O momento em que alguém percebe o primeiro arquivo criptografado decide mais sobre o prejuízo do que as semanas seguintes. Não porque tudo pudesse ser salvo nessa hora — mas porque é nela que se cometem os erros mais caros. Quem reage sem preparo apaga rastros, perde provas ou, ao religar tudo às pressas, infecta pela segunda vez o ambiente recém-saneado.
Este roteiro não substitui um plano de emergência — ele descreve o que sustenta a primeira hora, quando o plano ainda não foi acionado.
Isolar, não desligar
Os sistemas afetados devem ser desconectados da rede — mas, sempre que possível, não desligados abruptamente. Desligar destrói rastros voláteis na memória de trabalho que podem ser decisivos para a análise posterior (qual acesso, qual malware, desde quando). Retirar o cabo de rede, desconectar Wi-Fi e VPN, isolar os segmentos afetados: isso interrompe a propagação sem destruir as evidências.
Proteger os backups imediatamente
O ransomware moderno procura deliberadamente pelos backups e os apaga ou criptografa junto. Por isso o primeiro passo ativo é dedicado às cópias de segurança: se estiverem acessíveis, as conexões até elas são interrompidas; cópias imutáveis e desconectadas da rede (Object-Lock, ou seja, “imutáveis”) são agora o bem mais valioso da casa. O que ainda não foi tocado não pode mais estar acessível.
Uma pessoa decide
Na emergência é preciso uma pessoa designada que coordene — não uma dúzia agindo em paralelo. Esse papel decide sobre o isolamento, a comunicação e a ordem da restauração. Se não estiver definido de antemão, só o esclarecimento de “quem, afinal, pode fazer o quê aqui?” já custa tempo precioso.
Comunicar faz parte
Conforme a extensão do incidente, existem obrigações de notificação: no caso de dados pessoais, perante a autoridade de proteção de dados (em regra, dentro de 72 horas) e, para operadores regulados, adicionalmente conforme a NIS-2 (diretiva europeia de segurança da informação) ou exigências setoriais específicas. Uma queixa-crime junto ao ponto central de contato para cibercrime da polícia (ZAC, na Alemanha) preserva rastros e é, muitas vezes, condição para o pagamento do seguro. Iniciar esses passos em paralelo, em vez de deixá-los para “depois da limpeza”, evita o descumprimento de prazos.
O que é melhor evitar na primeira hora
- Não pagar sob pressão de tempo. A questão do resgate é uma decisão para depois, com assessoria jurídica e autoridades — não para a primeira hora.
- Não restaurar precipitadamente. Uma restauração para um ambiente ainda comprometido criptografa os dados uma segunda vez. Primeiro entender a causa, depois restaurar.
- Não apagar os rastros. Logs, sistemas afetados e mídias de armazenamento permanecem intocados até que a análise os libere.
Por que isso precisa estar preparado
Tudo isso só pode ser executado na primeira hora se tiver sido registrado por escrito antes e ensaiado ao menos uma vez: quem decide, onde ficam os backups desconectados, quais sistemas retornam e em que ordem, quem é informado e quando. Como uma casa de sistemas de gestão familiar em Solingen, mantemos essa prevenção de emergências atualizada para nossos clientes — com backups imutáveis e georredundantes e restaurações testadas (prática com Veeam, software de backup), observação 24/7 por meio do nosso NOC (centro de operações de rede) e um procedimento treinado — por uma mensalidade fixa previsível, no âmbito das nossas soluções de Business Continuity e Managed Services. A primeira hora não é um bom momento para só então começar a pensar no procedimento.