Proteção contra ransomware empresarial: como permanecer recuperável quando um ataque é bem-sucedido

Em 19 de outubro de 2025, um ransomware interrompeu todos os envios a partir dos centros logísticos da Askul, uma empresa japonesa de suprimentos para escritório e e-commerce. Os invasores entraram por meio de uma conta de administrador emitida para um prestador terceirizado — a única conta que a empresa havia isentado da autenticação multifator (MFA). Quando os invasores criptografaram os servidores da Askul, eles também excluíram seus arquivos Backup, e parte dos dados roubados foi posteriormente publicada online. ^[1]

A própria investigação da Askul constatou que seus backups online não haviam sido projetados para resistir a um ataque de ransomware, então os invasores conseguiram criptografar alguns deles junto com todo o restante, o que atrasou significativamente a recuperação. ^[1] A Askul está longe de ser um caso isolado. O ransomware mira backups em 4 de cada 5 ataques, com o objetivo de forçar o pagamento de resgate destruindo sua capacidade de recuperação. ^[2]

Este guia aborda como um ataque corporativo se desenrola, as camadas que o interrompem, por que o armazenamento Backup com Absolute Immutability é sua defesa definitiva contra ransomware e como avaliar as soluções que afirmam fornecê-la.

Principais conclusões

• Em escala corporativa, a proteção contra ransomware depende de se um único conjunto de credenciais roubadas consegue alcançar tudo, incluindo backups, porque, na maioria dos casos, os invasores usam direitos de administrador para destruir as opções de recuperação antes ou no momento em que criptografam.

• O ransomware agora é uma ameaça quase certa: mais de 4 em cada 5 organizações sofreram pelo menos um ataque nos últimos dois anos. ^[2] Nenhum produto isolado é suficiente; a proteção exige um conjunto em camadas de controles que cubra identidade e acesso, e-mail e endpoints, rede, detecção e Backup e recuperação.

• A imutabilidade padrão frequentemente tem exceções e brechas ocultas que podem permitir que backups sejam excluídos, mas com Absolute Immutability, ninguém pode alterar ou excluir dados Backup, mesmo com credenciais de administrador. Embora 93% dos líderes de tecnologia digam que um armazenamento de backup absolutamente imutável é crítico para a proteção contra ransomware, apenas 16% o têm. ^[2]

O que é proteção contra ransomware?

Proteção contra ransomware é a combinação de controles técnicos, políticas e capacidades de recuperação que protege uma organização contra ataques de ransomware e limita os danos quando esses ataques têm sucesso. Ela tem duas funções: impedir que os invasores entrem e se espalhem pela rede e garantir que a organização consiga se recuperar quando um ataque ainda assim tiver sucesso.

Ambas as funções ficam mais difíceis em escala corporativa. Um único console de virtualização pode executar centenas de máquinas virtuais; contas privilegiadas e de serviço se multiplicam entre departamentos e Parceiros; e o sistema Backup tem seu próprio console de administração, no qual um invasor com credenciais roubadas pode entrar exatamente como um administrador legítimo.

A recuperação, por sua vez, significa centenas de restaurações realizadas na ordem de prioridade do negócio. Com tanta coisa acessível a partir de tão poucas contas, a proteção corporativa se resume a saber se um único conjunto de credenciais roubadas consegue alcançar tudo, incluindo backups. Fechar esse caminho, para que nenhuma conta única consiga destruir tanto os dados de produção quanto suas cópias de recuperação, é a base da resiliência contra ransomware.

Como um ataque de ransomware se desenrola dentro de uma empresa?

Um único conjunto de credenciais que alcança tudo é exatamente o que os invasores procuram. Mais de 4 em cada 5 organizações sofreram pelo menos um ataque de ransomware nos últimos dois anos. ^[2]

A sequência abaixo segue as fases de um ataque de ransomware em seu pior cenário, no qual a proteção contra ransomware falha em todas as etapas e os invasores atingem seu objetivo.

