Resposta a incidente · Ransomware

O resgate que não foi pago

Como um backup na nuvem — daqueles que ninguém gosta de pagar — derrubou um ataque de ransomware numa consultoria em São Paulo.

Cliente

AMB Consult — consultoria

Quando

Outubro de 2022

Resultado

~90% recuperado · resgate não pago

Stack

Windows Server · Google Drive · VPN · Antivírus

A descoberta

Recebi a mensagem numa manhã de outubro de 2022, e ela tinha o tom de quem já sabe que algo está muito errado: todos os arquivos do servidor estavam com uma extensão estranha, e havia aparecido um arquivo de texto explicando "como recuperá-los". A primeira decisão certa foi tomada antes mesmo de eu chegar — ninguém tocou no servidor. Isso, sozinho, já evitou que a bagunça piorasse.

O diagnóstico

Não deixou dúvida. Acesso remoto comprometido, arquivos criptografados, um bilhete de resgate pedindo pagamento em criptomoeda. É o tipo de cenário que fecha empresa pequena. A direção foi direta comigo: não pagaria nada. Concordei — pagar financia o crime e não garante coisa alguma. Mas isso jogava todo o peso na única pergunta que importava: dava para restaurar?

A carta na manga

Dava. E não por sorte de emergência. Havia meses eu mantinha um backup rodando na nuvem, fora do prédio, atualizado diariamente — justamente a despesa recorrente que mais gerava discussão de custo. Foi ela que a criptografia não alcançou. O ataque devastou tudo o que estava dentro da rede local, mas não chegou ao que estava do lado de fora dela. As versões dos arquivos anteriores à infecção continuavam íntegras na nuvem.

A reconstrução

A partir daí virou procedimento. Zerei o servidor comprometido — não se convive com uma máquina que já provou saber entrar. Baixei os dados limpos da nuvem, passei varredura de antivírus em tudo e reergui o ambiente sobre um servidor novo. O servidor antigo foi rebaixado à função de backup frio: fora da rede, replicado semanalmente para um disco externo dedicado. E fechei a porta de entrada — o acesso remoto foi reconstruído do zero, com credenciais novas e conexão temporária e manual.

O que fica

Se há uma lição que eu levaria dessa história para qualquer ambiente, é esta: a resiliência não se compra no dia do desastre. Ela se decide meses antes, numa escolha sem glamour — manter uma cópia fora do alcance —, quase sempre contra a tentação de economizar. Quando o incidente chega, essa é a conta mais barata que você já pagou.