Quando uma empresa acorda com os ficheiros cifrados e um pedido de resgate no ecrã, parece que o ataque aconteceu naquela noite. Quase nunca é assim. O atacante entrou dias ou semanas antes, andou pela rede, encontrou as cópias de segurança, apagou-as, e só depois carregou no botão. Compreender esta sequência muda a forma de pensar a segurança: em vez de uma única muralha, há quatro momentos em que o ataque pode ser travado — e quanto mais cedo, mais barato. Este artigo descreve as quatro fases como as vemos nos incidentes em PME portuguesas e a medida que funciona em cada uma.
Fase 1 — Reconhecimento: o atacante estuda a empresa
Antes de qualquer contacto, o atacante recolhe o que está público: nomes e cargos no LinkedIn, endereços de e-mail no site, fornecedores mencionados em notícias, o software que a empresa usa (aparece em ofertas de emprego), passwords de colaboradores que apareceram em fugas de dados de outros sites. Com isto monta o ataque à medida: um e-mail do “fornecedor habitual”, uma chamada do “banco”, uma tentativa de login com a password reutilizada. Esta fase é invisível para a empresa e dura de horas a semanas.
Onde travar: reduzindo o que está exposto e o que serve de chave. Passwords únicas com um gestor de passwords anulam as fugas de outros sites. Menos endereços de e-mail genéricos no site e um procedimento para pedidos “em nome de” reduzem a superfície para engenharia social.
Fase 2 — Entrada: a primeira porta
Três portas dominam nas PME. A primeira é o phishing: alguém escreve a password num site falso ou abre um anexo que instala software malicioso. A segunda é um serviço exposto à Internet com password fraca ou sem MFA — um ambiente de trabalho remoto, uma VPN, um portal antigo. A terceira é uma vulnerabilidade não corrigida num equipamento virado para fora: firewall com firmware antigo, servidor sem atualizações, Windows 10 sem suporte. A entrada em si demora minutos.
Onde travar: autenticação multifator em tudo o que é acessível de fora — torna a password roubada inútil. Filtragem de e-mail e equipa treinada para reportar. Atualizações em dia e uma firewall gerida, com os serviços expostos reduzidos ao mínimo. Esta é a fase onde a maioria dos ataques a PME deve morrer.
Fase 3 — Expansão: de um posto para toda a rede
Com um pé dentro, o atacante procura três coisas: mais credenciais (sobretudo de administrador), o caminho para os servidores e as cópias de segurança. Numa rede plana, sem segmentação, com utilizadores administradores dos seus postos e passwords de administração iguais em todas as máquinas, isto demora horas. É também a fase em que o atacante desativa o antivírus, cria contas próprias para voltar mais tarde e apaga ou cifra as cópias de segurança a que consegue chegar. Pode durar dias ou semanas — e é o momento em que a monitorização faz a diferença entre um posto comprometido e uma empresa parada.
Onde travar: segmentação da rede em VLANs, para que um posto comprometido não chegue aos servidores nem às cópias (como se faz). Utilizadores sem direitos de administrador. Cópias de segurança fora do alcance da rede e imutáveis. E monitorização 24×7 que detete o comportamento anómalo — logins fora de horas, contas novas, tráfego para destinos estranhos — enquanto ainda é um alerta e não uma catástrofe. É a lógica dos quatro passos do Zero Trust para PME.
Fase 4 — Impacto: o que a empresa vê
Só aqui o ataque se torna visível: ficheiros cifrados e um pedido de resgate, dados publicados ou vendidos, transferências bancárias fraudulentas, ou simplesmente a paragem dos sistemas. O atacante escolhe o momento — frequentemente sexta-feira à noite ou véspera de feriado — para maximizar o tempo até à reação. A partir daqui o custo já não se mede em prevenção: mede-se em dias parados, em honorários de recuperação, em notificações à CNPD e a clientes, e em reputação.
Onde travar: já não se trava, contém-se. Plano de resposta a incidentes escrito e conhecido — quem isola o quê, quem comunica, quem chama quem. Cópias de segurança testadas e fora do alcance do atacante, que são a diferença entre restaurar em horas e negociar um resgate. Um plano de disaster recovery com tempos de recuperação definidos. E as primeiras horas bem geridas — o que fazer e não fazer está no nosso guia sobre recuperação de dados nas primeiras horas.
Porque é que a fase 3 é a mais importante
A fase 2 nunca vai ser fechada a 100% — as pessoas erram e as vulnerabilidades novas aparecem todos os dias. A fase 4 é tarde demais para prevenir. A fase 3 é onde uma empresa com segmentação, monitorização e cópias protegidas transforma um incidente grave num posto a reinstalar. É também a fase mais ignorada, porque não se vê: as empresas investem na porta de entrada (firewall, antivírus) e na recuperação (backups), e deixam o meio aberto.
Uma sequência real, resumida
Um cenário composto do que vemos em PME: terça-feira, um colaborador da contabilidade recebe um e-mail do “fornecedor” com uma fatura e escreve a password no portal falso. O atacante entra no e-mail nessa noite, lê durante uma semana, encontra o acesso ao ambiente de trabalho remoto sem MFA. Entra na rede, descobre que o utilizador é administrador local, extrai credenciais, chega ao servidor de ficheiros e ao NAS das cópias no mesmo segmento. Apaga as cópias na noite de quinta. Cifra tudo na madrugada de sábado. Segunda de manhã, a empresa descobre. Com MFA no acesso remoto, o ataque parava na fase 2. Com VLANs e cópias fora da rede, parava na fase 3 com um servidor a restaurar. Sem nada disto, foram três semanas de paragem parcial.
Foire aux questions
Quanto tempo passa entre a entrada e o impacto?
Nas PME, tipicamente entre alguns dias e algumas semanas. Ataques automatizados podem cifrar em horas; ataques dirigidos demoram mais porque o atacante procura as cópias de segurança antes de agir.
Um bom antivírus não trava tudo isto?
Trava parte da fase 2 (anexos maliciosos) e parte da fase 3 (ferramentas conhecidas). Não trava credenciais roubadas usadas de forma legítima, que é como a maioria dos ataques progride. Por isso o MFA e a segmentação são mais decisivos.
Pagar o resgate resolve?
Não garante a recuperação, não garante que os dados não sejam publicados e financia o próximo ataque. Empresas com cópias testadas e fora do alcance não precisam de considerar a pergunta.
Por onde começar se não tenho nada disto?
Pela ordem de custo-benefício: MFA em todos os acessos externos, cópias fora da rede e testadas, retirar direitos de administrador aos utilizadores, segmentar a rede. As duas primeiras fazem-se em dias.
Em que fase a sua empresa travaria um ataque?
Percorremos as quatro fases com a sua infraestrutura e dizemos-lhe por escrito onde o ataque pararia hoje e o que falta para parar mais cedo. Veja a nossa cibersegurança gerida para empresas ou ligue 211 459 950.