1. Entrada. A maioria dos ataques começa com um e-mail ou um login roubado: e-mail malicioso, phishing e credenciais comprometidas são as três principais causas-raiz de ataques de ransomware, com 26%, 24% e 23%, respectivamente. ^[3] Os invasores da Askul simplesmente fizeram login usando a conta de administrador de um prestador sem MFA. ^[1]
2. Permanecer fora de vista. Uma vez dentro, os invasores frequentemente passam semanas mapeando a rede, desativando ferramentas de segurança e limpando logs ao longo do caminho. Os intrusos da Askul fizeram o mesmo, desativando o software de detecção e resposta de endpoint (EDR) e usando várias variantes de ransomware, algumas das quais passaram pelas assinaturas de EDR da Askul na época. ^[1]
3. Coletar as chaves. Cada sistema que os invasores alcançam fornece mais credenciais, mas os principais alvos são as contas que controlam a infraestrutura: administradores de domínio, de virtualização e do sistema Backup.
4. Espalhar-se pelo ambiente. Com direitos de administrador, os invasores se movem lateralmente de servidor em servidor até controlarem os sistemas que gerenciam todo o restante, desde os hipervisores que executam centenas de máquinas virtuais até os consoles que gerenciam backups.
5. Levar os dados. Antes que qualquer coisa seja criptografada, dados sensíveis frequentemente são copiados para fora da rede. Essa cópia é a base da dupla extorsão: a vítima é pressionada a pagar uma vez pela chave de descriptografia e novamente para impedir que os dados sejam publicados. Uma restauração limpa resolve apenas o primeiro problema. A Askul se recusou a negociar, e parte de seus dados roubados apareceu online. ^[1]
6. Remover o caminho de volta. Na maioria dos casos, os invasores agem para eliminar as opções de recuperação antes ou no momento em que a carga de criptografia é acionada, usando os direitos coletados na etapa 3. Um sistema Backup que aceita um login válido não consegue distinguir um intruso do seu próprio administrador. Os arquivos Backup da Askul foram excluídos no mesmo momento em que seus servidores foram criptografados. ^[1]
7. Criptografar tudo de uma vez. A criptografia então se espalha por muitos servidores simultaneamente, frequentemente na camada de virtualização, de modo que centenas de sistemas caem juntos em vez de um a um. Os sistemas criptografados na Askul incluíam os que operavam seus centros logísticos altamente automatizados, e os envios pararam completamente. ^[1]
8. A exigência. A nota de resgate chega com duas condições: pagar pela chave de descriptografia e pagar para manter os dados roubados em sigilo. Com os backups eliminados, a chave é o único caminho restante para os dados.

As cinco camadas de proteção corporativa contra ransomware

Nenhum controle isolado em uma estratégia de Defesa contra ransomware consegue interromper a sequência acima, porque cada controle bloqueia apenas algumas etapas do ataque.

Como nenhum sistema é impenetrável, a proteção contra ransomware em ambientes corporativos segue um modelo Simples: assumir uma violação, construir múltiplas camadas de cibersegurança e se preparar para a recuperação. ^[4]

O National Institute of Standards and Technology (NIST) adota a mesma abordagem em seu perfil de gerenciamento de risco de ransomware, que coloca a recuperação ao lado de proteção e detecção dentro de um único framework. ^[5]

Identidade e acesso

Os controles de identidade visam as etapas 1 e 3 porque a maioria dos ataques exige um login válido antes de qualquer outra coisa. MFA em todas as contas remotas e administrativas torna uma senha roubada muito menos útil por si só. O acesso de menor privilégio restringe cada conta apenas aos sistemas e dados que sua função específica exige, de modo que uma conta roubada abre apenas uma pequena parte do ambiente.

O gerenciamento de acesso privilegiado (PAM) adiciona um controle mais rigoroso sobre as contas que os invasores mais visam. Uma ferramenta de PAM concede direitos de administrador apenas quando eles são necessários e registra como são usados.

Os três só funcionam se nenhuma conta for deixada como exceção, incluindo as emitidas para Parceiros e prestadores.

E-mail e endpoints

A filtragem de e-mail ajuda a evitar grande parte do phishing por trás da etapa 1 ao verificar remetentes, links e anexos antes que as mensagens cheguem às caixas de entrada.

As ferramentas de EDR então monitoram servidores e laptops em busca de comportamento malicioso durante a etapa 2, como processos incomuns ou tentativas de desativar software de segurança. Os invasores esperam que o EDR esteja em vigor, portanto desligá-lo costuma ser um de seus primeiros movimentos após obter acesso à rede.

ransomware baseado em IA acrescenta um desafio adicional. Ele pode gerar ou reescrever seu próprio código para que cada versão pareça diferente, o que deixa as ferramentas baseadas em assinatura sem um padrão estável para corresponder.

