Quando uma empresa acorda com os ficheiros cifrados e um pedido de resgate no ecr\u00e3, parece que o ataque aconteceu naquela noite. Quase nunca \u00e9 assim. O atacante entrou dias ou semanas antes, andou pela rede, encontrou as c\u00f3pias de seguran\u00e7a, apagou-as, e s\u00f3 depois carregou no bot\u00e3o. Compreender esta sequ\u00eancia muda a forma de pensar a seguran\u00e7a: em vez de uma \u00fanica muralha, h\u00e1 quatro momentos em que o ataque pode ser travado \u2014 e quanto mais cedo, mais barato. Este artigo descreve as quatro fases como as vemos nos incidentes em PME portuguesas e a medida que funciona em cada uma.<\/p>\n
Antes de qualquer contacto, o atacante recolhe o que est\u00e1 p\u00fablico: nomes e cargos no LinkedIn, endere\u00e7os de e-mail no site, fornecedores mencionados em not\u00edcias, o software que a empresa usa (aparece em ofertas de emprego), passwords de colaboradores que apareceram em fugas de dados de outros sites. Com isto monta o ataque \u00e0 medida: um e-mail do “fornecedor habitual”, uma chamada do “banco”, uma tentativa de login com a password reutilizada. Esta fase \u00e9 invis\u00edvel para a empresa e dura de horas a semanas. Tr\u00eas portas dominam nas PME. A primeira \u00e9 o phishing: algu\u00e9m escreve a password num site falso ou abre um anexo que instala software malicioso. A segunda \u00e9 um servi\u00e7o exposto \u00e0 Internet com password fraca ou sem MFA \u2014 um ambiente de trabalho remoto, uma VPN, um portal antigo. A terceira \u00e9 uma vulnerabilidade n\u00e3o corrigida num equipamento virado para fora: firewall com firmware antigo, servidor sem atualiza\u00e7\u00f5es, Windows 10 sem suporte. A entrada em si demora minutos. Com um p\u00e9 dentro, o atacante procura tr\u00eas coisas: mais credenciais (sobretudo de administrador), o caminho para os servidores e as c\u00f3pias de seguran\u00e7a. Numa rede plana, sem segmenta\u00e7\u00e3o, com utilizadores administradores dos seus postos e passwords de administra\u00e7\u00e3o iguais em todas as m\u00e1quinas, isto demora horas. \u00c9 tamb\u00e9m a fase em que o atacante desativa o antiv\u00edrus, cria contas pr\u00f3prias para voltar mais tarde e apaga ou cifra as c\u00f3pias de seguran\u00e7a a que consegue chegar. Pode durar dias ou semanas \u2014 e \u00e9 o momento em que a monitoriza\u00e7\u00e3o faz a diferen\u00e7a entre um posto comprometido e uma empresa parada. S\u00f3 aqui o ataque se torna vis\u00edvel: ficheiros cifrados e um pedido de resgate, dados publicados ou vendidos, transfer\u00eancias banc\u00e1rias fraudulentas, ou simplesmente a paragem dos sistemas. O atacante escolhe o momento \u2014 frequentemente sexta-feira \u00e0 noite ou v\u00e9spera de feriado \u2014 para maximizar o tempo at\u00e9 \u00e0 rea\u00e7\u00e3o. A partir daqui o custo j\u00e1 n\u00e3o se mede em preven\u00e7\u00e3o: mede-se em dias parados, em honor\u00e1rios de recupera\u00e7\u00e3o, em notifica\u00e7\u00f5es \u00e0 CNPD e a clientes, e em reputa\u00e7\u00e3o. A fase 2 nunca vai ser fechada a 100% \u2014 as pessoas erram e as vulnerabilidades novas aparecem todos os dias. A fase 4 \u00e9 tarde demais para prevenir. A fase 3 \u00e9 onde uma empresa com segmenta\u00e7\u00e3o, monitoriza\u00e7\u00e3o e c\u00f3pias protegidas transforma um incidente grave num posto a reinstalar. \u00c9 tamb\u00e9m a fase mais ignorada, porque n\u00e3o se v\u00ea: as empresas investem na porta de entrada (firewall, antiv\u00edrus) e na recupera\u00e7\u00e3o (backups), e deixam o meio aberto.<\/p>\n Um cen\u00e1rio composto do que vemos em PME: ter\u00e7a-feira, um colaborador da contabilidade recebe um e-mail do “fornecedor” com uma fatura e escreve a password no portal falso. O atacante entra no e-mail nessa noite, l\u00ea durante uma semana, encontra o acesso ao ambiente de trabalho remoto sem MFA. Entra na rede, descobre que o utilizador \u00e9 administrador local, extrai credenciais, chega ao servidor de ficheiros e ao NAS das c\u00f3pias no mesmo segmento. Apaga as c\u00f3pias na noite de quinta. Cifra tudo na madrugada de s\u00e1bado. Segunda de manh\u00e3, a empresa descobre. Com MFA no acesso remoto, o ataque parava na fase 2. Com VLANs e c\u00f3pias fora da rede, parava na fase 3 com um servidor a restaurar. Sem nada disto, foram tr\u00eas semanas de paragem parcial.