campanha #StopRansomware é não pagar, e por motivos concretos, não morais. Pagar não garante a decriptação: chaves entregues frequentemente são defeituosas, lentas ou parciais, e parte das vítimas que pagam não recupera todos os dados. Você estaria comprando uma promessa de um criminoso.

Pagar também sinaliza ao grupo que sua startup é uma pagadora, o que aumenta a chance de um segundo ataque, financia a operação criminosa e o desenvolvimento de novas variantes, e em casos de dupla extorsão não impede o vazamento: muitos grupos publicam ou revendem os dados mesmo após receber o pagamento. Antes de qualquer cogitação, consulte o projeto No More Ransom (nomoreransom.org), que mantém um repositório de ferramentas de decriptação gratuitas; para diversas variantes já existe chave pública disponível.

Há ainda o componente jurídico e de compliance. Dependendo do grupo responsável pelo ataque, o pagamento pode esbarrar em sanções internacionais, e o ato de pagar não extingue suas obrigações sob a LGPD nem reduz a responsabilidade perante titulares e parceiros. A decisão de pagar deveria ser sempre o último recurso, tomada com assessoria jurídica e de resposta a incidentes, nunca uma reação no calor do momento.

Restaurar a partir de backup com segurança

Restaurar parece a parte simples, mas é onde muitas startups recriam o desastre. A regra de ouro: nunca restaure num ambiente que ainda contém o vetor de entrada. Se a brecha que permitiu o ataque continuar aberta, o ransomware volta a criptografar os dados recém-restaurados, às vezes em horas. A erradicação vem antes da recuperação, na sequência do NIST 800-61.

Use apenas backups que você sabe estarem limpos e íntegros. Backups conectados à rede no momento do ataque podem ter sido criptografados ou adulterados junto, por isso a importância de cópias imutáveis ou offline. Antes de promover qualquer restauração para produção, valide os dados em ambiente isolado, confirme a ausência de artefatos do malware e verifique a integridade dos arquivos. Restaure de forma faseada, priorizando os sistemas críticos para a operação da fintech, e monitore de perto cada serviço que volta ao ar em busca de sinais de reinfecção.

Notificação: LGPD, ANPD e clientes

Ransomware que afeta dados pessoais é um incidente de segurança sob a LGPD. O artigo 48 obriga o controlador a comunicar à ANPD e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante, e a Autoridade orienta que essa comunicação seja feita em prazo razoável, considerando como referência prazos curtos a partir do conhecimento do incidente. Para uma fintech, que lida com dados financeiros, a maior parte dos casos de ransomware se enquadra como risco relevante.

A comunicação precisa ser substantiva: natureza dos dados afetados, titulares envolvidos, medidas técnicas adotadas para proteger os dados, riscos e as providências de mitigação. É por isso que a documentação feita durante a contenção e a análise é tão valiosa, ela alimenta a notificação. Além da ANPD, avalie obrigações setoriais: fintechs reguladas podem ter deveres adicionais perante o Banco Central, além de cláusulas contratuais de notificação com parceiros e clientes B2B.

Comunicar clientes é também gestão de confiança. Seja transparente sobre o que aconteceu, o que foi afetado e o que você está fazendo, sem especular antes de ter os fatos. Silêncio e informação contraditória corroem a relação mais do que o incidente em si. Tenha um responsável único pela comunicação para evitar mensagens desencontradas.

Prevenir o próximo ataque

Todo incidente fecha com a fase de lições aprendidas do NIST 800-61: o que falhou, o que funcionou e o que muda a partir de agora. O vetor de entrada identificado durante a resposta aponta diretamente para a correção prioritária, seja fechar um serviço RDP exposto, corrigir uma vulnerabilidade pendente ou eliminar credenciais reutilizadas.

As medidas que mais reduzem a superfície de ataque em startups são conhecidas e acessíveis: autenticação multifator em todos os acessos administrativos e remotos, princípio do menor privilégio nas contas, segmentação de rede para limitar movimento lateral, gestão disciplinada de patches e detecção contínua via EDR e monitoramento de SOC. O CISA #StopRansomware reúne guias práticos de hardening para cada um desses pontos.

Prevenção, porém, não é projeto de uma vez, é capacidade contínua. Detecção que identifica o comprometimento na fase de reconhecimento, antes da criptografia, é o que transforma um desastre em alerta. Mapear o canal de resposta a incidentes e ter monitoramento ativo antes da crise é o investimento de maior retorno que um founder pode fazer em segurança.

Checklist prático

1. 1

   1. Isolar sem desligar

   Desconecte as máquinas afetadas da rede (cabo, Wi-Fi, regras de cloud) mantendo-as ligadas, para cortar a propagação sem destruir a evidência volátil na memória.

2. 2

   2. Acionar a resposta a incidentes

   Chame imediatamente sua equipe ou parceiro de resposta. A Decripte atende em menos de 1 hora e o SOC inicia contenção e investigação enquanto sua equipe mantém o produto.

3. 3

   3. Conter credenciais e acessos

   Revogue sessões ativas, rotacione senhas de contas administrativas e de serviço e desabilite integrações comprometidas para impedir movimento lateral.

4. 4

   4. Analisar variante e vetor de entrada

   Identifique qual ransomware atingiu o ambiente, como ele entrou e quais dados foram acessados ou exfiltrados, documentando tudo com horários.

5. 5

   5. Erradicar e restaurar de backup limpo

   Feche o vetor de entrada antes de tudo; depois restaure de backups imutáveis e validados em ambiente isolado, de forma faseada e monitorada.

6. 6

   6. Notificar ANPD e titulares

   Avalie o risco aos dados pessoais e comunique a ANPD e os titulares conforme o artigo 48 da LGPD, além de obrigações setoriais e contratuais.

7. 7

   7. Revisar e prevenir

   Conduza a análise pós-incidente, corrija a causa raiz e implemente MFA, menor privilégio, segmentação, patches e detecção contínua.

Perguntas frequentes