A filtragem de e-mail e o EDR funcionam melhor quando seus alertas alimentam a camada de detecção, em vez de atuarem isoladamente.

Rede

A segmentação de rede desacelera a etapa 4 ao dividir a rede da organização em zonas separadas que um invasor precisa atravessar uma de cada vez.

Sistemas críticos, como gerenciamento de hipervisor e servidores de identidade, devem ficar em zonas que estações de trabalho padrão não conseguem alcançar diretamente, para que um laptop comprometido nunca esteja a um salto de distância da infraestrutura.

Monitorar o tráfego que cruza entre zonas ajuda a revelar um invasor se movendo pela rede. A maioria dos sistemas segue padrões previsíveis, então uma conexão incomum, como uma sessão de área de trabalho remota entre dois servidores que raramente se comunicam, se destaca como um sinal de alerta.

Detecção e alerta antecipado

A detecção reduz o tempo que os invasores passam dentro da rede e pode ser acionada em qualquer etapa de 2 a 6. O monitoramento comportamental aprende como usuários, sistemas e aplicações normalmente se comportam e sinaliza atividades que quebram o padrão, capturando ameaças que ferramentas baseadas em assinatura deixam passar.

As equipes de segurança normalmente encaminham esses alertas para um sistema de gerenciamento de informações e eventos de segurança (SIEM), que coleta sinais de todos os sistemas da organização em um só lugar, para que analistas possam correlacionar eventos relacionados e responder mais rápido.

O conjunto mais amplo de técnicas de detecção de ransomware também inclui iscas. Uma isca de rede imita um alvo Backup legítimo para atrair invasores a se revelarem antes que qualquer dado real esteja em risco.

Object First Honeypot é um exemplo. Ele implanta um ambiente isca de Veeam Backup & Replication (VBR) dentro do appliance Object First em apenas alguns cliques, servindo como um fio de disparo para detectar atividade suspeita direcionada à infraestrutura Backup.

Backup e recuperação

As quatro camadas de proteção acima reduzem a chance de um ataque ter sucesso, mas nenhuma delas determina o que acontece quando um ataque de fato tem sucesso. Isso depende da camada de Backup e recuperação, onde os resultados estão piorando: apenas 39% das organizações recuperaram pelo menos 75% de seus dados após um ataque, abaixo de 57% em 2024. ^[2]

Um pilar da recuperação de Backup de dados é manter backups imutáveis, o que significa que, durante uma janela de tempo predefinida, um Backup não pode ser alterado nem excluído. No entanto, é preciso cuidado aqui, porque muitos sistemas que afirmam oferecer backups imutáveis têm exceções e brechas ocultas.

A solução para essas brechas é Absolute Immutability, o que significa que nem mesmo o administrador mais privilegiado, ou um invasor com acesso ao armazenamento Backup, pode modificar ou excluir dados.

Absolute Immutability: A base da proteção contra ransomware de nível empresarial

A lacuna entre acreditar que os backups estão protegidos e ter essa proteção é grande: 76% dos líderes de tecnologia dizem que sua solução principal de Backup usa armazenamento imutável, mas apenas 16% dizem que seu armazenamento atual de Backup é absolutamente imutável. ^[2]

Absolute Immutability só pode ser alcançado usando um sistema de armazenamento de Backup que seja “Seguro por Design”, com Acesso Zero para executar ações destrutivas, e esse Acesso Zero deve ser verificado por meio de testes de terceiros. ^[4]

Uma das brechas mais comuns está em como o S3 Object Lock é configurado. No Modo de Conformidade, os períodos de retenção são aplicados de forma rigorosa — nem mesmo administradores podem modificar ou excluir dados protegidos até que o período de retenção expire. Já o Modo de Governança permite que usuários privilegiados substituam as configurações do Object Lock, de modo que um invasor que obtenha acesso administrativo possa desativar a imutabilidade e destruir dados de Backup. ^[4]

A implementação prática de Absolute Immutability exige três princípios fundamentais:

• Armazenamento de objetos S3: Um padrão aberto, totalmente documentado, com imutabilidade nativa, permitindo testes de penetração independentes e verificação por terceiros.

• Tempo Zero até a Imutabilidade: os dados de Backup tornam-se imutáveis no momento em que são gravados, sem lacunas e sem zonas de aterrissagem.