<\/p>\n Nas PME, tipicamente entre alguns dias e algumas semanas. Ataques automatizados podem cifrar em horas; ataques dirigidos demoram mais porque o atacante procura as c\u00f3pias de seguran\u00e7a antes de agir.<\/p>\n Trava parte da fase 2 (anexos maliciosos) e parte da fase 3 (ferramentas conhecidas). N\u00e3o trava credenciais roubadas usadas de forma leg\u00edtima, que \u00e9 como a maioria dos ataques progride. Por isso o MFA e a segmenta\u00e7\u00e3o s\u00e3o mais decisivos.<\/p>\n N\u00e3o garante a recupera\u00e7\u00e3o, n\u00e3o garante que os dados n\u00e3o sejam publicados e financia o pr\u00f3ximo ataque. Empresas com c\u00f3pias testadas e fora do alcance n\u00e3o precisam de considerar a pergunta.<\/p>\n Pela ordem de custo-benef\u00edcio: MFA em todos os acessos externos, c\u00f3pias fora da rede e testadas, retirar direitos de administrador aos utilizadores, segmentar a rede. As duas primeiras fazem-se em dias.<\/p>\n Percorremos as quatro fases com a sua infraestrutura e dizemos-lhe por escrito onde o ataque pararia hoje e o que falta para parar mais cedo. Veja a nossa ciberseguran\u00e7a gerida para empresas<\/strong><\/a> ou ligue 211 459 950.<\/p>\n
\nOnde travar:<\/strong> reduzindo o que est\u00e1 exposto e o que serve de chave. Passwords \u00fanicas com um gestor de passwords<\/a> anulam as fugas de outros sites. Menos endere\u00e7os de e-mail gen\u00e9ricos no site e um procedimento para pedidos “em nome de” reduzem a superf\u00edcie para engenharia social.<\/p>\nFase 2 \u2014 Entrada: a primeira porta<\/h2>\n
\nOnde travar:<\/strong> autentica\u00e7\u00e3o multifator<\/a> em tudo o que \u00e9 acess\u00edvel de fora \u2014 torna a password roubada in\u00fatil. Filtragem de e-mail e equipa treinada<\/a> para reportar. Atualiza\u00e7\u00f5es em dia e uma firewall gerida<\/a>, com os servi\u00e7os expostos reduzidos ao m\u00ednimo. Esta \u00e9 a fase onde a maioria dos ataques a PME deve morrer.<\/p>\nFase 3 \u2014 Expans\u00e3o: de um posto para toda a rede<\/h2>\n
\nOnde travar:<\/strong> segmenta\u00e7\u00e3o da rede em VLANs, para que um posto comprometido n\u00e3o chegue aos servidores nem \u00e0s c\u00f3pias (como se faz<\/a>). Utilizadores sem direitos de administrador. C\u00f3pias de seguran\u00e7a fora do alcance da rede e imut\u00e1veis. E monitoriza\u00e7\u00e3o 24\u00d77<\/a> que detete o comportamento an\u00f3malo \u2014 logins fora de horas, contas novas, tr\u00e1fego para destinos estranhos \u2014 enquanto ainda \u00e9 um alerta e n\u00e3o uma cat\u00e1strofe. \u00c9 a l\u00f3gica dos quatro passos do Zero Trust para PME<\/a>.<\/p>\nFase 4 \u2014 Impacto: o que a empresa v\u00ea<\/h2>\n
\nOnde travar:<\/strong> j\u00e1 n\u00e3o se trava, cont\u00e9m-se. Plano de resposta a incidentes escrito e conhecido \u2014 quem isola o qu\u00ea, quem comunica, quem chama quem. C\u00f3pias de seguran\u00e7a testadas e fora do alcance do atacante, que s\u00e3o a diferen\u00e7a entre restaurar em horas e negociar um resgate. Um plano de disaster recovery<\/a> com tempos de recupera\u00e7\u00e3o definidos. E as primeiras horas bem geridas \u2014 o que fazer e n\u00e3o fazer est\u00e1 no nosso guia sobre recupera\u00e7\u00e3o de dados nas primeiras horas<\/a>.<\/p>\nPorque \u00e9 que a fase 3 \u00e9 a mais importante<\/h2>\n
Uma sequ\u00eancia real, resumida<\/h2>\n
Perguntas frequentes<\/h2>\n
Quanto tempo passa entre a entrada e o impacto?<\/h3>\n
Um bom antiv\u00edrus n\u00e3o trava tudo isto?<\/h3>\n
Pagar o resgate resolve?<\/h3>\n
Por onde come\u00e7ar se n\u00e3o tenho nada disto?<\/h3>\n
Em que fase a sua empresa travaria um ataque?<\/h2>\n