Como prevenir o ransomware: um guia prático para organizações

O ransomware é uma das ameaças mais devastadoras que as organizações enfrentam atualmente. Um ataque bem-sucedido pode impedir seu acesso aos próprios sistemas em questão de minutos, interromper as operações por dias ou semanas e deixá-lo diante da escolha entre pagar um resgate ou reconstruir tudo do zero. A boa notícia é que a maioria dos ataques de ransomware pode ser evitada, não por meio de ferramentas de segurança sofisticadas, mas pela aplicação consistente de medidas que qualquer organização pode implementar. Este guia explica como prevenir o ransomware, quais são as medidas mais eficazes e qual é o papel do fator humano nesse contexto.

O que é ransomware? Uma breve recapitulação

O ransomware é um tipo de malware que criptografa arquivos ou sistemas e exige o pagamento de um resgate, geralmente em criptomoeda, em troca da chave de descriptografia. Os ataques modernos de ransomware costumam ir um passo além: os invasores extraem os dados antes de criptografá-los e ameaçam divulgá-los caso o resgate não seja pago, uma técnica conhecida como dupla extorsão.

O ransomware atinge as organizações por meio de um número limitado de formas: e-mails de phishing que levam um funcionário a executar malware, exploração de vulnerabilidades sem patch, conexões de área de trabalho remota comprometidas e software ou componentes da cadeia de suprimentos infectados. Compreender os pontos de entrada é essencial para a prevenção; só é possível bloquear o que se sabe que deve ser procurado.

Para uma explicação mais detalhada sobre como o ransomware funciona, consulte nosso artigo sobre o significado e o funcionamento do ransomware.

Como prevenir o ransomware: o aspecto técnico

A prevenção contra ransomware começa com o fechamento das brechas mais comumente utilizadas pelos invasores. Essas medidas técnicas constituem a base; sem elas, nenhuma quantidade de treinamento de conscientização é capaz de compensar a exposição:

• Mantenha os softwares e sistemas atualizados. A maioria dos ransomwares explora vulnerabilidades conhecidas para as quais já existem correções. Um processo consistente de gerenciamento de atualizações, aplicado a servidores, terminais, equipamentos de rede e aplicativos de terceiros, elimina um dos pontos de entrada mais comuns.
• Ative a autenticação multifatorial (MFA). Credenciais comprometidas são uma das principais vias de acesso do ransomware, especialmente por meio da área de trabalho remota (RDP) e do e-mail. A MFA faz com que senhas roubadas, por si só, não sejam suficientes para obter acesso.
• Restrinja o acesso remoto. Desative o RDP quando não for necessário. Nos casos em que for necessário, utilize uma VPN com autenticação multifatorial (MFA), restrinja o acesso por intervalo de IPs e monitore horários ou locais de login incomuns.
• Segmente sua rede. Caso um ransomware consiga invadir o sistema, a segmentação da rede limita o alcance de sua propagação. Os sistemas críticos e os dados confidenciais devem ser isolados das redes gerais do escritório.
• Mantenha backups offline ou imutáveis. Um ataque de ransomware que atinja seu sistema de backup anula o propósito de tê-lo. Os backups devem ser armazenados offline ou em um formato imutável, testados regularmente e mantidos separados dos sistemas de produção.
• Implemente a detecção e resposta em terminais (EDR). As ferramentas modernas de EDR detectam comportamentos semelhantes aos do ransomware, criptografia em massa de arquivos e movimentação lateral, e podem interromper um ataque em andamento antes que ele cause danos completos.
• Filtre anexos e links de e-mail. Como o phishing é o principal método de disseminação de ransomware, as ferramentas de segurança de e-mail que inspecionam anexos, bloqueiam links maliciosos e sinalizam remetentes suspeitos reduzem significativamente a superfície de ataque.

Prevenção contra ransomware na sua organização: o que o ambiente de escritório traz de diferente

Os controles técnicos abrangem sistemas e softwares. No entanto, um ambiente de escritório apresenta fatores de risco adicionais que vão além da infraestrutura de TI: dispositivos compartilhados, acesso de visitantes à rede, dispositivos pessoais conectados à rede Wi-Fi do trabalho, pen drives trazidos de fora e funcionários sob pressão de tempo que tomam decisões rápidas sem parar para verificar.

