Ransomware: o que fazer nas primeiras horas (plano de resposta)

Os ficheiros começam a aparecer com extensões estranhas, há uma nota de resgate no ambiente de trabalho e os equipamentos começam a cair em cadeia. Nesse momento não precisa de um tratado sobre cibersegurança: precisa de saber o que fazer nos próximos sessenta minutos. Porque o que decidir ali —e sobretudo o que fizer por puro nervosismo— faz a diferença entre um dia mau e duas semanas com o negócio parado.

Este não é um artigo de prevenção. Parte do princípio de que já está a acontecer e dá-lhe o plano de resposta a incidentes passo a passo: o que tocar, o que não tocar, a quem ligar e por que ordem recuperar. Guarde-o antes de precisar dele, porque quando precisar não vai ter tempo de o procurar.

Porque as primeiras horas decidem tudo

O ransomware não cifra à velocidade da luz. Quando vê a nota de resgate, a cifragem continua a avançar pela rede: cada minuto que um equipamento infetado permanece ligado são mais pastas partilhadas, mais servidores e —o que mais dói— mais cópias de segurança a cair. A janela para conter o dano mede-se em minutos, não em horas. É aí que se joga se amanhã abre ou não.

O outro inimigo dessa primeira hora é o pânico. A reação instintiva —desligar tudo, reiniciar servidores, começar a apagar o que parece infetado, pagar o resgate para acabar depressa— é quase sempre a reação errada. Conter não é reagir depressa; é reagir na ordem certa. Uma empresa que isola com cabeça recupera a partir da cópia em dois dias. Uma que improvisa à flor da pele acaba com o incidente alastrado, as evidências destruídas e nenhuma cópia limpa à qual voltar.

O ransomware não castiga a falha técnica; castiga a improvisação. Quem tem o plano escrito executa; quem não o tem discute enquanto a cifragem avança.

Os primeiros passos certos, por ordem

Este é o guião da primeira hora. Não o improvise: faça-o tal como está, de cima a baixo.

• Isole da rede os equipamentos afetados. Desligue o cabo, corte o Wi-Fi, corte a VPN. O objetivo é travar a propagação de imediato. Isolar vem primeiro, sempre, antes de investigar seja o que for.
• Não desligue à toa. Desligar da rede não é o mesmo que desligar a frio. Desligar apaga informação volátil que serve para saber o que aconteceu e como entraram, e em alguns casos até complica a recuperação de dados. Isole, mas deixe os equipamentos ligados salvo indicação de quem gere o incidente.
• Proteja já as cópias de segurança. Antes de qualquer outra coisa, garanta que as cópias não são alcançáveis a partir da rede comprometida. Se o ransomware chegar a elas, acabou a conversa. Desligue-as ou verifique que estão isoladas e imutáveis.
• Corte os acessos remotos e as contas privilegiadas. VPN, ambiente de trabalho remoto, acessos de fornecedores e contas de administrador. Por onde entraram podem voltar a entrar, e muitas vezes o atacante continua lá dentro a ver como reage.
• Preserve as evidências. Fotografe a nota de resgate, anote a hora, não apague registos nem ficheiros cifrados. Essa informação é ouro para saber o alcance, para o seguro e, se for preciso, para a queixa.
• Ative o plano e ponha uma pessoa ao comando. Alguém coordena, decide e comunica; os restantes executam. Avise o seu fornecedor de cibersegurança gerida e comece a documentar o que está afetado. Numa crise, cinco pessoas a decidir em paralelo fazem mais estragos do que o próprio ataque.

Com isto feito, o incêndio está contido. Agora é altura de avaliar o alcance com calma: o que está cifrado, o que não está, e se há indícios de que também tenham levado dados —a chamada dupla extorsão—, porque isso muda as suas obrigações legais.

O que NÃO fazer em circunstância alguma

Metade de uma boa resposta é não cometer os erros que transformam um incidente num desastre irreversível. Estes são os quatro que saem mais caros.

