Recuperação após Ransomware:
resposta de emergência e restauro de sistemas

As primeiras ações são críticas: 1) Isolar imediatamente os sistemas afetados da rede (desligar da internet e LAN) para evitar propagação. 2) NÃO desligar os servidores — em alguns casos os dados encriptados ainda estão em memória. 3) Não tentar remover o ransomware ou pagar o resgate antes de consultar especialistas. 4) Documentar tudo o que é visível (screenshots das mensagens). 5) Contactar o suporte de emergência imediatamente.

A nossa recomendação é não pagar. Pagar financia atividade criminosa, não garante que os dados sejam devolvidos (40% dos casos não recebem a chave), não garante que não há backdoors instalados e encoraja novos ataques. Avaliamos sempre se existem outras opções antes de qualquer consideração sobre pagamento.

Depende do tipo de ransomware, do estado dos backups e de quanto tempo passou desde o ataque. Com backups offsite não afetados, a recuperação é mais previsível. Sem backups, avaliamos: se existe decryptor público para aquela variante de ransomware, se há shadow copies/snapshots disponíveis e se existem versões anteriores de ficheiros em locais não afetados.

Varia muito com a dimensão da infraestrutura e o nível de comprometimento. Uma PME com backups disponíveis: 2 a 5 dias para recuperação operacional. Sem backups limpos: semanas. A fase de análise forense (para perceber como entrou e garantir que não há backdoors) é essencial e não deve ser saltada mesmo com pressão para voltar à operação.

A fase de hardening pós-incidente é obrigatória: identificar e fechar o vetor de entrada, implementar segmentação de rede, rever permissões de utilizadores, implementar backup offsite testado, ativar EDR em todos os endpoints, formar a equipa sobre phishing (vector mais comum) e implementar MFA em todos os acessos.