Ransomware mira backups em 96% dos ataques

12/08/2026 mindsecblog Notícias 0

Ransomware mira backups em 96% dos ataques e ameaça capacidade de recuperação das empresas

Especialista alerta que manter cópias dos dados não é suficiente quando o ambiente de backup permanece acessível aos criminosos

Os backups se tornaram um dos principais alvos dos ataques de ransomware. Em vez de apenas criptografar os sistemas produtivos, os criminosos também procuram apagar ou comprometer as cópias que poderiam ajudar a empresa a retomar suas operações, ampliando a pressão para o pagamento do resgate.

Segundo o Veeam 2024 Ransomware Trends Report, os repositórios de backup foram visados em 96% dos ataques analisados. Em 76% dos casos, ao menos parte das cópias foi efetivamente comprometida. O levantamento foi realizado com 1.200 profissionais de organizações que sofreram pelo menos um ataque cibernético bem-sucedido em 2023.

“O backup representa uma das principais alternativas para que a empresa volte a operar sem depender dos criminosos. Por isso, ele passou a fazer parte da estratégia do ataque. Muitas vezes, antes de criptografar os sistemas, o invasor já tentou apagar cópias, alterar políticas de retenção ou comprometer as credenciais usadas na recuperação”, explica Erik de Lopes Morais, COO da Penso Tecnologia.

O impacto aparece diretamente na restauração das informações. De acordo com o relatório, 41% dos dados das organizações foram afetados nos incidentes estudados. Desse volume, apenas 57% foram recuperados, em média. Os 43% restantes permaneceram indisponíveis.

Entre os fatores que podem dificultar a retomada estão backups contaminados, ausência de pontos de restauração íntegros, falhas não identificadas antes do incidente e falta de infraestrutura ou de procedimentos testados para reconstruir os ambientes.

Para Morais, a conclusão de uma rotina de backup não comprova que a organização conseguirá recuperar sua operação durante uma crise.

“Ter uma cópia armazenada é diferente de possuir uma estratégia de recuperação. A empresa precisa saber se o backup está íntegro, quanto tempo levará para restaurar os sistemas, quais aplicações devem voltar primeiro e se existe infraestrutura disponível para executar esse processo”, afirma.

Backup imutável reduz alcance do ataque

Uma das medidas para proteger as cópias é o backup imutável, que impede a alteração ou exclusão dos arquivos durante um período previamente definido. Mesmo que um invasor comprometa uma conta administrativa, as informações protegidas pela imutabilidade não podem ser apagadas ou modificadas antes do término da retenção.

A tecnologia, porém, precisa estar integrada a uma arquitetura mais ampla de resiliência. Entre as medidas recomendadas estão a separação entre os ambientes de produção e recuperação, o uso de credenciais exclusivas, autenticação multifator, privilégio mínimo, segmentação de rede e monitoramento de acessos ou mudanças suspeitas.

Também é necessário realizar testes recorrentes de restauração. Esses exercícios permitem verificar a integridade das cópias, identificar dependências entre os sistemas e avaliar se os objetivos de tempo e perda de dados, conhecidos como RTO e RPO, são compatíveis com as necessidades do negócio.

“A imutabilidade protege o backup contra exclusões e alterações maliciosas, mas não garante, sozinha, que a cópia esteja limpa e pronta para uso. A recuperação deve ser testada e realizada de forma controlada, para evitar que o ransomware seja reintroduzido no ambiente”, destaca o executivo.

Pagamento não garante retorno dos dados

O comprometimento dos backups pode aumentar a pressão para que a organização pague o resgate. Ainda assim, essa decisão não assegura a recuperação das informações.

No relatório de 2024, 81% das organizações pesquisadas realizaram algum pagamento para encerrar o ataque ou tentar recuperar seus dados. Entre elas, uma em cada três continuou sem conseguir restaurar as informações.

Além de não garantir a entrega de uma chave funcional, o pagamento não assegura que os acessos utilizados pelos invasores tenham sido removidos, que os dados roubados serão excluídos ou que a empresa não voltará a ser atacada.

“A melhor maneira de reduzir o poder de pressão dos criminosos é construir uma capacidade de recuperação antes do incidente. A discussão não deve ser apenas sobre ter backup, mas sobre garantir que as cópias continuem protegidas, acessíveis e confiáveis mesmo depois que o restante do ambiente for comprometido”, conclui Morais.

Clique e fale com representante oficial Netwrix Endpoint Protector