• Não pague às cegas. Pagar não garante recuperar os dados —muitos decifradores falham ou só funcionam a meio—, marca-o como quem paga e financia o ataque seguinte. É a última opção, nunca a primeira, e só depois de avaliar a fundo se consegue restaurar a partir da cópia.
• Não restaure sobre o infetado. Recuperar os dados num sistema ainda comprometido, ou sem ter fechado a via de entrada, reinicia o pesadelo em horas. Primeiro limpa-se ou reinstala-se; depois restaura-se.
• Não o esconda. Silenciar o incidente para que ninguém saiba expõe-no a coimas por não notificar e destrói a confiança quando acabar por se saber, que há de saber-se. A transparência bem gerida protege; o silêncio agrava.
• Não apague registos nem ficheiros. “Limpar” por conta própria destrói as evidências de que precisa para perceber o alcance, cumprir a lei e receber o seguro. Não toque nos registos: são o seu melhor aliado.

Notificação e obrigações: o relógio legal também corre

Enquanto contém e recupera, há um segundo relógio em marcha que muita gente ignora até ser tarde. Se no ataque foram comprometidos dados pessoais —de clientes, colaboradores ou fornecedores—, o RGPD obriga-o a notificar a violação à CNPD no prazo de 72 horas desde que tem conhecimento. Não espera que tenha recuperado o serviço e não é opcional: não notificar acrescenta uma coima ao desastre que já tem em cima.

E há mais frentes a tratar em paralelo, sem as deixar para o fim:

• Comunicação aos afetados. Se a violação representar um risco elevado para clientes ou colaboradores, além da CNPD há que informá-los diretamente. Prepare uma mensagem clara e honesta, não um comunicado vazio.
• Aviso ao seguro. Se tem uma apólice de ciber-risco, comunique-o quanto antes: muitas exigem notificação imediata e dão-lhe acesso a uma equipa de resposta. Agir por conta própria pode deixá-lo fora da cobertura.
• Queixa e organismos. Apresentar queixa e avisar os canais de referência como o CNCS deixa registo oficial e dá-lhe apoio. A documentação que preservou na primeira hora é precisamente o que aqui faz falta.

Ter identificado de antemão quem redige a notificação, quem fala com o seguro e quem fala com os clientes é o que permite cumprir estes prazos sem travar a recuperação técnica. Improvisá-lo com o negócio parado é a receita para falhar os três.

Como o MagicBoxDesk o ajuda: resposta a incidentes e recuperação a partir de cópia limpa

Tudo o anterior soa simples escrito com calma. Às três da manhã, com o negócio parado e o telefone a tocar, não é. Por isso o maior valor não está em ter o plano num PDF, mas em ter alguém do outro lado que o execute consigo. No MagicBoxDesk montamos, mantemos e acionamos esse plano de resposta como serviço, dentro do seu IT externalizado, com suporte remoto e presencial em toda a Espanha.

• Resposta a incidentes com um plano definido e ensaiado: quem isola, quem decide, a quem se avisa e por que ordem, para atuar em minutos em vez de improvisar em dias.
• Contenção e análise do alcance: isolamos o afetado, preservamos evidências e determinamos se houve roubo de dados, sem destruir a informação de que precisa depois.
• Cópias imutáveis e isoladas, com restauros testados periodicamente, para que, quando chegar o momento, exista mesmo uma cópia limpa à qual voltar.
• Recuperação na ordem certa: identidade e autenticação primeiro, depois o que fatura ou produz, a seguir correio e ficheiros, e os postos por último, reinstalados a partir de imagem limpa.
• Apoio nas obrigações legais: notificação da violação no prazo, comunicação ao seguro e aos afetados, com a documentação em ordem.
• Fecho da via de entrada antes de reconectar, para que o ataque não recomece assim que tudo arranca.

O ideal é falarmos antes do incidente, não durante. Preparar o plano, as cópias e os acessos custa uma fração do que custa um resgate ou duas semanas de paragem, e é o que transforma uma crise num mau bocado. Se já o tem em cima, também cá estamos para o ajudar a conter e a recuperar.

No MagicBoxDesk tratamos da sua segurança e do seu plano de resposta para que se ocupe do seu negócio. Peça um orçamento sem compromisso e dizemos-lhe o que precisa mesmo para que as primeiras horas de um ransomware joguem a seu favor e não contra si.