• Appliance de armazenamento de destino: Um appliance Dedicado separa o armazenamento de Backup do software de Backup e elimina os riscos do armazenamento autogerenciado do tipo “faça você mesmo” durante a configuração, atualizações e manutenção. Não é necessária expertise em segurança, porque a segurança operacional passa para o fornecedor.

Ao seguir esses três princípios, as organizações podem alcançar Absolute Immutability, o que mantém os dados de Backup protegidos e recuperáveis pelo período de retenção definido, seja a ameaça ransomware, um insider ou credenciais roubadas. ^[4]

Proteção contra ransomware com Object First

Quando — e não se — o ransomware atacar, o futuro do seu negócio fica por um fio. Nesse momento, a recuperação é o que mais importa — voltar a operar o mais rápido possível, sem complexidade indesejada.

Nós tornamos a resiliência cibernética Simples com armazenamento de Backup que é absolutamente imutável e desenvolvido especificamente para Veeam. É sua defesa definitiva contra ransomware.

Object First é construído com base nas melhores práticas de Zero Trust e é testado e verificado por terceiros para ser Seguro. Ele é Simples para implantar e gerenciar com NÃO é necessário ter conhecimento em segurança e é Eficiente o suficiente para backups ultrarrápidos e Instant Recovery turbinado para escalar com o seu negócio.

Quando o armazenamento de Backup é tão Seguro, Simples e Eficiente, você e sua organização são Simplesmente Resilientes.

As oito melhores práticas do Object First para proteção contra ransomware de nível empresarial

Na Object First, estamos trabalhando por um mundo em que nenhuma organização precise pagar resgate por dados criptografados. Estas são as oito melhores práticas de proteção contra ransomware que recomendamos para toda empresa.

1. Imponha MFA em toda conta remota e administrativa, começando pelos consoles de gerenciamento de Backup, e não abra exceções para Parceiros, contratados ou prestadores de serviço, porque uma única conta isenta pode comprometer toda a rede.
2. Dê aos sistemas de Backup suas próprias contas de administrador, separadas das contas de usuário do dia a dia e das contas de administrador de domínio, e aplique acesso de menor privilégio para que uma credencial de domínio capturada não abra também o console de Backup.
3. Exija aprovação de várias pessoas para ações destrutivas como redefinições, alterações de retenção ou alterações de segurança. Um Protocolo de Oito Olhos, com dois indivíduos do lado do cliente e dois membros da equipe do fornecedor aprovando cada ação, fecha a lacuna que uma única conta de administrador comprometida criaria de outra forma.
4. Criptografe os dados de Backup de ponta a ponta desde o momento em que são criados, usando chaves que mudam a cada sessão de Backup. A imutabilidade impede que invasores alterem ou excluam backups, enquanto a criptografia com rotação de chaves mantém ilegíveis quaisquer dados de Backup que eles roubem.
5. Mantenha três cópias dos seus dados em dois tipos diferentes de mídia, com uma fora do site, uma imutável e zero backups não verificados, conforme especifica a regra 3-2-1-1-0 de Backup. Colocar essas cópias em zonas de resiliência separadas, uma parte central de proteção de backup contra ransomware, significa que uma violação em uma zona não alcança as outras.
6. Gere alertas para alterações na política de retenção, tentativas incomuns de exclusão e falhas de autenticação contra o repositório de Backup e encaminhe esses alertas para a mesma equipe e o mesmo caminho de escalonamento dos alertas de segurança de produção.
7. Teste restaurações em um cronograma fixo, cobrindo sistemas críticos trimestralmente e todo o ambiente de produção pelo menos anualmente, e registre quanto tempo cada uma leva. Um Backup não testado é uma suposição, e o tempo registrado mostra se a recuperação atende ao seu Recovery Time Objective (RTO).
8. Mantenha pontos de restauração imutáveis suficientes para recuperar de antes do comprometimento inicial, não apenas do ataque visível. Invasores frequentemente mantêm persistência por dias ou semanas antes de acionar a criptografia, então o Backup mais recente já pode conter o ponto de apoio deles.

