Se acha que a sua empresa é demasiado pequena para que um grupo de ransomware se interesse por ela, é exatamente por isso que é um alvo. Os atacantes já não escolhem as vítimas à mão: varrem a internet, testam credenciais roubadas e entram por onde a porta cede. E as PME são a porta que menos resiste.
O padrão é sempre o mesmo: entram por um e-mail ou uma palavra-passe, movem-se pela sua rede sem que ninguém os veja, cifram os seus dados e também as suas cópias de segurança, e ainda levam uma cópia para o ameaçar de a publicar se não pagar. Dupla extorsão. A boa notícia: um ataque de ransomware trava-se com medidas concretas e comprovadas. Aqui ficam quais e o que fazer se já o tem em cima.
Porque é que as PME são o alvo preferido
O ransomware deixou de ser um ataque dirigido a grandes empresas há anos. Hoje é um negócio industrializado que funciona por volume, e a PME reúne o combo perfeito: dados valiosos, defesas modestas e pressa para voltar a faturar. O atacante sabe que uma empresa de 20 ou 50 pessoas raramente tem equipa de segurança, que as suas cópias costumam estar na mesma rede e que, com o negócio parado, cada hora dói o suficiente para se ponderar pagar.
Junta-se a isto a cadeia de abastecimento. Muitas PME são fornecedoras de empresas maiores, e comprometer a pequena é o caminho cómodo para chegar à grande. O seu acesso aos sistemas de um cliente ou as suas credenciais partilhadas transformam-no num trampolim, não apenas numa vítima final.
E depois há o inimigo interno: o “a mim não me vai acontecer”. Essa frase justifica o antivírus caducado, as palavras-passe de 2019 e as cópias que ninguém alguma vez testou restaurar. O ransomware não castiga o azar; castiga a falta de preparação. A diferença entre um susto e um encerramento de duas semanas decide-se antes do ataque, não durante.
Como o ransomware entra de verdade
Esqueça o hacker genial a quebrar cifras impossíveis. A realidade é mais banal e é precisamente por isso mais perigosa: quase sempre entram pela porta principal usando a chave certa. Estas são as vias reais, por ordem de frequência.
- Phishing por e-mail. Uma mensagem que parece legítima —uma fatura, um aviso de entrega, um suposto colega— com um anexo ou uma ligação. Um clique e já há um pé lá dentro. Continua a ser a via número um.
- Credenciais roubadas ou fracas. Palavras-passe vazadas em falhas anteriores, reutilizadas entre serviços ou tão simples que se adivinham por força bruta. Com um utilizador e uma palavra-passe válidos, o atacante não “hackeia”: simplesmente inicia sessão.
- RDP e VPN expostos à internet. O ambiente de trabalho remoto ou o acesso VPN abertos sem proteção extra são um íman. Os atacantes varrem a internet à procura destas portas 24 horas por dia.
- Software sem correções. Servidores, firewalls ou aplicações com vulnerabilidades conhecidas e públicas que ninguém atualizou. O exploit já está escrito; basta encontrar o sistema esquecido.
Uma vez lá dentro, o ataque não cifra de imediato. O atacante move-se lateralmente durante horas ou dias, procura as contas de administrador e, sobretudo, localiza as suas cópias de segurança para as inutilizar antes de dar o golpe. Quando finalmente lança a cifra, já é tarde. A defesa joga-se em detetar esse movimento silencioso, não a cifra final.
As defesas que travam mesmo um ataque
Não há bala de prata, mas há um conjunto de medidas que, combinadas, tornam a sua empresa um alvo demasiado caro para o atacante. Estas são as que fazem mesmo a diferença:
- EDR em cada equipamento. Um antivírus deteta o conhecido; um EDR deteta o comportamento suspeito —movimento lateral, cifra massiva— e corta-o em tempo real. É ver o ataque em vez de dar por ele quando já nada arranca.
- Cópias imutáveis e isoladas. Se a sua cópia está na mesma rede e acessível, o ransomware cifra-a com tudo o resto. Precisa de cópias imutáveis (que não se podem modificar nem apagar) e uma fora do seu ambiente. É o seu último cartucho quando tudo o resto falhou.
- MFA em todos os acessos. Duplo fator no e-mail, VPN, acesso remoto e aplicações críticas. Uma palavra-passe roubada deixa de servir se for preciso um segundo fator. É a medida que trava mais ataques com menos esforço.
