O momento em que alguém se apercebe do primeiro ficheiro encriptado decide mais sobre o prejuízo do que as semanas seguintes. Não porque tudo pudesse ser salvo nessa hora — mas porque é nela que se cometem os erros mais caros. Quem reage sem preparação apaga rastos, perde provas ou, ao voltar a ligar tudo à pressa, infeta pela segunda vez o ambiente acabado de sanear.
Este roteiro não substitui um plano de emergência — descreve o que sustenta a primeira hora, quando o plano ainda não foi acionado.
Isolar, não desligar
Os sistemas afetados devem ser separados da rede — mas, sempre que possível, não desligados abruptamente. Desligar destrói rastos voláteis na memória de trabalho que podem ser decisivos para a análise posterior (que acesso, que malware, desde quando). Retirar o cabo de rede, desligar o Wi-Fi e a VPN, isolar os segmentos afetados: isso interrompe a propagação sem destruir as provas.
Proteger os backups imediatamente
O ransomware moderno procura deliberadamente os backups e apaga-os ou encripta-os também. Por isso, o primeiro passo ativo é dedicado aos backups: se estiverem acessíveis, as ligações até eles são interrompidas; cópias imutáveis e separadas da rede (Object-Lock, ou seja, «imutáveis») são agora o bem mais valioso da casa. O que ainda não foi tocado já não pode estar acessível.
Uma pessoa decide
Numa emergência é precisa uma pessoa designada que coordene — não uma dúzia a agir em paralelo. Esse papel decide sobre o isolamento, a comunicação e a ordem da restauração. Se não estiver definido de antemão, só o esclarecimento de «quem, afinal, pode fazer o quê aqui?» já custa tempo precioso.
Comunicar faz parte
Conforme a extensão do incidente, existem obrigações de notificação: no caso de dados pessoais, perante a autoridade de proteção de dados (em regra, no prazo de 72 horas) e, para operadores regulados, adicionalmente nos termos da NIS-2 (diretiva europeia de segurança da informação) ou de exigências setoriais específicas. Uma queixa-crime junto do ponto central de contacto para o cibercrime da polícia (ZAC, na Alemanha) preserva rastos e é, muitas vezes, condição para o pagamento do seguro. Iniciar esses passos em paralelo, em vez de os deixar para «depois da limpeza», evita o incumprimento de prazos.
O que é melhor evitar na primeira hora
- Não pagar sob pressão de tempo. A questão do resgate é uma decisão para depois, com assessoria jurídica e autoridades — não para a primeira hora.
- Não restaurar precipitadamente. Uma restauração para um ambiente ainda comprometido encripta os dados uma segunda vez. Primeiro compreender a causa, depois restaurar.
- Não apagar os rastos. Logs, sistemas afetados e suportes de armazenamento permanecem intocados até que a análise os autorize.
Porque é que isto tem de estar preparado
Tudo isto só pode ser executado na primeira hora se tiver sido registado por escrito antes e ensaiado pelo menos uma vez: quem decide, onde ficam os backups separados da rede, que sistemas regressam e por que ordem, quem é informado e quando. Como integrador de sistemas gerido pelo proprietário em Solingen, mantemos esta prevenção de emergências atualizada para os nossos clientes — com backups imutáveis e georredundantes e restaurações testadas (prática com Veeam, software de backup), observação 24/7 através do nosso NOC (centro de operações de rede) e um procedimento treinado — por uma mensalidade fixa previsível, no âmbito das nossas soluções de Business Continuity e Managed Services. A primeira hora não é um bom momento para só então começar a pensar no procedimento.