Como avaliar soluções de proteção contra ransomware de nível empresarial

As recomendações acima só valem se o armazenamento subjacente as suportar, e muitos compradores nunca verificam se isso acontece. Embora 89% dos líderes de tecnologia concordem que as alegações do fornecedor sobre imutabilidade devem ser validadas por uma auditoria de terceiros, apenas 56% usam testes e relatórios de terceiros. ^[2]

As verificações abaixo permitem que uma empresa teste essas alegações antes de escolher entre soluções de proteção de backup contra ransomware, para que a decisão se baseie em evidências e não em uma Ficha técnica.

• Descubra se o seu fornecedor ou o administrador mais privilegiado pode encurtar a retenção ou excluir um Backup antes que ele expire. Se qualquer um puder, um invasor com as mesmas credenciais também poderá.

• Confirme que os dados de Backup tornam-se imutáveis no momento em que são gravados, e não apenas após a conclusão do job de Backup, já que qualquer lacuna entre os dois deixa uma janela para adulteração.

• Solicite resultados publicados de testes de penetração de terceiros em vez de confiar em uma alegação de Ficha técnica. Testes independentes só são possíveis contra protocolos abertos e documentados, portanto um sistema proprietário faz com que você dependa da palavra do fornecedor.

• Veja como o armazenamento funciona com o software de Backup que você já executa, porque o armazenamento desenvolvido para esse software elimina o trabalho de configuração personalizada em que configurações autogerenciadas frequentemente introduzem vulnerabilidades.

• Esclareça quem é responsável por aplicação de patches, atualizações e hardening, e quanta expertise em segurança sua equipe precisa para operar o sistema com segurança. Com armazenamento autogerenciado, essas operações e seus riscos permanecem com a sua equipe.

• Antes de comprar, teste a velocidade de restauração com seus próprios volumes de dados e workloads, começando pelos sistemas de que o negócio precisa primeiro, em vez de confiar em benchmarks do fornecedor. O resultado mostra quão rapidamente você consegue recuperar dados após um ataque de ransomware.

• Execute um exercício de mesa que simule uma violação completa de credenciais, na qual um invasor detém todas as contas de administrador, incluindo as do software e do armazenamento de Backup. Em seguida, confirme na prática que o armazenamento ainda recusa exclusões e alterações de retenção dessas contas. Só então você pode ter confiança de que seus backups são realmente À prova de ransomware.

Perguntas frequentes

Qual é a melhor proteção contra ransomware para uma empresa?

Nenhum controle isolado é suficiente; a melhor proteção contra ransomware de nível empresarial é em camadas. Entre essas camadas, o armazenamento de Backup com Absolute Immutability é o que ainda funciona depois que a prevenção e a detecção falharam, porque nenhuma conta roubada pode encurtar sua retenção.

Como você testa se sua proteção contra ransomware funciona?

Execute testes de restauração em um cronograma, registre o tempo de cada restauração e compare-o com seu RTO, e realize exercícios de mesa que assumam que uma conta de administrador já foi comprometida. Em seguida, confirme que seu armazenamento de Backup de fato recusa uma exclusão ou alteração de retenção dessa conta, em vez de confiar no que a tela de configuração mostra.

Qual é a primeira coisa a fazer em um ataque de ransomware?

Determine quais sistemas foram afetados e isole-os imediatamente da rede, desligando dispositivos apenas se eles não puderem ser desconectados. [6] O isolamento interrompe a propagação enquanto preserva as evidências de que seu plano de resposta a ransomware precisa para investigação e recuperação.

References

[1] Askul Corporation. "Report on the Results of the Investigation into the Impact of the Ransomware Attack and Initiatives to Strengthen Security (13th Report)." December 12th, 2025 (Japanese). https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

[2] Omdia. "Recovery without Compromise: The Data-Backed Case for Backup Storage with Absolute Immutability." Commissioned by Object First, June 2026. https://objectfirst.com/recovery-without-compromise/

[3] Sophos. "The State of Ransomware 2026." 2026. https://www.sophos.com/en-us/content/state-of-ransomware

[4] Object First. "Absolute Immutability: The Ultimate Ransomware Defense." White paper, 2025. https://objectfirst.com/absolute-immutability-whitepaper/

[5] National Institute of Standards and Technology. "NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile." June 2026. https://csrc.nist.gov/pubs/ir/8374/r1/final

[6] CISA, MS-ISAC, NSA, and FBI. "#StopRansomware Guide." September 2023. https://www.cisa.gov/stopransomware/ransomware-guide