- Correções em dia. Um processo real de atualização de sistemas operativos, servidores e aplicações. Fechar as vulnerabilidades conhecidas antes de as usarem contra si não é opcional, é higiene básica.
- Segmentação da rede. Que um equipamento infetado não consiga alcançar toda a empresa. Separar redes e aplicar o mínimo privilégio contém o incêndio numa divisão em vez de o deixar arrasar o edifício.
- Formação da equipa. As suas pessoas são a primeira firewall. Uma equipa que reconhece um phishing e sabe a quem avisar trava o ataque mais depressa do que qualquer tecnologia. Formação breve, prática e repetida.
- Plano de resposta a incidentes. Saber de antemão quem isola, quem decide, a quem se liga e como se restaura. Improvisar durante o ataque custa dias; ter o plano ensaiado custa horas.
Uma cópia de segurança que nunca testou restaurar não é uma cópia de segurança: é uma suposição. E as suposições não aguentam um ransomware.
A chave não está em ter uma destas medidas, mas em tê-las todas a funcionar em simultâneo e supervisionadas. É aqui que a cibersegurança gerida separa as empresas que sobrevivem das que não.
O que fazer na primeira hora se lhe acontecer
Se vê ficheiros com extensões estranhas, notas de resgate ou equipamentos a cair em cadeia, já está a acontecer. A primeira hora decide o tamanho do desastre. Aja assim:
- Isole, não desligue. Desligue os equipamentos afetados da rede —cabo, wifi, VPN— para travar a propagação, mas evite desligá-los a frio: pode perder provas e dados úteis para a recuperação.
- Não pague às cegas. Pagar não garante recuperar os dados, marca-o como quem paga e financia o ataque seguinte. Antes de decidir seja o que for, avalie o alcance real e as suas opções de restauro com quem saiba.
- Ative o plano de resposta. Convoque quem decide, avise o seu fornecedor de segurança e documente o que aconteceu. Um ataque em curso não é o momento de decidir quem faz o quê; é o momento de executar o que já estava decidido.
- Restaure a partir de uma cópia limpa. Antes de recuperar, certifique-se de que a cópia não está comprometida e de que fechou a via de entrada. Restaurar sobre um sistema ainda infetado reinicia o pesadelo.
- Cumpra a legislação. Consoante os dados afetados, pode haver obrigação de notificar a violação. Tenha-o previsto para não somar uma coima ao desastre.
A oferta da MagicBoxDesk: cibersegurança gerida e backup à prova de ransomware
Montar e manter tudo o anterior exige tempo, ferramentas e critério que à maioria das PME não compensa ter em casa. Por isso na MagicBoxDesk oferecemo-lo como serviço gerido em mensalidade, sem surpresas: nós pomos a tecnologia, a vigilância e a experiência, e você esquece o problema. É externalizar a sua TI com a segurança e as cópias incluídas, não como um extra que se fatura quando já é tarde.
- EDR gerido em todos os seus equipamentos, com deteção e resposta a comportamento suspeito.
- Backup com cópias imutáveis e isoladas, com restauros testados periodicamente.
- MFA e controlo de acessos no e-mail, VPN, ambiente de trabalho remoto e aplicações críticas.
- Gestão de correções e atualizações contínua sobre servidores, postos e perímetro.
- Segmentação e hardening da rede para conter qualquer equipamento comprometido.
- Monitorização e resposta a incidentes, com um plano de atuação definido e alguém do outro lado quando precisar.
- Formação e simulações de phishing para que a sua equipa deixe de ser o elo fraco.
O que ganha resume-se facilmente: tranquilidade, conformidade e zero interrupções. Esse trabalho de vigiar e-mails estranhos, palavras-passe antigas e cópias por testar passa para uma equipa que o faz todos os dias. Damos suporte remoto e presencial em toda a Espanha, com deslocação ao seu escritório quando é preciso.
Proteja a sua empresa antes que seja tarde
O ransomware não avisa, mas perdoa quem está preparado. A decisão não é se investir em proteção contra ransomware para a sua empresa, mas se prefere fazê-lo agora, a mensalidade fixa, ou depois, com o negócio parado e a qualquer preço. A primeira opção sai sempre mais barata.
Na MagicBoxDesk montamos e mantemos toda esta defesa por si para que se ocupe do seu negócio. Peça um orçamento sem compromisso e dizemos-lhe exatamente o que precisa para dormir descansado. Se prefere contar-nos primeiro o seu caso, escreva-nos ou ligue-nos e vemos isso.