Prevenir o ransomware em um ambiente de escritório ou empresarial significa estabelecer políticas claras em relação a esses fatores de risco e garantir que os funcionários compreendam por que elas existem:

• Separação da rede de visitantes. Visitantes e dispositivos pessoais nunca devem estar no mesmo segmento de rede que os sistemas e dados da empresa.
• Política de dispositivos USB e mídias removíveis. Pen drives infectados continuam sendo um vetor real de ransomware, especialmente em ambientes de manufatura e logística. Uma política que restrinja ou bloqueie o uso de dispositivos USB em equipamentos de trabalho elimina esse canal.
• Procedimentos claros de escalonamento. Os funcionários que suspeitarem de algo errado — seja um e-mail incomum, uma janela pop-up inesperada ou um sistema com comportamento anômalo — precisam saber exatamente a quem recorrer e que isso é incentivado, e não punido. A notificação imediata pode impedir que um incidente se transforme em um ataque em grande escala.
• Análise do acesso de fornecedores e terceiros. Muitos ataques de ransomware ocorrem por meio de um fornecedor ou prestador de serviços gerenciados com acesso privilegiado aos sistemas do alvo. Verifique quem possui acesso externo, restrinja-o ao estritamente necessário e exija que os fornecedores cumpram os padrões mínimos de segurança.

O ransomware não faz distinção quanto ao tamanho das organizações. Pequenas empresas e escritórios são frequentemente alvo de ataques justamente porque se presume que tenham menos medidas de segurança, e essa suposição costuma estar correta.

O fator humano: por que o treinamento de conscientização sobre segurança é essencial para a prevenção de ransomware

Os controles técnicos reduzem a superfície de ataque, mas não conseguem eliminar o risco humano. O phishing é o principal método de disseminação de ransomware, e ele tem sucesso não porque os filtros técnicos falhem, mas porque uma pessoa toma uma decisão em um momento de distração, pressão de tempo ou confiança mal depositada.

Um funcionário que abre um anexo malicioso, digita suas credenciais em uma página de login falsificada ou retorna a ligação para uma “equipe de segurança do banco” não é burro. Ele está fazendo o que qualquer pessoa faria ao agir com base em informações incompletas e sob pressão. A questão é como proporcionar às pessoas a capacidade de reconhecer padrões para que parem e verifiquem antes de agir, e isso só se consegue com a prática.

O treinamento de conscientização sobre segurança desenvolve essa prática por meio de sessões curtas e regulares, além de simulações realistas de phishing. Os funcionários que já viram um e-mail de phishing convincente em um contexto de simulação estão mais bem preparados para identificá-lo na vida real. As organizações que realizam programas contínuos de conscientização observam, de forma consistente, taxas mais baixas de cliques em links de phishing, o que se traduz diretamente em menos pontos de entrada para ransomware.

O treinamento de conscientização também muda o que acontece depois que um e-mail suspeito chega. Os funcionários que receberam o treinamento tendem mais a denunciar do que a clicar. Essa mudança, de alvo passivo para denunciante ativo, é uma das reduções de risco mais significativas que uma organização pode alcançar, a um custo relativamente baixo e sem a necessidade de infraestrutura adicional.

Lista de verificação para prevenção de ransomware: qual é a situação da sua organização?

Use esta lista de verificação para avaliar o nível de proteção atual da sua organização contra um ataque de ransomware:

• Todos os sistemas operacionais, aplicativos e firmware recebem atualizações dentro de um prazo definido
• A autenticação MFA está habilitada no e-mail, no acesso remoto e nos sistemas críticos
• O RDP está desativado ou protegido por uma VPN com autenticação multifatorial (MFA)
• Existem backups offline ou imutáveis, que são testados regularmente
• A segmentação de rede separa os sistemas críticos das redes gerais do escritório
• O EDR ou equivalente está implantado em todos os terminais
• A filtragem de e-mails está configurada para bloquear anexos e links maliciosos
• Os funcionários participam regularmente de simulações de phishing e de treinamentos de conscientização sobre segurança
• Existe um processo claro de escalonamento e notificação de incidentes, e todos os funcionários estão cientes dele
• O acesso de terceiros e fornecedores é analisado e limitado ao estritamente necessário

Se mais de dois ou três desses itens estiverem ausentes ou não estiverem claros, sua organização está significativamente exposta a um ataque de ransomware, e essas lacunas podem ser sanadas.